Cybersicherheitsanforderungen für Raumfahrt-Zulieferer: NIS2, das vorgeschlagene EU-Weltraumgesetz, ESA und Hauptauftragnehmer

Für die meisten Raumfahrt-Zulieferer gilt: Cybersicherheitsanforderungen kommen über Kunden, nicht über Behörden. NIS2 verpflichtet Betreiber von Bodeninfrastruktur für die Raumfahrt, die Sicherheit ihrer unmittelbaren Anbieter zu steuern, und Verträge der ESA, des EU-Weltraumprogramms und von Hauptauftragnehmern schreiben Sicherheitsklauseln fest. Hersteller und Anbieter verwalteter Dienste ab mittlerer Größe können NIS2 auch direkt unterliegen.

Dieser Leitfaden behandelt, ob NIS2 für Sie gilt, den Vorschlag für das EU-Weltraumgesetz, die Regeln der ESA und der EU-Programme, was Hauptauftragnehmer verlangen, was zuerst kommt, was Sie einmal aufbauen und was die Regeln offenlassen, und er enthält eine Checkliste.

Regelwerk	Wen es bindet	Stand September 2026	Wie es einen Zulieferer erreicht
NIS2, Anhang I Weltraum	Betreiber des Bodensegments, ab mittlerer Größe	Gilt über nationales Recht	Lieferkettenpflicht aus Artikel 21: Fragebögen, Klauseln
NIS2, Anhang II und MSP	Hersteller in den NACE-Abteilungen 26 und 30, Anbieter verwalteter Dienste	Gilt über nationales Recht	Direkt, ab mittlerer Größe
EU-Weltraumgesetz	Weltraumbetreiber, auch kleine	Vorschlag COM(2025) 335, nicht angenommen	Lieferketten-Risikomanagement der Betreiber
ESA und EU-Weltraumprogramm	Auftragnehmer der ESA und der Programme	In Kraft	Vertragsklauseln, Sicherheitsakkreditierung, Sicherheitsüberprüfungen
Hauptauftragnehmer oder Betreiber	Sie, durch Ihre Unterschrift	Jetzt	Sicherheitsanhang, Fragebogen, Auditrechte

Gilt NIS2 für Raumfahrt-Zulieferer?

Über eine von drei Türen. Die meisten Zulieferer kommen durch die dritte.

Anhang I: Der Sektor Weltraum ist das Bodensegment

Anhang I führt Weltraum als Sektor mit hoher Kritikalität. Erfasst sind Betreiber von Bodeninfrastruktur, die sich im Eigentum von Mitgliedstaaten oder privaten Parteien befindet, von diesen verwaltet und betrieben wird und die Erbringung weltraumgestützter Dienste unterstützt, ausgenommen Anbieter öffentlicher elektronischer Kommunikationsnetze. Erwägungsgrund 37 stellt klar, dass Infrastruktur, die im Rahmen des Weltraumprogramms der Union im Eigentum der Union steht oder von ihr oder in ihrem Namen verwaltet oder betrieben wird, nicht erfasst ist.

Es geht um das Bodensegment, nicht um den Orbit. Ein Unternehmen, das einen Teleport, ein Netz von Bodenstationen oder Infrastruktur für die Missionskontrolle betreibt, ist drin. Ein Unternehmen, das ein Reaktionsrad baut, ist es nicht, zumindest nicht durch diese Tür.

Über den Rest entscheidet die Größe. Ein Betreiber, der größer als ein mittleres Unternehmen ist, ist eine wesentliche Einrichtung, ein mittlerer Betreiber eine wichtige Einrichtung (Artikel 2(1) und 3). Kleine Betreiber und Kleinstbetreiber sind nicht erfasst, es sei denn, einer der größenunabhängigen Fälle aus Artikel 2(2) greift.

Hersteller und Anbieter verwalteter Dienste

Anhang II erfasst den sonstigen Fahrzeugbau (NACE-Abteilung 30), dessen Klasse 30.30 Raumfahrzeuge, Trägerraketen und Satelliten umfasst. Er erfasst auch Datenverarbeitungsgeräte, elektronische und optische Erzeugnisse (Abteilung 26), darunter Kommunikationsgeräte wie Antennen (Klasse 26.30) sowie Navigations- und Lenkinstrumente (Klasse 26.51). Ein Hersteller dort ab mittlerer Größe ist in der Regel eine wichtige Einrichtung.

