Wer das lesen sollte: ein Zulieferer mit irgendeiner Form von Zugang zu einer Bodenstation, einem Missionskontrollnetz, Telemetrie- und Kommandosystemen oder der darauf laufenden Software. Das schließt Unternehmen ein, die nie vor Ort sind und sich nur zur Wartung verbinden.
Einen Satelliten im Orbit anzugreifen ist schwierig. Das Netz anzugreifen, das ihn kommandiert, ist ein gewöhnlicher Einbruch in gewöhnliche Infrastruktur, und der kürzeste Weg dorthin führt häufig über einen Zulieferer mit Fernzugang und schwächeren Kontrollen als der Betreiber. Raumfahrtbetreiber wissen das, weshalb ihre Zugangsprüfung zu den anspruchsvollsten gehört, denen ein kleines Unternehmen begegnet.
Die vier Regime, die einen Raumfahrtzulieferer erreichen, stehen in Raumfahrtzulieferer: die vier Regime, unter denen Sie tatsächlich stehen. Hier geht es um das, welches zuerst und mit Datum kommt: die Prüfung des Betreibers selbst.
Was die Prüfung tatsächlich umfasst
Der Fragebogen variiert. Die zugrunde liegenden Sorgen nicht. In den Prüfungen, die wir sehen, gruppieren sie sich in sechs Bereiche.
Identität und Zugang. Wer genau Zugang hat, namentlich und nicht als Team. Mehrfaktor-Authentifizierung auf jedem Weg hinein, auch auf dem, den Ihre Technikerinnen um zwei Uhr nachts nehmen. Keine geteilten Konten, keine geteilten Zugangsdaten in einem Passwortspeicher namens „ops“. Privilegierter Zugang getrennt vom Alltagszugang. Nachweise zur Behandlung von Ein- und Austritten mit Datum, denn die Frage hinter der Frage lautet, ob jemand, der Ihr Unternehmen im letzten Quartal verlassen hat, deren Systeme noch erreichen kann.
Wie die Verbindung hergestellt wird. Sprungserver oder Bastion statt Direktzugang. Sitzungsprotokollierung, bei privilegierten Arbeiten teils Sitzungsaufzeichnung. Zeitlich begrenzter, angeforderter statt dauerhaft offener Zugang. Ob Ihre Technikerinnen von verwalteten Geräten aus arbeiten oder vom nächstbesten Notebook.
Trennung auf Ihrer Seite. Ob die Umgebung, aus der Sie deren Systeme erreichen, von Ihrem Unternehmensnetz, Ihrer Entwicklungsumgebung und dem allgemeinen Surfen getrennt ist. Ein Betreiber, der Ihrem Arbeitsplatz Zugang gewährt, hat faktisch allem Zugang gewährt, was dieser Arbeitsplatz erreicht.
Die Software, die Sie liefern. Sichere Entwicklung, Abhängigkeitsverwaltung, eine Softwarestückliste, wie und wie schnell Sie patchen, wie Sie über eine Schwachstelle in etwas informieren, das dort bereits läuft. Das ist zunehmend der längste Abschnitt.
Ihre eigene Lieferkette. Welche Unterauftragnehmer diese Arbeit berühren, ob sie Ihren Zugang erben, ob der Betreiber davon erfährt. Nicht offengelegte Unterauftragnehmer mit geerbtem Zugang sind eine wiederkehrende Feststellung und ein schneller Weg, einen Auftrag zu verlieren.
Personen und Jurisdiktion. Sicherheitsüberprüfung für Personal mit privilegiertem Zugang. Wo dieses Personal sitzt, was bei Raumfahrtarbeit zugleich Exportkontrolle und Dual-Use-Fragen berührt, die mit Cybersicherheit nichts zu tun haben, aber im selben Dokument auftauchen.
Wenn Sie ein solches Dokument erhalten und die Hälfte nicht beantworten konnten, hat diese Erfahrung ihren eigenen Beitrag: der Sicherheitsfragebogen, den Sie nicht beantworten können.
Woher die Forderungen des Betreibers stammen
Sie sind nicht erfunden. Drei Quellen speisen sie.
