Conformité à l'ITAR : de quoi s'agit-il, à qui s'applique-t-elle et quelles sont les obligations des équipes informatiques ?

Selon le rapport Kaseya « State of the MSP » 2026, la conformité réglementaire et les obligations de déclaration figurent parmi les dix principaux besoins des clients des MSP en 2026, et pour ceux du secteur de la défense, la conformité à l'ITAR est une exigence incontournable. Téléchargez le rapport complet.

L'ITAR (International Traffic in Arms Regulations), ou règlement sur le commerce international des armes, est le cadre américain de contrôle des exportations régissant les articles de défense, les services de défense et les données techniques associées figurant sur la liste des munitions des États-Unis (USML). Pour les équipes informatiques et les fournisseurs de services gérés (MSP), la conformité à l'ITAR s'applique dès lors qu'ils traitent des données techniques ou fournissent des services entrant dans son champ d'application, et les conséquences d'un manquement à cette réglementation sont graves.

Contrairement à la plupart des cadres de conformité, où les sanctions sont d'ordre financier, les violations de l'ITAR peuvent entraîner des poursuites pénales, l'exclusion des marchés publics et engager la responsabilité personnelle des employés. Il est essentiel de déterminer si l'ITAR s'applique et de comprendre ses exigences avant d'accepter toute mission dans le secteur de la défense. Les outils de conformité de Kaseya permettent aux MSP (fournisseurs de services gérés) qui travaillent pour des sous-traitants du secteur de la défense et des clients liés à l'administration fédérale de gérer la conformité à plusieurs cadres réglementaires.

Gérer la conformité aux réglementations fédérales pour les clients du secteur de la défense

Compliance Manager GRC couvre le CMMC et les cadres réglementaires fédéraux associés, aidant ainsi les prestataires de services gérés (MSP) au service des sous-traitants du secteur de la défense à s'y retrouver parmi les exigences de conformité imposées simultanément par l'ITAR et le CMMC.

Découvrir Compliance Manager GRC

Qu'est-ce que l'ITAR ?

L'ITAR est géré par la Direction du contrôle du commerce des équipements de défense (DDTC) du Département d'État américain. Il met en œuvre la loi sur le contrôle des exportations d'armes (Arms Export Control Act), qui réglemente l'exportation et l'importation de matériels et de services liés à la défense afin d'empêcher que des technologies militaires sensibles ne tombent entre les mains d'adversaires.

Ce règlement régit les produits figurant sur la liste des matériels de guerre des États-Unis (USML), qui comprend les systèmes d’armement, l’électronique militaire, les engins spatiaux, les matières nucléaires, ainsi que les données techniques et les services de défense liés à ces produits. L’USML comporte 21 catégories, et de nombreux produits qui ne sont pas manifestement des « armes » relèvent de son champ d’application, notamment les simulateurs d’entraînement, certains logiciels à applications militaires et les données techniques relatives aux produits soumis à contrôle.

L'USML a été révisé en septembre 2025 : certains éléments, jugés désormais insuffisamment sensibles pour justifier un contrôle, ont été supprimés, tandis que d'autres ont été ajoutés. Les organisations qui avaient précédemment estimé que l'ITAR ne s'appliquait pas à leurs activités devraient réexaminer cette évaluation si elles opèrent dans les secteurs de l'aérospatiale, des technologies spatiales ou des technologies émergentes concernés par cette révision.

L'ITAR se distingue des EAR (Export Administration Regulations), gérées par le ministère du Commerce, mais y est liée ; ces dernières régissent les biens à double usage, c'est-à-dire les produits commerciaux pouvant avoir des applications militaires. Les biens qui ne figurent pas sur l'USML mais qui relèvent du contrôle des exportations peuvent, à la place, être soumis aux EAR.

À qui s'applique l'ITAR ?

L'ITAR s'applique aux personnes américaines, aux citoyens américains, aux résidents permanents et aux entités constituées aux États-Unis qui fabriquent, exportent, importent à titre temporaire ou font le courtage d'articles ou de services liés à la défense.

Le terme « exportation », tel qu'il est défini dans l'ITAR, a une signification technique plus large que ce que la plupart des gens imaginent :

• La transmission de données techniques à un ressortissant étranger se trouvant sur le territoire des États-Unis est considérée comme une « exportation présumée », assimilée à une exportation vers son pays d'origine.
• Autoriser l'accès à des données techniques soumises aux dispositions de l'ITAR depuis l'extérieur des États-Unis, y compris via un service de stockage dans le cloud accessible depuis l'étranger, constitue une exportation
• Le transfert de données techniques soumises aux dispositions de l'ITAR à une entité étrangère, ou le fait de permettre à des ressortissants étrangers d'y accéder, nécessite une autorisation.

