Indice

Il software per conformità ITAR e il software per conformità CMMC stanno passando da tema di back office a criterio commerciale. Per i fornitori aerospace e difesa negli Stati Uniti, la domanda non è più se la conformità esista da qualche parte in azienda. È se i sistemi usati per far girare la produzione possono dimostrare chi ha avuto accesso ai dati controllati, cosa è cambiato, quali parti si sono mosse, quali fornitori hanno toccato l'ordine e quali registrazioni supportano il contratto.

È qui che molti produttori si bloccano. La conformità vive in policy, raccoglitori, cartelle SharePoint, fogli di calcolo e strumenti di sicurezza, mentre il lavoro reale passa da ERP, acquisti, produzione, qualità, spedizione e scambi con i fornitori. Quando questi due mondi non sono collegati, la conformità diventa un esercizio di ricostruzione.

Questo articolo esamina cosa richiedono l'International Traffic in Arms Regulations (ITAR) e la Cybersecurity Maturity Model Certification (CMMC) a livello operativo, poi traduce il tema in uno standard ERP concreto per produttori che hanno bisogno di controlli sugli accessi, tracciabilità, audit trail e prove senza trasformare l'ERP stesso in un progetto di conformità.

Perché ITAR e CMMC stanno diventando requisiti operativi

La conformità aerospace e difesa sembrava un tema specialistico. Legal gestiva l'export control, IT gestiva la cybersecurity, qualità gestiva la tracciabilità e operations faceva andare avanti la fabbrica.

Questa separazione regge sempre meno. Prime contractor e committenti pubblici si aspettano sempre più spesso che i fornitori sappiano dimostrare che informazioni controllate, parti controllate, registrazioni di produzione e pratiche di cybersecurity sono gestite dentro il normale flusso operativo.

ITAR e CMMC non chiedono la stessa cosa. ITAR riguarda l'export control per defense articles, defense services e relativi technical data. CMMC riguarda la garanzia cybersecurity per contractor e subcontractor della difesa che gestiscono federal contract information (FCI) o controlled unclassified information (CUI).

Ma dentro un produttore, i sintomi operativi si sovrappongono. Entrambi creano pressione su accessi, identità, documentazione, audit trail, controllo dei fornitori, prove e capacità di mostrare cosa è successo senza ricostruire tutto a mano.

ITAR nella produzione: controllare articolo, dati e accessi

ITAR si applica a defense articles, defense services e technical data controllati dalla US Munitions List. Per i produttori, questo può includere parti fisiche e le informazioni tecniche necessarie per progettare, sviluppare, produrre, fabbricare, assemblare, riparare, testare, mantenere o modificare quegli articoli.

Il punto operativo è semplice: ITAR non riguarda solo la spedizione di una parte oltre confine. Un disegno controllato, un'istruzione di lavoro, una nota di ciclo, un file di ispezione, un pacchetto fornitore o una modifica tecnica possono creare rischio di export control se la persona sbagliata vi accede.

Secondo 22 CFR Part 122 i produttori statunitensi di defense articles devono in genere registrarsi presso la Directorate of Defense Trade Controls, anche se non esportano. La registrazione non è una licenza di esportazione e non concede di per sé diritti di esportazione. È il punto di partenza per essere noti al governo degli Stati Uniti come soggetto coinvolto in attività di produzione per la difesa.

La stessa parte della regolamentazione conta anche per il disegno dell'ERP. I registrants devono conservare registrazioni sulla produzione, acquisizione e disposizione di defense articles e technical data. Le registrazioni elettroniche devono essere riproducibili, leggibili e protette in modo che le modifiche mostrino chi le ha fatte e quando.

Questo è un requisito software molto concreto. Se un ERP permette agli utenti di sovrascrivere registrazioni controllate senza storico delle modifiche, archivia technical data fuori dalle regole di accesso o fa passare articoli marcati ITAR da acquisti e produzione senza contesto di export control, il sistema rende la conformità più difficile del necessario.

ITAR rende inoltre illegali esportazioni non autorizzate, ritrasferimenti e fornitura di defense services senza l'approvazione richiesta secondo 22 CFR Part 127. Nelle operazioni quotidiane, questo spinge i produttori a controllare meglio chi può vedere dati controllati, quale fornitore riceve quale pacchetto, cosa viene condiviso all'esterno e se ogni divulgazione ha una base difendibile.

