防衛サプライヤー必読：自己認定と虚偽請求法のマスター

国防総省（DoD）サプライチェーンの一員であれば、ビジネス遂行中にさまざまなDFARS（国防連邦調達規則追加）開示事項について認定（アテステーション）を行う必要があるはずです。

防衛産業基盤の重要な構成要素として、多くの小規模製造業者は高品質な運営に全力を注いでいます。どの企業もDFARS開示事項に署名する際、虚偽請求法（FCA）違反を意図することはありません。しかし、多くのDoDサプライヤーにとって、DFARS条項252.204-7012「管理対象非機密情報の保護とサイバーインシデント報告」は、単なる署名用紙の一つになりがちです。条項に含まれる義務や、準拠しなかった場合の法的影響を理解することが重要です。

グローバル法律事務所DLA Piperは2019年5月、「米国政府契約のサイバーセキュリティ要件違反が、企業を虚偽請求法（FCA）責任に晒す可能性があるとして、連邦地方裁判所が初めて判断した」と指摘。DLA Piperは「この判断は、すでに独自の課題を抱える分野でFCAリスクが拡大したことを示し、サイバーセキュリティコンプライアンスの重要性を強調している」とまとめています。

FCA責任は、DFARS下で適切なサイバーセキュリティを採用していると誤って主張した場合だけでなく、不備を開示しなかった場合にも生じえます。DFARS条項252.204-7012には多くのサイバーセキュリティ要件があり、残念ながら小規模サプライヤーが踏み外せるポイントも多数存在します。FCA違反1件あたりの潜在的罰金は現在11,665ドル〜23,331ドル。場合によっては総額数百万ドルに達することも。

最終的に、FCA罰金は中小企業にとって重大なリスクです。自社がサイバーセキュリティ監査の対象に選ばれなくても、相互接続された防衛産業基盤内で発生した一見無関係なサイバーセキュリティインシデントが、瞬く間にDoDのサイバーセキュリティ調査を自社の門前に招く可能性があります。

CMTCは、DFARSサイバーセキュリティ要件に関するサイバーセキュリティ研修と技術支援で豊富な実績があります。本記事で議論したトピックや、サイバーセキュリティの複雑な世界を解明し、自社ビジネスへの影響を理解するための支援について、CMTCまでお気軽にお問い合わせください。

※本ブログ記事は法的助言を構成しません。企業は自社の法務アドバイザーにご相談ください。

従業員を守る：雇用主のための実践的COVID-19対策米国製造業の復活：ポストCOVID成長戦略

産業技術