Implantation sur le marché américain · France · Fabricants de défense et d'aérospatiale
Implantation aux États-Unis pour les fabricants de défense français : la France est un pays qualifié, l'opération conforme remporte les marchés.
La France est un pays qualifié au sens du DFARS, avec un flux d'affaires régulier à destination des États-Unis dans la défense et l'aérospatiale. Ce statut confère à vos pièces une préférence dans les marchés publics, mais il ne fait pas traverser l'Atlantique à vos données techniques contrôlées. Pour remporter les marchés du DoD qui exigent une frontière de données réservée aux US-persons, vous mettez en place une opération américaine conforme, et je la construis et la pilote dans le corridor de la Nouvelle-Angleterre.
La réponse directe
Comment un fabricant français entre sur le marché américain de la défense.
Un fabricant français de défense ou d'aérospatiale entre sur le marché américain de la défense en mettant en place une opération américaine conforme : une entité américaine, une frontière de données réservée aux US-persons (personnel de statut américain au sens du droit d'exportation), et un atelier qui tourne, dès son ouverture, à une posture prête pour la CMMC Level 2 (le niveau de cybermaturité exigé par la défense américaine) et l'ITAR (le contrôle américain des exportations d'armement). La France est un pays qualifié au sens du DFARS, ce qui confère à vos produits finis une préférence dans les marchés publics, et non une exemption de l'ITAR ou de la CMMC. La France se situe hors AUKUS : il n'existe donc aucune dérogation au titre du Pilier 2, et vos travaux contrôlés relèvent du régime de droit commun. La frontière de données réservée aux US-persons, voilà le chantier.
La France est un membre fondateur de l'OTAN, un pays qualifié au sens du DFARS (supplément à la réglementation fédérale américaine sur les acquisitions de défense), et l'une des bases industrielles et technologiques de défense et d'aérospatiale les plus capables au monde. L'accord réciproque sur les marchés de défense confère aux produits finis français une préférence dans les marchés publics face aux restrictions Buy American, et le flux d'affaires entre les deux bases est régulier. Ce qu'il ne fait pas, c'est permettre à une maison mère française d'accéder aux données techniques contrôlées que détient son opération américaine. Cette frontière, il faut toujours la construire.
La France se situe hors AUKUS, ce qui rend sa trajectoire plus lisible, et non plus difficile. Aucune dérogation au titre du Pilier 2 n'est à interpréter. Les travaux contrôlés d'origine française engagés dans un programme de défense américain relèvent du régime de droit commun de l'ITAR, de la CMMC et du FOCI, et le chantier est connu : une entité américaine, une frontière de données réservée aux US-persons, et un atelier à la CMMC Level 2, dimensionné pour les travaux.
La Nouvelle-Angleterre est la zone d'atterrissage. Les relations avec les donneurs d'ordres, le réseau de fournisseurs et la profondeur en matière de conformité sont déjà là. Une maison mère française trouve un opérateur qui intègre la posture ITAR et CMMC à l'atelier dès le premier jour et qui assume le résultat opérationnel pendant que votre conseil juridique assume l'instrument juridique.
Connaissez votre classe de travaux
L'essentiel des travaux français en sous-traitance relève d'une seule classe.
Établissez quelle classe de travaux de défense vous visez avant que quiconque annonce un calendrier à une maison mère française. Les pièces commerciales et à double usage n'exigent qu'une entité américaine et un système qualité sain. Les travaux classifiés exigent une facility clearance (habilitation de sécurité d'établissement) et des mesures d'atténuation FOCI (propriété, contrôle ou influence étrangers) négociées avec la DCSA (l'agence américaine de contre-espionnage et de sécurité de la défense), et restent du ressort de votre conseil juridique.
L'essentiel de la fabrication en sous-traitance pour le DoD (département de la Défense des États-Unis) se situe entre les deux : des données techniques contrôlées, des CUI (informations non classifiées contrôlées), des données sous contrôle ITAR mais non classifiées. Sans dérogation AUKUS sur laquelle s'appuyer, les travaux contrôlés d'origine française relèvent du régime de droit commun. Cette classe exige un enregistrement auprès de la DDTC (direction américaine du contrôle du commerce de défense), une frontière de données réservée aux US-persons, et la CMMC Level 2 intégrée au flux de travail, et une entité américaine sous contrôle étranger peut l'atteindre sans facility clearance.
