Un solo filo, due bandiere: il confine dei dati riservato ai US-person per un'operazione di difesa a controllo estero

La frase che riorganizza tutto questo problema è breve, e la maggior parte delle case madri la sente per la prima volta troppo tardi. Ai sensi dell'ITAR (la normativa statunitense sul controllo delle esportazioni di materiale d'armamento), la Sua casa madre è una foreign person (una persona straniera ai sensi dell'ITAR) rispetto ai dati tecnici della Sua filiale statunitense. Non un partner con qualche adempimento in più. Una foreign person: la stessa categoria di qualunque altra società all'estero che non sia titolare di una licenza.

La norma ci arriva attraverso la costituzione societaria, non attraverso la proprietà. Una US person (una persona statunitense ai sensi dell'ITAR) comprende qualunque entità "incorporated to do business in the United States", costituita per operare negli Stati Uniti (22 CFR 120.62). Una foreign person comprende qualunque entità "not incorporated or organized to do business in the United States", non costituita né organizzata per operare negli Stati Uniti (22 CFR 120.63). La Sua entità del Delaware o del Massachusetts è una US person. La Sua casa madre a Ottawa, a Brescia o a Stoccarda è una foreign person. Il fatto che la casa madre possieda il 100 per cento della filiale non sposta né l'una né l'altra oltre quella linea. Nel testo non esiste alcuna eccezione familiare, perché il testo non chiede mai della famiglia.

I dirigenti lo percepiscono come un affronto a un rapporto societario che hanno impiegato decenni a costruire. Non lo è. È un'affermazione sui dati, e soltanto sui dati. La casa madre continua a possedere la società, a nominare il consiglio, a fissare la strategia e a incassare l'utile. Ciò che la casa madre smette di ricevere automaticamente è il disegno.

Lo stesso istinto riaffiora attorno allo status di alleato, quindi conviene chiuderlo subito. Ogni paese che servo è un paese qualificato ai sensi del DFARS (il supplemento alla normativa federale statunitense sugli appalti della difesa) nell'ambito di un accordo reciproco sugli appalti della difesa con il Dipartimento della Difesa (DFARS 225.003). Quello status è una preferenza negli appalti sui prodotti finiti e sui componenti. Non esonera dall'ITAR, non esonera dalla CMMC (il livello di maturità in cybersicurezza richiesto dalla difesa statunitense), e non risolve la questione FOCI (proprietà, controllo o influenza stranieri). Lo status di alleato fa passare i Suoi pezzi attraverso l'analisi Buy American. Non fa passare la Sua casa madre attraverso il confine dei dati.

L'ITAR definisce effettivamente la proprietà estera e il controllo estero per i propri fini, al 22 CFR 120.65. La proprietà estera è oltre il 50 per cento dei titoli con diritto di voto in circolazione. Il controllo estero è l'autorità o la capacità di stabilire o dirigere le politiche generali o le operazioni quotidiane, ed è presunto quando delle foreign person possiedono il 25 per cento o più dei titoli con diritto di voto in circolazione, a meno che una singola US person non ne controlli una percentuale uguale o superiore. Quelle definizioni contano per ciò che dichiara alla Directorate of Defense Trade Controls. Sono definizioni proprie dell'ITAR, e non sono il quadro FOCI della Defense Counterintelligence and Security Agency, che poggia su regole distinte. Tenga separate le due cose, e lasci che il consulente in materia di controllo delle esportazioni e uno specialista nel rapporto con la DCSA rispondano ciascuno della propria metà.

Prima di poter tracciare un confine deve sapere che cosa contiene. In gioco ci sono due popolazioni di dati. Si sovrappongono ampiamente, e la maggior parte delle officine le giudica male entrambe esattamente nello stesso modo: aspetta una marcatura.