Auch Dienstleistungen können Sie in den Anwendungsbereich bringen. Ein Anbieter verwalteter Dienste (Artikel 6(39)) erbringt Dienste für Installation, Verwaltung, Betrieb oder Wartung von IKT-Produkten, -Netzen oder -Systemen, vor Ort oder aus der Ferne. Wenn Sie die Bodensysteme eines Betreibers betreiben oder warten und mindestens ein mittleres Unternehmen sind, können Sie selbst in den Anwendungsbereich fallen, mit detaillierten Regeln in der Durchführungsverordnung (EU) 2024/2690. Das vollständige Programm finden Sie auf unserer NIS2-Seite.

Alle anderen: Artikel 21 Absatz 2 Buchstabe d

Nach Artikel 21(2)(d) müssen erfasste Einrichtungen die Sicherheit der Lieferkette „einschließlich sicherheitsbezogener Aspekte der Beziehungen zwischen den einzelnen Einrichtungen und ihren unmittelbaren Anbietern oder Diensteanbietern“ angehen. Artikel 21(3) verpflichtet sie, bei jedem unmittelbaren Anbieter dessen Schwachstellen, die Qualität seiner Produkte und seine Cybersicherheitspraxis einschließlich der sicheren Entwicklung zu berücksichtigen.

Ihre Pflicht wird zu Ihrer Vertragsklausel. Wie Betreiber diese Bewertung durchführen, steht in NIS2-Lieferkettensicherheit, und was sie vor der Freigabe eines Zugangs prüfen, in Sicherheit im Bodensegment.

Die Umsetzung verlief ungleichmäßig: Im Juli 2026 hat die Kommission vier Mitgliedstaaten vor dem Gerichtshof verklagt, weil sie ihre NIS2-Gesetze nicht mitgeteilt hatten. Zwei Kunden in zwei Ländern können für dieselbe Richtlinie unterschiedliche Anforderungen zitieren.

Wenn Sie Hardware- oder Softwareprodukte auf dem EU-Markt verkaufen, gilt zusätzlich die Cyberresilienzverordnung (CRA). Ihre Meldepflichten gelten seit dem 11. September 2026, der Rest ab dem 11. Dezember 2027.

Was würde das EU-Weltraumgesetz für Zulieferer bedeuten?

Die Kommission hat am 25. Juni 2025 den Vorschlag für ein EU-Weltraumgesetz (EU Space Act) vorgelegt, COM(2025) 335, eine Verordnung über die Sicherheit, Resilienz und Nachhaltigkeit von Weltraumtätigkeiten. Er ist weiterhin ein Vorschlag. Der federführende Ausschuss des Parlaments hat über seinen Berichtsentwurf vom 3. März 2026 nicht abgestimmt, und der Fortschrittsbericht des Rates vom 8. Mai 2026 verzeichnet keine allgemeine Ausrichtung. Die Trilogverhandlungen haben nicht begonnen.

Drei Teile des Vorschlags würden Zulieferer über ihre Kunden erreichen:

• Kritische Assets. Risikobewertungen auf Segment-, System- und Komponentenebene, die Assets wie Engineering-Systeme, Flugsoftware, Telemetrie und Telekommando sowie Missions- oder Raumfahrzeug-Kontrollzentren abdecken (Erwägungsgrund 74).
• Tests. Betreiber würden ihre Systeme regelmäßig testen, was bedrohungsorientierte Penetrationstests einschließen kann (Erwägungsgrund 79). Wer die getestete Software geliefert hat, liegt in diesem Umfang.
• Lieferkette. Ein Rahmen für das Risikomanagement in der Lieferkette mit Sicherheitsklauseln in Lieferantenverträgen (Artikel 92), Kontrollen der Integrität und Authentizität von Software, Kriterien für die Auswahl von Softwareprodukten und Aufmerksamkeit für Systeme, die vorübergehend verbunden sind, etwa im Rahmen von Wartung oder Support (Erwägungsgrund 80). Das beschreibt genau die Fernwartungssitzung eines Zulieferers.

