Sicherung der kanadischen Verteidigungsindustriebasis angesichts der Expansion von KMU

Im September 2026 veröffentlichte das Business Data Lab der Kanadischen Handelskammer „Deepening Our Defence“veröffentlicht, einen Bericht über den Ausbau der kanadischen Verteidigungsindustriebasis. „Canadian Defence Review“ beschrieb den Bericht als Warnung, dass Beschaffungshindernisse Kanadas 1-Billionen-Dollar-Chance im Verteidigungsbereich einschränken könnten. Die „Defence Industrial Strategy (DIS) 2026“ der Bundesregierung sieht vor, diese Sicherheitsüberprüfungen zu beschleunigen und damit ein wesentliches Hindernis für die Beteiligung von KMU an Verteidigungsprogrammen zu beseitigen. Da immer mehr Organisationen in die Lieferketten der Verteidigungsindustrie einsteigen, wird die Kommunikationssicherheit neben der Sicherheitsüberprüfung von Personal und Einrichtungen zu einem weiteren wichtigen Aspekt. Jede neue Lieferantenbeziehung bringt Wege des Informationsaustauschs mit sich, die möglicherweise Kontrollen erfordern, die über den Sicherheitsüberprüfungsprozess hinausgehen.

Die Hauptauftragnehmer unterhalten die direkte Beschaffungsbeziehung zum Verteidigungsministerium und werden einen Großteil der anfänglichen Arbeiten übernehmen, wobei kleine und mittlere Unternehmen in ihre Lieferketten eingebunden werden. Diese Struktur macht die Hauptauftragnehmer zu einem logischen Ansprechpartner für die Festlegung von Anforderungen an die Kommunikationssicherheit für alle beteiligten Lieferanten.

KMU spielen eine wichtige Rolle beim Ausbau der kanadischen Verteidigungsindustriebasis

Kanadas Verteidigungsindustriebasis ist relativ klein und konzentriert. Dem Bericht zufolge sollen die Kernausgaben für Verteidigung von 64 Mrd. Dollar im Jahr 2025 auf etwa 160 Mrd. Dollar bis 2035 steigen, wobei für das nächste Jahrzehnt kumulierte Ausgaben von mehr als 1.000 Mrd. Dollar erwartet werden. Dennoch umfasst der Kernsektor nur 538 Unternehmen, wobei die 50 größten etwa 80 Prozent des Umsatzes ausmachen. KMU stellen 92 Prozent der Unternehmen dar, erzielen jedoch nur etwa 30 Prozent des Umsatzes. DIS 2026 zielt darauf ab, den Anteil der an kanadische Unternehmen fließenden Einnahmen bis 2035 auf 70 Prozent zu erhöhen.

Der Bericht nennt vier strukturelle Hindernisse für KMU:

1. Sicherheitsüberprüfungen. KMU können sich erst dann um die meisten Verteidigungsaufträge bewerben oder diese ausführen, wenn sowohl das Unternehmen als auch sein Personal im Rahmen des Vertragssicherheitsprogramms von Public Services and Procurement Canada (PSPC) überprüft und freigegeben wurden. Dem Bericht zufolge dauert dies in der Regel Monate und erfordert physisch gesicherte Einrichtungen. DIS 2026 sieht vor, die Sicherheitsüberprüfung für Personal im Verteidigungssektor zu beschleunigen; der Bericht nennt jedoch keine angestrebte Bearbeitungsdauer.

2. Zugang zu Kapital. KMU können Schwierigkeiten haben, das für mehrjährige Beschaffungszyklen erforderliche Betriebskapital zu beschaffen.

3. Komplexität der Beschaffung. KMU verfügen möglicherweise über weniger spezielle Ressourcen für die Beschaffung als größere Hauptauftragnehmer, was die Bewältigung komplexer Beschaffungsprozesse erschwert.

4. Vorausschauende Einblicke in den Einkauf. Ein eingeschränkter Einblick in die künftige Nachfrage der öffentlichen Hand kann es für KMU erschweren, langfristige Investitions- und Kapazitätsentscheidungen zu treffen.

Für viele KMU, so der Bericht weiter, sei der Einstieg in die Lieferkette eines Hauptauftragnehmers der sinnvollste erste Schritt.

