Bundeswehr und Verteidigung:
Einstufung, mobile Plattformen, Lieferkette
Welche Regeln gelten für IT im Verteidigungsbereich?
Für die Bundeswehr ist in erster Linie der Geheimschutz maßgeblich, nicht NIS2. § 29 Abs. 3 BSIG nimmt den Geschäftsbereich des Bundesministeriums der Verteidigung zusätzlich von den §§ 30, 33 und 35 aus, also unter anderem von den Risikomanagementmaßnahmen und der Registrierungspflicht (BSI-Gesetz in der Fassung seit 6. Dezember 2025). Es gelten die Einstufung nach § 4 SÜG und die Verschlusssachenanweisung: Produkte, die zum Schutz von Verschlusssachen IT-Sicherheitsfunktionen übernehmen, sind zuzulassen (BSI, Hinweise zur Liste der zugelassenen Produkte).
Für Rüstungsunternehmen sieht es anders aus. Sie fallen unter das BSI-Gesetz, wenn sie selbst die Kriterien einer besonders wichtigen oder wichtigen Einrichtung nach § 28 BSIG erfüllen. Dann gelten auch die Mindestmaßnahmen nach § 30 bis hin zu gesicherter Sprach-, Video- und Textkommunikation. Unternehmen in der Geheimschutzbetreuung, die Verschlusssachen aus öffentlichen Aufträgen bearbeiten, klären Zulassungsfragen laut BSI über das Bundeswirtschaftsministerium.
Wie kennzeichnen Sie E-Mails und Dokumente nach NATO- oder BUND-Schema?
Mit einer Klassifizierung, die dort arbeitet, wo geschrieben wird. ISEC7 CLASSIFY läuft als Add-in in Outlook, Outlook im Web, Word, Excel, PowerPoint und SharePoint Pages, auf iOS und Android in der App ISEC7 MAIL. Die Nutzer setzen die Einstufung selbst, das Regelwerk entscheidet, was zulässig ist: Ohne Einstufung geht keine Mail hinaus, und nicht vertraute Empfängerdomänen lassen sich sperren.
ISEC7 liefert Standardschemata für BUND, NATO und Traffic Light mit. Mehrere Schemata lassen sich gleichzeitig nutzen, etwa ein Unternehmensschema neben NATO. Eigene Schemata, Konfiguration und Auswertung liegen zentral in ISEC7 SPHERE. Die Schemata bilden Kennzeichnungsregeln ab; eine Zulassung durch BSI oder NATO ist damit nicht verbunden. Mehr zu ISEC7 CLASSIFY
Welche mobilen Plattformen sind für VS-NfD und NATO RESTRICTED zugelassen?
Für iPhone und iPad ist das indigo, die „Sichere Mobile Lösung“ von Apple, wie das BSI sie führt. Zulassungen des BSI für indigo von Apple: bis VS-NfD (BSI-VSA-10900) und NATO RESTRICTED (BSI-VSA-11003), dazu eine Einsatzerlaubnis bis VS-NfD (BSI-VSA-10901), alle befristet bis 31.10.2027. Zulassungsinhaber ist Apple Inc., ISEC7 ist Integrator. Apple führt die Zulassung für NATO RESTRICTED für iOS und iPadOS 26.
ISEC7 übernimmt Architektur, Aufbau, Prozessdefinition und Betrieb. Wir betreiben dafür BlackBerry UEM, auf Wunsch aus der Sovereign Cloud in Deutschland, und überwachen die Compliance der Geräte mit ISEC7 SPHERE. Die Zulassung gehört zur Plattform, nicht zu uns. Mehr zu indigo
Für verschlüsselte Telefonie in Unternehmen der geheimschutzbetreuten Wirtschaft betreibt ISEC7 den Service ISEC7 MANAGED SECURE VOICE. Der Service setzt auf SecuVOICE von Secusmart auf, für das das BSI eine Einsatzerlaubnis bis VS-NfD erteilt hat (BSI-VSA-11057, SecuVOICE für iOS und Android, Version 6.x, befristet bis 31.08.2027). Secusmart ist Hersteller der App, ISEC7 betreibt den Service. Weil Kryptomaterial des Bundes zum Einsatz kommt, liefern wir den Service ausschließlich an deutsche Unternehmen und Behörden. Mehr zu ISEC7 MANAGED SECURE VOICE
Alle Bausteine für VS-NfD auf mobilen Geräten zeigt die Übersicht VS-NfD mobil. Registerangaben nach BSI-Schrift 7164, geprüft am 8. Oktober 2026.
Was bedeutet CMMC für deutsche Zulieferer der US-Verteidigung?
CMMC ist das Nachweisverfahren des US-Verteidigungsministeriums für den Schutz von Informationen in seiner Lieferkette. Es betrifft auch deutsche Unternehmen, deren Aufträge über Flowdown-Klauseln aus US-Programmen kommen. Das Department of War hat die CMMC-Phase-2-Anforderungen am 13.07.2026 ausgesetzt. Die Pflicht zur Drittprüfung durch einen C3PAO ruht, die Anforderungen aus DFARS 252.204-7012 und NIST SP 800-171 gelten unverändert weiter. Die Selbstbewertung und der Score im SPRS bleiben Pflicht.
ISEC7 ist kein C3PAO und keine Prüfstelle. Wir gehen den Anforderungskatalog mit Ihnen durch, bestimmen den Scope und begleiten den Betrieb bis zur Audit Readiness. Die Bewertung selbst liegt bei einem akkreditierten Prüfer.
