Normen & Vorschriften für Zulieferer in der Rüstungsindustrie

Rüstungsnormen: Zivile Standards als Grundlage, VG-Normen als Ausnahme

Bei der Beschaffung von Wehrmaterial setzt Deutschland vor allem auf zivile Normen. Das Bundesamt für Ausrüstung, Informationstechnik und Nutzung der Bundeswehr (BAAINBw) prüft zunächst, ob DIN-, EN- oder ISO-Normen die militärischen Anforderungen abdecken. Nur wenn diese Normen nicht ausreichen, werden wehrtechnische Normen wie Verteidigungsgerätenormen

 (VG-Normen) und Werkstoffleistungsblätter (WLB) für spezielle Bauteile entwickelt. Sobald die militärischen Anforderungen in zivile Normen überführt wurden, werden die entsprechenden VG-Normen wieder zurückgezogen. Dieses Prinzip stellt sicher, dass militärische Beschaffungen möglichst kompatibel mit zivilen Industriestandards bleiben und Synergien genutzt werden können.

Normen erfüllen mehrere Funktionen: Sie legen Anforderungen an Produkte und Prozesse fest, schaffen Kompatibilität im internationalen Verbund und erhöhen die Sicherheit über die gesamte Lebensdauer. Gerade in internationalen Rüstungsprojekten sind NATO-Standardisierungsvereinbarungen (STANAG) entscheidend. Beispiele sind STANAG 2290, welche das Kennzeichnen von Bauteilen mittels DataMatrix-Codes zur eindeutigen Identifizierung regelt, und das Allied Ordnance Publication AOP 2D, das Farben und Markierungen von Munition vereinheitlicht. Auch europäische Luftfahrtstandards wie EN 9132 (AS 9132) für die direkte Teilekennzeichnung spielen bei sicherheitskritischen Komponenten eine Rolle.

Qualitätsmanagement der Rüstung: AQAP und branchenspezifische Normen

Für Zulieferer in der Luft- und Raumfahrt sowie Verteidigungsbranche ist die DIN EN 9100 (AS 9100) international zentral. Sie baut auf der Qualitätsnorm ISO 9001 auf, erweitert diese jedoch um branchenspezifische Anforderungen wie lückenlose Dokumentation, Rückverfolgbarkeit, Prozessstabilität, Konfigurations- und Änderungsmanagement sowie ein ausgeprägtes Risikomanagement. Für Instandhaltungsbetriebe existiert die EN 9110, für Händler und Lagerhalter die EN 9120.

Die wichtigste Grundlage für Qualitätsmanagement in Bundeswehr-Aufträgen sind die Allied Quality Assurance Publications (AQAP) der NATO. Das BAAINBw setzt die Vorgaben aus dem NATO-Qualitätshandbuch bei der Ausrüstung und beim Betrieb von Rüstungsgütern ein. Je nach Risiko und Komplexität des Vorhabens kommen unterschiedliche AQAP-Dokumente zur Anwendung:

• AQAP 2110: Basierend auf ISO 9001 mit NATO-spezifischen Qualitätssicherungsmaßnahmen und Standardanforderung für die meisten Rüstungsgüter.
• AQAP 2131: Regelt besondere Verfahren für Abnahmeprüfungen und Tests.
• AQAP 2105: Beschreibt Anforderungen an einen projektspezifischen Qualitätsplan.
• AQAP 2210: Richtet sich an Softwareentwicklung und ist daher für IT-Systeme und eingebettete Software relevant.
• AQAP 2310: Gilt für komplexe Luft-, Raumfahrt- und Rüstungsprojekte. Basierend auf EN 9100 mit zusätzlichen NATO-Vorgaben.

Die Zertifizierung nach AQAP erfolgt in Deutschland über die Zentralstelle für technische Qualität (ZtQ). Dabei wird geprüft, ob das Unternehmen Vertragsanforderungen umsetzt, Prüf- und Dokumentationsprozesse etabliert hat und wie es Lieferanten steuert. Ein zugelassenes AQAP-Audit erlaubt es Unternehmen, ihre Produkte auch an andere NATO-Staaten zu verkaufen. Der Aufwand ist jedoch erheblich.