Les exigences de l'ITAR s'appliquent également à l'ensemble de la chaîne d'approvisionnement. Les sous-traitants, les fournisseurs d'outils et les prestataires de services qui reçoivent, traitent ou stockent des données soumises à l'ITAR doivent eux-mêmes veiller à leur conformité. Un MSP qui accepte une mission pour le compte d'un sous-traitant du secteur de la défense n'hérite pas seulement des obligations de conformité de son client : il en assume également les siennes.

Pour les équipes informatiques et les prestataires de services gérés (MSP), cela signifie que toute mission impliquant des données techniques soumises à l'ITAR nécessite de connaître la nationalité de l'ensemble du personnel y ayant accès, l'emplacement de chaque système sur lequel ces données sont stockées ou accessibles, ainsi que les autorisations d'exportation applicables.

Qu'est-ce qui est considéré comme une donnée technique soumise aux dispositions de l'ITAR ?

Au sens de l'ITAR, on entend par « données techniques » les informations nécessaires à la conception, au développement, à la production, à la fabrication, à l'assemblage, à l'exploitation, à la réparation, aux essais, à la maintenance ou à la modification de produits liés à la défense. Cela comprend notamment :

• Dessins techniques, cahiers des charges et documents de conception
• Logiciels directement liés au matériel géré par USML
• Procédés de fabrication des produits relevant de l'USML
• Spécifications techniques et données d'essai relatives aux équipements de défense

Toutes les données techniques provenant des sous-traitants du secteur de la défense ne sont pas soumises aux restrictions de l'ITAR. La question essentielle est de savoir si ces informations sont nécessaires au développement, à la production ou à l'exploitation d'un produit figurant sur la liste USML. Les entreprises soumises à l'ITAR doivent disposer d'un programme officiel de contrôle technologique (TCP) qui identifie les données soumises aux restrictions de l'ITAR au sein de leur environnement.

Une équipe informatique ou un prestataire de services gérés (MSP) qui ne parvient pas à obtenir des précisions à ce sujet de la part d’un client du secteur de la défense n’est pas en mesure d’accepter cette mission en toute sécurité. Avant d’accepter toute mission impliquant des systèmes du secteur de la défense, il convient d’obtenir une confirmation écrite précisant quelles données sont classifiées comme soumises aux règles ITAR et quel est le champ d’application de l’accord de confidentialité (TCP) du client.

Le concept d'exportation, et pourquoi les systèmes informatiques sont concernés

Le concept d'« exportation présumée » représente le principal défi en matière de conformité informatique. Un système stockant des données techniques soumises à la réglementation ITAR pourrait être considéré comme une exportation si :

• Le système est accessible depuis l'étranger, y compris via le stockage dans le cloud, sans aucune restriction géographique.
• Un ressortissant étranger a accès au système ou à ses données, y compris les administrateurs informatiques
• Le système est géré ou accessible à distance depuis un lieu situé à l'étranger

En ce qui concerne plus particulièrement le stockage dans le cloud, le DDTC a clairement indiqué que le stockage de données soumises à l’ITAR sur une infrastructure cloud accessible depuis des sites étrangers ou exploitée depuis ces derniers nécessite une autorisation d’exportation, ou l’utilisation d’une infrastructure cloud spécialement conçue pour la conformité à l’ITAR. Cela implique une résidence des données exclusivement aux États-Unis, des restrictions d’accès réservées aux personnes américaines, ainsi que des contrôles contractuels et techniques appropriés. Les offres cloud commerciales standard d’AWS, de Microsoft 365 et de Google Workspace ne répondent généralement pas à ces exigences sans configuration spécifique. Des environnements spécialement conçus, tels qu’AWS GovCloud et Microsoft Azure Government, sont destinés aux charges de travail éligibles à l’ITAR.

Une nouvelle préoccupation spécifique à l'IA et aux outils de collaboration fait également son apparition. Lorsque des contenus soumis aux restrictions de l'ITAR sont traités par des plateformes d'IA, rédigés dans des outils de collaboration ou transmis via des espaces de travail partagés, chacun de ces flux constitue un cas d'exportation potentiel si une personne étrangère peut accéder à l'outil ou si les données transitent par une infrastructure étrangère.

