Wer das lesen sollte: ein Unternehmen mit weniger als zweihundertfünfzig Beschäftigten, das Subsysteme, Nutzlast- oder Bodensegment-Software, Prüfeinrichtungen oder Ingenieurleistungen für Satellitenbetreiber, Startdienstleister oder Raumfahrtagenturen liefert und in Ausschreibungen zunehmend Sicherheitsklauseln sieht.
Die Raumfahrt ist die einzige Branche, in der ein Zulieferer gleichzeitig außerhalb der Richtlinie stehen kann, über die alle sprechen, innerhalb einer Verordnung, die es noch nicht gibt, nach einem nationalen Gesetz lizenziert sein kann, das außerhalb des Landes niemand gelesen hat, und bereits an der Sicherheitsprüfung eines Kunden gescheitert sein kann. Alle vier treffen gleichzeitig zu und kommen in einer bestimmten Reihenfolge.
Vier Regelwerke, nicht eines
Die meisten Darstellungen behandeln das als NIS2-Frage. Das ist es nicht. Ein Raumfahrt-Zulieferer steht unter vier getrennten Verpflichtungen mit unterschiedlichen Urhebern, Zeitplänen und Durchsetzungswegen.
- NIS2, in Kraft, in den Mitgliedstaaten unterschiedlich schnell umgesetzt.
- Das EU-Weltraumgesetz, im Juni 2025 vorgeschlagen, noch in Verhandlung.
- Nationales Genehmigungsrecht für Weltraumtätigkeiten, das die Tätigkeit selbst lizenziert.
- Der Vertrag des Hauptauftragnehmers oder Betreibers, der ein Datum trägt und keine Berufung kennt.
Sie überschneiden sich, aber nicht sauber, und dasjenige, das Sie dieses Jahr tatsächlich einen Auftrag kosten wird, ist das vierte.
Regelwerk eins: NIS2, bereits in Kraft
NIS2 nennt den Weltraum in Anhang I. Erfasst sind Betreiber bodengestützter Infrastruktur, die von Mitgliedstaaten oder von privaten Parteien besessen, verwaltet und betrieben wird und die Erbringung weltraumgestützter Dienste unterstützt. Beachten Sie, was das sagt und was nicht. Es geht um das Bodensegment, nicht um den Orbit. Ein Unternehmen, das ein Teleport, ein Bodenstationsnetz oder eine Missionskontrollinfrastruktur betreibt, ist erfasst. Ein Unternehmen, das ein Reaktionsrad baut, ist es nicht, jedenfalls nicht durch diese Tür.
Danach zählt die Größe. Betreiber von Bodensegmenten oberhalb der Schwelle des mittleren Unternehmens sind wesentliche Einrichtungen, kleinere sind wichtige Einrichtungen, mit den praktischen Unterschieden aus wesentliche und wichtige Einrichtungen im Vergleich. Wenn unklar ist, auf welcher Seite der Linie Sie stehen, beantworten der NIS2-Geltungsbereichsleitfaden und der NIS2-Geltungsbereichsprüfer das schneller als ein Rechtsgutachten.
Hersteller werden anders erfasst. Wer Raumfahrzeuge, elektronische oder Kommunikationsausrüstung oder die zugehörigen Maschinen baut, wird über die Fertigungseinträge in Anhang II erfasst statt über den Weltraumeintrag in Anhang I, und zwar als wichtige statt als wesentliche Einrichtung.
Und wenn keine der beiden Türen greift, greift meist die dritte. Artikel 21 Absatz 2 Buchstabe d verpflichtet erfasste Einrichtungen, das Risiko in ihrer eigenen Lieferkette zu steuern. Ihre Pflichten reisen also vertraglich zu Ihnen, ob die Richtlinie Sie nennt oder nicht. Das ist derselbe Mechanismus wie bei Telekom-Zulieferern, und die Einzelheiten stehen in Lieferkettensicherheit und Lieferantenrisiko.
Eine praktische Anmerkung zum Zeitplan. Die Umsetzung verlief fast überall verspätet: Im November 2024 richtete die Kommission Aufforderungsschreiben an dreiundzwanzig Mitgliedstaaten, darunter Luxemburg, wegen fehlender Umsetzung zur Frist im Oktober 2024. Deshalb nennen Ihnen zwei Kunden aus zwei Ländern unterschiedliche Daten für dieselbe Richtlinie, und deshalb lohnt sich ein direkter Blick auf das luxemburgische Umsetzungsgesetz, wenn Sie hier niedergelassen sind. Wer grenzüberschreitend tätig ist, klärt über die zuständige Rechtsordnung, welche Behörde zuständig ist.