NIS2, heute. Betreiber bodengestützter Infrastruktur im Raumfahrtsektor stehen in Anhang I. Artikel 21 Absatz 2 Buchstabe d verpflichtet sie, Risiken in ihrer eigenen Lieferkette zu steuern, und das ist der Mechanismus, der ihre Pflicht in Ihre Vertragsklausel verwandelt. Buchstabe i betrifft Zugangskontrolle und Verwaltung von Werten, Buchstabe j Mehrfaktor-Authentifizierung und gesicherte Kommunikation. Die vollständige Liste steht in den zehn Maßnahmen aus NIS2 Artikel 21, die Weitergabe in NIS2 Lieferkettensicherheit und Lieferantenrisiko.
Die Weitergabe durch Generalunternehmer oder Agentur. Sicherheitsanforderungen der ESA und der Generalunternehmer sind älter als NIS2 und häufig strenger. Sie kommen als Vertragsbedingungen und nicht als Gesetz, weshalb es weder ein Verhältnismäßigkeitsargument noch eine abzuwartende Umsetzungsverzögerung gibt.
Das EU-Weltraumgesetz, irgendwann. Im Juni 2025 als COM(2025) 335 vorgeschlagen, widmet es der Cyberresilienz bodengestützter Infrastruktur ein umfangreiches Kapitel. Wie vorgeschlagen: Risikomanagement über den gesamten Lebenszyklus, Identifizierung kritischer Werte einschließlich Bodenstationen, Kommando- und Kontrollmitteln und Telemetrie, fortlaufende Anomalieüberwachung mit Verschlüsselung und Schlüsselverwaltung, bedrohungsgeleitete Penetrationstests vor dem Start und danach in Abständen von höchstens drei Jahren, sowie Lieferkettenpflichten mit vertraglichen Informationssicherheitsanforderungen an Hersteller und Dienstleister.
Wo das Weltraumgesetz 2026 steht
Genauigkeit lohnt sich hier, denn der Zeitplan wird falsch wiedergegeben, und das ändert, was jetzt zu tun ist.
Die drei Organe sind sich in der grundlegendsten Frage uneins: wie sich der Rechtsakt zu NIS2 verhält.
- Die Kommission schlug ihn als Lex specialis vor: Raumfahrtbetreiber, die nach NIS2 wesentliche oder wichtige Einrichtungen sind, würden die Anforderungen des Weltraumgesetzes statt der allgemeinen NIS2-Pflichten anwenden.
- Der Rat geht in seinem Kompromisstext vom Dezember 2025 den umgekehrten Weg: Große Raumfahrtbetreiber würden den nach NIS2 Artikel 21 Absatz 5 erlassenen Durchführungsrechtsakten folgen, während die harmonisierten Anforderungen des Weltraumgesetzes kleineren und nicht in der Union ansässigen Betreibern vorbehalten blieben.
- Der Berichtsentwurf des Parlaments vom März 2026 lehnt ein eigenes Regime ab und schlägt vor, Raumfahrttätigkeiten unmittelbar in den Anwendungsbereich von NIS2 aufzunehmen.
Der Trilog ist nicht abgeschlossen. Eine Annahme ist realistisch nicht vor Ende 2027 zu erwarten, mit gestaffeltem Inkrafttreten und Anwendung danach, und der Ratstext sieht Übergangsfristen von bis zu acht Jahren vor. Die vorgeschlagenen Meldefristen, oft pauschal mit zwölf Stunden wiedergegeben, sind genauer: zwölf Stunden Frühwarnung bei Werten im Eigentum der Union, vierundzwanzig Stunden bei sonstigen erheblichen Vorfällen, ein ausführlicherer Bericht nach zweiundsiebzig Stunden und ein Abschlussbericht binnen eines Monats. Zum Vergleich dient der NIS2-Meldezeitplan, der tatsächlich gilt.
Die praktische Lesart für einen Zulieferer ist einfach. Nicht das Weltraumgesetz wird Sie in diesem Jahrzehnt verpflichten. Der Kundenvertrag tut es, und er tut es bereits. Bauen Sie für den Vertrag, dann kommt die Regulierung als Formalie.
Die Lücke zwischen Fragebogen und Audit
Ein Schritt wird von den meisten Zulieferern nicht erwartet. Sobald es um dauerhaften Zugang zu operativen Systemen geht, ist der Fragebogen der Filter, nicht die Ziellinie.
