Garrett Partridge

Notas por país

España: nota de entrada en el mercado estadounidense

Un país cualificado según el DFARS con una base de proveedores integrada en la OTAN. Lo que un fabricante español pone en marcha en los Estados Unidos para vender directamente al Departamento de Defensa.

Garrett Partridge · 16 de julio de 2026 · 4 min de lectura · Nota de entrada en el mercado

Un fabricante español vende al Departamento de Defensa de los Estados Unidos poniendo en marcha una operación estadounidense conforme: una entidad estadounidense, el registro de esa entidad ante la DDTC (la dirección estadounidense de control del comercio de defensa), una frontera de datos reservada a las US-persons (personal con estatus estadounidense en el sentido del derecho de exportación) que conserva los datos técnicos controlados dentro de la operación estadounidense, y los 110 controles de la NIST SP 800-171 integrados en el flujo de trabajo diario conforme a la cláusula 252.204-7012 del DFARS. España es un país cualificado según el DFARS, lo que da a los productos finales españoles una preferencia en la contratación pública frente a las restricciones de compra nacional estadounidense (Buy American). Esa preferencia cubre los productos finales, no los datos técnicos, y no exime de nada en materia de ITAR, CMMC ni FOCI. La pertenencia de España a la OTAN entra en la misma categoría: una credencial real que responde a otra pregunta. El cliente de un programa de la OTAN es una agencia de la OTAN, y el Departamento de Defensa compra conforme a sus propias cláusulas contractuales.

País cualificado, y lo que realmente compra esa condición

España está en la lista. La sección 225.872-1 del DFARS nombra a España entre los países cualificados cuyos productos finales el Departamento de Defensa compra sin aplicar las restricciones Buy American, una determinación que el propio reglamento atribuye a memorandos de entendimiento y a otros acuerdos internacionales. Sus piezas se juzgan por sus propios méritos en lugar de perder frente a una preferencia de contenido nacional antes de que nadie abra el plano.

Ahora lea el alcance, porque el alcance es lo que importa. La determinación abarca la ley Buy American y el Balance of Payments Program, y abarca los productos finales de países cualificados. Los datos técnicos quedan fuera de ese alcance. La condición de país cualificado no registra a su entidad estadounidense ante la DDTC, no construye una frontera de datos y no evalúa un solo control de seguridad. La puerta de la contratación pública está abierta para España. El muro operativo que hay detrás sigue intacto.

La condición de país cualificado es una preferencia en la contratación pública, no un atajo. No exime del ITAR, no exime de la CMMC y no resuelve la cuestión FOCI. Esos regímenes siguen vigentes, y construir para cumplirlos es todo el trabajo.

Un programa de la OTAN no es el Departamento de Defensa de los Estados Unidos

España se adhirió a la OTAN en 1982, y la industria española está dentro de los programas de la Alianza. Eurofighter es el caso más claro: España es una de las cuatro naciones socias, junto al Reino Unido, Alemania e Italia, y NETMA, la NATO Eurofighter and Tornado Management Agency (la agencia de la OTAN que gestiona el Eurofighter y el Tornado), es el punto único de contacto para clientes y gobiernos. Más de cuatrocientas empresas de toda Europa trabajan dentro de esa cadena de suministro.

Es una credencial seria, y no es la credencial que pide una cláusula contractual del DoD. La cláusula pregunta si una entidad estadounidense registrada ante la DDTC conserva los datos técnicos controlados, si esos datos están dentro de una frontera reservada a las US-persons, y si la entidad se ha evaluado a sí misma frente a un conjunto concreto de controles de seguridad. La pertenencia al programa no responde a ninguna de esas preguntas, porque el cliente de ese programa es una agencia de la OTAN y los gobiernos europeos.

Ser proveedor subcontratista de un contratista principal europeo no es lo mismo que vender directamente al Departamento de Defensa de los Estados Unidos. Un proveedor español llega a esa línea con un rigor de ingeniería real detrás, y el rigor se transfiere. La postura de cumplimiento no, porque nadie en esa cadena se la pidió nunca.

Estar dentro de un programa de la OTAN es una credencial. No es un sustituto de una frontera de datos reservada a las US-persons, porque el Departamento de Defensa es un cliente distinto que hace una pregunta distinta.

Lo que se construye realmente en su operación estadounidense

La construcción son las mismas tres cosas para toda matriz aliada, y cada una tiene una definición precisa con la que usted puede exigir cuentas a sus asesores.

Un hito se ha movido. El 13 de julio de 2026 el Departamento suspendió los requisitos de la Fase II de la CMMC previstos para el 10 de noviembre de 2026 y abrió una revisión de 60 días, mientras que los requisitos de autoevaluación de la Fase I siguen vigentes. El anuncio fue explícito: esto no elimina la obligación de proteger la información federal. Así que se ha movido un hito de certificación, y la ingeniería que hay debajo no, porque la obligación nunca dependió del certificado. Diseñe ahora la frontera y los controles dentro del modelo operativo, y la revisión acabará donde acabe, sin tocar su calendario.