Sicherheitsanforderungen und Geheimschutz in der Rüstungsindustrie

Neben technischer Qualität spielt der Schutz von Verschlusssachen eine zentrale Rolle. Das Geheimschutzhandbuch (GHB) des Bundesministeriums für Wirtschaft und Klimaschutz (BMWK) unterscheidet verschiedene Sicherheitsprüfungen (1, 2, 3) für Personen je nach Geheimhaltungsgrad der Daten. Für die Kategorien VS-VERTRAULICH und höher (2, 3) werden erweiterte Sicherheitsprüfungen durchgeführt.

Zulieferer, die an Projekten mit Verschlusssachen beteiligt sind, gelten als VS-Auftragnehmer. Sie müssen vor Vertragsbeginn eine Sicherheitsbescheinigung erhalten, mit der sie nachweisen, dass sie die Anforderungen des Geheimschutzes erfüllen. Der öffentliche Auftraggeber darf VS-Material erst dann an das Unternehmen herausgeben, wenn dieser Nachweis vorliegt.

Das GHB legt weitere Pflichten fest: Dazu gehören die Benennung einer verantwortlichen Person, Schutz der Verschlusssachen, Belegführung in einem VS-Register sowie der Abschluss von Geheimhaltungsverträgen mit Unterauftragnehmern. Verstöße können strafrechtliche Konsequenzen nach sich ziehen. Unternehmen müssen regelmäßig prüfen, ob bestimmte Informationen noch benötigt werden und gegebenenfalls deren Rückgabe oder Vernichtung veranlassen.

Seit September 2023 gilt die Anlage 4 des Geheimschutzhandbuchs – das VSNfD-Merkblatt – für den Umgang mit Verschlusssachen des Geheimhaltungsgrades VS – „Nur für den Dienstgebrauch“ (VS-NfD). Öffentliche Auftraggeber müssen vor Weitergabe von VS-NfD-Material einen Vertrag mit dem Unternehmen schließen, der die Bestimmungen des Merkblatts beinhaltet. Teil 3 des Merkblatts enthält detaillierte IT-Anforderungen für die Verarbeitung von VS-NfD. Unternehmen müssen spätestens bis zum 1. September 2025 eine Selbstakkreditierung durchführen. Dafür erklärt die verantwortliche Person gegenüber der Geschäftsleitung, dass

1. die IT-Anforderungen des Merkblatts umgesetzt wurden,
2. die Einsatz- und Betriebsbedingungen zugelassener IT-Sicherheitsprodukte eingehalten werden,
3. ein Informationssicherheitsmanagementsystem (ISMS) etabliert ist.

Für das ISMS gibt es drei Möglichkeiten: Anwendung der BSI IT-Grundschutz-Standards einschließlich Risikoanalyse, eine ISO 27001-Zertifizierung auf Basis IT-Grundschutz oder eine ISO 27001-Zertifizierung auf anderer Grundlage mit Nachweis eines gleichwertigen Sicherheitsniveaus. Damit werden IT-Sicherheit und Datenschutz für VS-NfD zum verbindlichen Bestandteil der Lieferkette.

Eine unternehmensinterne verantwortliche Person muss alle drei Jahre schriftlich bestätigen, dass die Anforderungen weiter eingehalten werden. Anfang 2025 berichtete ein Cybersecurity-Blog über zielgerichtete Hackerangriffe auf Bundeswehr-Zulieferer mit VS-NfD-Zugang. Unternehmen müssen künftig Sicherheitsaudits, Penetrationstests, erweiterte Mitarbeiterprüfungen und eine enge Zusammenarbeit mit Sicherheitsbehörden einplanen.

