Das Sicherheitshandbuch des Verteidigungsministeriums verstehen: Verpflichtungen für Rüstungshersteller und ein praxisnaher Fahrplan zur Compliance

Zusammenfassung

Am 3. Juli 2025 veröffentlichte das Department of Defence Production (DDP) des Verteidigungsministeriums das im Juni 2025 überarbeitete Sicherheitshandbuch für lizenzierte Rüstungsindustrien (Security Manual for Licensed Defence Industries – SMLDI). Das DPIIT veröffentlichte daraufhin am 23. Juli 2025 die Pressemitteilung Nr. 03 (Serie 2025), mit der Unternehmen, die im Besitz von vom DPIIT ausgestellten Industrielizenzen sind, formell angewiesen wurden, das SMLDI 2025 einzuhalten, bevor sie mit der Produktion lizenzierter Artikel beginnen.

Das SMLDI 2025 modernisiert die Sicherheitsprotokolle für Inhaber von Industrielizenzen und trägt damit der rasanten Digitalisierung der Rüstungsindustrie, der erhöhten geopolitischen Spionage und den hochentwickelten cyber-physischen Bedrohungen für die rüstungsindustrielle Lieferkette Rechnung.

Das SMLDI 2025 ist ein verbindliches Sicherheitsregelwerk, das in die für die lizenzierte Rüstungsindustrie geltenden Lizenzbedingungen integriert ist. Das DDP/MoD und die zuständigen Lizenzbehörden sind befugt, Inspektionen durchzuführen und bei Nichteinhaltung Maßnahmen zu ergreifen. Das Regelwerk schreibt eine risikoadäquate Architektur für zwei primäre Produktklassifizierungen vor: Kategorie A (hochgradig eingestufte/sensible Artikel) und Kategorie B (Halbzeuge, Subsysteme oder Artikel mit geringerer Sensibilität).

Lizenzierte indische Rüstungsunternehmen (Indian Licensed Defence Companies – ILDCs) müssen das vom Verteidigungsministerium herausgegebene Sicherheitshandbuch für lizenzierte Rüstungsindustrien 2025 (SMLDI) vor Produktionsbeginn einhalten. Dieses moderne Regelwerk ersetzt die bisherigen Richtlinien aus dem Jahr 2014.

Entscheidend ist, dass das SMLDI nicht nur eine Checkliste für Cyber-Sicherheit darstellt. Es handelt sich um ein integriertes industrielles Sicherheitsregime, das sich über acht grundlegende Domänen erstreckt:

• Governance und Personalüberprüfung (vorgeschrieben sind die Aufsicht durch die Geschäftsführung, die Ernennung eines Company Chief Security Officer [CCSO] und eines Cyber Information Security Officer [CISO] mit staatlicher Sicherheitsüberprüfung).

• Physische und Perimetersicherheit (erfordert mehrstufige Zutrittskontrolle, obligatorische biometrische Verifizierung an lebenswichtigen Einrichtungen und strenge Perimeterüberwachung).

• Anlagen- und Materialsicherheit (schreibt computergestützte Materialmanagementsysteme [CMMS] und kontrollierte Materialschleusenprotokolle vor).

• Verwaltung von Verschlusssachen und Vermögenswerten (erzwingt eine lückenlose Nachweiskette, Kennzeichnung und sichere Vernichtung).

• Cyber- und Informationssicherheit (Ausrichtung an ISO/IEC 27001, Integration in das Defense CSOC, Zero-Trust-Netzwerkzonentrennung und DLP).

• Lieferketten- und Unterauftragnehmer-Kontrollen (Durchsetzung von Sicherheitsweitergabeklauseln, obligatorischen Zuverlässigkeitsüberprühungen von Lieferanten und Audit-Rechten).

• Ausländische Besucher und internationale Transfers (Verbot des Zutritts zu lebenswichtigen Einrichtungen mit Touristenvisa und zwingende vorherige Genehmigung durch das Ministerium/den Geheimdienst).

• Audit, Vorfallreaktion und Notfallvorsorge (schreibt regelmäßige interne/externe Audits, Notfallprotokolle und eine strenge Meldung von Sicherheitsvorfällen vor).

Bei Nichteinhaltung drohen schwere administrative und rechtliche Sanktionen, einschließlich der Aussetzung oder des Entzugs der Lizenz, des Ausschlusses von Ausschreibungen des Verteidigungsministeriums, der Kündigung von Verträgen und der Strafverfolgung nach den geltenden Gesetzen zur nationalen Sicherheit. Die Geschäftsführung, CSOs und CISOs müssen unverzüglich eine Gap-Analyse im Hinblick auf das SMLDI 2025 durchführen und ein auditfähiges Compliance-Programm operationalisieren.

