Wer das lesen sollte: ein Zulieferer mit zwanzig bis zweihundert Beschäftigten, der gerade einen Vertragsentwurf von einem Hauptauftragnehmer, einem Satellitenbetreiber oder einer Agentur erhalten hat, mit einem Sicherheitsanhang und einem Unterschriftstermin in zwei Wochen.
Fragebogen und Anhang sind zwei verschiedene Instrumente und werden ständig verwechselt. Ein Fragebogen ist ein Filter: er entscheidet, ob Sie weiterkommen. Der Anhang ist ein Vertrag: er entscheidet, wofür Sie danach haften. Zulieferer verbringen Wochen mit dem Fragebogen und unterschreiben den Anhang in der Annahme, er sage dasselbe.
Das tut er nicht. Der Fragebogen fragt, ob Sie eine Maßnahme haben. Der Anhang regelt, was passiert, wenn nicht, und hängt eine Uhr, ein Auditrecht und einen Kündigungsgrund daran. Die Erfahrung, das erste Dokument nicht beantworten zu können, behandelt der Sicherheitsfragebogen, den Sie nicht beantworten können. Hier geht es um das zweite.
Warum der Anhang länger geworden ist
Zwei Dinge haben sich geändert, und beide schieben Pflichten die Kette hinunter.
Unter NIS2 ist Lieferkettensicherheit nicht optional. Die Durchführungsverordnung (EU) 2024/2690 legt in Punkt 5 ihres Anhangs fest, dass eine Einrichtung eine Lieferkettensicherheitspolitik für die Beziehungen zu direkten Lieferanten betreibt: Auswahlkriterien, vertragliche Anforderungen und ein gepflegtes Verzeichnis der Lieferanten, das über die Dauer der Beziehung überwacht wird. Der Technical Implementation Guidance der ENISA vom 26. Juni 2025 gliedert das in die Sicherheitsanforderungen auf, die ein Vertrag tragen soll, und sie lesen sich fast wie der Anhang, den Sie gerade erhalten haben: Zusagen zu Vertraulichkeit, Integrität und Verfügbarkeit, Vorfallsmeldung, Audit- und Prüfrechte, Offenlegung und Behandlung von Schwachstellen sowie Verfahren zur Beendigung.
Im Raumfahrtbereich kommt eine zweite Quelle hinzu. Der Vorschlag der Kommission für ein EU-Weltraumgesetz vom Juni 2025 verortet die Lieferkettenpflichten in Artikel 92 und Anhang VII Punkt 6: Betreiber müssen vertragliche Informationssicherheitsanforderungen für Hersteller und Dienstleister aufnehmen, Lieferkettenrisiken senken und kritische Werte nicht-europäischen Ursprungs inventarisieren. Rat und Parlament sind uneins, ob es ein eigenes Regime oder eine Eingliederung in NIS2 sein soll, der Trilog ist nicht abgeschlossen, also bindet Sie davon noch nichts. Kommerziell ändert das nichts. Ihr Kunde formuliert für das Regime, das er erwartet, nicht für das geltende, und die vier Regime, unter denen ein Raumfahrtzulieferer heute steht, sind in Raumfahrtzulieferer und die vier Regime kartiert.
Klausel eins: Einhaltung einer benannten Norm, oder gleichwertig
Die Klausel nennt ISO 27001, eine Branchennorm oder NIST und ergänzt „oder gleichwertig“. An diesem Wort entspannen sich Zulieferer, zu Unrecht.
Gleichwertig heißt: der Kunde entscheidet später, meist während eines Audits, ob das, was Sie haben, gleichwertig ist. Ein nicht zertifizierter Zulieferer kann das erfüllen, aber nur, wenn er Kontrollset und Nachweise auf Anforderung zeigen kann. Mit Zertifikat endet das Gespräch; ohne wird es jedes Mal zur Vorführung.
Was es kostet: nichts bei der Unterschrift, viel bei der Erfüllung ohne Zertifikat. Das ist die Klausel, die zur jährlichen Arbeitslast wird.
Klausel zwei: Vorfallsmeldung binnen fester Frist
Meist vierundzwanzig Stunden ab Kenntnis, manchmal zwölf, gelegentlich vier für alles, was die Umgebung des Kunden berührt. Zunehmend definiert die Klausel den Vorfall weit genug, um einen vermuteten und nicht nur einen bestätigten Kompromiss einzuschließen.
Zwei Fallen. Erstens startet die Uhr mit der Kenntnis, und Kenntnis hängt an einer Erkennung, die Sie vielleicht nicht haben. Zweitens verlangen die meisten Anhänge die Meldung von Vorfällen im eigenen Bestand, auch wenn die Systeme des Kunden unberührt bleiben, eine deutlich weitere Pflicht als angenommen. Die regulatorischen Uhren, die diese Klauseln spiegeln, stehen in den NIS2-Meldefristen für Vorfälle.
Was es kostet: einen benannten, erreichbaren Kontakt, einen schriftlichen internen Auslöser dafür, was zählt, und eine Protokollierung mit einer Aufbewahrung, die die Fragen nach der Meldung beantworten kann. Eine Zwölf-Stunden-Uhr ist bedeutungslos, wenn die Protokolle nach sieben Tagen verfallen.