Pour les MSP, les implications sont directes. Si un MSP fournit des services informatiques à un sous-traitant du secteur de la défense traitant des données soumises à l’ITAR, et que ses techniciens comptent des ressortissants étrangers parmi leurs rangs, ou encore s’il utilise des outils bénéficiant d’une assistance à l’étranger ou d’un accès à distance, il risque de commettre des infractions aux règles d’exportation, tant pour le compte de son client que pour son propre compte.

Exigences de l'ITAR concernant les systèmes informatiques et les prestataires de services gérés (MSP)

Il n'existe pas de liste de contrôle technique unique relative à l'ITAR comparable à celles du PCI DSS ou de la loi HIPAA. La conformité à l'ITAR dans le domaine informatique consiste principalement à contrôler l'accès aux données techniques afin qu'elles ne parviennent pas à des personnes ou à des sites étrangers sans autorisation appropriée.

Localisation des données. Les données techniques soumises aux dispositions de l'ITAR doivent être stockées sur des systèmes situés physiquement aux États-Unis et ne doivent pas être accessibles depuis l'extérieur des États-Unis sans autorisation d'exportation.

Contrôle d'accès en fonction de la nationalité. L'accès aux données soumises à l'ITAR doit être limité aux ressortissants américains. Les ressortissants étrangers, y compris le personnel informatique, les sous-traitants et tout administrateur système, ne doivent pas avoir accès aux systèmes ou aux données relevant de l'ITAR sans disposer d'une licence d'exportation spécifique ou d'une dérogation applicable.

Infrastructure cloud exclusivement située aux États-Unis. Le stockage dans le cloud de données soumises à l'ITAR nécessite que les données soient hébergées exclusivement aux États-Unis et que l'accès y soit contrôlé par des personnes américaines. Les principaux fournisseurs de services cloud proposent des configurations conformes à l'ITAR via leurs offres cloud destinées au secteur public. Les offres commerciales standard ne répondent généralement pas aux exigences de l'ITAR.

Contrôles d'accès à distance. L'accès à distance aux systèmes relevant de l'ITAR doit être limité aux ressortissants américains se connectant depuis le territoire des États-Unis. Les solutions VPN ou d'accès à distance permettant des connexions depuis n'importe quel endroit ne sont pas adaptées aux systèmes relevant de l'ITAR sans contrôles supplémentaires.

Contrôles des sous-traitants et de la chaîne d'approvisionnement. Les prestataires de services gérés (MSP) qui ont accès à des données relevant de l'ITAR doivent s'assurer que leurs propres sous-traitants et fournisseurs d'outils contrôlent également l'accès de manière appropriée. Un MSP qui recourt à un service détenu par une société étrangère ou employant du personnel étranger pour toute fonction en rapport avec des clients relevant du champ d'application de l'ITAR peut se rendre coupable d'infractions, quelle que soit son intention.

Programme de contrôle technologique (TCP). Les directives du DDTC et les pratiques du secteur exigent la mise en place d'un TCP documenté : un ensemble de politiques et de procédures décrivant comment les données soumises aux restrictions de l'ITAR sont identifiées, stockées, consultées et protégées. Pour les équipes informatiques et les prestataires de services gérés (MSP) opérant dans ce domaine, le TCP constitue l'équivalent, en matière de gouvernance, d'un programme de sécurité HIPAA ou d'un plan de sécurité des systèmes CMMC.

Lien avec le CMMC. La plupart des organisations qui traitent des données soumises à l’ITAR sont également concernées par les missions du ministère de la Défense, ce qui signifie que les obligations liées à l’ITAR recoupent les exigences de la certification CMMC (Cybersecurity Maturity Model Certification). Les données techniques soumises à l’ITAR sont généralement considérées comme des informations non classifiées mais contrôlées (CUI), ce qui entraîne l’application des exigences du niveau 2 du CMMC. Les fournisseurs de services gérés (MSP) qui accompagnent des sous-traitants du secteur de la défense doivent considérer l’ITAR et le CMMC comme un programme de conformité combiné, et non comme des axes de travail distincts.

Conséquences du non-respect des obligations

Les infractions à l'ITAR sont considérées comme des délits fédéraux graves. Les mesures de contrôle se sont durcies ces dernières années.

Sanctions civiles. À compter de janvier 2025, la sanction civile maximale s'élèvera à 1 271 078 dollars par infraction, ou au double de la valeur de la transaction, le montant le plus élevé étant retenu. Chaque divulgation ou exportation non autorisée constitue une infraction distincte, et le montant total des sanctions peut augmenter rapidement en cas de non-conformité répétée.