I dati tecnici ai sensi dell'ITAR sono le informazioni necessarie alla progettazione, allo sviluppo, alla produzione, alla fabbricazione, all'assemblaggio, al funzionamento, alla riparazione, al collaudo, alla manutenzione o alla modifica di un defense article (un articolo della difesa ai sensi dell'ITAR), comprese le informazioni sotto forma di schemi costruttivi, disegni, fotografie, piani, istruzioni o documentazione (22 CFR 120.33(a)). Rilegga quella definizione e noti che cosa vi manca. Non c'è alcuna marcatura. I dati tecnici sono definiti da ciò che l'informazione permette di fare, non dal fatto che un timbro sia finito sull'angolo della pagina. Un file CAM che nessuno ha etichettato è un dato tecnico se è necessario a fabbricare il pezzo.

Le covered defense information (le informazioni di difesa soggette alla clausola) seguono una logica parallela. Ai sensi del DFARS 252.204-7012 sono informazioni tecniche controllate non classificate, o altre informazioni del CUI Registry, che richiedono tutela e che sono marcate o individuate nel contratto, oppure "collected, developed, received, transmitted, used, or stored by or on behalf of the contractor in support of the performance of the contract", cioè raccolte, sviluppate, ricevute, trasmesse, utilizzate o conservate dal contraente o per suo conto a supporto dell'esecuzione del contratto. Nemmeno quel secondo criterio richiede una marcatura.

Quindi l'istruzione con cui il Suo personale ha vissuto finora, proteggere il materiale marcato, è l'istruzione sbagliata. Due regimi, due definizioni, e nessuno dei due aspetta un'etichetta. Entrambi si attivano sulla funzione e sul contesto, ed è esattamente per questo che non possono essere delegati a chi si occupa del timbro.

È la parte che colpisce più duro in una sala riunioni. Il singolo ostacolo più grande tra un produttore alleato e un contratto del DoD (Dipartimento della Difesa degli Stati Uniti) di solito non è la norma. È l'architettura IT di gruppo che la casa madre ha impiegato quindici anni a standardizzare, e di cui va giustamente fiera.

Ai sensi del 22 CFR 120.56(a)(3), i dati tecnici sono rilasciati mediante l'uso di access information (le informazioni di accesso) per far sì che una foreign person acceda a dati tecnici non cifrati, li visualizzi o li detenga, oppure per metterla in condizione di farlo. Legga il verbo. Mettere in condizione. La clausola è scritta sulla capacità, non sull'intenzione, e non sul fatto che qualcuno abbia aperto il file. Ai sensi del 22 CFR 120.56(b), un'autorizzazione al rilascio è richiesta già solo per fornire quelle access information a una foreign person. Quindi la domanda che pongono sia un avvocato esperto di esportazioni sia un valutatore non è se la casa madre abbia guardato. È se la casa madre potesse essere messa in condizione di raggiungerli.

Cinque schemi spiegano la maggior parte di ciò che trovo a una prima ricognizione:

La prima idea che ogni CTO capace porta a questo problema è la cifratura, e l'istinto è giusto. L'ITAR concede alla cifratura una deroga reale. Quella deroga è insieme più utile e più stretta di quanto quasi tutti credano, ed è nello scarto tra queste due letture che i programmi diventano costosi.

Ecco che cosa concede. Ai sensi del 22 CFR 120.54(a)(5), inviare, portare con sé o conservare dati tecnici non è un'esportazione quando i dati sono non classificati, protetti mediante cifratura end-to-end, e protetti mediante moduli crittografici conformi al FIPS 140-2 o ai suoi successori, oppure con altri mezzi crittografici che offrano una robustezza almeno comparabile ai 128 bit minimi raggiunti da AES-128, e quando non sono inviati intenzionalmente a una persona che si trova in un paese proscritto ai sensi del 22 CFR 126.1 né vi sono conservati, né sono inviati da uno di essi. La norma risolve perfino direttamente l'ansia sull'instradamento: i dati in transito su internet non si considerano conservati in un paese che attraversano. E il 22 CFR 120.54(c) afferma chiaramente che la possibilità di accedere a dati tecnici in forma cifrata che soddisfino quei criteri non costituisce né un rilascio né un'esportazione.