Was ist das SMLDI 2025?

Ursprung, Zweck und gesetzliche Grundlage

Das Sicherheitshandbuch für lizenzierte Rüstungsindustrien ist das primäre regulatorische Sicherheitsregelwerk, das vom Department of Defence Production (DDP) unter dem Verteidigungsministerium (MoD) erlassen wurde. Sein Zweck ist es, sicherzustellen, dass private und öffentliche Rüttungshersteller robuste, standardisierte physische, personelle, materielle und Cyber-Sicherheitsvorkehrungen aufrechterhalten, um Spionage, unbefugten Zugriff, Sabotage, Diebstahl und Datenabfluss zu verhindern.

Die regulatorische Hierarchie für die indische Rüstungsindustrie folgt einer strengen Top-Down-Struktur:

Im Rahmen des Lizenzierungssystems, das vom Department for Promotion of Industry and Internal Trade (DPIIT) und dem Innenministerium (MHA) verwaltet wird, ist die Einhaltung der vom MoD herausgegebenen Sicherheitsrichtlinien eine gesetzliche Bedingung der Industrielizenz.

Verbindung zum SMLDI 2014

Das SMLDI 2025 ersetzt und löst die frühere Ausgabe des SMLDI 2014 explizit ab. Zu den wichtigsten rechtlichen und operativen Änderungen zwischen den beiden Versionen gehören:

• Optimierung der Produktkategorisierung: Das SMLDI 2014 nutzte eine dreistufige Struktur (Kategorie A, B und C). Das SMLDI 2025 verzichtet auf Kategorie C (allgemeine Artikel/handelsübliche Standardprodukte) und etabliert ein fokussiertes zweistufiges System (Kategorie A und Kategorie B).

• Fokus auf digitale Integrität: Schreibt die digitale Materialverfolgung (CMMS) vor und erhöht die Zutrittskontrolle von optionalen Smartcards auf eine obligatorische Zwei-Faktor-Biometrie-Verifizierung an lebenswichtigen Standorten.

• Personalüberprüfung: Führt eine obligatorische, regelmäßige staatliche Re-Evaluierung (alle 3 Jahre) für leitende Sicherheitskräfte (CCSO/CISO) und eine strenge Überprüfung vor der Einstellung ein.

• Neuausrichtung im Cyber-Bereich: Erweitert die Cyber-Sicherheit von der grundlegenden IT-Hygiene auf fortschrittliche Kontrollen, Ausrichtung an ISO/IEC 27001 und optionale/vertragliche Integration in Defense Cyber Security Operations Centers (CSOC).

Regulatorische Konsequenzen bei Nichteinhaltung

Ein Verstoß gegen die Richtlinien des SMLDI 2025 stellt eine direkte Verletzung der Industrielizenzbedingungen dar. Zu den vom DDP, DPIIT oder MHA durchgesetzten Konsequenzen gehören:

• Formelle Anhörungsverfahren und die obligatorische Aussetzung der Produktion.

• Widerruf oder Nichtverlängerung der Rüstungsindustrielizenz.

• Ausschluss, finanzielle Strafen oder Blacklisting bei Ausschreibungen des MoD gemäß den Bestimmungen der Defence Acquisition Procedure (DAP).

• Strafverfolgung nach dem Official Secrets Act (OSA) von 1923 und dem Information Technology Act von 2000 in Fällen unbefugter Offenlegung eingestufter Rüstungsdaten.

Für wen gilt das SMLDI 2025?

Das SMLDI 2025 gilt direkt für alle Unternehmen, die Rüstungsartikel in Indien unter einer staatlichen Lizenz herstellen, sowie für nachgelagerte Akteure im Ökosystem der Rüstungsindustrie.

Direkte Geltung vs. Weitergabe-Verpflichtungen

Direkte Geltung

Jedes Unternehmen, das eine Industrielizenz (ausgestellt nach IDRA 1951) oder eine Herstellungslizenz (ausgestellt nach dem Arms Act 1959) für Artikel der Rüstungsproduktionsliste besitzt, fällt direkt unter das SMLDI 2025. Regulatorische Compliance-Audits werden direkt in den lizenzierten Produktionsstätten des Unternehmens durchgeführt.