CMMC nella produzione: proteggere FCI e CUI dove avviene il lavoro

CMMC è diverso perché non è export control. È il modello di garanzia del Department of Defense per verificare che contractor e subcontractor abbiano implementato gli standard cybersecurity richiesti per i sistemi che elaborano, archiviano o trasmettono FCI o CUI.

La pagina ufficiale del programma CMMC definisce tre livelli di assessment. Il Livello 1 copre la salvaguardia di base delle FCI, il Livello 2 copre una protezione più ampia delle CUI ed è allineato ai 110 requisiti di sicurezza del NIST SP 800-171 Revision 2, mentre il Livello 3 aggiunge una protezione più alta delle CUI contro minacce persistenti avanzate.

Anche il calendario conta. L'implementazione a fasi di CMMC è iniziata il 10 novembre 2025. La Fase 1, dal 10 novembre 2025 al 9 novembre 2026, si concentra soprattutto sulle autovalutazioni di Livello 1 e Livello 2, mentre le fasi successive aggiungono più requisiti di certificazione.

Per i produttori, CMMC diventa concreto nei sistemi in cui si trovano davvero le informazioni di contratto e produzione. Le CUI possono comparire in disegni, specifiche, registrazioni di ispezione, istruzioni di lavoro, file qualità, comunicazioni con i fornitori, note di produzione e documenti d'ordine. Se queste registrazioni vivono nell'ERP, l'ERP diventa parte dell'ambiente che deve essere perimetrato, protetto o deliberatamente segmentato.

Questo non significa che l'ERP da solo renda un'azienda conforme CMMC. CMMC include policy, persone, dispositivi, reti, incident response, formazione, identity management, protezione dei supporti e altri controlli. Ma se l'ERP è centrale per la produzione e archivia CUI, deve supportare il programma cybersecurity dell'azienda invece di diventare un'eccezione.

Cosa significano ITAR e CMMC per i requisiti ERP

Un ERP non sostituisce un export counsel, un assessor CMMC o un programma di sicurezza, ma dovrebbe rendere più facile produrre prove operative perché le prove vengono create mentre il lavoro avanza:

1.. Classificazione di articoli e dati controllati

L'ERP deve avere un modo per marcare parti, documenti, ordini, clienti, contratti, fornitori e istruzioni di lavoro controllati. Un semplice campo note non basta.

I produttori dovrebbero poter identificare se un articolo o una registrazione è ITAR-controlled, CUI, export-controlled sotto un altro regime, soggetto a restrizioni cliente o soggetto a requisiti di flowdown verso fornitori. Questa classificazione dovrebbe viaggiare con la registrazione operativa: dall'ordine cliente alla distinta base, al ciclo, all'ordine di produzione, all'ordine d'acquisto, all'ispezione qualità, alla spedizione e all'archivio.

Il test è capire se il sistema può impedire che qualcuno tratti un ordine controllato come un lavoro normale. Se l'etichetta ITAR o CUI scompare quando la pianificazione crea un ordine di produzione, l'ERP non porta abbastanza lontano il contesto di conformità.

2. Controllo degli accessi basato su ruoli e attributi

ITAR e CMMC alzano entrambi l'asticella del controllo accessi, anche se per ragioni diverse.

Per ITAR, il produttore potrebbe dover limitare i technical data a US persons autorizzate o a persone coperte dalla relativa autorizzazione. Per CMMC, l'azienda deve controllare l'accesso a FCI e CUI secondo le proprie policy di sicurezza e il perimetro dell'assessment.

Il tuo ERP dovrebbe supportare accessi a privilegio minimo per ruolo, sito, team, tipo di documento, tipo di ordine, progetto, cliente, fornitore e stato di controllo. Dovrebbe anche lavorare con i controlli di identità già usati dall'azienda, inclusi single sign-on, autenticazione multi-fattore e gestione del ciclo di vita degli utenti.

La zona intermedia è dove molti sistemi falliscono. Possono limitare un intero modulo, ma non un disegno specifico. Possono nascondere un record cliente, ma non l'allegato su un ordine d'acquisto. Possono controllare i dipendenti, ma non l'accesso al portale fornitori. Per i fornitori aerospace e difesa, non basta.