Zu NIS2: Artikel 75(1) würde das Weltraumgesetz für Weltraumbetreiber, die wesentliche oder wichtige Einrichtungen sind, zu einem sektorspezifischen Rechtsakt machen, und zwar nur in Bezug auf die Risikomanagementmaßnahmen nach Artikel 21 (Erwägungsgrund 72: lex specialis). Die Meldung von Sicherheitsvorfällen nach Artikel 23 NIS2 würde weiter gelten (Artikel 93(4), Erwägungsgrund 87). Der Vorschlag führt eine eigene Meldung von Sicherheitsvorfällen ein, auch für Assets des EU-Weltraumprogramms im Eigentum der Union (Artikel 93, Erwägungsgrund 86). Im Rat streicht der Kompromisstext des Vorsitzes vom 5. Dezember 2025 den Erwägungsgrund zur lex specialis und fordert Anforderungen, die mit NIS2 synchronisiert und abgestimmt sind. Der Fortschrittsbericht vom Mai 2026 ließ die Cybersicherheitsartikel unverändert, bis zur Abstimmung mit der im digitalen Omnibus vorgeschlagenen Regelung zur Meldung von Sicherheitsvorfällen.

Der Anwendungsbereich würde sich auf Betreiber unterhalb der mittleren Größe sowie auf Forschungs- und Bildungseinrichtungen erweitern, mit einem vereinfachten Risikomanagement, das auf kritische Assets und Funktionen und auf Kernrisiken wie den Kontrollverlust beschränkt ist (Artikel 79, Erwägungsgründe 68 und 75). Kleine Betreiber als Kunden, die NIS2 nie erreicht hat, würden anfangen, dieselben Fragen zu stellen.

In der vorgeschlagenen Fassung würde es ab dem 1. Januar 2030 gelten (Artikel 119), mit einer Übergangsfrist bis zum 1. Januar 2032 für bestimmte Assets (Artikel 118). Bauen Sie nicht auf die Artikelnummern, die sich verschieben können. Bauen Sie auf die Form: getestete statt erklärte Sicherheit und Lieferkettenpflichten, die über Ihren Kunden bei Ihnen landen.

Welche Sicherheitsregeln setzen die ESA und das EU-Weltraumprogramm?

ESA

Die Sicherheitsvorschriften der ESA gelten für die Agentur, ihre Mitgliedstaaten und ihr Personal und unter bestimmten Voraussetzungen für das Personal ihrer Auftragnehmer und für ihre Auftragnehmer.

Die Engineering-Norm ist ECSS-E-ST-80C, Space engineering: Security in space systems lifecycles, veröffentlicht am 1. Juli 2024. Sie deckt Raum-, Boden-, Start- und Unterstützungssegment über den gesamten Lebenszyklus ab und kann für jedes Projekt angepasst werden. In der Praxis erreicht sie einen Zulieferer, wenn ein Vertrag sie als anwendbares Dokument aufführt.

Das EU-Weltraumprogramm

Galileo, EGNOS, Copernicus, GOVSATCOM und die Weltraumlageerfassung bilden das Weltraumprogramm der Union nach der Verordnung (EU) 2021/696, außerhalb von NIS2. Das Gremium für die Sicherheitsakkreditierung innerhalb der EUSPA ist die Sicherheitsakkreditierungsbehörde für alle seine Komponenten. Arbeit dort bedeutet Akkreditierungsanforderungen und oft Sicherheitsüberprüfungen: Selbst die Ausschreibung der EUSPA für Unterstützung des Gremiums bei Penetrationstests verlangte sicherheitsüberprüftes Personal.

Nationales Weltraumrecht

Nationales Recht genehmigt die Tätigkeit selbst: Der Wissenschaftliche Dienst des Europäischen Parlaments zählte bis Ende 2024 mindestens 13 geltende Gesetze zu Weltraumtätigkeiten in EU-Ländern. Sie binden den genehmigten Betreiber, nicht Sie. In der Praxis wird das, was ein Betreiber gegenüber seiner Genehmigungsbehörde zusagt, zu einer Klausel in seinen Lieferantenverträgen.