Der Ausbau des Verteidigungssektors verbindet mehr Organisationen und Kommunikationskanäle miteinander

Da immer mehr KMU in die Verteidigungsindustrie einsteigen, werden sie sensible Informationen mit Hauptauftragnehmern, Behörden und Betreibern kritischer Infrastrukturen austauschen. Der Bericht identifiziert kurzfristige Chancen in den Bereichen Militärstützpunkte, Werften, Flugplätze, Häfen, Schießplätze und Energiesicherheit, darunter auch Projekte im Norden und in der Arktis. Diese Projekte werden neue Zulieferer der Verteidigungsindustrie mit Betreibern kritischer Infrastrukturen zusammenbringen und so die Zahl der beteiligten Organisationen und Kommunikationskanäle erweitern.

• Betrieb. Mehr Partner in mehr Regionen bedeuten einen höheren Koordinationsaufwand bei Vorfällen. Wenn öffentliche Mobilfunknetze nicht verfügbar sind oder nur eingeschränkt funktionieren, können Organisationen mit Koordinationsproblemen konfrontiert sein, die sich auf die Reaktionsfähigkeit im Betrieb auswirken können.

• Sicherheit. Unternehmen, die neu im Verteidigungsbereich tätig sind, nutzen möglicherweise Kommunikationsmittel, die nicht für den Verteidigungsbereich, kritische Infrastrukturen oder streng regulierte Betriebsumgebungen konzipiert wurden. Je nach ihrer Konzeption und Konfiguration können Kommunikationsplattformen zudem Metadaten offenlegen, darunter Informationen darüber, wer kommuniziert hat, wann die Kommunikation stattfand und wo sich die Teilnehmer befanden.

• Beschaffung. Unternehmen müssen möglicherweise Sicherheitsangaben unbekannter Lieferanten prüfen, während sich die Zeitpläne für die Beschaffung und die Einbindung neuer Lieferanten verkürzen.

• Compliance. Unternehmen benötigen unter Umständen Aufzeichnungen darüber, wie Informationen weitergegeben wurden und an wen. Einige Kommunikationsplattformen bieten möglicherweise nicht die für regulierte Umgebungen erforderlichen Funktionen zur Steuerung, Prüfung oder Überwachung.

Eine größere Lieferantenbasis erhöht das Kommunikationsrisiko

Ein größerer Lieferantenstamm schafft mehr Wege, über die sensible Informationen weitergeleitet werden können. Wenn sich die Sicherheitsmaßnahmen der einzelnen Lieferanten erheblich voneinander unterscheiden, können Unternehmen einem erhöhten Risiko ausgesetzt sein, wenn sie sensible Informationen über ausgedehnte Lieferketten hinweg weitergeben.

Sicherheitsüberprüfungen schützen Menschen und Einrichtungen

Dem Bericht zufolge gilt die Sicherheitsüberprüfung für Organisationen und Mitarbeiter und erfordert physisch gesicherte Einrichtungen. Diese Kontrollmaßnahmen dienen dem Schutz von Personen und Orten. Der Bericht gibt keinen Aufschluss darüber, ob das Programm auch den täglichen Nachrichten- und Telefonverkehr sowie den Dateiaustausch zwischen Hauptauftragnehmern und Subunternehmern regelt. Diese Unterscheidung ist von Bedeutung, da Kommunikationspraktiken und -technologien möglicherweise einer gesonderten Bewertung bedürfen, die unabhängig von den Sicherheitsanforderungen für Personal und Einrichtungen erfolgt.

Kommunikationsrisiken bestehen auch nach der Freigabe weiterhin

Cybersicherheitsbedrohungen können Schwachstellen im Identitätsmanagement, kompromittierte Geräte und offengelegte Metadaten ausnutzen, sodass die Verschlüsselung während der Übertragung nur ein Aspekt bei der Bewertung der Kommunikationssicherheit ist. Der Bericht unterstreicht die Bedeutung der kanadischen Kontrolle über geistiges Eigentum, Produktion und andere strategisch wichtige Fähigkeiten. Ähnliche Überlegungen können Einfluss darauf haben, wie Organisationen die Kommunikationssysteme bewerten, die für den Austausch sensibler Informationen genutzt werden – darunter auch die Frage, wer die Verschlüsselungsschlüssel kontrolliert und wie der Zugriff geregelt wird.