3. Tracciabilità su parti, lotti, numeri di serie, revisioni e fornitori

Le prove di conformità dipendono dalla tracciabilità. L'ERP dovrebbe sapere cosa è stato prodotto, con quali materiali, rispetto a quale revisione, da quale operazione, ispezionato da chi, rilasciato sotto quale approvazione e spedito verso quale destinazione.

Per i produttori aerospace e difesa, la tracciabilità dovrebbe coprire:

Codici articolo, lotti, batch e numeri di serie.
Versioni delle distinte base e revisioni tecniche.
Ordini di produzione, cicli e storico delle operazioni.
Ricezioni materiali, certificati fornitore e lotti fornitore.
Ispezioni qualità, non conformità, disposizioni e azioni correttive.
Registrazioni di spedizione, documenti export e prove di consegna.

È qui che software di conformità e software di produzione spesso divergono. Uno strumento di conformità autonomo può archiviare documenti, ma l'ERP deve collegare quei documenti alla catena produttiva reale. Se un buyer chiede quale lotto fornitore è entrato in un numero di serie spedito, la risposta non dovrebbe dipendere da qualcuno che cerca manualmente in email, un foglio di calcolo e tre cartelle.

Gli audit trail devono essere noiosi, completi e difficili da aggirare

Gli audit trail diventano utili quando sono integrati nel lavoro normale. Dovrebbero mostrare chi ha creato, visualizzato, modificato, approvato, rilasciato, stampato, scaricato, esportato o condiviso registrazioni controllate, con timestamp e valore precedente quando una registrazione cambia.

Per ITAR, le registrazioni devono essere mantenute in modo da mostrare le modifiche, chi le ha fatte e quando. Per CMMC, audit e accountability fanno parte delle famiglie di controlli di sicurezza legate alla protezione delle CUI secondo NIST SP 800-171.

L'ERP dovrebbe rendere lo storico di audit noioso: abbastanza completo da essere affidabile, abbastanza facile da recuperare e disponibile prima che un incidente lo trasformi in lavoro forense urgente.

Questo significa che gli utenti non dovrebbero poter cancellare la traccia modificando manualmente un PDF, sostituendo un allegato, cambiando un ciclo dopo il completamento o esportando dati controllati senza che il sistema registri l'azione. Nel momento in cui l'audit trail dipende da buone abitudini fuori dall'ERP, l'azienda ha una storia più debole da raccontare.

Il flowdown a fornitori e subcontractor appartiene all'ERP

La maggior parte dei produttori aerospace e difesa non produce internamente ogni parte, trattamento o operazione. Lavorazioni esterne, processi speciali, finiture, ispezioni, lavorazioni meccaniche, test, logistica e supporto tecnico possono coinvolgere fornitori o subcontractor.

L'ERP dovrebbe aiutare a controllare cosa arriva a questi partner. Come minimo, dovrebbe rispondere a queste domande:

Quali fornitori sono approvati per lavoro controllato?
Quali contatti fornitore sono autorizzati a ricevere informazioni controllate?
Quali ordini d'acquisto includono termini di flowdown ITAR, CUI, cliente o contratto?
Quali documenti sono stati inviati, quando, da chi e tramite quale canale?
Quali certificati fornitore, report di ispezione e acknowledgement sono rientrati?
Quali fornitori hanno toccato una parte serializzata o un lotto specifico?

Questo è uno dei modi più rapidi per capire se un ERP è davvero pronto per le supply chain della difesa. Se il controllo fornitori vive in note acquisti e file di conformità mentre gli ordini d'acquisto si muovono separatamente, l'azienda passerà troppo tempo a ricucire le prove.

Le registrazioni qualità devono provare conformità e controllo

La gestione qualità non è separata dalla readiness ITAR e CMMC. Nel lavoro aerospace e difesa, registrazioni di ispezione, non conformità, azioni correttive, concessioni e approvazioni al rilascio fanno spesso parte della catena di prove.

L'ERP dovrebbe collegare gli eventi qualità all'articolo controllato e al suo contesto produttivo. Una non conformità dovrebbe puntare al numero di serie, lotto, operazione, revisione, centro di lavoro, fornitore, disposizione, approvatore e ordine cliente interessato. Un'azione correttiva dovrebbe collegarsi alle registrazioni che affronta. Un certificato di conformità dovrebbe essere generato da dati controllati, non assemblato manualmente da ciò che il team riesce a trovare.