Was verlangen Hauptauftragnehmer und Betreiber von Raumfahrt-Zulieferern?

Die vertragliche Weitergabe wartet nicht auf Gesetze, und sie stellt Fragen, die konkreter sind als alles in NIS2:

• wie Kommandoverbindungen authentifiziert werden;
• wie Flugsoftware signiert und verifiziert wird;
• wer physischen Zugang zur Integrationshalle hat;
• wie lange Telemetrie aufbewahrt wird und wer sie lesen darf;
• was mit dem Zugang eines Unterauftragnehmers geschieht, wenn der Unterauftrag endet.

Die Klauseln werden in Der Sicherheitsanhang, Klausel für Klausel zerlegt, die Methode für Fragebögen in Wie Sie einen Sicherheitsfragebogen beantworten. Der Fragebogen fragt nicht wirklich, ob Sie sicher sind. Er fragt, ob Sie es nachweisen können, und das ist eine andere Fähigkeit, meist die fehlende.

Welche Anforderung erreicht einen Raumfahrt-Zulieferer zuerst?

In der Praxis, für die meisten Zulieferer:

1. Der Fragebogen des Kunden, einer Ausschreibung beigefügt, mit zwei Wochen Rücklauffrist.
2. Der Sicherheitsanhang im Vertrag, bei Unterzeichnung oder Verlängerung.
3. NIS2 direkt, wenn Ihre Herstellung in den Anwendungsbereich fällt oder Sie die Systeme eines Kunden verwalten.
4. Sicherheitsregeln der ESA oder der Programme, wenn Sie sich um solche Aufträge bewerben.
5. Das EU-Weltraumgesetz, in der vorgeschlagenen Fassung frühestens ab 2030.

Für die am weitesten entfernte Regulierung zu bauen, ist die falsche Reihenfolge. Bauen Sie für den nächsten Fragebogen, und zwar so, dass Sie später auch die Regulierung erfüllen.

Was sollte ein Raumfahrt-Zulieferer nur einmal aufbauen?

Die Regelwerke stellen sich überschneidende Fragen mit unterschiedlichen Worten. Der Kern ist klein:

• Ein Asset-Inventar, das das Bodensegment einschließt, wo die meisten Inventare aufhören.
• Ein Lieferantenregister mit Sicherheitsklauseln und Überprüfungsterminen, denn Sie sind auch selbst Kunde.
• Zugriffskontrolle mit Ablaufdisziplin, besonders für Auftragnehmer und Integrationshallen.
• Logging mit einer Aufbewahrung, die einer Untersuchung standhält, nicht einer, die nur einen Standardwert erfüllt.
• Ein Incident-Prozess, geübt gegen die Meldefristen Ihrer Kunden, der in deren eigene 24-Stunden-Frühwarnung nach NIS2 passen muss.
• Nachweise, die sich selbst erneuern, von Systemen erzeugt, statt jedes Mal von einer Person zusammengestellt.

Ein Register verknüpft jede Anforderung mit der Maßnahme, die sie beantwortet:

ANFORDERUNGSREGISTER RAUMFAHRT-ZULIEFERER (eine Zeile pro Anforderung)
Kunde / Vertrag:           ...
Quelle:                    NIS2-Weitergabe / ESA / EU-Programm / Anhang
Klausel oder Frage:        z. B. Anhang 4.2, Authentifizierung Kommandolink
Antwortende Maßnahme:      z. B. MFA auf Jump-Host, signierte Releases
Nachweis und Ablageort:    Systembericht, Log, Aufzeichnung, Ablageort
Verantwortlich:            Name
Zuletzt geprüft:           Datum, durch wen

Das allgemeine Argument für ein Programm, das mehrere Rahmenwerke bedient, steht in ISO 27001 und NIS2: einmal statt zweimal.

Was lassen die Regeln offen?

Jedes dieser Regelwerke setzt eine Frist und sagt fast nichts über das Instrument, das sie auslöst.

NIS2 gibt einem Betreiber 24 Stunden ab Kenntniserlangung von einem erheblichen Sicherheitsvorfall, um eine Frühwarnung zu senden, und Verträge geben meist eine kürzere Frist an Sie weiter. Beide setzen voraus, dass etwas erkennt. Ein Zulieferer ohne Log-Aggregation, ohne Alarmierung in seiner Build-Pipeline und mit Standard-Aufbewahrung auf Systemen, die das Bodensegment berühren, hat kein Meldeproblem. Er hat ein Erkennungsproblem.