Regelwerk zwei: das EU-Weltraumgesetz, und warum es nicht einfach mehr NIS2 ist
Die Kommission hat den Vorschlag für das EU-Weltraumgesetz am 25. Juni 2025 angenommen. Es ist eine Verordnung, keine Richtlinie: Nach Verabschiedung gilt es unmittelbar, ohne siebenundzwanzig nationale Fassungen. Die öffentliche Konsultation endete im November 2025, der Text befindet sich im ordentlichen Gesetzgebungsverfahren zwischen Parlament und Rat.
Drei Punkte des Vorschlags zählen für einen Zulieferer mehr als der Rest.
Er ist als Lex specialis angelegt, nicht als zusätzliche Schicht. Das Resilienzkapitel soll für erfasste Weltraumbetreiber Vorrang vor NIS2 haben, statt darauf aufzusetzen. Das ist ungewöhnlich und es ist eine gute Nachricht: Die Alternative wären zwei Meldesysteme mit zwei verschiedenen Uhren gewesen.
Die Frist ist kürzer. Nach dem Vorschlag sind erhebliche Vorfälle innerhalb von zwölf Stunden nach Entdeckung zu melden, gegenüber der vierundzwanzigstündigen Frühwarnung in NIS2. Der NIS2-Meldezeitplan ist die Vergleichsgrundlage. Zwölf Stunden sind kein Dokumentationsproblem. Sie sind ein Erkennungsproblem, und darauf kommen wir zurück.
Sicherheit wird vor dem Start getestet, nicht behauptet. Der Vorschlag verlangt bedrohungsgeleitete Penetrationstests durch akkreditierte Prüfstellen vor dem Start, bei Konstellationen vor der ersten Charge, mit erneuter Prüfung im Dreijahreszyklus. Wer die Flugsoftware und das Bodensegment geliefert hat, liegt im Prüfumfang.
Für kleine Betreiber ist Verhältnismäßigkeit vorgesehen: Kleinunternehmen sowie Forschungs- und Bildungseinrichtungen wenden ein vereinfachtes Risikomanagement an, konzentriert auf kritische Werte und Hauptrisiken. Und die Verordnung reicht über die Union hinaus, indem sie Drittlandbetreiber erfasst, die weltraumgestützte Daten oder Dienste in der EU erbringen, ähnlich wie die DSGVO über Europa hinausreicht.
Der ehrliche Vorbehalt: Es handelt sich um einen Vorschlag. Artikelnummern, Schwellen und die Zwölfstundenangabe können sich im Trilog alle noch ändern, und der Geltungsbeginn steht nicht fest. Bauen Sie nicht auf Artikelnummern. Bauen Sie auf die Form, denn die Form ist stabil: kürzere Fristen, geprüfte statt erklärter Sicherheit, und Lieferkettenpflichten, die Sie über Ihren Kunden erreichen.
Regelwerk drei: Ihre nationale Genehmigung
Weltraumtätigkeit wird national lizenziert, und die Lizenz ist ein eigener Kanal neben allem bisher Genannten. Luxemburg betreibt ein Genehmigungsregime für Weltraumtätigkeiten, verwaltet über die nationale Raumfahrtagentur, mit Lizenzauflagen, die Sicherheit, Fortführung und Meldung betreffen können. Diese Auflagen sind unabhängig von NIS2 und unabhängig davon durchsetzbar, was aus dem Weltraumgesetz wird.
Für einen Zulieferer zählt das mittelbar, aber konkret. Die Lizenzauflagen Ihres Kunden werden zu Ihren Vertragsbedingungen. Ein lizenzierter Betreiber, der sich gegenüber einer Behörde zur Integrität seiner Kommando- und Kontrollkette verpflichtet hat, gibt diese Verpflichtung an jeden weiter, der einen Teil davon liefert.
Regelwerk vier: der Hauptauftragnehmer, der zuerst kommt
Alles bisher Genannte ist eine künftige Pflicht mit einem Gesetzgebungsverfahren daran. Das Regelwerk, das Sie in diesem Quartal tatsächlich Umsatz kostet, ist ein Fragebogen eines Hauptauftragnehmers oder Betreibers, angehängt an eine Ausschreibung, mit Rücksendefrist in zwei Wochen.
Die Weitergabe durch Agenturen und Hauptauftragnehmer wartet nicht auf Regulierung. Sie hat eine eigene Normenlinie, ein eigenes Vokabular und stellt Fragen, die präziser sind als alles in NIS2: wie Kommandoverbindungen authentifiziert werden, wie Flugsoftware signiert und verifiziert wird, wer physischen Zutritt zur Integrationshalle hat, wie lange Telemetrie aufbewahrt wird und wer sie lesen darf, was mit den Zugängen eines Unterauftragnehmers geschieht, wenn der Unterauftrag endet.
Wer einen solchen Fragebogen erhalten und festgestellt hat, dass die Hälfte unbeantwortbar war, findet diese Erfahrung in dem Sicherheitsfragebogen, den Sie nicht beantworten können. Das Unangenehme daran ist, dass der Fragebogen gar nicht wirklich fragt, ob Sie sicher sind. Er fragt, ob Sie es nachweisen können, und das ist eine andere Fähigkeit, die meistens fehlt.