Klausel drei: Audit- und Inspektionsrechte
Der Kunde behält sich vor, Sie mit Vorlauf zu auditieren, manchmal mit einem Dritten, manchmal vor Ort. Manche Anhänge erstrecken das auf Ihre Unterauftragnehmer.
Die meisten Hauptauftragnehmer üben es nie aus. Die, die es tun, tun es nach einem Vorfall anderswo in ihrer Lieferkette, weshalb das Audit zum schlechtesten Zeitpunkt und mit kurzer Frist kommt.
Was es kostet: die Fähigkeit, Nachweise innerhalb der genannten Frist zu liefern. Sind es zehn Werktage und Ihre Nachweise brauchen drei Wochen, verletzen Sie eine Klausel, die Sie für erfüllt hielten.
Klausel vier: Schwachstellenoffenlegung und Korrekturzusagen
Die Pflicht, Schwachstellenmeldungen anzunehmen, einen Weg für Forschende oder den Kunden bereitzuhalten, und innerhalb genannter Fristen je Schweregrad zu beheben. Kritisch in sieben Tagen ist üblich, hoch in dreißig.
Die Frist läuft ab Offenlegung, nicht ab Ihrer Kenntnisnahme. Wer nicht verfolgt, was er betreibt, weiß nicht, ob die Uhr läuft.
Was es kostet: einen veröffentlichten Kontakt, eine verantwortliche Triage und ein Abhängigkeitsinventar für alles, was Sie ausliefern.
Klausel fünf: Personalüberprüfung und namentlicher Zugang
Zuverlässigkeitsprüfungen auf genanntem Niveau, bei manchen Programmen Anforderungen an Staatsangehörigkeit oder Wohnsitz, und eine namentliche Liste der Zugangsberechtigten statt einer Kopfzahl. Änderungen sind zu melden und teils zu genehmigen.
Was es kostet: eine Zugangsliste, die stimmt. Das ist die am häufigsten gerissene Klausel, und das Versagen ist strukturell und nicht fahrlässig, denn Zugang wird präzise gewährt und aus dem Gedächtnis entzogen. Was ein Betreiber prüft und wie die Liste getestet wird, steht in Zugang zum Bodensegment und was Betreiber prüfen.
Klausel sechs: Weitergabe an und Offenlegung von Unterauftragnehmern
Sie müssen gleichwertige Bedingungen an jeden weitergeben, den Sie einsetzen, diese vorab offenlegen und oft eine schriftliche Zustimmung einholen, bevor Sie einen hinzunehmen. Manche Anhänge geben dem Kunden ein Vetorecht.
Lesen Sie diese genau, denn „Unterauftragnehmer“ ist häufig so formuliert, dass Cloud- und SaaS-Anbieter darunterfallen. Ein Zulieferer, der seinen Hoster, seinen CI-Dienst und sein Ticketsystem nicht gelistet hat, ist bei Unterschrift bereits im Verzug. Die Käufersicht auf dieselbe Pflicht, von der Ihr Kunde ausgeht, steht in Lieferkettensicherheit und Lieferantenrisiko nach NIS2.
Was es kostet: ein gepflegtes Lieferantenregister mit Sicherheitsbedingungen und Prüfterminen, das Sie ohnehin brauchten.
Klausel sieben: Datenstandort, Souveränität und Exportkontrolle
Wo Daten gespeichert und verarbeitet werden dürfen, welche Jurisdiktionen ausgeschlossen sind, und wer von wo zugreifen darf. Bei Verteidigungs- und institutionellen Programmen erstreckt sich das auf Exportkontrollklassifizierungen und die Staatsangehörigkeit der Beschäftigten.
Was es kostet: zu wissen, welche Ihrer Werkzeuge was wo speichern, einschließlich der leicht vergessenen Sicherungs- und Protokollkopien.
Klausel acht: Rückgabe und Vernichtung bei Vertragsende
Bei Vertragsende alle Kundendaten binnen genannter Frist zurückgeben oder vernichten und dies schriftlich bescheinigen.
Die Bescheinigung ist das Problem. Eine Vernichtung zu bescheinigen setzt voraus, jede Kopie zu kennen: Produktion, Sicherungen, Analyse-Warehouse, das Notebook einer Ingenieurin, das Support-Ticket mit Anhang.
Was es kostet: eine Datenkarte. Die meisten Zulieferer unterschreiben diese Klausel und könnten sie heute nicht einlösen.
Klausel neun: Haftung, Freistellung und Versicherung
Eine Ausnahme vom allgemeinen Haftungsdeckel für Sicherheitsverletzungen, eine Freistellung für Bußgelder und Drittansprüche, und die Pflicht, eine Cyberversicherung in genannter Höhe zu unterhalten.
Was es kostet: echtes Geld, und das ist die Klausel, die Ihr Versicherer und Ihre Rechtsberatung sehen sollten. Es ist auch die, die am häufigsten erfolgreich verhandelt wird, weil Hauptauftragnehmer damit rechnen.