Betreiber schieben zunehmend Nachweisanforderungen nach, ein technisches Gespräch, mitunter einen Vor-Ort-Besuch, und bei dauerhaftem Zugang ein vertraglich verankertes Auditrecht. Dann treffen selbsterklärte Antworten auf die Wirklichkeit. Die üblichen Fehler sind nicht exotisch: eine Zugangsliste, die nicht zu den tatsächlichen Kontoinhabern passt, MFA im Unternehmensverzeichnis vorhanden, aber auf einem alten Sprungserver umgangen, ein Austrittsprozess, der die Mailbox sperrt, aber nicht das VPN-Zertifikat, ein Unterauftragnehmer, den niemand erwähnt hat.
Das sind Abgleichsfehler und keine Fähigkeitsfehler, was eine nützliche Erkenntnis ist, denn Abgleich lässt sich in Wochen beheben.
Was zu bauen ist, in dieser Reihenfolge
Für einen Zulieferer mit dreißig bis hundert Beschäftigten die Abfolge, die die meisten Prüfungen besteht:
- Eine zutreffende Liste, wer worauf Zugang hat, abgeglichen mit Personalstamm und Verträgen. Alles andere hängt daran, dass sie stimmt.
- MFA auf jedem Weg in Kundenumgebungen, ohne Ausnahme und ohne Altumgehung.
- Eine getrennte Umgebung für Kundenarbeit, und sei es nur eine kleine Zahl verwalteter Geräte und ein Sprungserver.
- Ein- und Austritte mit Datum und Nachweis, denn das ist die am häufigsten geprüfte und am häufigsten verfehlte Maßnahme.
- Protokollierung privilegierter Sitzungen, lange genug aufbewahrt, um eine Frage zum letzten Quartal zu beantworten.
- Eine Zusage zur Schwachstellenmeldung, die Sie halten können, mit benannter Kontaktstelle und angegebener Frist.
- Eine schriftliche Liste der Unterauftragnehmer mit Zugang, offengelegt statt entdeckt.
Nichts davon verlangt ein Sicherheitsteam. Alles davon verlangt eine verantwortliche Person, und darum geht es in wer verantwortet die Sicherheit, wenn niemand sie verantwortet.
Die technische Realität: Zugang wird einer Identität gewährt und auf einer Tabelle entzogen
Hier der Fehler, der tatsächlich Vorfälle verursacht, und es ist keine fehlende Maßnahme.
Zugang wird präzise gewährt. Eine Person wird benannt, ein Konto angelegt, ein Zertifikat ausgestellt, ein Eintrag in einer Liste gesetzt. Der Entzug läuft über Erinnerung und guten Willen. Jemand geht, jemand wechselt die Rolle, ein Projekt endet, ein Unterauftragnehmer wird abgezogen, und das Konto bleibt bestehen, weil kein Prozess das geschäftliche Ereignis mit dem technischen verbindet.
Deshalb ist der Lieferantenzugang der Weg, der er ist. Die Kontrollen des Betreibers sind meist solide. Die Liste des Zulieferers, wer noch Zugang hat, ist meist falsch, und niemand bemerkt es vor einem Audit oder einem Einbruch. Ein Fragebogen kann das nicht erkennen, weil er fragt, ob Sie einen Austrittsprozess haben, und Sie wahrheitsgemäß mit Ja antworten.
Die Lücke zu schließen heißt, die Zugangsliste aus Systemen zu erzeugen statt von Hand zu pflegen, laufend gegen Personalstamm und Vertragsenden abzugleichen, mit verwaisten und toten Konten als Feststellung statt als jährliche Entdeckung. Dasselbe Prinzip wie bei Nachweisen, die sich selbst zusammensetzen: Was erzeugt wird, bleibt wahr, was gepflegt wird, driftet.
Wenn Sie diesen Abgleich gemessen haben wollen, bevor ein Betreiber ihn für Sie vornimmt, setzt ein unabhängiges Sicherheitsaudit genau dort an, und die Seite zum Raumfahrtsektor zeigt, wie die Pflichten durchgängig zusammenhängen.