È anche qui che la tracciabilità di precisione conta dal punto di vista commerciale. I buyer vogliono fiducia nel fatto che un fornitore sappia produrre la parte e dimostrarne la storia senza rallentare ogni ordine.

Cosa chiedere ai vendor ERP prima di affidare loro lavoro ITAR e CMMC

Un vendor non deve promettere che il suo ERP "ti rende conforme". Anzi, fai attenzione se lo fa. Un vendor più solido sa mostrare come il sistema supporta i controlli, le registrazioni e le prove di cui il tuo programma di conformità ha bisogno.

Poni domande pratiche come:

Articoli, documenti, clienti, ordini, fornitori e istruzioni di lavoro controllati possono essere classificati nel sistema?
Questa classificazione viaggia attraverso pianificazione, acquisti, produzione, qualità, inventario, logistica e archivio?
L'accesso può essere limitato sotto il livello del modulo, inclusi documenti specifici, allegati, progetti, ordini o record fornitore?
L'ERP supporta SSO, MFA, gestione dei ruoli e workflow di disattivazione utenti?
Il sistema può mostrare chi ha visualizzato, modificato, approvato, esportato, scaricato o condiviso una registrazione controllata?
Le modifiche alle registrazioni sono abbastanza immutabili da mostrare valore precedente, utente e timestamp?
I termini di flowdown fornitore e la condivisione di documenti controllati possono essere tracciati dall'ordine d'acquisto alla ricezione?
L'ERP può tracciare un numero di serie o lotto spedito risalendo a materiali, fornitori, operazioni, ispezioni, non conformità e revisioni?
Le CUI possono essere segmentate, perimetrate o limitate in modo coerente con il boundary CMMC dell'azienda?
Quanto velocemente può essere implementato il sistema senza indebolire controllo accessi, tracciabilità o audit trail?

L'ultima domanda conta più di quanto possa sembrare. La pressione della conformità arriva spesso con una scadenza contrattuale. Se implementare l'ERP richiede 18 mesi, il sistema può mancare la finestra commerciale che ha reso urgente il progetto.

FAQ su software per conformità ITAR e CMMC

Che cos'è un software per conformità ITAR?

Un software per conformità ITAR aiuta le aziende a gestire controlli operativi legati all'International Traffic in Arms Regulations, inclusi classificazione di articoli controllati, accesso ai technical data, documentazione export, recordkeeping, audit trail e flowdown verso fornitori. Per i produttori, l'ERP spesso deve supportare questi controlli perché parti controllate e technical data passano da produzione, qualità, acquisti, inventario e spedizione.

Che cos'è un software per conformità CMMC?

Un software per conformità CMMC aiuta i contractor della difesa a gestire requisiti cybersecurity per proteggere FCI e CUI. Può includere documentazione di sicurezza, assessment, prove, controllo accessi, audit log e monitoraggio dei controlli. Un ERP non è un programma CMMC completo, ma se archivia o elabora CUI, deve supportare accessi, audit e prove legati al perimetro CMMC dell'azienda.

Un ERP rende un produttore conforme ITAR?

No, nessun ERP rende un produttore conforme ITAR da solo. La conformità ITAR dipende da classificazione, registrazione, licenze o approvazioni quando richieste, procedure di export control, controlli sul personale, gestione fornitori, formazione e giudizio legale. L'ERP dovrebbe supportare la parte operativa: etichette sui dati controllati, accessi limitati, tracciabilità, conservazione delle registrazioni, storico modifiche e prove.

Un ERP rende un produttore conforme CMMC?

No, nessun ERP rende un produttore conforme CMMC da solo. CMMC copre le pratiche cybersecurity dell'organizzazione su persone, processi, sistemi e reti. Ma un ERP può rientrare nel perimetro se archivia, elabora o trasmette FCI o CUI. In quel caso, l'ERP dovrebbe supportare controllo accessi, identity management, storico di audit, segmentazione dei dati e raccolta prove.

Cosa dovrebbero cercare i produttori aerospace e difesa in un ERP?

I produttori aerospace e difesa dovrebbero cercare un ERP che supporti classificazione di articoli controllati, controllo accessi basato su ruoli, controllo documentale, tracciabilità di lotti e numeri di serie, flowdown fornitori, registrazioni qualità, audit trail immutabili e recupero rapido delle prove. Il sistema dovrebbe aiutare il team a dimostrare cosa è successo senza ricostruire la storia da fogli di calcolo, cartelle, email ed export manuali.