Implantation sur le marché américain · France · Fabricants de défense et d'aérospatiale
La France est un pays qualifié. C'est l'opération américaine conforme qui remporte les marchés.
La France est un pays qualifié au sens du DFARS, avec un flux d'affaires régulier à destination des États-Unis dans la défense et l'aérospatiale. Ce statut confère à vos pièces une préférence dans les marchés publics. Il ne fait pas traverser l'Atlantique à vos données techniques contrôlées. Pour remporter les marchés du DoD qui exigent une frontière de données réservée aux US-persons, vous mettez en place une opération américaine conforme, et c'est moi qui la construis et la pilote, à une posture prête pour la CMMC et l'ITAR, dans le corridor de la Nouvelle-Angleterre où les donneurs d'ordres sont déjà présents.
La réponse directe
Comment un fabricant français entre sur le marché américain de la défense.
Un fabricant français de défense ou d'aérospatiale entre sur le marché américain de la défense en mettant en place une opération américaine conforme : une entité américaine, une frontière de données réservée aux US-persons (personnel de statut américain au sens du droit d'exportation), et un atelier qui tourne, dès son premier jour d'ouverture, à une posture prête pour la CMMC Level 2 (le niveau de cybermaturité exigé par la défense américaine) et l'ITAR (le contrôle américain des exportations d'armement). La France est un pays qualifié au sens du DFARS, ce qui confère à vos produits finis une préférence dans les marchés publics, et non une exemption de l'ITAR ou de la CMMC. La France se situe hors AUKUS : il n'existe donc aucune dérogation au titre du Pilier 2, et vos travaux contrôlés relèvent du régime de droit commun. La frontière de données réservée aux US-persons, voilà le chantier.
La France est un membre fondateur de l'OTAN, un pays qualifié au sens du DFARS (supplément à la réglementation fédérale américaine sur les acquisitions de défense), et l'une des bases industrielles et technologiques de défense et d'aérospatiale les plus capables au monde. L'accord réciproque sur les marchés de défense confère aux produits finis français une préférence dans les marchés publics face aux restrictions Buy American, et le flux d'affaires à destination des États-Unis entre les deux bases est régulier. Ce que ce statut ne fait pas, c'est permettre à une maison mère française d'accéder aux données techniques contrôlées que détient son opération américaine. Cette frontière, il faut toujours la construire.
La France se situe hors AUKUS, ce qui rend sa trajectoire plus lisible, et non plus difficile. Aucune dérogation au titre du Pilier 2 n'est à interpréter. Les travaux contrôlés d'origine française qui entrent dans un programme de défense américain relèvent du régime de droit commun de l'ITAR, de la CMMC et du FOCI, et le chantier est celui que l'on connaît bien : une entité américaine, une frontière de données réservée aux US-persons, et un atelier à la CMMC Level 2, dimensionné pour les travaux.
La Nouvelle-Angleterre est la zone d'atterrissage. Les relations avec les donneurs d'ordres, le réseau de fournisseurs et la profondeur en matière de conformité sont déjà là. Une maison mère française qui s'implante dans le corridor trouve un opérateur sur le terrain qui intègre la posture ITAR et CMMC à l'atelier dès le premier jour, et qui assume le résultat opérationnel pendant que votre conseil juridique assume l'instrument juridique.
Connaissez votre classe de travaux
L'essentiel des travaux français en sous-traitance relève d'une seule classe.
Avant que quiconque annonce un calendrier à une maison mère française, vous devez savoir quelle classe de travaux de défense vous visez. Les pièces commerciales et à double usage n'exigent qu'une entité américaine et un système qualité sain. Les travaux classifiés exigent une facility clearance (habilitation de sécurité d'établissement) et des mesures d'atténuation FOCI (propriété, contrôle ou influence étrangers) négociées avec la DCSA (l'agence américaine de contre-espionnage et de sécurité de la défense), ce qui reste du ressort de votre conseil juridique spécialisé dans les établissements habilités.
L'essentiel de la fabrication en sous-traitance pour le DoD (département de la Défense des États-Unis) se situe entre les deux : des données techniques contrôlées, des CUI (informations non classifiées contrôlées), des données sous contrôle ITAR mais non classifiées. Sans dérogation AUKUS sur laquelle s'appuyer, les travaux contrôlés d'origine française relèvent ici du régime de droit commun. Cette classe exige un enregistrement auprès de la DDTC (direction américaine du contrôle du commerce de défense), une frontière de données réservée aux US-persons, et la CMMC Level 2 intégrée au flux de travail, et une entité américaine sous contrôle étranger peut l'atteindre sans facility clearance.