Weitergabe-Verpflichtungen für nicht lizenzierte Zulieferer

Unterauftragnehmer, Komponentenlieferanten, Softwareanbieter und Ingenieurbüros, die selbst keine Industrielizenz besitzen, werden vom DDP im Rahmen des SMLDI nicht direkt auditiert. Das SMLDI 2025 Kapitel 8 verlangt jedoch explizit von lizenzierten Hauptauftragnehmern (ILDCs), die SMLDI-Sicherheitsvorgaben über rechtsverbindliche Verträge, Vertraulichkeitsvereinbarungen (NDAs) und obligatorische Sicherheitsaudits für Zulieferer an ihre Lieferkette weiterzugeben.

Wenn ein nicht lizenzierter Zulieferer mit klassifizierten Konstruktionszeichnungen, Unterbaugruppen oder Softwarecode für ein Projekt der Kategorie A arbeitet, ist der Hauptlizenzinhaber rechtlich dafür verantwortlich, sicherzustellen, dass der Zulieferer die SMLDI-konformen Kontrollen einhält.

Die SMLDI-Kategorisierung verstehen: Kategorie A vs. Kategorie B

Das SMLDI 2025 verfolgt einen risikobasierten Ansatz zur Durchsetzung von Sicherheitsmaßnahmen. Lizenzierte Unternehmen müssen ihre Abläufe basierend auf der Sensibilität der hergestellten Rüstungsgiiter kategorisieren.

• Kategorie A (Hohe Sensibilität / Maximale Sicherheit): Umfasst Artikel von hohem strategischem Wert, tödliche Systeme oder hochgradig klassifizierte Technologien. Beispiele hierfür sind: Handfeuerwaffen, schwere Waffen, Munition, Sprengstoffe, Treibstoffe, Sprengköpfe, Raketen, Militärluftfahrzeuge, Kriegsschiffe, Kampfpanzer, Militärradare, kryptografische Systeme und klassifizierte Rüstungssoftware.

• Kategorie B (Mittlere Sensibilität / Standard-Sicherheit): Umfasst Halbfabrikate, Dual-Use-Baugruppen, nicht-tödliche Subsysteme, Hilfskomponenten und spezialisierte strukturelle Baugruppen für Rüstungsplattformen.

Regel für Co-Location und Segregation

Wenn in einer Betriebsstätte sowohl Artikel der Kategorie A als auch der Kategorie B hergestellt werden, gelten standardmäßig die strengen Anforderungen der Kategorie A für die gesamte Betriebsstätte.

Um weniger strenge Kontrollen der Kategorie B auf bestimmte Produktionslinien anzuwenden, muss das Unternehmen eine strikte physische und logische Trennung etablieren:

• Physische Trennung: Getrennte physische Strukturen, biometrische Zutrittskontrollperimeter, dedizierte Materialumschlagsbereiche und isolierte Sicherheitszonen.

• Logische Trennung: Air-gapped Netzwerke, segmentierte CAD/CAM-Datenbanken und isolierte ERP-Module.

Wichtige Vorgaben des SMLDI 2025 in den Kernbereichen

Das Compliance-Regelwerk des SMLDI 2025 umfasst 23 verschiedene operative Domänen. Die folgende Tabelle schlüsselt die primären Verpflichtungen, Implementierungsanforderungen und erforderlichen Nachweise in diesen Domänen auf.

Die folgende Matrix ist eine implementierungsorientierte Zuordnung, die aus den Anforderungen des SMLDI 2025 abgeleitet wurde. Es handelt sich hierbei nicht um eine offizielle SMLDI-Klassifizierung der 23 Compliance-Domänen.

Praktische SMLDI-Compliance-Kontrollmatrix

SMLDI Cyber-Sicherheitsanforderungen

Das SMLDI 2025 legt großen Wert auf Cyber-Sicherheit und trägt der Tatsache Rechnung, dass moderne Rüstungs hardware über digitale Systeme entwickelt, hergestellt und gesteuert wird.

 Kernvorgaben zur Cyber-Sicherheit

CISO-Governance

Das SMLDI 2025 verlangt von jedem ILDC die Ernennung oder Nominierung eines Cyber Information Security Officer (CISO). In kleineren Organisationen kann diese Funktion von einem entsprechend qualifizierten leitenden Angestellten wahrgenommen werden; ein dedizierter CISO ist jedoch zwingend erforderlich, wenn der Umsatz des Unternehmens 250 Crore ₹ übersteigt. Der CISO unterliegt vor seiner Ernennung einer staatlichen Sicherheitsüberprüfung, die alle drei Jahre wiederholt werden muss.