Klausel zehn: Kündigung bei einem wesentlichen Sicherheitsvorfall
Das Recht, bei einem wesentlichen Vorfall oder einem Verstoß gegen den Anhang zu kündigen, teils fristlos. Gelegentlich verbunden mit dem Recht, Zugänge während der Untersuchung auszusetzen.
Was es kostet: nichts, bis es passiert, und alles danach. „Wesentlich“ wird fast nie definiert, und es zu definieren ist mehr wert, als einen Tag von der Meldeuhr abzuhandeln.
Die drei Klauseln, die wirklich verhandelbar sind
Hauptauftragnehmer erwarten Widerstand bei manchen Klauseln und bei anderen nicht. Auf den falschen zu drängen wirkt unvorbereitet.
- Haftung und Freistellung. Eine unbegrenzte Freistellung für Bußgelder ist Standardformulierung und wird regelmäßig auf ein Vielfaches des Auftragswerts begrenzt.
- Die Definition eines wesentlichen Vorfalls, und des Vorfalls überhaupt. Eine Schwelle hineinzuschreiben wird meist akzeptiert und macht aus einer offenen eine begrenzte Pflicht.
- Auditfristen und -häufigkeit. Zehn Werktage statt fünf, einmal jährlich statt auf Abruf, aus der Ferne statt vor Ort für Routineprüfungen.
Selten verhandelbar: die Meldeuhr, die Weitergabepflicht und die benannte Norm. Sie folgen aus der eigenen Regulierungspflicht des Kunden, und er hat keinen Spielraum, sie Ihnen zu erlassen.
Was einmal zu bauen ist, damit der nächste Anhang nichts kostet
Über Hauptauftragnehmer, Betreiber und Agenturen hinweg stellen diese Anhänge überlappende Fragen mit unterschiedlichen Worten. Der gemeinsame Kern ist klein.
Eine Zugangsliste, die aus Systemen erzeugt und mit Verträgen und Lohnbuchhaltung abgeglichen wird. Ein Lieferantenregister mit Sicherheitsbedingungen und Prüfterminen. Eine Protokollierung, deren Aufbewahrung eine Untersuchung übersteht statt eine Voreinstellung zu erfüllen. Ein Abhängigkeitsinventar für alles, was Sie ausliefern. Eine Datenkarte, die eine Vernichtungsbescheinigung ehrlich macht. Ein benannter Kontakt mit einem schriftlichen Auslöser dafür, was als Vorfall zählt.
Bauen Sie das, und der nächste Anhang wird zur Zuordnungsübung statt zum Projekt. Bauen Sie es je Kunde, machen Sie dieselbe Arbeit dreimal mehr, das allgemeine Argument dazu steht in Nachweise, die sich selbst zusammenstellen. Wenn Sie die Lücke messen wollen, bevor ein Hauptauftragnehmer sie für Sie misst, beginnt ein unabhängiges Sicherheitsaudit genau dort, und die Seite zum Raumfahrtsektor legt dar, wie sich die Pflichten stapeln.
Die technische Realität: der Anhang fragt nach einem Zustand, Ihre Unterlagen beschreiben eine Absicht
Jede Klausel oben ist im Präsens über einen lebenden Zustand geschrieben. Wer gerade jetzt Zugang hat. Was gerade jetzt läuft. Welche Lieferanten gerade jetzt Kundendaten berühren.
Was ein Zulieferer mitbringt, ist ein Satz Dokumente darüber, was entschieden wurde. Die Zugangsliste stimmte, als sie geschrieben wurde. Das Lieferantenregister war bei der letzten Prüfung aktuell. Das Abhängigkeitsinventar entstand beim letzten Release. Jedes ist die Fotografie einer Absicht, und der Anhang fragt nach der Gegenwart.
Diese Lücke erklärt, warum Lieferantenzugänge immer wieder in Vorfallsberichten auftauchen, während Lieferantenfragebögen sauber zurückkommen. Der Fragebogen fragt, ob Sie einen Austrittsprozess haben, und Sie antworten wahrheitsgemäß ja. Niemand fragt, ob der Prozess letzten Monat gelaufen ist, und die Antwort ist oft nein.
Sie zu schließen ist konkrete Arbeit: die Zugangsliste laufend aus Ihren Identitätssystemen erzeugt und mit Personaldaten und Vertragsenden abgeglichen, verwaiste Konten als Feststellungen gemeldet statt im Audit entdeckt, Abhängigkeiten und ihre bekannten Schwachstellen gegen das verfolgt, was Sie tatsächlich ausliefern, und die von einem Hauptauftragnehmer verlangten Nachweise aus der Arbeit erzeugt statt zwei Wochen vorher zusammengetragen. Das läuft laufend und automatisch, ohne dass bei Ihnen etwas zu installieren wäre. Für einen Anhang bedeutet es, dass die Antworten zwischen zwei Prüfungen wahr bleiben, und das ist die einzige Version von Compliance, die ein Hauptauftragnehmer tatsächlich kauft.
