TAA- und NDAA-Konformität erklärt – Was bedeutet das für Ihre Teltonika-Implementierung?

Die Beschaffungsrichtlinien des Bundes für Netzwerkgeräte wurden in den letzten Jahren deutlich verschärft. Zwei Verordnungen legen fest, was in einem Bundesnetzwerk eingesetzt werden darf und was nicht: Abschnitt 889 des National Defense Authorization Act (NDAA) und das Handelsabkommensgesetz (Trade Agreements Act).

Die erste Bestimmung verbietet Ausrüstung bestimmter chinesischer Hersteller. Die zweite regelt den Herstellungsort der Produkte. Verstöße gegen eine der beiden Bestimmungen können zum Ausschluss vom Vertrag, zu Kosten für den Ersatz der Ausrüstung oder zur Rückforderung von Fördermitteln führen – allesamt Probleme, die sich nach der Inbetriebnahme nur schwer beheben lassen.

Dieser Leitfaden erläutert die Anforderungen beider Verordnungen, ihre Unterschiede und Überschneidungen. Er beschreibt außerdem, wie Teltonika-Netzwerkgeräte diesen Anforderungen entsprechen und welche Dokumentation Beschaffungsteams vor der endgültigen Implementierung anfordern sollten.

WAS IST NDAA-KONFORMITÄT?

Das John S. McCain National Defense Authorization Act für das Haushaltsjahr 2019 wurde am 13. August 2018 unterzeichnet und trat damit in Kraft. Abschnitt 889 Dieses Gesetz führte zu einer erheblichen Einschränkung bei der Beschaffung von Telekommunikationsausrüstung durch Bundesbehörden und ihre Partner.

Abschnitt 889 verbietet insbesondere Bundesbehörden, ihren Auftragnehmern und Empfängern von Bundeszuschüssen oder -darlehen die Beschaffung oder Nutzung von „Telekommunikations- und Videoüberwachungsgeräten oder -diensten“ von fünf namentlich genannten chinesischen Unternehmen, sofern diese Geräte „ein wesentlicher oder unverzichtbarer Bestandteil eines Systems oder eine kritische Technologie als Teil eines Systems“ darstellen.

Folgende Händler sind von der Sperrung ausgeschlossen:

• Huawei Technologies Company – Telekommunikationsausrüstung

• ZTE Corporation – Telekommunikationsausrüstung

• Hytera Communications Corporation – Videoüberwachung und Telekommunikation

• Hangzhou Hikvision Digital Technology Company – Videoüberwachung und Telekommunikation

• Dahua Technology Company – Videoüberwachung und Telekommunikation

  
  

Das Gesetz besteht aus zwei Teilen. Paragraph 889(a)(1)(A) verbietet es Behörden, Ausrüstung direkt von diesen Anbietern zu beziehen. Paragraph 889(a)(1)(B) weitet dieses Verbot auf Auftragnehmer und Empfänger von Zuschüssen oder Darlehen aus – das bedeutet, dass auch private Organisationen, die Bundesmittel erhalten, die Bestimmungen einhalten müssen.

Dies ist kein freiwilliger Standard und keine Vergabepräferenz. Es handelt sich um eine gesetzliche Vorgabe. Die Nichteinhaltung kann zur Kündigung des Vertrags, zum Ausschluss von der öffentlichen Auftragsvergabe und in manchen Fällen zur Rückzahlung von Bundesmitteln führen.

WAS IST TAA-KONFORMITÄT?

Der Trade Agreements Act (TAA) ist ein US-Bundesgesetz, das regelt, wo Produkte, die an die Bundesregierung verkauft werden, hergestellt werden dürfen. Produkte, die im Rahmen der Verträge der General Services Administration (GSA) und der meisten anderen Bundesverträge beschafft werden, müssen entweder in den Vereinigten Staaten hergestellt oder in einem vom TAA festgelegten Land „wesentlich verarbeitet“ werden.

Wesentliche Umwandlung ist ein Rechtsstandard: Ein Produkt gilt in einem Land als wesentlich umgewandelt, wenn es dort einer grundlegenden Veränderung unterzogen wird, die einen neuen und anderen Artikel mit eigener Bezeichnung, eigenem Charakter und eigener Verwendungsmöglichkeit schafft. Die bloße Montage importierter Komponenten genügt nicht.

Zu den TAA-Ländern gehören die meisten EU-Staaten sowie Kanada, Australien, Japan, Südkorea und eine Reihe weiterer Länder, die durch US-Handelsabkommen in die Liste aufgenommen wurden. China, Russland, Indien und Malaysia – Länder mit bedeutender Elektronikfertigung – zählen hingegen nicht zu den TAA-Ländern.

Die Einhaltung der TAA-Bestimmungen ist in erster Linie relevant für:

• Direkte Beschaffung durch die US-Regierung über GSA-Verträge

• Bundesverträge, die die Einhaltung der FAR (Federal Acquisition Regulation) erfordern

• Verträge zwischen Bundesstaaten und Kommunen, die Bundesmittel beinhalten

  
  

Anders als beim NDAA geht es beim TAA um die Herkunft – nicht um die Marke. Ein Produkt kann unabhängig vom Hersteller und dessen Herkunftsland als nicht TAA-konform gelten, wenn es dort hergestellt wird, selbst wenn der Hersteller auf einer Verbotsliste steht.