Sanctions pénales. Jusqu'à 1 million de dollars par infraction et jusqu'à 20 ans d'emprisonnement en cas d'infractions commises délibérément. Les poursuites pénales nécessitent la preuve d'une intention délibérée ou d'une connaissance des faits, ce qui constitue un seuil plus élevé que celui requis dans le cadre d'une procédure civile.

Exclusion. Les organisations reconnues coupables d'avoir enfreint l'ITAR peuvent être exclues des marchés publics américains, ce qui met effectivement fin à leur éligibilité aux contrats fédéraux. Le rétablissement des privilèges d'exportation n'est pas automatique et nécessite une demande officielle adressée au Département d'État.

Les mesures de contrôle se renforcent. En octobre 2024, RTX (anciennement Raytheon) a accepté de verser plus de 950 millions de dollars pour mettre fin à des enquêtes portant notamment sur des violations de l’ITAR et de la loi sur le contrôle des exportations d’armes (Arms Export Control Act) ; il s’agit du plus important accord à l’amiable jamais enregistré en lien avec l’ITAR. Cette affaire a réaffirmé que les contrôles sont actifs, que les sanctions sont sévères et que les conséquences vont bien au-delà de l’amende immédiate, puisqu’elles incluent un contrôle obligatoire de la conformité ainsi qu’une atteinte à la réputation.

Déclaration volontaire. Le DDTC met en œuvre un programme de déclaration volontaire qui se traduit généralement par une réduction des sanctions pour les organisations qui signalent elles-mêmes leurs infractions. La déclaration volontaire est généralement préférable à l'attente d'une mesure coercitive et devrait constituer la première démarche à entreprendre lorsqu'une infraction potentielle est identifiée.

Liste de contrôle pratique pour la conformité à l'ITAR

À l'attention des équipes informatiques et des prestataires de services gérés (MSP) chargés d'évaluer ou de gérer des missions relevant du champ d'application de l'ITAR :

• Vérifier auprès du client quelles données sont soumises aux dispositions de l'ITAR et examiner son programme de contrôle technologique
• Vérifier que l'ensemble du personnel et des prestataires ayant accès à des systèmes relevant de l'ITAR sont des ressortissants américains
• Vérifier que le stockage dans le cloud utilisé pour les données soumises à l'ITAR est hébergé exclusivement aux États-Unis et qu'il est soumis à des contrôles d'accès réservés aux personnes américaines.
• Limiter l'accès à distance aux systèmes relevant de l'ITAR aux ressortissants américains se connectant depuis le territoire américain
• Examiner tous les fournisseurs d'outils et sous-traitants afin d'évaluer les risques liés à l'accès de personnes étrangères
• Évaluer les outils d'IA et de collaboration afin d'identifier les risques d'exposition des données au titre de l'ITAR
• Mettre en place des garanties contractuelles appropriées pour répondre aux obligations découlant de l'ITAR
• Consigner toutes les mesures de conformité à des fins d'audit
• Déterminer si les obligations liées au CMMC recoupent le champ d'application de l'ITAR et les gérer dans le cadre d'un programme combiné

Compliance Manager GRC La solution de Kaseya prend en charge la gestion de la conformité à plusieurs référentiels, notamment le CMMC et les référentiels liés au gouvernement fédéral qui recoupent les obligations de l'ITAR.

Points clés à retenir

• L'ITAR réglemente l'exportation de matériel de défense et de données techniques. Le concept d'« exportation présumée » signifie que le fait pour un ressortissant étranger d'accéder à des données soumises à l'ITAR sur le territoire américain est assimilé à une exportation vers son pays d'origine.
• Le stockage dans le cloud de données soumises à la réglementation ITAR nécessite que les données soient hébergées exclusivement aux États-Unis et que l'accès y soit contrôlé par des personnes américaines. Les offres cloud commerciales standard ne répondent généralement pas à ces critères.
• Les prestataires de services informatiques (MSP) fournissant des services informatiques à des sous-traitants du secteur de la défense assument leurs propres obligations au titre de l'ITAR si leur personnel comprend des ressortissants étrangers ayant accès à des systèmes relevant de l'ITAR, ou si leurs outils permettent un accès depuis l'étranger.
• Le montant actuel de l'amende administrative s'élève à 1 271 078 dollars par infraction (à compter de janvier 2025). Les sanctions pénales peuvent aller jusqu'à 1 million de dollars par infraction et 20 ans d'emprisonnement. L'exclusion des marchés publics constitue une sanction distincte.
• Pour la plupart des sous-traitants du secteur de la défense, les obligations liées à l'ITAR et au CMMC se recoupent. Il convient de les considérer comme un programme de conformité unique.