ISO 27001 in der Verteidigung: Sicherheit als Eintrittskarte

Seit dem 16. Oktober 2025 gilt für Entwicklungs- und Herstellungsbetriebe der zivilen Luftfahrt die EU-Verordnung 2022/1645, seit dem 22. Februar 2026 die Verordnung 2023/203 für Instandhaltungsbetriebe, Luftfahrtunternehmen, Ausbildungsorganisationen und Flugsicherungsdienstleister. Beide verlangen etwas, das es in dieser Branche vorher nicht als Auflage gab: ein Informationssicherheits-Managementsystem, verzahnt mit dem bestehenden Safety Management System.

Warum ist ISO 27001 in der Verteidigung die Eintrittskarte zum Auftrag?

Weil Sicherheit hier nicht nachgewiesen wird, um einen Auftrag besser zu erfüllen, sondern um ihn überhaupt zu bekommen. Für die Bearbeitung von Verschlusssachen braucht ein Unternehmen einen Sicherheitsbescheid des zuständigen Bundesministeriums. Den gibt es nur, wenn die gesetzlichen Vertreter VS-ermächtigt sind, ein geeigneter Sicherheitsbeauftragter samt Vertretung bestellt ist und die erforderlichen materiellen Geheimschutzmaßnahmen tatsächlich umgesetzt wurden. Ohne diesen Bescheid lässt sich ein VS-Auftrag nicht bearbeiten.

Dazu kommt der Nachweis gegenüber Generalunternehmern und der Marktstandard: Die ISO-Survey zählt weltweit 96.709 gültige Zertifikate nach ISO/IEC 27001, rund eine Verdopplung gegenüber dem Vorjahr. Seit dem 31. Oktober 2025 gilt allein die Fassung von 2022.

Wen verpflichtet ISO 27001 in der Verteidigung, und wo greift die Luftfahrtregulierung?

Zu unterscheiden sind drei Ebenen. Auf der Geheimschutzebene entscheidet der Auftrag: Wer Verschlusssachen verarbeitet, braucht den Sicherheitsbescheid und die dazugehörigen personellen Überprüfungen nach dem Sicherheitsüberprüfungsgesetz.

Auf der Luftfahrtebene entscheidet die Organisationsart. Part-IS verlangt von den erfassten Betrieben ein ISMS, das zu Größe, Komplexität und Risikoexposition passt, mit klarer Verantwortungszuordnung, Erkennung und Behandlung von Vorfällen, Meldung bestimmter Vorfälle und Schwachstellen an die Behörde und Bewertung von Risiken aus Dritt- und Lieferbeziehungen. Der Zeitplan ist gestaffelt: Zum Geltungsdatum müssen die Elemente vorhanden und geeignet sein, danach bleiben achtzehn Monate, bis sie auch operativ und wirksam sein müssen.

Auf der NIS2-Ebene entscheidet die Größe. Der Luftverkehr steht im Sektor Transport der besonders wichtigen Einrichtungen, der sonstige Fahrzeugbau als wichtige Einrichtung im verarbeitenden Gewerbe. Und über § 30 BSIG geben betroffene Auftraggeber ihre Lieferkettenpflicht vertraglich weiter.

Welche Risiken adressiert ISO 27001 in der Verteidigung konkret?

Der Angreifer ist hier häufig kein Erpresser, sondern ein Staat. Die Bitkom-Studie „Wirtschaftsschutz 2025“ ist dazu eindeutig: 46 Prozent der betroffenen Unternehmen führen Angriffe nach Russland zurück, ebenso viele nach China, 28 Prozent ordnen Vorfälle ausländischen Nachrichtendiensten zu. Insgesamt bilanziert die Studie 289,2 Milliarden Euro Schaden, 87 Prozent der Unternehmen waren betroffen.

Das verschiebt den Schutzzweck. Es geht weniger um Ausfallzeit als um Vertraulichkeit über Jahrzehnte: Konstruktions-, Test- und Einsatzdaten überdauern Programmlaufzeiten und behalten ihren Wert lange nach Projektende. Dazu kommen Personalrisiken in sicherheitsempfindlichen Bereichen und Zugriffe, die zugleich exportkontrollkonform sein müssen, also nach Nationalität und Berechtigung differenziert. Der Verizon Data Breach Investigations Report 2025 nennt Zugangsdatenmissbrauch mit 22 Prozent und ausgenutzte Schwachstellen mit 20 Prozent als führende Einstiegsvektoren, an 30 Prozent der Datenpannen war ein Dritter beteiligt.

Was leistet ISO 27001 in der Verteidigung zusätzlich für Geheimschutz, TISAX und NIS2?

Ein Fundament, mehrere Anforderungen. Der Annex A der Fassung 2022 stellt 93 Maßnahmen bereit, aus denen risikobasiert ausgewählt wird. Klassifizierung von Informationen, Personalsicherheit, physische Sicherheit, Zugriffskontrolle und Lieferantensteuerung sind genau die Bausteine, die der Geheimschutz materiell verlangt, die Part-IS als ISMS-Elemente fordert und die NIS2 in § 30 BSIG adressiert.

Wer sie einmal in einem Managementsystem führt, kann daraus mehrere Nachweise bedienen, statt für Geheimschutz, Luftfahrtaufsicht, TISAX und NIS2 getrennte Projekte zu fahren. Dass der Aufwand marktüblich ist, zeigt die Budgetseite: Unternehmen stecken laut Bitkom inzwischen 18 Prozent ihres IT-Budgets in Sicherheit, gegenüber 9 Prozent im Jahr 2022.

Wie lange dauert ISO 27001 in der Verteidigung bis zum Zertifikat?

Je nach Reife sind drei bis sechs Monate bis zum Audit realistisch. Das externe Audit läuft in zwei Stufen, Dokumentenprüfung und Wirksamkeitsprüfung, danach folgt das Zertifikat mit drei Jahren Gültigkeit und jährlichen Überwachungsaudits.

Der Geltungsbereich ist hier die entscheidende Vorarbeit. Er sollte die programmkritischen Bereiche umfassen, von Entwicklung und Fertigung über die zugehörigen Prüfmittel bis zu den Systemen, in denen klassifizierte oder exportkontrollierte Informationen liegen. Ein zu weit gefasster Scope verteuert das Audit, ein zu enger trägt den Nachweis gegenüber Auftraggeber und Behörde nicht.

Was steht im Whitepaper?

• Warum Vertraulichkeit in dieser Branche keine Option ist und wie der Takt der Generalunternehmer wirkt
• Fünf Eigenheiten von Luftfahrt- und Verteidigungsbetrieben, vom Umgang mit Verschlusssachen bis zu granularen, exportkonformen Zugriffen
• Fünf Risikoszenarien aus der Praxis, jeweils mit den passenden Maßnahmen aus dem Annex A
• Was die Norm konkret verlangt, von Kontext und Geltungsbereich bis zu Bewertung und Verbesserung
• Eine Roadmap in sechs Schritten mit realistischer Zeitschätzung bis zum Zertifikat
• Wie ein Aufbau die Basis für Geheimschutz, TISAX und NIS2 zugleich legt, mit einem Praxisbeispiel

Das Whitepaper richtet sich an Geschäftsführungen, Sicherheits- und Geheimschutzbeauftragte sowie IT- und Programmverantwortliche bei Luftfahrt- und Verteidigungsunternehmen und deren Zulieferern. Laden Sie es kostenfrei herunter.