Ora legga la definizione su cui poggia la deroga. A questo fine, la cifratura end-to-end richiede che i dati non siano in forma non cifrata tra il mittente originario e il destinatario previsto, e che "the means of decryption are not provided to any third party", cioè che i mezzi di decifratura non siano forniti ad alcun terzo (22 CFR 120.54(b)(1)). Il destinatario previsto deve essere il mittente originario, una US person negli Stati Uniti, o una persona altrimenti autorizzata a ricevere quei dati tecnici (22 CFR 120.54(b)(2)).

Ed è qui che crolla per la maggior parte delle architetture di gruppo. Le access information sono definite al 22 CFR 120.55 come le informazioni che consentono di accedere in forma non cifrata a dati tecnici cifrati, e la norma ne nomina essa stessa gli esempi: chiavi di decifratura, codici di accesso alla rete e password. Le fornisca a una foreign person e il 22 CFR 120.56(b) richiede un'autorizzazione per farlo. Le usi per mettere una foreign person in condizione di raggiungere dati non cifrati e si trova dentro il 22 CFR 120.56(a)(3), un rilascio. E il 22 CFR 120.50(a)(6) rende il rilascio di dati tecnici precedentemente cifrati un'esportazione a pieno titolo.

Così l'architettura discende dal testo, ed è la tesi di questo documento. Il testo cifrato può attraversare l'infrastruttura del gruppo. Le chiavi non possono passare alla casa madre. La Sua casa madre può detenere lo storage, trasportare il traffico, possedere il collegamento e gestire la replica, purché ciò che detiene resti per lei illeggibile e i mezzi di decifratura restino dentro il confine riservato ai US-person. È questa singola asimmetria a permettere a una società di conservare un solo rapporto IT e due bandiere.

Due avvertenze, ed entrambe le intendo sul serio. Le condizioni del 22 CFR 120.54(a)(5), più la definizione della lettera (b), sono cumulative: devono valere tutte insieme, sui Suoi fatti concreti, nello stesso momento. E se la Sua specifica architettura rientri o meno nella deroga è una valutazione giuridica che spetta al Suo consulente in materia di controllo delle esportazioni, non a un architetto delle operazioni. Il mio compito è costruire l'ambiente affinché quella valutazione sia netta, documentata e facile da chiudere con un sì. La valutazione in sé resta al consulente legale, e lo dico al primo incontro, non all'ultimo.

La maggior parte delle officine a controllo estero gestisce ITAR e CMMC come due progetti, con due fornitori e due budget, e spesso un terzo per la costruzione della rete. Sono un unico cantiere. Capire il perché fa risparmiare i sei mesi che questi programmi di solito perdono.

Il NIST SP 800-171 (lo standard statunitense per la protezione delle informazioni controllate non classificate) è cieco rispetto alla cittadinanza. I suoi controlli di accesso chiedono se un utente sia autorizzato. Non chiedono quale passaporto quell'utente abbia. Non è una lacuna dello standard, è una divisione del lavoro. L'ITAR è il regime che decide chi può essere autorizzato ad accedere a dati tecnici soggetti a controllo delle esportazioni. Il NIST SP 800-171 è il meccanismo che impone quella decisione, la registra e produce le prove. La CMMC Level 2 è il Dipartimento della Difesa che verifica che quel meccanismo sia reale.

Il che fissa la sequenza. L'ITAR traccia il confine. I controlli 800-171 lo tengono. Il valutatore lo misura. Li costruisca in quest'ordine e ciascuno alimenta il successivo: la matrice degli accessi che redige per la questione delle esportazioni diventa il controllo di accesso che il valutatore mette alla prova. Li costruisca come tre trattative parallele con tre fornitori e ottiene tre risposte che si contraddicono al varco.

Una definizione contenuta nel DFARS 252.204-7012 chiude il piano più comune che mi sento proporre, e cioè che l'organizzazione IT di gruppo gestirà semplicemente il sito statunitense come gestisce ogni altro sito. Un covered contractor information system è definito come "an unclassified information system that is owned, or operated by or for, a contractor", un sistema informativo non classificato posseduto da un contraente oppure gestito da esso o per suo conto, e che tratta, conserva o trasmette covered defense information. Gestito da esso o per suo conto. Se il reparto IT della Sua casa madre gestisce i Suoi sistemi statunitensi, quei sistemi sono covered contractor information system, e l'ambiente della casa madre non è fuori dalla Sua valutazione. È dentro. Affidare il lavoro al gruppo non sposta l'obbligo all'estero. Tira il gruppo dentro il perimetro.