Sicherheitsmanagementsystem-Standard

Die Ausrichtung an der Norm ISO/IEC 27001 (Informationssicherheits-Managementsystem) ist als Standard-Benchmark für Organisationen der Kategorien A und B etabliert.

Netzwerksegmentierung und Air-Gapping

Netzwerke, in denen klassifizierte Konstruktionsdateien (CAD/CAM), Zielalgorithmen oder proprietäres geistiges Eigentum der Rüstungsentwicklung verarbeitet werden, müssen physisch und logisch vom allgemeinen IT-Netzwerk des Unternehmens und dem öffentlichen Internet getrennt (air-gapped) sein.

Data Leakage Prevention (DLP) und Endpoint-Schutz

Verpflichtender Einsatz von DLP-Software auf allen Endgeräten, auf denen Rüstungsdokumente verarbeitet werden. Installation von EDR-Agenten (Endpoint Detection and Response), zentrales Patch-Management und strikte Sperrung von USB-Ports und Wechselmedien über administrative Richtlinien.

ERP- und CMMS-Sicherheit

Enterprise-Resource-Planning- (ERP) und computergestützte Materialmanagementsysteme (CMMS), die Rüstungsbestellungen, Stücklisten (BOM) und Bestände verarbeiten, müssen über eine rollenbasierte Zugriffskontrolle (RBAC), Multi-Faktor-Authentisierung (MFA) und eine verschlüsselte Datenbankspeicherung verfügen.

Defense CSOC-Integration

Sofern in Projektverträgen des MoD vereinbart, muss das Unternehmen die Integration oder den Austausch von Sicherheitstelemetrie mit dem Defense Cyber Security Operations Center (CSOC) oder den zuständigen Cyber-Abteilungen der Teilstreitkräfte unterstützen.

Vulnerabilitätsmanagement und VAPT

Jährliches/regelmäßiges Cyber-Sicherheitsaudit durch Dritte: Das SMLDI verlangt, dass die Cyber-Sicherheitsrichtlinie des Unternehmens einem unabhängigen Cyber-Sicherheitsaudit durch einen aus der CERT-In-Liste ausgewählten Auditor unterzogen wird. Vulnerabilitätsanalysen und Penetrationstests (VAPT) können bei Bedarf in das technische Qualitätssicherungsprogramm aufgenommen werden.

Physische Sicherheitsanforderungen

Das SMLDI 2025 spezifiziert strenge physische Sicherheitskontrollen, die zum Schutz von Produktionsstätten erforderlich sind.

Perimeterschutz und Zutrittskontrolle

• Einfriedung: Verstärkte gemauerte Begrenzungsmauer (eine ca. 2,4 m hohe Mauer mit Stacheldrahtzaun / S-Draht-Rolle), die mit rasiermesserscharfem Nato-Draht bestückt ist.

• Freizonen: Das SMLDI 2025 fordert außerdem einen Mindestabstand von 5 Metern zwischen der Geländemauer und angrenzenden Bauten, wobei eine bebauungsfreie Zone von ca. 15 Metern empfohlen wird, wo immer dies möglich ist.

• Zutrittstore: Empfohlene Kontrollmaßnahmen für die Implementierung: Automatische Schrankenanlagen, Fahrzeugkontrollen, Personendrehkreuze und andere geeignete Maßnahmen zur Verhinderung von unberechtigtem Mitgehen (Anti-Tailgating) können basierend auf der Risikobewertung des Standorts installiert werden.

• Biometrischer Standard: Das SMLDI 2025 schreibt eine biometrische Zutrittskontrolle (Fingerabdruck-/Gesichtserkennung) als Mindeststandard für alle lebenswichtigen Einrichtungen, klassifizierten Lagerarchive und Serverräume vor. Ein reiner Smartcard-Zutritt ist an lebenswichtigen Punkten der Kategorie A nicht mehr zulässig.

• Zwei-Faktor-Zutritt: Der Zutritt zu "Streng geheimen" oder "Geheimen" Zonen erfordert eine zweite Autorisierungsebene (z. B. Biometrie + PIN oder Biometrie + physische Sicherheitsbegleitung).

CCTV- und Überwachungskontrollen

• Lückenlose 24/7-CCTV-Abdeckung von Geländemauern, Materialschleusen, Werkshallen, Serverräumen und Safes für Verschlusssachen.

• Verpflichtende Videoarchiv-Aufbewahrungsfrist von mindestens 90 Tagen (oder länger, falls vertraglich vorgeschrieben).

