Die Zeitenwende hat die Rüstungsbeschaffung in Deutschland grundlegend verändert. Sondervermögen, höhere Verteidigungsetats und politischer Druck zu mehr Tempo haben einen Markt in Bewegung gebracht, der über Jahrzehnte von wenigen großen Akteuren und langen Zyklen geprägt war. Was in der Debatte oft untergeht: Jede beschleunigte Beschaffung, jeder neue Lieferant und jedes neue Projekt bringt auch Anforderungen an die Informationssicherheit mit sich — und die sind nicht verhandelbar.
Für Cognic ist das kein abstraktes Thema. Wir arbeiten an der Schnittstelle von Auftraggeber, Industrie, Projektleitung und Informationssicherheit. Diese Einordnung beschreibt, was sich verändert — bewusst ohne Bezug auf konkrete Projekte.
Mehr Tempo trifft auf strenge Schutzanforderungen
Rüstungsbeschaffung ist sicherheitskritisch — von der ersten Konzeption bis zum Betrieb. Es geht um Verschlusssachen (VS), um Geheimschutz, um den Schutz technischer Informationen vor fremdem Nachrichtenzugriff und um Anforderungen, die staatliche Stellen sehr genau prüfen. Diese Anforderungen waren immer da. Neu ist das Tempo, in dem sie nun erfüllt werden müssen.
Genau hier entsteht ein Spannungsfeld: Politischer Wille zu schneller Lieferung trifft auf Schutzanforderungen, die sich nicht abkürzen lassen. Sicherheit, die erst nachträglich „aufgesetzt“ wird, hält weder einer Prüfung noch einer Akkreditierung stand.
Geheimschutz, VS und Sicherheitskonzepte
Wer in sicherheitskritische Beschaffungsvorhaben eingebunden ist, bewegt sich in einem eigenen Regelwerk — deutlich jenseits von ISO 27001 oder gängiger Compliance-Automation. Typische Anforderungen:
- Geheimschutz & VS-Einstufung. Umgang mit eingestuften Informationen nach klaren Vorgaben — personell, organisatorisch und technisch.
- Informationssicherheitskonzepte. Prüffähige Konzepte, die das Schutzniveau eines Vorhabens nachvollziehbar und belegbar machen.
- Akkreditierung durch die zuständige Stelle. Sicherheit ist erst dann „fertig“, wenn die verantwortliche staatliche Stelle das Vorhaben freigibt.
- Lieferketten- und Schnittstellensicherheit. Anforderungen werden entlang der Kette weitergegeben — vom Auftraggeber bis zum Unterauftragnehmer.
Sicherheit in der Rüstungsbeschaffung ist kein Abnahmekriterium am Ende. Sie ist Voraussetzung dafür, überhaupt liefern zu dürfen.
Mittelstand und Startups treffen auf ungewohnte Regeln
Eine der spürbarsten Folgen der Zeitenwende: Der Kreis der Beteiligten wächst. Mittelständische Technologieunternehmen, Software-Häuser und Startups, die zuvor nie mit Verteidigung zu tun hatten, werden zu Zulieferern und Entwicklungspartnern. Sie bringen Innovationskraft und Tempo mit — aber selten Erfahrung mit Geheimschutz, VS-Verarbeitung oder den Erwartungen staatlicher Prüfstellen.
Für diese Unternehmen ist die größte Hürde nicht die Technik, sondern das Selbstverständnis und die Methodik, die in regulierten Projekten vorausgesetzt werden. Wer hier unvorbereitet einsteigt, riskiert Verzögerungen, Nachforderungen oder den Ausschluss aus dem Vorhaben.
Geschwindigkeit ohne Sicherheit ist teuer erkauft
Die Bedrohungslage verschärft die Lage zusätzlich. Sicherheitskritische Projekte sind ein attraktives Ziel für staatlich gesteuerte Akteure — Spionage, Sabotage und der Abfluss technischen Wissens sind reale Risiken, nicht theoretische. Ein Vorhaben, das aus Zeitdruck Sicherheitsschritte überspringt, gefährdet nicht nur die Akkreditierung, sondern potenziell das gesamte Programm.
Die Erfahrung zeigt: Sicherheit, die von Anfang an mitgedacht wird, ist am Ende schneller — weil teure Nacharbeiten, Prüfschleifen und Vertrauensverluste ausbleiben.