La clausola porta con sé il resto della forma su cui deve pianificare:

Tutto quanto finora è facile da immaginare come un problema d'ufficio. Cartelle condivise, caselle di posta, un ERP, un servizio di assistenza. È esattamente in questa cornice che le officine a controllo estero falliscono, perché i dati controllati compiono i loro viaggi più pericolosi in reparto.

Nel momento in cui un disegno esce dall'ERP e diventa un'istruzione di lavoro alla macchina, il dato tecnico è passato da un sistema che Lei tratta come protetto a un sistema che storicamente ha trattato come una macchina e non come un computer. Il file CAM sul PC condiviso di reparto. Il programma che risiede sul controllore. Il data historian che registra i dati di processo legati a un pezzo controllato, e poi si sincronizza con un server che tutto l'ufficio può raggiungere. Per un'officina domestica, quel passaggio è già il punto di controllo più trascurato dell'edificio. Per un'officina a controllo estero, ognuno di quei passaggi porta con sé una seconda domanda impilata sulla prima: non solo se questo dato sia controllato, ma chi nel gruppo possa raggiungere il sistema su cui è finito.

L'esempio che rende tutto questo concreto non è un cattivo. È il Suo miglior tecnico dell'automazione. Una linea si ferma a Nashua alle 2 del mattino. Il tecnico dei controlli della casa madre a Torino ha messo in servizio esattamente quella cella quattro volte e può rimetterla in moto in venti minuti con una sessione remota. È una foreign person. Il controllore contiene un programma derivato da dati tecnici controllati. Quella sessione remota è l'intera norma dentro una condivisione dello schermo, e il capoturno prenderà quella decisione alle 2 del mattino, a meno che l'architettura non l'abbia già presa per lui.

Quindi il confine si progetta dentro il reparto anziché tracciarlo attorno. Segmenti la rete OT affinché un endpoint d'ufficio raggiungibile non sia un percorso verso un controllore. Instradi i passaggi di consegne necessari attraverso un canale controllato e tracciato invece che su una chiavetta USB. Decida in anticipo, per iscritto, quali celle contengono programmi controllati e chi può raggiungerle, così che la decisione delle 2 del mattino sia una consultazione e non un giudizio da formulare sul momento. E dove l'assistenza tecnica del gruppo è davvero la risposta giusta, la faccia autorizzare come si deve tramite il consulente legale mentre la linea sta ancora girando, invece di scoprire la domanda durante un incidente.

È per questo che tratto il confine dei dati e il modello operativo come un unico problema di progettazione anziché due. Lo stesso filo convergente che dà a un valutatore un unico percorso verificabile dal contratto al truciolo è il filo che dà al P&L una visione onesta di ciò che il reparto sta davvero facendo. Costruito una volta sola, è la prova per l'auditor e il cruscotto del titolare. Costruito due volte, sono due sistemi che si contraddicono.

Ogni casa madre sente il confine dei dati riservato ai US-person come un muro tra sé e la società che possiede. Quella lettura uccide più progetti di questo tipo di quanti ne uccida qualunque controllo, ed è sbagliata. Costruito come si deve, la casa madre non perde quasi nulla di ciò che le serve davvero.

Torni alla definizione. I dati tecnici ai sensi dell'ITAR sono le informazioni necessarie a progettare, fabbricare, collaudare, riparare o modificare un defense article, e il 22 CFR 120.33(b) esclude espressamente le informazioni di marketing di base su funzione o finalità e le descrizioni generali di sistema. Il bilancio consolidato non è un dato tecnico. L'acquisizione ordini, il portafoglio ordini, la puntualità delle consegne, il tasso di scarto, la produttività oraria, l'organico, gli investimenti, gli indicatori di qualità e la lavagna SQDIP non sono dati tecnici. Quasi nulla di ciò che il consiglio di una casa madre esamina davvero un martedì è un dato tecnico.