NDAA vs. TAA – WICHTIGSTE UNTERSCHIEDE

Beide Regelungen gelten für die Beschaffung von Netzwerk- und Telekommunikationsausrüstung durch die Bundesregierung, decken jedoch unterschiedliche Risiken ab und stellen unterschiedliche Anforderungen. Beschaffungsteams müssen häufig beide gleichzeitig erfüllen.

Die beiden Regelungen überschneiden sich in der Praxis erheblich. Ein in China hergestelltes Gerät würde beide nicht erfüllen – es würde höchstwahrscheinlich Komponenten von verbotenen Herstellern enthalten (NDAA) und wäre gemäß den Ursprungslandvorschriften (TAA) nicht zulässig.

WARUM NETZWERKAUSRÜSTUNG EINE PRIORITÄT IN DER KONFORMITÄTSBEWERTUNG IST

Router, Mobilfunk-Gateways und andere IoT-Geräte nehmen eine sensible Position in der Netzwerkarchitektur ein. Sie befinden sich am Rand der Infrastruktur, leiten den Datenverkehr, übernehmen die Authentifizierung und übertragen in vielen Installationen Betriebsdaten oder sensible Daten zurück an zentrale Systeme.

Genau deshalb konzentriert sich Abschnitt 889 auf Telekommunikationsgeräte und nicht etwa auf Büromöbel. Ein kompromittierter Router kann Datenverkehr abfangen, Hintertüren öffnen oder Daten exfiltrieren, ohne dass ein sichtbarer Einbruch erkennbar ist. Der NDAA 2019 wurde unter Berücksichtigung dieses Bedrohungsmodells entworfen – es geht nicht nur um Markentreue, sondern auch um eingebettete Firmware, nicht offengelegte Fernzugriffsfunktionen und die Integrität der Lieferkette.

Insbesondere bei industriellen IoT-Implementierungen ist das Risiko deutlich höher. Mobilfunkrouter in kritischen Infrastrukturen, Versorgungsunternehmen, Transportnetzen oder Netzen der öffentlichen Sicherheit stellen besonders wertvolle Angriffsziele dar. Ein einziges nicht konformes Gerät in einem staatlich finanzierten Netzwerk kann zu einer Haftung für die gesamte Implementierung führen.

TELTONIKAS POSITION ZUR EINHALTUNG VON NDAA UND TAA

Teltonika ist ein litauischer Hersteller von industriellen Netzwerkgeräten. Die Produkte werden in Litauen, einem EU-Mitgliedstaat und einem TAA-zertifizierten Land, entwickelt.

Teltonika hat offiziell bestätigt, dass seine Geräte den Bestimmungen der Abschnitte 889(a)(1)(A) und 889(a)(1)(B) des NDAA entsprechen und keine Telekommunikationsausrüstung oder -dienste von Huawei, ZTE, Hytera, Hikvision oder Dahua enthalten. Diese Aussage wird durch detaillierte Dokumentationen der einzelnen Komponenten belegt, die Kunden auf Anfrage zur Verfügung gestellt werden.

Wichtige Fakten zur Einhaltung der Vorschriften:

• Status der gemäß NDAA verbotenen Komponenten : Keine in der Liste der deklarierten Produkte vorhanden.

• Geltungsbereich : Abschnitte 889(a)(1)(A) und 889(a)(1)(B)

• Dokumentation : Verfügbar über das Teltonika Networks Wiki ; Konformitätsnachweise werden auf Anfrage bereitgestellt.

  
  

Für Organisationen, die an Bundesaufträgen oder bundesfinanzierter Infrastruktur arbeiten, sind die Geräte von Teltonika aufgrund ihrer EU-Herkunft und der Transparenz ihrer Komponenten eine praktikable Option, wenn sowohl die Einhaltung des TAA als auch des NDAA erforderlich ist.

WELCHE TELTONIKA-PRODUKTE SIND TAA- UND NDAA-KONFORM?

Die NDAA-konforme Produktliste von Teltonika umfasst das Kernportfolio im Bereich industrieller Netzwerktechnik, darunter Router und Mobilfunk-Gateways aus litauischer Entwicklung. Die vollständige und aktuelle Liste der konformen Geräte mit Modellnummern und vollständiger Dokumentation finden Sie auf der Teltonika-NDAA-Konformitätsseite .

Die Einhaltung der Vorschriften beginnt bei der Beschaffung.

Die Einhaltung der NDAA- und TAA-Vorschriften kann nach Abschluss eines Einsatzes nicht mehr geändert werden. Die Überprüfung der Geräteberechtigung muss vor der Auftragserteilung erfolgen, nicht erst nach einer Vertragsprüfung. Für Beschaffungsteams und Systemintegratoren, die an Bundesprojekten oder Projekten mit Bundesförderung arbeiten, bedeutet dies die Bestätigung des Herkunftslandes, die Anforderung von Erklärungen gemäß Abschnitt 889 und den Abgleich der Gerätemodelle mit veröffentlichten Konformitätslisten.

Teltonika-Geräte sind so konzipiert, dass sie diese Anforderungen erfüllen. Die Dokumentation ist vorhanden, die Konformitätserklärungen decken beide Teile von Abschnitt 889 ab, und das Team unterstützt Sie gerne bei projektspezifischen Anfragen. Wenn Sie eine Implementierung planen, die eine verifizierte Konformität erfordert, wenden Sie sich bitte an uns. Eine frühzeitige Einbindung in den Beschaffungsprozess spart später viel Zeit.