Regulamento Federal de Aquisição: Informação Não Classificada Controlada

Registro Federal, Volume 90 Edição 9 (Quarta-feira, Janeiro) 15, 2025 ). [Volume do Registo Federal 90, Número 9 (Quarta-feira, Janeiro) 15, 2025 )] [Regras propostas] [Páginas 4278 - 4317 ] Do Registo Federal Online via o Escritório de Publicações do Governo [ www.gpo.gov ] [FR Doc No: 2024 - 30437 ] Departamento de Defesa. Administração de Serviços Gerais.

Administração Nacional de Aeronáutica e Espaço. ----------------------------------------------------------------------- 48 Peças CFR 1, 2, 3, et al.

Regulamento Federal de Aquisição: Informação Não Classificada Controlada; Regra Proposta. Registo Federal / Vol. 90 Não. 9 / Quarta-feira, janeiro 15, 2025 / Regras propostas -----------------------------------------------------------------------. DEPARTAMENTO DE DEFENSA.

ADMINISTRAÇÃO GERAL DE SERVIÇOS. AERONAUTICAS E ADMINISTRAÇÃO ESPAÇAL NACIONAIS 48 Peças CFR 1, 2, 3, 4, 5, 7, 9, 11, 12, 15, 27, 33, 42, 52, e 53.

[Caso FAR 2017 - 016, Docket Não. 2017 - 0016, Sequência n.o. 1 ] RIN 9000 - AN 56 Regulamento Federal de Aquisição: Informação Não Classificada Controlada. AGÊNCIA: Departamento de Defesa (DoD), Administração de Serviços Gerais (GSA) e Administração Nacional de Aeronáutica e Espacial (NASA).

ACÇÃO: Regra proposta. -----------------------------------------------------------------------. SUMARIO: DoD, GSA e NASA estão propondo alterar o Regulamento Federal de Aquisições (FAR) para implementar o Programa de Informação Controlada Não Classificada da Administração Nacional de Arquivos e Registros, promulgado sob uma Ordem Executiva intitulada Informação Controlada Não Classificada.

DATAS: As partes interessadas devem enviar comentários escritos à Divisão do Secretariado Regulatório no endereço abaixo ou antes de março 17, 2025 a ser considerado na formação da regra final. ADRESSÁRIOS: Enviar comentários em resposta ao caso FAR 2017 - 016 para o portal Federal de eRulemaking em procurando por ``FAR Case 2017 - 016 ''. Selecione o link ``Comentário Agora'' que corresponde com ``Caso FAR' 2017 - 016 ''. Siga as instruções fornecidas na tela ``Comment Now''. Por favor, inclua seu nome, nome da empresa (se existir), e ``FAR Case 2017 - 016 '' no seu documento anexo. Se o seu comentário não puder ser enviado usando ligue ou envie um e- mail para os pontos de contato na seção PARA OUTRAS INFORMAÇÕES CONTACTO deste documento para instruções alternativas. Instruções: Envie apenas comentários e cite ``FAR Case 2017 - 016 '' em toda correspondência relacionada com este caso. Os comentários públicos podem ser enviados como um indivíduo, como uma organização ou anônimamente (veja perguntas frequentes em ). Os comentários enviados em resposta a esta regra serão disponibilizados ao público e estão sujeitos à divulgação ao abrigo da Lei da Liberdade de Informação. Por este motivo, por favor não inclua em seus comentários informações de natureza confidencial, como informações pessoais confidenciais ou informações de propriedade, ou quaisquer informações que você não desejaria divulgar publicamente, a menos que você siga as instruções abaixo para comentários confidenciais. As informações sumárias dos comentários públicos recebidos, incluindo quaisquer comentários específicos, serão publicadas no Todos os arquivos que usam o portal devem usar o nome da pessoa ou entidade que envia comentários como nome dos seus arquivos, de acordo com as instruções abaixo. Qualquer pessoa que envie informações confidenciais/ de propriedade de negócios deve identificar claramente qualquer parte de confidencialidade/ propriedade de negócios no momento da submissão, apresentar uma declaração justificando a não divulgação e referindo a autoridade jurídica específica reivindicada, e fornecer uma versão não confidencial/ não- proprietária da submissão. Qualquer informação confidencial de negócios deve estar em um arquivo carregado que tenha um nome de arquivo começando com os caracteres ``BC''' Qualquer página que contenha informações confidenciais de negócios deve estar claramente marcada ``BUSINESS CONFIDENTIAL/ PROPRIETARY'' no topo dessa página. A versão não confidencial/não- proprietária correspondente desses comentários deve ser claramente marcada ``PUBLIC''' O nome do arquivo da versão não confidencial deve começar com o caracter ``P''' O ``BC'' e ``P''' devem ser seguidos pelo nome da pessoa ou entidade que envia os comentários ou comentários de refutação. Todos os arquivos devem nomear seus arquivos usando o nome da pessoa ou entidade que envia os comentários. Qualquer submissão com nomes de arquivos que não comecem com um ``BC'' será supostamente pública e será disponibilizada publicamente através do Para confirmar a recepção do( s) comentário( s), verifique aproximadamente dois a três dias após a submissão para verificar a publicação.

