Fournisseurs Défense : maîtriser l'auto-attestation et le False Claims Act

Si vous faites partie de la chaîne d'approvisionnement du Department of Defense (DoD), vous avez probablement diverses divulgations DFARS (Defense Federal Acquisition Regulation Supplement) auxquelles vous devez attester dans le cadre de votre activité.

En tant que composant critique de la Base Industrielle de Défense, la plupart des petits fabricants restent focalisés sur des opérations de haute qualité. Aucune entreprise ne signe ses divulgations DFARS avec l'intention de violer le False Claims Act (FCA). Cependant, pour beaucoup de fournisseurs DoD, la clause DFARS 252.204-7012 Safeguarding Covered Defense Information & Cyber Incident Reporting n'est qu'un formulaire de plus à signer. Il est crucial que les entreprises comprennent les obligations de cette clause ou les ramifications juridiques potentielles en cas de non-conformité.

Selon le cabinet d'avocats international DLA Piper en mai 2019, « Pour la première fois, une cour de district a statué que le non-respect par un contractant des exigences de cybersécurité d'un contrat gouvernemental US peut exposer l'entreprise à une responsabilité sous le False Claims Act (FCA). » DLA Piper résume : « La décision souligne l'expansion du risque FCA pour les contractants dans un domaine qui présente déjà des défis uniques, et souligne l'importance de la conformité en cybersécurité. »

La responsabilité FCA peut émerger non seulement d'une fausse déclaration d'emploi d'une cybersécurité adéquate sous DFARS, mais aussi de l'omission de divulguer des déficiences. Il y a beaucoup d'exigences de cybersécurité dans la clause DFARS 252.204-7012 et, malheureusement, cela signifie beaucoup de faux pas possibles pour les petits fournisseurs. Chaque violation du FCA entraîne une pénalité potentielle. Actuellement, ces pénalités vont de 11 665 $ à 23 331 $. Dans certains cas, les pénalités FCA ont totalisé plusieurs millions de dollars.

En définitive, les pénalités FCA sont un risque significatif pour les petites entreprises. Même si votre organisation n'est pas ciblée pour un audit cybersécurité, des incidents cybersécurité apparemment lointains au sein de la Base Industrielle de Défense interconnectée peuvent rapidement mener à une enquête DoD à votre porte.

Le CMTC a une vaste expérience dans la formation en cybersécurité et l'assistance technique sur les exigences DFARS. N'hésitez pas à contacter le CMTC pour plus d'infos sur les sujets discutés ici ou pour aider à démystifier et comprendre le monde complexe de la cybersécurité et son impact sur votre business.

*Cet article ne constitue pas un avis juridique. Les entreprises doivent consulter leurs conseillers juridiques.