Genehmigungspflichten: Kriegswaffenkontrollgesetz und Exportkontrolle

Die Herstellung und der Handel mit Kriegswaffen unterliegen in Deutschland einer strengen Genehmigungspflicht. Nach dem Kriegswaffenkontrollgesetz (KrWaffKontrG) dürfen Waffen, die zur Kriegsführung bestimmt sind, nur mit Genehmigung der Bundesregierung hergestellt, befördert und in Verkehr gebracht werden. Zuständig sind je nach Bestimmungszweck das Bundesministerium für Wirtschaft und Klimaschutz (BMWK), das Bundesministerium der Verteidigung (BMVg) oder das Bundesinnenministerium (BMI).

Das Bundesamt für Wirtschaft und Ausfuhrkontrolle (BAFA) überwacht die Einhaltung der Genehmigungen, zum Beispiel durch Betriebsprüfungen, die das Führen von Kriegswaffenbüchern und Sicherheitsvorkehrungen gegen Verlust oder unbefugte Nutzung umfassen.

Neben Kriegswaffen gibt es Rüstungsgüter und Dual-Use-Güter. Im BAFA-Merkblatt zur Exportkontrolle wird erläutert, dass Ausfuhren grundsätzlich genehmigungspflichtig sind, wenn Güter für militärische Zwecke besonders konstruiert oder verändert wurden. Diese Rüstungsgüter sind im Teil I Abschnitt A der Ausfuhrliste aufgeführt. Für Güter, die sowohl zivil als auch militärisch genutzt werden können (Dual-Use-Güter), ist eine Export- oder Verbringungsgenehmigung erforderlich, sofern sie im Anhang I der EU-Dual-Use-Verordnung oder im Teil I Abschnitt B der deutschen Ausfuhrliste aufgeführt sind. Die Außenwirtschaftsverordnung (AWV) enthält konkrete Verbote und Genehmigungspflichten. Unternehmen sind für die Einhaltung der Exportkontrollvorschriften selbst verantwortlich – Verstöße können zu Bußgeldern oder strafrechtlichen Maßnahmen führen.

Kriegswaffen vs. Zivile Waffen

Kriegswaffen sind Waffen, die speziell für den Einsatz in bewaffneten Konflikten durch Streitkräfte bestimmt und geeignet sind. Dazu zählen beispielsweise Panzer, Kampfjets, Raketen, Sturmgewehre oder schwere Artillerie. Ihr Besitz, ihre Herstellung und ihr Export unterliegen strengen gesetzlichen Regelungen, wie etwa dem deutschen Kriegswaffenkontrollgesetz (KWKG).

Zivile Waffen – etwa Jagd- oder Sportwaffen – sind für den privaten Gebrauch vorgesehen und dürfen nur unter bestimmten Voraussetzungen (z. B. mit Waffenschein) besessen oder genutzt werden. Sie sind in Bau, Wirkung und Einsatzbereich deutlich eingeschränkt und nicht für den militärischen Kampf gedacht.

Vergaberecht: VSVgV und EU-Vergaberichtlinie

Für die Vergabe öffentlicher Aufträge in den Bereichen Verteidigung und Sicherheit gilt seit 2012 die Vergabeverordnung Verteidigung und Sicherheit (VSVgV). Sie setzt die EU-Richtlinie 2009/81/EG in deutsches Recht um und regelt, wie Liefer-, Dienstleistungs- und Bauaufträge im Verteidigungsbereich zu vergeben sind. §1 der VSVgV stellt klar, dass die Verordnung für verteidigungs- oder sicherheitsspezifische öffentliche Aufträge gilt. §2 schreibt vor, dass bei der Vergabe von Liefer- und Dienstleistungsaufträgen die Vorschriften der Verordnung anzuwenden sind.