Welche Dokumente CUI enthalten, legt den Prüfumfang fest, deshalb steht die Klassifizierung am Anfang. Für den Austausch dieser Dateien mit Auftraggebern arbeiten wir mit unserem Partner Kiteworks: ISEC7 übernimmt Beschaffung, Integration und Konfiguration, eigenen Support und den Betrieb als Managed Service. Mehr zu CMMC 2.0 · Was nach der Aussetzung gilt
Häufige Fragen zu IT-Sicherheit bei Bundeswehr und Verteidigung
Gilt NIS2 für die Bundeswehr?
Nur eingeschränkt. Einrichtungen der Bundesverwaltung werden nach § 29 Abs. 2 BSIG wie besonders wichtige Einrichtungen behandelt, ohne die §§ 38, 40 Abs. 3, 61 und 65. Für den Geschäftsbereich des Bundesministeriums der Verteidigung gelten nach § 29 Abs. 3 BSIG zusätzlich die §§ 30, 33 und 35 nicht, darunter die Risikomanagementmaßnahmen und die Registrierungspflicht. Für eingestufte Informationen bleiben die Vorschriften des Geheimschutzes maßgeblich.
Gilt NIS2 für Rüstungsunternehmen?
Ja, wenn das Unternehmen selbst die Kriterien nach § 28 BSIG erfüllt. Entscheidend ist, ob es einer Einrichtungsart aus Anlage 1 oder 2 des BSI-Gesetzes zuzuordnen ist und die Schwellenwerte erreicht, für wichtige Einrichtungen etwa mindestens 50 Mitarbeitende oder einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro. Die Ausnahme nach § 29 Abs. 3 BSIG gilt nur für den Geschäftsbereich des Verteidigungsministeriums, nicht für Unternehmen.
Was bedeutet VS-NfD?
VS-NfD steht für „VS-NUR FÜR DEN DIENSTGEBRAUCH“. Nach § 4 Abs. 2 Nr. 4 SÜG wird so eingestuft, „wenn die Kenntnisnahme durch Unbefugte für die Interessen der Bundesrepublik Deutschland oder eines ihrer Länder nachteilig sein kann“. Es ist der niedrigste der vier Geheimhaltungsgrade. Praktische Folge: Produkte, die solche Informationen mit IT-Sicherheitsfunktionen schützen, brauchen nach der Verschlusssachenanweisung eine Zulassung oder eine Einsatzerlaubnis des BSI.
Kann ich mit einem iPhone Informationen bis NATO RESTRICTED verarbeiten?
Mit indigo von Apple ja, unter den Einsatz- und Betriebsbedingungen der Zulassung. Das BSI hat für indigo die Zulassung BSI-VSA-11003 für NATO RESTRICTED erteilt, befristet bis 31.10.2027; Zulassungsinhaber ist Apple Inc., Apple führt sie für iOS und iPadOS 26. ISEC7 integriert und betreibt indigo-Umgebungen, hält aber keine eigene Zulassung.
Ist ISEC7 CLASSIFY vom BSI oder von der NATO zugelassen?
Nein. ISEC7 CLASSIFY bildet Kennzeichnungsregeln ab, etwa die Standardschemata BUND und NATO, und setzt sie in Outlook, Office und ISEC7 MAIL durch. Eine Zulassung durch BSI oder NATO ist damit nicht verbunden. Welche Produkte zum Schutz von Verschlusssachen eine Zulassung brauchen, legt das BSI nach der Verschlusssachenanweisung fest.
Wer beantragt eine Zulassung für ein Produkt, das Verschlusssachen schützt?
Den Antrag stellt laut BSI der bundesbehördliche Anwender, nicht ein Hersteller oder Dienstleister. Unternehmen in der Geheimschutzbetreuung wenden sich an das Bundeswirtschaftsministerium. Welche Produkte bereits zugelassen sind oder eine Einsatzerlaubnis haben, steht in der BSI-Schrift 7164, der Liste der zugelassenen IT-Sicherheitsprodukte und -systeme.
Kann ISEC7 uns nach CMMC zertifizieren?
Nein. ISEC7 ist kein C3PAO und keine Prüfstelle. Wir gehen den Anforderungskatalog mit Ihnen durch, bestimmen den Scope und begleiten den Betrieb bis zur Audit Readiness. Die Bewertung selbst liegt bei einem akkreditierten Prüfer.
Gilt CMMC nach der Aussetzung vom 13. Juli 2026 noch?
Ja, in Teilen. Das Department of War hat die CMMC-Phase-2-Anforderungen am 13.07.2026 ausgesetzt. Die Pflicht zur Drittprüfung durch einen C3PAO ruht, die Anforderungen aus DFARS 252.204-7012 und NIST SP 800-171 gelten unverändert weiter. Die Bewertung durch einen C3PAO war ab dem 10. November 2026 vorgesehen. Die Selbstbewertung und der Score im SPRS bleiben Pflicht.
Sprechen Sie mit uns über Ihre Umgebung
Sie planen indigo, wollen Kennzeichnungsregeln für BUND oder NATO einführen oder müssen klären, was CMMC für Ihre Aufträge bedeutet? Schreiben Sie uns über das Formular, worum es geht. Wir melden uns bei Ihnen.