PARA OUTRAS INFORMAÇÕES CONTACTO: Para esclarecimento do conteúdo, entre em contato com Mr. Michael O. Jackson, Analista de Procures, no 202 - 821 - 9776 ou por e- mail em [email protected]. Para obter informações relativas ao estado, horários de publicação ou instruções alternativas para enviar comentários se não puder ser usado, entre em contato com a Divisão de Secretariado Regulamentar no site 202 - 501 - 4755 ou [email protected]. Por favor, citar o caso FAR 2017 - 016. INFORMAÇÃO COMPLEMENTAR. Hoje, os sistemas de informação e de informação federais são cada vez mais alvos de ataques sofisticados por criminosos e nossos adversários, bem como sujeitos a riscos envolvendo ameaças não- adversárias (por exemplo, uso indevido acidental de informação). Ordem Executiva (E.O.) 13556, Informações Não Classificadas Controladas, estabeleceu o Programa de Informação Não Classificada Controlada (CUI) para gerenciar informações que requerem controle de salvaguarda ou divulgação e designou a Administração Nacional de Arquivos e Registros (NARA) como agente executivo do Programa CUI. A NARA publicou uma regra final em setembro 14, 2016 ( 81 FR 63324 ) para implementar os requisitos de CUI de E.O. 13556. Como parte da implementação da regra final do NARA, o NARA mantém um registro ( ) de informações não classificadas que requerem controle de salvaguarda ou difusão. O Registro CUI da NARA identifica o agrupamento do índice organizacional e as categorias de informações relacionadas e especifica como as informações devem ser marcadas e disseminadas, entre outras ações que devem ser tomadas. A regra da NARA codificou políticas e procedimentos uniformes para marcar, salvaguardar, divulgar, descontrolar e eliminar a CUI para as agências da sucursal executiva federal no 32 Parte CFR 2002. Estas políticas também afetam os contratantes que são esperados para coletar, desenvolver, receber, transmitir, usar, manipular ou armazenar CUI durante o desempenho do contrato. Para aplicar as políticas aos contratantes, o Programa CUI deve ser incorporado no processo de aquisição, especificamente, quando as agências definem seus requisitos, emitem solicitações e adjudicam contratos. Para isso, os papéis e responsabilidades do Governo e do contratante para salvaguardar, usar, marcar, divulgar e descontrolar a CUI que reside em sistemas de informação federais e não federais devem ser identificados. O DoD implementou os requisitos do Programa CUI dentro da cláusula no Suplemento do Regulamento Federal de Aquisição da Defesa (DFARS) 252.204 - 7012, Protegendo Informações de Defesa Cobertas e Relatórios de Incidentes Cibernéticos. O DoD também propôs a alteração do DFARS para incorporar requisitos contratuais associados ao programa de Certificação do Modelo de Maturidade de Segurança Cibernética (CMMC) para verificar a implementação do contratante de controles de segurança através de uma regra proposta publicada no Registo Federal em Agosto 15, 2024, em 89 FR 66327. Separadamente, o programa CMMC foi estabelecido no Título 32 do Código de Regulamentação Federal através de uma regra final publicada no.

Registo Federal em outubro 15, 2024, em 89 FR 83092. DoD, GSA e NASA estão propondo rever o FAR para implementar a regra final da NARA sobre o Programa Federal de CUI, pois se relaciona com o desempenho sob contratos federais. Os requisitos do Ato de Privacidade na parte FAR 24 não são alterados por esta regra. DoD, GSA e NASA propõem criar um mecanismo comum, o Formulário Padrão XXX, Requisitos de Informação Não Classificada Controlada (CUI), para habilitar um processo uniforme para comunicar os contratantes de informação deve gerenciar e salvaguardar, bem como identificar onde um incidente de CUI deve ser reportado e quando há requisitos de reporte de incidentes de CUI que diferem ou estão além daqueles na cláusula no FAR 52.204 -XX( g). Atualmente, as leis, os regulamentos federais e as políticas em todo o governo já obrigam essas proteçãos, mas não há uma forma padrão de identificar e compartilhar esses requisitos com os contratantes. Esta regra proposta é apenas um elemento de uma estratégia maior para melhorar os esforços do Governo para identificar, desencorajar, proteger, detectar e responder a criminosos e adversários cada vez mais sofisticados que visam sistemas de informação e informação federais.

