Compliance abhaken: Jetzt mit SECJUR durchstarten und ab Januar 2024 zahlen.
.svg)
.svg)
Zwölf Schritte zum Zertifikat für Zulieferer in Aerospace und Defence. Plus: was der Geheimschutz zusätzlich verlangt und wie ITAR Verschlüsselung bewertet.
In dieser Branche entscheidet Informationssicherheit darüber, ob ein Unternehmen überhaupt zur Wahl steht. Supply-Chain-Audits der OEMs, Exportkontrolle und behördliche Zulassungsverfahren verlangen Nachweise. Wichtig ist dabei eine Unterscheidung, die viel Ärger erspart: was das Zertifikat leistet, und was es ausdrücklich nicht leistet.
Zwei Teile. Der erste sind die Anforderungen der Kapitel 4 bis 10, also das Managementsystem: Kontext, Führung, Planung, Betrieb, Bewertung, Verbesserung. Der zweite ist der Annex A mit 93 Maßnahmen in vier Themen, 37 organisatorischen, 8 personenbezogenen, 14 physischen und 34 technologischen.
Der Zuschnitt ist hier enger als in anderen Branchen, und das ist ein Vorteil. Sicherheitsrelevante Systeme, technische Zeichnungen, Fertigungsparameter und die Schnittstellen zu OEM-Systemen und Behördenportalen gehören hinein, der Rest kann bewusst draußen bleiben. Ein eng geschnittener Geltungsbereich senkt Aufwand und Auditkosten dauerhaft, solange er die Systeme umfasst, in denen die geschützten Daten tatsächlich liegen.
Die staatlichen Zulassungen. Ein Zertifikat belegt ein funktionierendes Managementsystem, ersetzt aber weder die Einstufungspflichten noch behördliche Genehmigungen. Rechtsgrundlage sind das Sicherheitsüberprüfungsgesetz, die Verschlusssachenanweisung und für Unternehmen das Geheimschutzhandbuch, dessen Anlage 4 das VS-NfD-Merkblatt enthält.
Die entscheidende Linie liegt zwischen VS-NfD und VS-VERTRAULICH. Für VS-NfD ist keine formale Sicherheitsüberprüfung nötig. Verlangt sind eine benannte verantwortliche Person, dokumentierte Belehrung und Verpflichtung der Beschäftigten, Zugang nach dem Need-to-know-Prinzip und für die elektronische Verarbeitung freigegebene IT-Systeme. Ab VS-VERTRAULICH beginnt die sicherheitsempfindliche Tätigkeit: Dann braucht es Sicherheitsüberprüfungen des Personals, die Geheimschutzbetreuung durch das Bundeswirtschaftsministerium und einen Sicherheitsbescheid. Der wird nur auf Veranlassung der auftraggebenden Stelle erteilt, eine Bewerbung aus eigenem Antrieb bringt nichts. Und für die elektronische Verarbeitung von Verschlusssachen sind vom BSI zugelassene Produkte einzusetzen, aufgeführt in der BSI-Schrift 7164.
Über die Verschlüsselung, und dieser Punkt ist aktueller als viele Lieferantenvorgaben. Seit dem 25. März 2020 enthält die ITAR eine eigene Regelung: Nach § 120.54 ist das Senden, Mitnehmen oder Speichern technischer Daten kein Export, wenn sie durchgehend Ende-zu-Ende verschlüsselt sind. Verlangt wird ein Verfahren nach FIPS 140-2 oder eine vergleichbare Stärke von mindestens 128 Bit, die Daten müssen zwischen Absender und berechtigtem Empfänger jederzeit verschlüsselt bleiben, und sie dürfen nicht absichtlich in ein Land nach § 126.1 oder in die Russische Föderation gesendet, dort gespeichert oder von dort versendet werden.
Das verändert die Praxis. Ein Zugriff auf die verschlüsselten Daten durch ausländische Personen, etwa beim Cloud-Anbieter, ist damit kein genehmigungspflichtiger Vorgang mehr. Wer nach der Liste ein dokumentiertes Schlüsselmanagement aufbaut, arbeitet also an einer exportkontrollrechtlichen Voraussetzung und nicht nur an einer Maßnahme aus dem Annex A.
In der Luftfahrt zwei, die auf der Verteidigungsseite fehlen. Erstens NIS2: Die Anlage 1 des BSIG nennt im Sektor Transport und Verkehr ausdrücklich Luftfahrtunternehmen für gewerbliche Zwecke, Flughafenleitungsorgane samt Betreibern zugehöriger Anlagen und Anbieter von Flugverkehrsmanagement- und Flugsicherungsdiensten. Anders als etwa Speditionen sind diese Einrichtungsarten also direkt benannt, und wer die Größenschwellen erreicht, ist besonders wichtige Einrichtung.
Zweitens die EASA-Vorgaben zur Informationssicherheit, bekannt als Part-IS. Die Verordnung (EU) 2022/1645 gilt seit dem 16. Oktober 2025, die Verordnung (EU) 2023/203 seit dem 22. Februar 2026. Betroffene Organisationen müssen ein Informationssicherheits-Managementsystem einrichten. Wer ohnehin nach ISO 27001 aufbaut, deckt große Teile davon mit derselben Struktur ab, muss die luftfahrtspezifischen Anforderungen aber ergänzen.
Drei. Erstens die Schlüssel selbst. In der ITAR gelten die Mittel zur Entschlüsselung als eigene Kategorie und sind gesondert kontrolliert. Wer einem ausländischen Administrator den Schlüssel gibt, hat das exportkontrollrechtliche Problem, nicht wer die verschlüsselte Datei überträgt. Das gehört in die Rollen- und Rechtevergabe und nicht nur in die Kryptorichtlinie.
Zweitens der Abhörschutz. Ein Assessment für Besprechungsräume steht in der Liste, und selbst wenn es nicht durchgeführt wird, verlangt die Norm eine begründete Entscheidung in der Erklärung zur Anwendbarkeit. Drittens der Auditzugang: Die Zertifizierungsstelle muss in die Sicherheitszonen hinein. Wo Verschlusssachen verarbeitet werden, ist das nicht selbstverständlich und gehört vorab mit der auftraggebenden Stelle geklärt, sonst verschiebt sich das Stage-2-Audit.
Die Checkliste richtet sich an Geschäftsführungen, Sicherheits- und Exportkontrollverantwortliche sowie IT-Leitungen bei Zulieferern und Dienstleistern der Luft- und Raumfahrt und der Verteidigungsindustrie. Laden Sie sie kostenfrei herunter.
Sprechen Sie mit unseren Expert:innen und erfahren Sie, wie das Digital Compliance Office Ihre Compliance automatisiert.
Gespräch vereinbaren