Defence & Security

VS-NfD (Verschlusssache – Nur für den Dienstgebrauch) ist die niedrigste deutsche Geheimhaltungsstufe nach Sicherheitsüberprüfungsgesetz (SÜG). Unternehmen, die VS-NfD-Aufträge für Bundeswehr oder Behörden ausführen, benötigen eine Sicherheitsbescheinigung beim BMWK und IT-Systeme mit BSI-Zulassung für VS-NfD. Das betrifft u. a. Kommunikations-, Dokumenten- und Entwicklungsumgebungen.

ITAR (International Traffic in Arms Regulations) regelt in den USA den Export militärischer Güter und Technologien nach der US Munitions List. EAR (Export Administration Regulations) gilt für Dual-Use-Güter und bestimmte kommerzielle Güter. Beide Regime haben extraterritoriale Wirkung: Deutsche Unternehmen mit US-Bauteilen oder Daten aus den USA müssen bei Re-Export US-Genehmigungen einholen – oft aufwendiger als die deutsche Ausfuhrkontrolle.

In der deutschen und europäischen Rüstungsindustrie dominieren SAP S/4HANA (mit Aerospace & Defense-Branchenlösung und GTS für Exportkontrolle), IFS Cloud (stark im MRO- und Projektgeschäft), Infor LN (Projekt-Fertigung) und spezialisierte Lösungen wie Ramco Aviation. Entscheidungskriterien: Konfigurations-Management, Projekt-Abwicklung, Exportkontrolle, AS9100/AQAP-Unterstützung.

Exportkontroll-Software (GTM – Global Trade Management) automatisiert: Sanktionslisten-Screening (EU-Konsolidierte Liste, OFAC SDN, UN, länderspezifische Listen), Produkt-Klassifizierung nach Ausfuhrliste/Dual-Use-Verordnung (Exportzollkennnummer), Genehmigungsmanagement (BAFA-Anträge, Sammelgenehmigungen, AGG), Endverbleibs-Dokumente. Marktführer: SAP GTS, Descartes MK, AEB ASSIST4, Amber Road.

TISAX (Trusted Information Security Assessment Exchange) ist der ISMS-Standard des VDA, der in der deutschen Automotive-Lieferkette Pflicht ist. Auch Defence-Zulieferer, die an Automotive-Kunden liefern (z. B. mit Dual-Use-Komponenten), stoßen darauf. Je nach Schutzbedarf in Level 2 (Standard) oder Level 3 (High-Prototype, hochsensitive Daten). Assessment durch akkreditierte Auditoren (z. B. TÜV, DNV).

Eingeschränkt. Für nicht-klassifizierte Daten sind EU-gehostete Clouds von Anbietern mit deutscher/europäischer Tochter möglich (Microsoft EU Data Boundary, SAP Sovereign Cloud). Für VS-NfD ist ein BSI-zugelassenes System erforderlich – die meisten öffentlichen Hyperscaler-Clouds sind nicht VS-NfD-fähig. Für höhere VS-Stufen (VS-Vertraulich, Geheim) sind ausschließlich zertifizierte On-Premise-Systeme zulässig. C5-Testate genügen nicht automatisch.