Welches Regelwerk Sie zuerst erreicht
In der Reihenfolge des Eintreffens für einen typischen Zulieferer: der Fragebogen des Kunden, dann die Vertragsklauseln bei der Verlängerung, dann NIS2, falls Sie Bodeninfrastruktur betreiben oder Ausrüstung fertigen, dann Lizenzauflagen, falls Sie eine Lizenz halten, und irgendwann danach das Weltraumgesetz.
Diese Reihenfolge hat eine praktische Folge. Für die am weitesten entfernte Regulierung zu bauen ist die falsche Abfolge. Für den Fragebogen zu bauen, der als Nächstes eintrifft, und zwar so, dass es später auch die Regulierung erfüllt, ist die richtige.
Was Sie einmal bauen sollten
Die vier Regelwerke stellen überlappende Fragen in unterschiedlichen Worten. Der gemeinsame Kern ist kleiner, als die Gesamtseitenzahl vermuten lässt.
- Ein Bestandsverzeichnis, das das Bodensegment einschließt, nicht nur die Büro-IT. Jedes Regelwerk fragt zuerst, was Sie haben, und erst dann, wie Sie es schützen. Beim Bodensegment hören die meisten Verzeichnisse auf.
- Ein Lieferantenverzeichnis mit Sicherheitsklauseln und Überprüfungsterminen. Sie sind in jemandes Lieferkette und jemand ist in Ihrer. Beide Richtungen werden bewertet.
- Zugriffskontrolle mit Ablaufdisziplin, besonders für Unterauftragnehmer und Integrationshallen, worauf sich raumfahrtspezifische Fragebögen konzentrieren.
- Protokolle mit einer Aufbewahrung, die eine Untersuchung übersteht, nicht eine Aufbewahrung, die eine Standardeinstellung erfüllt. Eine Zwölfstundenfrist ist bedeutungslos, wenn die Nachweise nach sieben Tagen verfallen.
- Ein Vorfallprozess, geprobt gegen die kürzeste Frist, der Sie ausgesetzt sind, heute vierundzwanzig Stunden und möglicherweise bald zwölf.
- Nachweise, die sich regenerieren. Der Unterschied zwischen einem bestandenen Fragebogen und allen bestandenen Fragebögen liegt darin, ob die Antworten von einem System erzeugt oder jedes Mal von Hand zusammengestellt werden.
Ein Unternehmen, das dies aufbaut, ist für NIS2 auditbereit, gegenüber einem Hauptauftragnehmer auskunftsfähig und für das Weltraumgesetz aufgestellt, ohne neu zu bauen. Ein Unternehmen, das vier getrennte Compliance-Projekte fährt, macht dieselbe Arbeit dreimal zusätzlich. Das allgemeine Argument steht in ISO 27001 und NIS2 einmal statt zweimal, und der praktische Ausgangspunkt für ein Unternehmen ohne Sicherheitsteam ist ISO 27001 ohne Sicherheitsteam.
Die technische Realität
Jedes dieser vier Regelwerke stellt eine Uhr und sagt fast nichts über das Instrument, das sie startet.
Zwölf Stunden nach Entdeckung, sagt der Vorschlag. Vierundzwanzig Stunden nach Kenntnisnahme, sagt die Richtlinie. Beide Sätze enthalten eine verborgene Annahme: dass überhaupt etwas erkennt. Ein Zulieferer ohne Protokollaggregation, ohne Alarmierung auf seiner Build-Pipeline und ohne Aufbewahrung über die Standardeinstellung hinaus auf seinen Bodensegmentsystemen hat kein Meldeproblem. Er hat ein Entdeckungsproblem, und die Uhr startet nie, weil es niemand erfährt.
Das ist die Lücke, die die Regulierung offenlässt, und sie ist konkret genug, um geschlossen zu werden. Telemetrie aus den Systemen, auf die es ankommt, eine Aufbewahrung, die lang genug ist, um eine Kompromittierung zu rekonstruieren, statt ein Kästchen anzukreuzen, Alarme, die auf die wenigen wirklich auffälligen Dinge in einem kleinen Ingenieurbestand abgestimmt sind, und ein Nachweisbestand, den Kunde, Behörde und Auditor gleichermaßen lesen können, ohne drei getrennte Zusammenstellungen.
Die Regulierung verlangt eine Erklärung. Raumfahrtkunden verlangen zunehmend einen Nachweis. Zwischen beidem liegt die eigentliche Arbeit. Wer sie messen statt schätzen möchte, findet das in einem unabhängigen Sicherheitsaudit, und unsere Seite zur Raumfahrt stellt die Pflichten von Anfang bis Ende dar.