Sicherheit von der Konzeption bis zur Akkreditierung
Der richtige Zeitpunkt, Informationssicherheit zu adressieren, ist die Entwurfsphase — nicht die Abnahme. Wir begleiten Vorhaben über den gesamten Lebenszyklus: von der ersten Konzeption über das prüffähige Informationssicherheitskonzept bis zur Akkreditierung durch die zuständige staatliche Stelle. Dabei übersetzen wir abstrakte Sicherheitsanforderungen in konkrete, umsetzbare Projektvorgaben — und vermitteln zwischen den Beteiligten, die oft sehr unterschiedlich auf das Thema blicken.
- Die Zeitenwende bringt mehr Tempo und mehr neue Akteure in die Rüstungsbeschaffung — die Sicherheitsanforderungen bleiben streng.
- Geheimschutz, VS-Verarbeitung und Akkreditierung lassen sich nicht abkürzen oder nachträglich aufsetzen.
- Sicherheit ab der Entwurfsphase mitzudenken ist am Ende schneller und günstiger als Nacharbeit.
Tempo ja — aber prüffest
Die Zeitenwende ist eine Chance: für die Verteidigungsfähigkeit, für innovative Unternehmen und für einen Markt, der sich öffnet. Diese Chance trägt aber nur, wenn Informationssicherheit nicht als Bremse, sondern als Bestandteil professioneller Projektarbeit verstanden wird. Cognic bringt die Erfahrung, das Selbstverständnis und das Wissen um Geheimschutz und VS mit, um genau das zu gewährleisten — diskret und prüffest.
Frequently Asked Questions
Was hat sich durch die Zeitenwende in der deutschen Rüstungsbeschaffung konkret verändert?
Die Zeitenwende hat durch Sondervermögen, höhere Verteidigungsetats und politischen Druck zu mehr Tempo einen Markt in Bewegung gebracht, der zuvor von wenigen großen Akteuren und langen Zyklen geprägt war. Der Kreis der Beteiligten wächst: Mittelständische Technologieunternehmen, Software-Häuser und Startups werden nun zu Zulieferern und Entwicklungspartnern. Die Sicherheitsanforderungen — etwa an Geheimschutz, VS-Einstufung und Akkreditierung — bleiben dabei genauso streng wie zuvor.
Warum lassen sich Sicherheitsanforderungen in der Rüstungsbeschaffung nicht abkürzen oder nachträglich erfüllen?
Informationssicherheit in sicherheitskritischen Beschaffungsvorhaben ist keine optionale Ergänzung, sondern Voraussetzung dafür, überhaupt liefern zu dürfen. Sicherheit, die erst nachträglich 'aufgesetzt' wird, hält weder einer Prüfung noch einer Akkreditierung durch die zuständige staatliche Stelle stand. Die Anforderungen — personell, organisatorisch und technisch — müssen von der Entwurfsphase an mitgedacht und nachvollziehbar dokumentiert werden.
Welche besonderen Herausforderungen haben Mittelstand und Startups beim Einstieg in die Rüstungsbeschaffung?
Für Mittelständler und Startups, die bisher keine Erfahrung mit der Verteidigungsbranche haben, ist die größte Hürde nicht die Technik, sondern das fehlende Selbstverständnis und die unbekannte Methodik regulierter Projekte. Anforderungen wie Geheimschutz, VS-Verarbeitung und die Erwartungen staatlicher Prüfstellen sind für diese Unternehmen neu und ungewohnt. Wer unvorbereitet einsteigt, riskiert Verzögerungen, Nachforderungen oder sogar den Ausschluss aus dem Vorhaben.
Warum ist Informationssicherheit, die von Anfang an mitgedacht wird, am Ende schneller und günstiger?
Wenn Sicherheitsanforderungen erst spät im Projektverlauf adressiert werden, entstehen teure Nacharbeiten, aufwändige Prüfschleifen und potenzieller Vertrauensverlust bei staatlichen Stellen. Im schlimmsten Fall gefährdet ein übersprungener Sicherheitsschritt die gesamte Akkreditierung und damit das ganze Programm. Sicherheit, die von der Konzeption an integriert ist, vermeidet genau diese Risiken — und macht das Vorhaben insgesamt schneller und kosteneffizienter.
Wie unterscheiden sich die Sicherheitsanforderungen in der Rüstungsbeschaffung von gängigen Standards wie ISO 27001?
Die Anforderungen in sicherheitskritischen Rüstungsvorhaben gehen deutlich über ISO 27001 oder gängige Compliance-Automation hinaus. Sie umfassen spezifische Regelwerke zu Geheimschutz und Verschlusssachen (VS), prüffähige Informationssicherheitskonzepte, die formale Akkreditierung durch eine zuständige staatliche Stelle sowie strenge Anforderungen an Lieferketten- und Schnittstellensicherheit, die vom Auftraggeber bis zum Unterauftragnehmer weitergegeben werden.