● La classe que je construis et que je pilote
Cette classe intermédiaire, les CUI et les données sous contrôle ITAR mais non classifiées, c'est la classe que je construis et que je pilote. C'est celle dans laquelle vit l'opération américaine d'une maison mère française.
La mise en place opérationnelle en 90 jours
Un atelier américain conforme en un trimestre, monté pour une maison mère française.
La mise en place avance en parallèle, pas en séquence : le jalon d'un donneur d'ordres n'attend pas la fin d'une phase. Modèle opérationnel, environnement IT et OT et posture de conformité se mettent en place ensemble.
Jours 1 à 30
Diagnostic et conception
Mettre en place le modèle opérationnel américain, sur le papier comme à l'atelier : l'organisation, la chaîne de valeur, la cadence SQDIP (sécurité, qualité, délais, en-cours, productivité), et la frontière de données réservée aux US-persons qu'exige votre périmètre ITAR, sans dérogation pour raccourcir le chemin.
Jours 30 à 60
Stabiliser et construire
Amener l'environnement IT et OT à une posture prête pour la CMMC et l'ITAR dès le premier jour. Délimiter l'enclave CUI au plus juste autour de vos données contrôlées pour que l'évaluation reste gérable et que l'accès de la maison mère soit régi dès la conception.
Jours 60 à 90
Qualifier et exploiter
Ordonner les preuves de préparation en fonction du jalon que vous cherchez à franchir, coordonner les étapes FOCI et DDTC avec votre conseil juridique, et confier à vos équipes un atelier qui tient une fois que je me retire.
La voie française, en réponses
Trois questions qu'une maison mère française pose d'abord.
La France est un allié proche des États-Unis. Cela allège-t-il la charge ITAR et CMMC ?
La France est un pays qualifié au sens du DFARS, dans le cadre d'un accord réciproque sur les marchés de défense, ce qui confère aux produits finis français une préférence dans les marchés publics face aux restrictions Buy American. Cela n'allège pas la charge ITAR, CMMC ou FOCI qui pèse sur une opération américaine sous contrôle français. La France se situe également hors AUKUS : il n'existe donc aucune dérogation au titre du Pilier 2 sur laquelle s'appuyer, et vos travaux contrôlés relèvent du régime de droit commun.
Nous exportons déjà vers des donneurs d'ordres américains. Quand nous faut-il une opération américaine à la place ?
Vous mettez en place une opération américaine lorsqu'un programme exige que les données techniques contrôlées soient détenues à l'intérieur d'une frontière réservée aux US-persons, lorsqu'un seuil de contenu national ou de Buy American s'applique, ou lorsqu'un donneur d'ordres attend de son fournisseur une véritable implantation américaine près de sa ligne. L'exportation vend une pièce de l'autre côté d'une frontière. L'implantation construit l'opération dont le DoD ou le donneur d'ordres exige qu'elle soit américaine.
Que prenez-vous en charge exactement, et qu'est-ce qui reste à nos avocats ?
Je mets en place et je pilote l'opération américaine conforme : l'atelier, le modèle opérationnel, la construction de l'environnement IT et OT, la frontière de données réservée aux US-persons, et les preuves de préparation pour votre jalon. La constitution de l'entité, les mesures d'atténuation FOCI et la sélection du site restent du ressort de votre conseil juridique d'entreprise, de votre conseil en contrôle des exportations, et d'un conseiller en implantation. Je me coordonne avec eux et j'assume le résultat opérationnel.
Ce que je prends en charge
Le partenaire des opérations, pas le cabinet d'avocats.
Je mets en place et je pilote l'opération américaine conforme : l'atelier, le modèle opérationnel, la construction de l'environnement IT et OT, la frontière de données réservée aux US-persons, et les preuves de préparation pour le jalon fixé par votre donneur d'ordres. La constitution de l'entité, les mesures d'atténuation FOCI et la sélection du site restent du ressort de vos conseils juridiques et d'un conseiller en implantation. Je me coordonne avec eux et j'assume le résultat opérationnel.