  • Una entidad estadounidense, registrada ante la DDTC. Conforme al 22 CFR 122.1, quien se dedique en los Estados Unidos a la fabricación de artículos de defensa se registra ante la Directorate of Defense Trade Controls, y el reglamento establece que un fabricante que no exporta debe registrarse igualmente. El registro es, por lo general, un requisito previo para cualquier licencia o autorización que vaya a necesitar más adelante.
  • Una frontera de datos reservada a las US-persons. El registro no confiere ningún derecho ni privilegio de exportación, en palabras del propio reglamento. Registrar la entidad estadounidense no da a la matriz española acceso a los datos técnicos controlados que esa entidad conserva. La frontera es lo que permite a su operación estadounidense conservar esos datos con pleno cumplimiento, y las transferencias a la matriz se realizan bajo autorización de la DDTC, o no se realizan en absoluto.
  • Los 110 controles, en el flujo de trabajo. La cláusula 252.204-7012 del DFARS obliga a los contratistas y subcontratistas de defensa a salvaguardar la información de defensa cubierta, y la norma de referencia es la NIST SP 800-171 Revision 2. La CMMC Level 2 es el estado que lo refleja, y se alcanza, a fecha de julio de 2026, mediante una autoevaluación cada tres años con una declaración anual de cumplimiento en el Supplier Performance Risk System (SPRS).

La mayor parte del trabajo subcontratado español cae en una sola clase: CUI (información no clasificada controlada) y datos bajo control ITAR, no clasificados. Esa clase necesita el registro ante la DDTC, una frontera de datos reservada a las US-persons, y los controles de la NIST SP 800-171 en el flujo de trabajo, y una entidad estadounidense bajo control extranjero puede alcanzarla sin una facility clearance (habilitación de seguridad de establecimiento). Esta es la clase que yo construyo y dirijo.

De qué me hago cargo, y qué queda en manos de su asesoría jurídica

Nueva Inglaterra es la zona de aterrizaje. Tengo mi base en Brookline (New Hampshire), y el trabajo se presta presencialmente en el área metropolitana de Boston y el sur de New Hampshire, donde los contratistas principales y la red regional de proveedores ya están. He sido el operador de la matriz europea en los Estados Unidos: dirigí las operaciones norteamericanas de GEFRAN, una multinacional italiana de sensores y automatización con una planta en Nueva Inglaterra, así que la fricción entre una sede europea y un taller estadounidense es terreno conocido.

Yo pongo en marcha y dirijo la operación estadounidense conforme: el taller, el modelo operativo, la construcción del entorno IT y OT, la frontera de datos reservada a las US-persons, y las pruebas de preparación para el hito que usted busca superar. La constitución de la entidad, las medidas de mitigación FOCI y la selección del emplazamiento quedan en manos de su asesoría jurídica de empresa, su asesoría en control de exportaciones y un asesor de selección de emplazamiento. Me coordino con ellos y asumo el resultado operativo.

Preguntas frecuentes

Respuestas directas.

España es miembro de la OTAN y un país cualificado según el DFARS. ¿Podemos vender al Departamento de Defensa sin una operación estadounidense?

Para trabajo que no lleva datos técnicos controlados, a menudo sí, y la condición de país cualificado le ayuda en precio al levantar las restricciones Buy American de sus productos finales. Se pone en marcha una operación estadounidense cuando el programa exige que los datos técnicos controlados se conserven dentro de una frontera reservada a las US-persons, cuando se aplica un umbral de contenido nacional, o cuando un contratista principal espera un proveedor con presencia real en los Estados Unidos, cerca de la línea de producción. La pertenencia de España a la OTAN no alcanza a esos casos, porque la pertenencia a la OTAN es una relación de alianza y el Departamento de Defensa compra conforme a sus propias cláusulas contractuales.

Ya somos proveedores de un programa europeo de defensa. ¿Se transfiere esa experiencia?

La disciplina de ingeniería se transfiere por completo, y vale más de lo que la mayoría de las matrices cree. La postura de cumplimiento no, porque nunca se la pidieron. Dentro de un programa gestionado por una agencia de la OTAN, su interlocutor es esa agencia y los contratistas principales europeos que están por encima de usted. Una cláusula contractual del DoD hace otro conjunto de preguntas: si hay una entidad estadounidense, si está registrada ante la DDTC, si conserva los datos técnicos controlados dentro de una frontera reservada a las US-persons, y si se ha evaluado a sí misma frente a los 110 controles de la NIST SP 800-171. Las credenciales del programa no responden a ninguna de esas preguntas. La construcción sí.

La Fase II de la CMMC se suspendió en julio de 2026. ¿Podemos saltarnos la construcción de ciberseguridad?

No. El 13 de julio de 2026 el Departamento suspendió los requisitos de la Fase II de la CMMC previstos para el 10 de noviembre de 2026 y abrió una revisión de 60 días, y los requisitos de autoevaluación de la Fase I siguen vigentes. El anuncio dijo con claridad que la medida no elimina la obligación de proteger la información federal, y que los contratistas y subcontratistas siguen obligados por contrato conforme a la cláusula 252.204-7012 del DFARS, con la NIST SP 800-171 Revision 2 como la norma que se está aplicando. Lo que se ha movido es el hito de certificación. Lo que no se ha movido es la ingeniería.

Fabricaríamos en los Estados Unidos y no exportaríamos nada. ¿Aun así nos registramos ante la DDTC?

Sí, si fabrica artículos de defensa. El 22 CFR 122.1 establece que un fabricante que no se dedica a exportar debe registrarse igualmente ante la Directorate of Defense Trade Controls. El reglamento enumera además exenciones concretas, y establece que el registro por sí solo no confiere ningún derecho ni privilegio de exportación, así que es una línea de salida y no una línea de meta. Su asesoría en control de exportaciones confirma su alcance frente al reglamento. Yo construyo la operación en torno a la respuesta.

Fuentes

Para llevar

Descargue el PDF listo para imprimir para el consejo de administración, o ponga este documento directamente en manos de un operador.