Fünf Aspekte, die bei der Bewertung sicherer Kommunikationssysteme zu berücksichtigen sind

Unternehmen, die Lösungen für sichere Kommunikation evaluieren, sollten fünf Funktionen berücksichtigen und die entsprechenden Nachweise anhand von Unterlagen, Zertifizierungen und Tests überprüfen.

1. Souveränität. Verschaffen Sie sich einen Überblick darüber, wo die Infrastruktur gehostet wird und wer die Verschlüsselungsschlüssel, Identitäten, Geräte und den Zugriff auf sensible Informationen kontrolliert.

2. Unabhängige Zertifizierung. Achten Sie auf die Validierung durch unabhängige Stellen, wie beispielsweise Common Criteria, NIAP-Schutzprofile, die NATO-Sicherheitsakkreditierung und NSA CSfC. Lassen Sie sich das Zertifikat, dessen Geltungsbereich und die davon abgedeckte Produktversion vorlegen.

3. Identitätsprüfung. Jeder Teilnehmer wird vor der Teilnahme an einer Unterhaltung überprüft.

4. Out-of-Band-Ausfallsicherheit. „Out-of-Band“ bedeutet, dass ein Kommunikationsweg genutzt wird, der nicht von Ihrem primären Netzwerk abhängig ist. Stellen Sie sicher, dass der Dienst auch bei Beeinträchtigungen öffentlicher Netzwerke weiterhin funktioniert und dass er in Cloud-, Hybrid-, lokalen oder Air-Gapped-Umgebungen bereitgestellt werden kann. Air-Gapped-Umgebungen sind physisch von externen Netzwerken isoliert.

5. Nachweisdokumente. Mithilfe von Governance-Kontrollen und Prüfpfaden können Sie Ereignisse nach einem Vorfall rekonstruieren.

BlackBerry^® Secure Communications wurde entwickelt, um diese Art von Anforderungen zu erfüllen, und verfügt über NIAP- sowie NATO-Restricted-Zertifizierungen. Unternehmen sollten BlackBerry und andere Anbieter anhand objektiver Nachweise und Tests im Hinblick auf ihre eigenen betrieblichen, regulatorischen und sicherheitstechnischen Anforderungen bewerten.

Wie Unternehmen die Kommunikation mit ihren Lieferanten in diesem Quartal verbessern können

• Bestand. Führen Sie alle Tools, die Ihre Hauptlieferanten und SME-Lieferanten zum Austausch von Programminformationen verwenden, namentlich auf.

• Ordnen Sie die Anforderungen zu. Fügen Sie beim Onboarding von Lieferanten neben dem Freigabestatus eine Überprüfung der Kommunikationssicherheit hinzu.

• Formulieren Sie die Klausel. Beziehen Sie in Ihrer nächsten Ausschreibung die Identitätsprüfung, die Schlüsselverwaltung, die Prüfprotokolle und die Zertifizierungsnachweise mit ein.

• Stellen Sie den Anbietern fünf Fragen. Wer verwahrt die Verschlüsselungsschlüssel? Welche Zertifizierungen gelten für welche Produktversion? Funktioniert der Dienst auch dann, wenn öffentliche Mobilfunknetze beeinträchtigt sind? Können wir Prüfprotokolle für eine Untersuchung exportieren? Wo werden Metadaten gespeichert und wer kann sie einsehen?

• Testen Sie die Ausweichlösung. Führen Sie eine Übung durch, bei der öffentliche Netzwerke nicht verfügbar sind, und halten Sie fest, wie sich die Partner abstimmen.

• Verpflichtungen bestätigen. Unterscheiden Sie verbindliche gesetzliche Anforderungen von empfohlenen Rahmenbedingungen und besprechen Sie das Ergebnis mit Ihren Rechts- und Compliance-Beratern.

Angesichts des Wachstums der kanadischen Verteidigungsindustrie können Unternehmen davon profitieren, neben den Anforderungen an die Personal- und Anlagensicherheit auch die Kommunikationssicherheit zu berücksichtigen. Die Festlegung von Anforderungen an die Kommunikationssicherheit, die Überprüfung der Fähigkeiten von Lieferanten und die Einrichtung geeigneter Steuerungsmechanismen können dazu beitragen, eine sichere Zusammenarbeit im Zuge der Ausweitung der Lieferketten zu gewährleisten.