II. Discussão e Análise. A regra proposta introduz um novo formulário padrão (SF) para suportar a uniformidade na implementação dessas políticas em todo o governo. Ele identifica papéis e responsabilidades para agências e empreiteiros quando a informação não classificada (CUI) controlada está localizada em sistemas de informação federais dentro de uma instalação federal ou reside ou transita através de sistemas de informação de empreiteiros ou dentro de instalações de empreiteiros, e adiciona duas novas cláusulas e uma disposição para habilitar a responsabilidade de relatório de empreiteiros e de conformidade em solicitações e contratos federais. A regra proposta é destinada a fornecer o seguinte: ( 1 ) SF XXX, Requisitos de Informação Não Classificada (CUI) Controlada, foi desenvolvido para promover a consistência, ajudar as agências e os contratantes federais na identificação de CUI nos requisitos das agências, e definir uniformemente todos os requisitos de manuseio associados de acordo com 32 Parte CFR 2002. O SF XXX será incluído em solicitações e contratos que podem resultar no manuseamento de CUI que se tornarão requisitos de desempenho durante o desempenho do contrato. ( 2 ) FAR 2.101 definições para ``Informação de atribuição do contratante'' ``Informação não classificada controlada (CUI),'``Incidente CUI''' e ``Registro CUI'' são adicionadas para fornecer esclarecimentos, uma vez que estes termos são novos para o FAR. A definição de ``sistema de informação'' é movida da subparte FAR 4.19 para 2.101. O termo ``Sistema de informação controlado federalmente'' é atualizado para ``Sistema de informação federal'' ( 3 ) FAR 3.104 - 4 é emendado para esclarecer que certas informações devem ser marcadas pelo empreiteiro antes de enviá- las ao Governo (informação de licitação ou proposta do contratante, informação de atribuição do empreiteiro, informação de negócio proprietária do empreiteiro e informação de seleção de fonte). Os funcionários contratados devem consultar o contratante se não estão seguros se a informação fornecida pelo contratante cai em uma dessas categorias. Os funcionários contratados que não estão seguros de como lidar com tais informações, incluindo se são CUI, devem consultar os funcionários da agência, conforme necessário. ( 4 ) Subparte FAR 4.4 O título da subparte é revisto para ler "`Sistemas de Informação e Proteção de Segurança'' desde a informação referida na subparte 4.4 não se limita a informações classificadas e agora inclui CUI. Seção 4.401 é emendado para adicionar uma definição para ``informação'' que foi movida e revista da definição atualmente em FAR 4.1901. No FAR 4.403 e 4.404, o conteúdo atual é movido para FAR 4.402. FAR 4.403 é substituído por um novo conteúdo que fornece instruções sobre a implementação do Programa CUI. A linguagem adicionada identifica o papel do oficial de contratação na recepção e incorporação do SF XXX nas solicitações e contratos e as responsabilidades do oficial de contratação durante a administração do contrato. Uma nova provisão no FAR 52.204 - WW, Notificação de Requisitos de Informação Não Classificada Controlada, e novas cláusulas no FAR 52.204 -XX, Informações Não Classificadas Controladas, e 52.204 - YY, Identificando e reportando informações que são potencialmente controladas Informações Não Classificadas, também são prescritas. As alterações para FAR 4.403 incluir o seguinte: [ssquf] FAR existente 4.403 foi renumerado como FAR 4.402 - 2. [squf] A cláusula no FAR 4.404 foi movido para um novo FAR 4.402 - 3. [squf] FAR 4.403 - 1 adiciona definições para ``CUI Basic''````Categorias CUI''```CUI Especificed''``` Handling''```Propósito legal do Governo''````Controlo de disseminação limitado''' e ```em nome de uma agência''' [ssquf] FAR 4.403 - 2 fornece informações sobre E. O. 13556 incluindo que o E.O. estabelece o NARA como o agente executivo do Programa CUI. [ssquf] FAR 4.403 - 3 dá a aplicabilidade do SF XXX e das novas cláusulas FAR 52.204 -XX e 52.204 - YY. [squf] FAR 4.403 - 4 delineia a política de CUI e exige que CUI envolvida na execução de um contrato seja identificado em um SF XXX e incorporado no contrato. CUI não marcado ou mal marcado não é considerado um incidente de CUI a menos que a marcação errada ou a falta de marcação tenha resultado na manipulação errada ou disseminação inadequada da informação. Os oferentes são solicitados e os contratantes são obrigados a notificar o Governo dentro de um 8 tempo de tempo da hora se eles descobrirem ou suspeitarem informações é CUI, mas que CUI não está listado em um SF XXX ou não está marcado ou corretamente marcado. [ssquf] FAR 4.403 - 5 adiciona o uso do SF XXX. O próprio SF XXX tem instruções detalhadas. [ssquf] FAR 4.403 - 6 fornece que o ponto de contato da agência a quem o contratante reporta um incidente é encontrado no SF XXX na Seção IV da Parte C. Quando o SF XXX não é usado em um contrato, o ponto de contato é identificado em FAR 52.204 - YY( b). FAR 4.403 - 6 explica que o SF XXX deve listar quaisquer requisitos especiais de notificação de incidentes para CUI Especificado. FAR 4.403 - 6 também adiciona que o oficial de contratação deve fornecer instruções ao contratante para a apresentação das imagens do sistema, de acordo com.