● La classe que je construis et que je pilote
Cette classe intermédiaire, les CUI et les données sous contrôle ITAR mais non classifiées, c'est la classe que je construis et que je pilote. C'est celle dans laquelle vit l'opération américaine d'une maison mère française.
La mise en place opérationnelle en 90 jours
Un atelier américain conforme en un trimestre, monté pour une maison mère française.
La mise en place avance en parallèle, pas en séquence, car le jalon d'un donneur d'ordres n'attend pas que vous en terminiez une phase avant d'entamer la suivante. Le modèle opérationnel, l'environnement IT et OT, et la posture de conformité se mettent en place ensemble.
Jours 1 à 30
Diagnostic et conception
Mettre en place le modèle opérationnel américain, sur le papier comme à l'atelier : l'organisation, la chaîne de valeur, la cadence SQDIP (sécurité, qualité, délais, en-cours, productivité), et la frontière de données réservée aux US-persons qu'exige votre périmètre ITAR sous le régime de droit commun, sans dérogation pour raccourcir le chemin.
Jours 30 à 60
Stabiliser et construire
Amener l'environnement IT et OT à une posture prête pour la CMMC et l'ITAR dès le premier jour. Délimiter l'enclave CUI au plus juste autour de vos données contrôlées pour que l'évaluation reste gérable et que l'accès de la maison mère soit régi dès la conception.
Jours 60 à 90
Qualifier et exploiter
Ordonner les preuves de préparation en fonction du jalon du donneur d'ordres que vous cherchez réellement à franchir, coordonner les étapes FOCI et DDTC avec votre conseil juridique, et confier à vos équipes un atelier qui tient une fois que je me retire.
La voie française, en réponses
Trois questions qu'une maison mère française pose d'abord.
La France est un allié proche des États-Unis. Cela allège-t-il la charge ITAR et CMMC ?
La France est un pays qualifié au sens du DFARS, dans le cadre d'un accord réciproque sur les marchés de défense, ce qui confère aux produits finis français une préférence dans les marchés publics face aux restrictions Buy American. Cela n'allège pas la charge ITAR, CMMC ou FOCI qui pèse sur une opération américaine sous contrôle français. La France se situe également hors AUKUS : il n'existe donc aucune dérogation au titre du Pilier 2 sur laquelle s'appuyer. Vos travaux contrôlés relèvent du régime de droit commun, et construire pour s'y conformer, voilà tout le travail.
Nous exportons déjà vers des donneurs d'ordres américains. Quand nous faut-il une opération américaine à la place ?
Vous mettez en place une opération américaine lorsqu'un programme exige que les données techniques contrôlées soient détenues à l'intérieur d'une frontière réservée aux US-persons, lorsqu'un seuil de contenu national ou de Buy American s'applique, ou lorsqu'un donneur d'ordres attend de son fournisseur une véritable implantation américaine près de sa ligne. L'exportation vend une pièce de l'autre côté d'une frontière. L'implantation construit l'opération dont le DoD ou le donneur d'ordres exige qu'elle soit américaine, et c'est un tout autre chantier.
Que prenez-vous en charge exactement, et qu'est-ce qui reste à nos avocats ?
Je mets en place et je pilote l'opération américaine conforme : l'atelier, le modèle opérationnel, la construction de l'environnement IT et OT, la frontière de données réservée aux US-persons, et les preuves de préparation pour votre jalon. La constitution de l'entité, les mesures d'atténuation FOCI et la sélection du site restent du ressort de votre conseil juridique d'entreprise, de votre conseil en contrôle des exportations, et d'un conseiller en implantation. Je me coordonne avec eux et j'assume le résultat opérationnel.
Ce que je prends en charge
Le partenaire des opérations, pas le cabinet d'avocats.
Je mets en place et je pilote l'opération américaine conforme : l'atelier, le modèle opérationnel, la construction de l'environnement IT et OT, la frontière de données réservée aux US-persons, et les preuves de préparation pour le jalon que vous cherchez à franchir. La constitution de l'entité, les mesures d'atténuation FOCI et la sélection du site restent du ressort de votre conseil juridique d'entreprise, de votre conseil en contrôle des exportations, et d'un conseiller en implantation. Je me coordonne avec eux et j'assume le résultat opérationnel.