Compliance abhaken: Jetzt mit SECJUR durchstarten und ab Januar 2024 zahlen.
.svg)
.svg)
NIS2, Geheimschutz und Exportkontrolle greifen in Luftfahrt und Verteidigung ineinander. Das Whitepaper zeigt die Pflichten und wie ein ISMS alle drei trägt.
In dieser Branche ist NIS2 das jüngste von mehreren Regelwerken und nicht das strengste. Neben dem BSIG stehen der Geheimschutz und die Exportkontrolle, jeweils mit eigener Behörde und eigener Logik. Wer sie getrennt bearbeitet, baut dieselbe Zugriffskontrolle mehrfach.
Zwei Wege, und sie führen in verschiedene Einstufungen. Der Luftverkehr steht in der Anlage 1 des BSIG, mit Luftfahrtunternehmen nach Artikel 3 Nummer 4 der Verordnung (EG) Nr. 300/2008, mit Flughafenleitungsorganen und Flughäfen sowie mit den Anbietern von Flugverkehrsmanagement und Flugsicherungsdiensten. Weil es die Anlage 1 ist, ist der Aufstieg zur besonders wichtigen Einrichtung möglich.
Die Aerospace- und Verteidigungsindustrie kommt dagegen über das verarbeitende Gewerbe, also über die Anlage 2. Deren Nummer 5 knüpft an die Wirtschaftszweigklassifikation an, und Luft- und Raumfahrzeugbau sowie militärische Fahrzeuge liegen im sonstigen Fahrzeugbau, Abteilung 30 der NACE Rev. 2. Die Folge geht oft unter: § 28 Absatz 1 Nummer 4 BSIG lässt den Aufstieg nur für Einrichtungsarten der Anlage 1 zu. Ein Zulieferer bleibt deshalb wichtige Einrichtung, unabhängig von seiner Größe, und für ihn gilt der Rahmen von 7 Millionen Euro oder 1,4 Prozent statt der viel zitierten 10 Millionen. Ein Konzern mit eigener Airline und eigener Fertigung hat zwei Einrichtungen in zwei Stufen.
Bis zu vier, und jede prüft etwas anderes. Das BSI nimmt die Registrierung nach § 33 BSIG und die Vorfallmeldung nach § 32 BSIG ab und beurteilt die Maßnahmen nach § 30 BSIG. Für den Geheimschutz in der Wirtschaft ist das Bundesministerium für Wirtschaft und Energie zuständig. Die Exportkontrolle liegt beim BAFA.
Dazu kommt in der Luftfahrt eine vierte: Entwicklungs- und Herstellungsbetriebe sowie Flughafenbetreiber unterliegen Part-IS, also der Verordnung (EU) 2022/1645, anwendbar seit dem 16. Oktober 2025. Verlangt wird ein eigenes Managementsystem für Informationssicherheit samt internem und externem Meldesystem. Beaufsichtigt wird das von der Luftfahrtbehörde. Vier Aufsichten heißen nicht vier Managementsysteme, sondern vier Nachweisformate aus einem System. Das gelingt nur, wenn der Geltungsbereich von Anfang an alle vier Gegenstände umfasst.
Dinge, die ein Zertifikat nicht liefert. Für die Bearbeitung von Verschlusssachen des Grades VS-nur für den Dienstgebrauch wird das entsprechende Merkblatt als Anlage 4 des Geheimschutzhandbuchs vertraglich eingebunden. Verlangt sind eine benannte verantwortliche Person mit Berichtsweg zur Leitung, eine dokumentierte Unterweisung und schriftliche Verpflichtung der Beschäftigten, das Need-to-know-Prinzip und für die elektronische Verarbeitung eine freigegebene IT mit Produkten aus der Liste der zugelassenen IT-Sicherheitsprodukte des BSI.
Zwei Präzisierungen lohnen sich. Die formelle Geheimschutzbetreuung greift erst ab dem Grad VS-VERTRAULICH und auf Veranlassung des Auftraggebers, ein reiner Auftrag auf VS-nur für den Dienstgebrauch löst sie nicht aus. Und die personellen Sicherheitsüberprüfungen nach dem Sicherheitsüberprüfungsgesetz, an denen Verfassungsschutz und militärischer Abschirmdienst mitwirken, hängen an den höheren Graden. Wichtig für die Planung: Ein ISMS nach ISO 27001 und ein TISAX-Label tragen die Struktur, ersetzen aber weder die Verpflichtung der Beschäftigten noch die Zulassung der eingesetzten Produkte.
Weil die Exportkontrolle den Zugriff selbst als Ausfuhr behandelt. Artikel 2 Nummer 2 der Verordnung (EU) 2021/821 zählt zur Ausfuhr auch die Übertragung von Software oder Technologie mittels elektronischer Medien nach einem Bestimmungsziel außerhalb des Zollgebiets der Union sowie das Bereitstellen solcher Software oder Technologie in elektronischer Form für Personen außerhalb dieses Zollgebiets. Erfasst ist auch die mündliche Weitergabe von Technologie über ein Sprachübertragungsmedium.
Übersetzt heißt das: Ein Konstruktionsdatensatz, auf den ein Kollege oder ein Administrator außerhalb der EU zugreifen kann, ist potenziell eine genehmigungspflichtige Ausfuhr, auch wenn die Datei den Server nie verlässt. Eine Videokonferenz über technische Details kann es ebenso sein, und Artikel 2 Nummer 9 erfasst technische Unterstützung einschließlich Anleitung, Beratung, Schulung und Weitergabe von Kenntnissen, auch auf elektronischem Weg. Das Berechtigungskonzept ist damit der gemeinsame Steuerungspunkt: Wer Rollen, Standorte und Zugriffe je Programm nachvollziehbar führt, erfüllt die Zugriffskontrolle des § 30 BSIG und die Exportkontrolle mit derselben Arbeit.
Drei. Erstens Support und Fernwartung durch Konzerngesellschaften oder Anbieter außerhalb der EU. Das ist der Punkt, an dem alle Regelwerke gleichzeitig greifen, und er steht selten im Vertrag.
Zweitens die Meldewege. Neben der Frühwarnung binnen 24 Stunden nach § 32 BSIG greifen Geheimschutz- und Programmmeldewege mit anderen Empfängern. Die Meldung an das BSI darf dabei nichts enthalten, was sie nicht enthalten darf, und diese Abwägung gehört vor den Vorfall. Drittens die Informationsklassifizierung. Ohne sie lassen sich weder Need-to-know noch Exportkontrolle durchsetzen, und sie fehlt am häufigsten, obwohl sie alles andere trägt.
Das Whitepaper richtet sich an Geschäftsführungen, IT- und Programmverantwortliche sowie Sicherheits- und Exportkontrollverantwortliche in Luftfahrt, Verteidigung und Aerospace, bei Systemhäusern und bei Zulieferern der Generalunternehmer. Laden Sie es kostenfrei herunter.
Sprechen Sie mit unseren Expert:innen und erfahren Sie, wie das Digital Compliance Office Ihre Compliance automatisiert.
Gespräch vereinbaren