Die VSVgV ermöglicht es Auftraggebern, neben wirtschaftlichen auch Sicherheits- und Geheimhaltungskriterien zu verlangen. Sie erlaubt die Nutzung des Verhandlungsverfahrens mit Teilnahmewettbewerb und die Einschränkung von Unteraufträgen aus Sicherheitsgründen. Unternehmen müssen auch vergaberechtlich nachweisen, dass sie die Sicherheits- und Geheimschutzanforderungen erfüllen.

Umgang der deutschen Industrie mit dem Regelwerk

Die Einführung neuer Normen und Vorschriften stellt die Industrie vor Herausforderungen, eröffnet aber auch Chancen. Die Bundesvereinigung der Mittelständischen Wirtschaft (BVMW) weist darauf hin, dass lange Vorlaufzeiten, hoher Dokumentationsaufwand und komplexe Normen wie AQAP, ISO 9001 und EN 9100 mittelständische Unternehmen besonders belasten. Dennoch bieten die Modernisierung der Bundeswehr und die Öffnung von Ausschreibungsplattformen attraktive Perspektiven. Der BVMW rät Unternehmen, sich frühzeitig mit den Anforderungen auseinanderzusetzen und einen strukturierten Projektansatz zu wählen.

Typische Einstiegsvoraussetzungen sind ein leistungsfähiges Qualitätsmanagementsystem (ISO 9001), gegebenenfalls eine EN 9100- oder AQAP-Zertifizierung, belastbare Dokumentations- und Rückverfolgbarkeitssysteme sowie Export- und Compliance-Know-how.

Große Rüstungskonzerne wie Rheinmetall, Krauss-Maffei Wegmann oder Airbus Defence verlangen von ihren Zulieferern in der Regel die Einhaltung der branchenspezifischen Normen. Sie geben AQAP-Anforderungen vertraglich an Unterlieferanten weiter und kontrollieren deren Umsetzung. Eine enge Abstimmung mit militärischen Behörden, regelmäßige Audits und der Aufbau von Informationssicherheitsmanagementsystemen sind heute Standard.

Experten betonen, dass ein wirksames Managementsystem Unternehmen dabei unterstützt, AQAP und EN 9100-Anforderungen systematisch zu erfüllen. Gefordert werden durchgängige Nachverfolgbarkeit, systematisches Risikomanagement und Maßnahmen zur Produktsicherheit. Bei Software- und IT-Projekten kommt zusätzlich AQAP 2210 zum Tragen.

Ein wachsendes Thema ist die Cybersecurity in der Lieferkette. Der IT-Angriff auf einen Bundeswehr-Dienstleister im Frühjahr 2025

 und die anschließenden Warnungen des Bundesamts für Sicherheit in der Informationstechnik (BSI) haben die Verwundbarkeit der Lieferkette aufgezeigt. Als Reaktion verstärken Unternehmen ihre IT-Sicherheitsmaßnahmen, führen externe Audits durch und setzen vermehrt auf ISO 27001-zertifizierte Infrastrukturen.

Lukrative Rüstungsprojekte - komplexe Vorschriften

Wer als Zulieferer in der Rüstungsindustrie Fuß fassen will, muss sich auf einen streng regulierten Markt einstellen. Ob Produktnormen, Qualitäts- und Informationssicherheitsstandards, Geheimschutz oder Exportkontrolle – die Anforderungen sind hoch, dienen aber letztlich der Sicherheit von Soldatinnen und Soldaten sowie der Interoperabilität im internationalen Verbund. Die Bundeswehr folgt dabei dem Grundsatz „so viel zivile Norm wie möglich, so viel militärische Norm wie nötig“. Zentrale Dokumente sind die AQAP-Standards, die EN 9100, das VSNfD-Merkblatt und das Kriegswaffenkontrollgesetz.

Unternehmen sollten frühzeitig eine Gap-Analyse durchführen, ein robustes Qualitäts- und Informationssicherheitsmanagement aufbauen und externe Expertise einbinden. Nur wer die komplexen Normen beherrscht, erhält Zugang zu den lukrativen, langfristigen Projekten der Bundeswehr.