Dual Use: Neue Märk­te, neue Compliance-Pflichten

Zivi­le Ver­mark­tung von Defence-Technologie

Ob Droh­nen, Robo­tik, Sen­so­rik, Kom­mu­ni­ka­ti­ons­sys­te­me oder KI-Anwendungen: Die Gren­zen zwi­schen mili­tä­ri­scher und zivi­ler Tech­no­lo­gie ver­schwim­men zuneh­mend. Vie­le Unter­neh­men aus dem Ver­tei­di­gungs­sek­tor erschlie­ßen der­zeit neue zivi­le Anwen­dungs­fel­der oder prü­fen ent­spre­chen­de Geschäfts­mo­del­le. Der Ein­tritt in zivi­le Märk­te eröff­net Wachs­tums­po­ten­zia­le, führt jedoch zugleich in ein regu­la­to­ri­sches Umfeld, das sich wesent­lich von mili­tä­ri­schen Beschaf­fungs­pro­zess unterscheidet.

Der Markt­ein­tritt bringt neue regu­la­to­ri­sche Anforderungen

Wäh­rend im Ver­tei­di­gungs­be­reich projekt- und beschaf­fungs­be­zo­ge­ne Anfor­de­run­gen domi­nie­ren, unter­liegt die Ver­mark­tung zivi­ler Pro­duk­te eigen­stän­di­gen euro­päi­schen Compliance-Regimen. Im Bereich der Cyber­si­cher­heit rückt ins­be­son­de­re der Cyber Resi­li­ence Act (CRA) in den Fokus. Die­ser ver­langt über den gesam­ten Pro­dukt­le­bens­zy­klus hin­weg belast­ba­re Cyber­si­cher­heits­maß­nah­men, doku­men­tier­te Ent­wick­lungs­pro­zes­se, ein struk­tu­rier­tes Schwach­stel­len­ma­nage­ment sowie umfang­rei­che Nachweis- und Dokumentationspflichten.

Hin­zu tre­ten wei­te­re Vor­ga­ben aus dem Produktsicherheits‑, Daten­schutz-, KI- und Daten­recht. Unter­neh­men stel­len dabei häu­fig fest, dass bestehen­de Sicherheits- und Ent­wick­lungs­pro­zes­se zwar ein wert­vol­les Fun­da­ment bil­den, jedoch nicht ohne Wei­te­res die regu­la­to­ri­schen Anfor­de­run­gen einer zivi­len Ver­mark­tung erfül­len. Ins­be­son­de­re die Anfor­de­run­gen an die Risi­ko­be­wer­tung, Doku­men­ta­ti­on und Kon­for­mi­täts­be­wer­tung unter­schei­den sich teil­wei­se erheblich.

Schwach­stel­len­mel­dun­gen und Geheimschutz

Beson­de­re Her­aus­for­de­run­gen erge­ben sich dort, wo regu­la­to­ri­sche Trans­pa­renz­pflich­ten mit Geheim­hal­tungs­in­ter­es­sen kol­li­die­ren. Der CRA sieht bei­spiels­wei­se Mel­de­pflich­ten für aktiv aus­ge­nutz­te Schwach­stel­len und Sicher­heits­vor­fäl­le vor. Gleich­zei­tig kön­nen Infor­ma­tio­nen über Schwach­stel­len, Sys­tem­ar­chi­tek­tu­ren oder tech­ni­sche Sicher­heits­maß­nah­men im Ver­tei­di­gungs­um­feld beson­ders sen­si­bel sein. Unter­neh­men ste­hen daher vor der Auf­ga­be, regu­la­to­ri­sche Offen­le­gungs­pflich­ten mit Anfor­de­run­gen des Geheim­schut­zes und der ope­ra­tio­nel­len Sicher­heit in Ein­klang zu bringen.

In Kür­ze: Wei­te­re Spannungsfelder

• Secu­re Deve­lo­p­ment: Ein Ent­wick­lungs­pro­zess für zivi­le und mili­tä­ri­sche Anwendungsbereiche.
• Nach­weis­füh­rung: Mili­tä­ri­sche Zulas­sun­gen erset­zen kei­ne regu­la­to­ri­sche Kon­for­mi­täts­be­wer­tung für den zivi­len Markt.
• Lie­ferkette: Cyber­si­cher­heit, Ver­sor­gungs­si­cher­heit und export­kon­troll­recht­li­che Anfor­de­run­gen müs­sen gemein­sam betrach­tet werden.
• Doku­men­ta­ti­on: Unter­schied­li­che Nachweis- und Trans­pa­renz­an­for­de­run­gen für zivi­le und mili­tä­ri­sche Produkte.

So gehen Dual-Use-Unternehmen vor

Unter­neh­men soll­ten regu­la­to­ri­sche Anfor­de­run­gen bereits in der Pro­dukt­ent­wick­lung berück­sich­ti­gen. Bewährt hat sich ein inte­grier­ter Ansatz, der Cyber­si­cher­heit, Pro­dukt­si­cher­heit und Com­pli­ance von Beginn an in Ent­wick­lung bis zur Markt­rei­fe ein­bin­det. Doku­men­ta­ti­on und Nach­weis­füh­rung soll­ten dabei so auf­ge­baut wer­den, dass sie sowohl zivi­le als auch mili­tä­ri­sche Anfor­de­run­gen effi­zi­ent unter­stüt­zen. Wer Dual-Use-Aspekte früh­zei­tig adres­siert, redu­ziert spä­te­re Anpas­sungs­auf­wän­de und schafft die Grund­la­ge für einen rechts­si­che­ren Markt­zu­gang in bei­den Welten.