Diese Lücke ist konkret genug, um sie zu schließen: Telemetrie aus den Systemen, auf die es ankommt, eine Aufbewahrung, die lang genug ist, um eine Kompromittierung zu rekonstruieren, Alarme, die auf die wenigen abnormalen Vorgänge in einer kleinen Engineering-Umgebung abgestimmt sind, und ein Nachweisbestand, den ein Kunde, eine Aufsichtsbehörde und ein Auditor gleichermaßen lesen können. So arbeitet die CloudSoul-Plattform: automatisierte Nachweiserfassung mit Human-in-the-Loop-Expertise für die Ausnahmen. Um die Lücke zu messen, bevor ein Kunde es tut, beginnen Sie mit einem Sicherheitsaudit. Die Sektorsicht finden Sie auf der Raumfahrt-Seite.

Regulierung verlangt, dass Sie erklären. Kunden in der Raumfahrt verlangen zunehmend, dass Sie nachweisen. Die Arbeit liegt in der Lücke.

Checkliste Cybersicherheit für Raumfahrt-Zulieferer

• Prüfen Sie, ob Sie direkt unter NIS2 fallen: Bodensegment, Herstellung oder verwaltete Dienste.
• Führen Sie jede Kundenanforderung in einem Register mit der Maßnahme, die sie beantwortet.
• Inventarisieren Sie die Systeme, die Bodensegmente von Kunden berühren, nicht nur die Unternehmens-IT.
• Koppeln Sie Austritte und Vertragsenden an den Entzug von Zugängen, mit Datum.
• Bewahren Sie Logs lange genug auf, um einen Vorfall zu rekonstruieren, und alarmieren Sie bei den wenigen Ereignissen, auf die es ankommt.
• Vereinbaren Sie mit jedem Kunden eine Meldefrist, die in dessen 24 Stunden passt.
• Halten Sie fest, welche Verträge ECSS-E-ST-80C oder die Sicherheitsvorschriften der ESA anwendbar machen.

Quellen

• Richtlinie (EU) 2022/2555 (NIS2), Artikel 2, 3, 6, 21 und 23, Anhänge I und II und Erwägungsgrund 37, EUR-Lex.
• Durchführungsverordnung (EU) 2024/2690 der Kommission, EUR-Lex.
• NACE Rev. 2, Klasse 30.30, Luft- und Raumfahrzeugbau, Amt für Veröffentlichungen der EU.
• Europäische Kommission, NIS2-Richtlinie (Klagen vom Juli 2026) und Zusammenfassung der Cyberresilienzverordnung.
• Europäische Kommission, Vorschlag für eine Verordnung über die Sicherheit, Resilienz und Nachhaltigkeit von Weltraumtätigkeiten in der Union (EU-Weltraumgesetz), COM(2025) 335, Artikel 75, 79, 92, 93, 118 und 119 und Erwägungsgründe 68, 72, 74, 75, 79, 80, 86 und 87, EUR-Lex.
• Wissenschaftlicher Dienst des Europäischen Parlaments (EPRS), Briefing zum EU-Weltraumgesetz, September 2025; Legislative Beobachtungsstelle, Verfahren 2025/0335(COD).
• Rat der EU, Kompromisstext des Vorsitzes 16437/25 vom 5. Dezember 2025 (Erwägungsgrund 71a), Register des Rates; Fortschrittsbericht 8861/26 vom 8. Mai 2026, Register des Rates.
• ESA, Überblick über die Regeln und Vorschriften der ESA (Sicherheitsvorschriften).
• ECSS-E-ST-80C, Space engineering: Security in space systems lifecycles, 1. Juli 2024, ECSS.
• Verordnung (EU) 2021/696 zur Einrichtung des Weltraumprogramms der Union und der EUSPA, EUR-Lex; EUSPA, Über die EUSPA und Unterstützung des Gremiums für die Sicherheitsakkreditierung bei Penetrationstests, 21. November 2024.

Häufige Fragen