Quindi il compito di progettazione è preciso, ed è un compito operativo prima che giuridico: dare alla casa madre ogni numero a cui ha diritto, e nessuno dei disegni a cui non ha diritto. In pratica lo strato della reportistica è costruito per attraversare il confine e lo strato dell'ingegneria è costruito per non attraversarlo. È quella distinzione a costituire l'intera architettura, ed è il motivo per cui questo si decide in fase di progettazione, quando costa una conversazione, e non in fase di valutazione, quando costa un cambio di piattaforma.

Sono il partner delle operazioni, e sono preciso su dove si ferma quel confine. Metto in piedi e gestisco l'operazione statunitense conforme: il reparto produttivo, il modello operativo, la costruzione dell'ambiente IT e OT, il confine dei dati riservato ai US-person, e le prove di prontezza per il varco che sta rincorrendo. La costituzione dell'entità, la registrazione presso ITAR e DDTC, la mitigazione FOCI, le valutazioni su licenze ed esenzioni, e le questioni CFIUS (il comitato statunitense per gli investimenti esteri) restano di competenza del Suo consulente legale d'impresa e del Suo consulente in materia di controllo delle esportazioni. Mi coordino con loro e rispondo io del risultato operativo.

Quella linea non è modestia, è la ragione per cui il cantiere tiene. Se una specifica architettura rientri nella deroga del 22 CFR 120.54, se un determinato trasferimento richieda una licenza, se il Suo assetto proprietario faccia scattare una notifica alla DDTC: sono valutazioni giuridiche con conseguenze giuridiche. Un architetto delle operazioni che gliele risolve Le sta vendendo una responsabilità con una voce sicura. Quello che faccio io è costruire l'operazione affinché quelle valutazioni siano nette, documentate e semplici, e affinché le prove esistano prima che qualcuno le chieda.

Questo cantiere non è teorico e non è raro. Nell'aprile 2026 American Rheinmetall ha raggiunto la certificazione CMMC Level 2 in tutti i suoi siti produttivi statunitensi: un'operazione statunitense con casa madre tedesca che regge quella postura, agli atti pubblici. Sono stato io stesso l'operatore della casa madre estera negli Stati Uniti, dirigendo le operazioni nordamericane di una multinazionale italiana di sensori, e sto avviando ora le operazioni statunitensi di produzione per la difesa per la filiale di una casa madre canadese. La via esiste e c'è chi la sta percorrendo. Ciò che scarseggia è l'operatore che la percorre con Lei. Sei categorie di consulenti aiutano un produttore estero a entrare nel mercato statunitense, dai consulenti legali FOCI alla strutturazione delle Big Four alla selezione del sito ai fornitori IT per la CMMC, e ognuna di esse Le consegna un documento, un edificio o un certificato. La Standards Guide for Foreign Partners del Chief Information Officer del Dipartimento della Difesa è la cosa più vicina a una sintesi ufficiale, ed è uno strato di controlli anziché la sequenza di un operatore. Qualcuno deve comunque mettere in piedi e gestire l'operazione. Quello strato è il lavoro, ed è quello di cui rispondo io.

La sintesi è il titolo. La Sua casa madre è una foreign person rispetto ai dati tecnici della Sua filiale statunitense, quindi i disegni, i file derivati e le chiavi restano dentro un confine riservato ai US-person, mentre il testo cifrato, i dati finanziari e la governance lo attraversano liberamente. L'ITAR traccia quel confine, il NIST SP 800-171 lo tiene, e la CMMC Level 2 dimostra che tiene. Costruisca i tre come un solo filo e il valutatore trova i controlli già in funzione, perché sono il modo stesso in cui il lavoro viene svolto. Costruiscali come tre trattative con tre fornitori e scopre quale dei tre era sbagliato al varco, con il contratto sul tavolo. Un solo filo. Due bandiere.