Organisation der Werksicherheit

• Sicherheitsleitstelle (SCR): Zentralisierte, rund um die Uhr besetzte SCR zur Überwachung von CCTV-Feeds, Zaun-Sicherheits-Systemen (PIDS) und Brandmeldeanlagen.

• Werksicherheitsbeirat: Einrichtung eines internen Ausschusses unter dem Vorsitz des CCSO, der vierteljährlich tagt, um physische Sicherheitsverletzungen, die Leistung des Wachpersonals und Upgrades der physischen Infrastruktur zu bewerten.

Sicherheit von Verschlusssachen und klassifizierten Dokumenten

Die Informationssicherheit im Rahmen des SMLDI 2025 regelt den gesamten Lebenszyklus von klassifizierten Rüstungsdokumenten und -werten.

Lebenszyklus für Einstufung und Handhabung

1. Geheimhaltungsstufen: Informationen werden basierend auf der Relevanz für die nationale Sicherheit in STRENG GEHEIM, GEHEIM, VERTRAULICH und NUR FÜR DEN DIENSTGEBRAUCH eingeteilt.

2. Kennzeichnung: Physische Dokumente müssen auf jeder Seite oben und unten in der Mitte explizit mit roter Tinte gestempelt/gekennzeichnet werden. Digitale Dateien müssen unveränderbare Kopf-/Fußzeilen mit der Einstufung sowie entsprechende Metadaten-Tags enthalten.

3. Erfassung und Aufbewahrung: Jedes empfangene oder erstellte klassifizierte Dokument muss in einem Zentralen Verschlusssachenregister protokolliert werden. Als GEHEIM oder STRENG GEHEIM eingestufte Dokumente müssen in feuerfesten Stahlsafes mit Doppelbesicherung aufbewahrt werden, die sich in einem biometrisch geschützten Bereich befinden.

4. Übertragung: Der physische Transport außerhalb des Werks erfordert eine versiegelte Doppelumschlag-Verpackung, die über autorisierte Sicherheitskurierte oder staatlich zugelassene Kanäle versendet wird. Die elektronische Übertragung von Verschlusssachen über öffentliche Netze ist strengstens verboten, es sei denn, sie ist mit staatlich zugelassenen kryptografischen Algorithmen verschlüsselt.

5. Vernichtung: Klassifizierter Abfall und veraltete Dokumente müssen mittels Hochleistungs-Partikelschnitt-Schreddern oder Verbrennung unter direkter Aufsicht von zwei überprütften Sicherheitsmitarbeitern vernichtet werden, die eine formelle Vernichtungserklärung ausstellen müssen.

Materialsicherheit und Lieferkettensicherheit

Die physische Materialverfolgung verhindert die unbefugte Entnahme von Rüstungs komponenten und schützt vor gefälschten Bauteilen.

Materialschleusen-Protokolle

• Computergestütztes Materialmanagementsystem (CMMS): Das SMLDI 2025 macht die Implementierung eines digitalen CMMS für die Erstellung von Materialpassierscheinen, die Erfassung von ein- und ausgehenden Sendungen und den Bestandsabgleich zur Pflicht.

• Passierscheinklassifizierung: Eigene Workflows für Rückwaren-Passierscheine (Returnable Gate Passes - RGP) und Einweg-Passierscheine (Non-Returnable Gate Passes - NRGP). Alle RGPs (z. B. Werkzeuge, die zur Kalibrierung oder Reparatur versandt werden) müssen im CMMS mit automatischen Rückfristen versehen werden.

• Physische Inspektion: Fahrzeugkontrollbereiche an Materialschleusen müssen Unterbodenüberwachungssysteme (UVSS) und manuelle Durchsuchungsprotokolle nutzen, bevor die Ein- oder Ausfahrt gestattet wird.

Sicherheitsweitergabe in der Lieferkette

Hauptlizenzinhaber müssen Sicherheitskontrollen in der Lieferkette durchsetzen:

• Lieferanten-Due-Diligence: Sicherheitsaudits zur Präqualifikation aller Unterauftragnehmer, die mit sensiblen Rüstungskomponenten arbeiten.

• Vertragliche Weitergabeklauseln: Aufnahme von Standard-SMLDI-Sicherheitsklauseln in Bestellungen, wobei das Recht für den Käufer und das MoD vorbehalten bleibt, unangekündigte physische/Cyber-Sicherheitsaudits in den Betriebsstätten der Unterauftragnehmer durchzuführen.

• Sicherer Transport: Sensitive Sendungen (Kategorie A) müssen in GPS-verfolgten, versiegelten Containern transportiert werden, begleitet von bewaffnetem Begleitschutz oder dediziertem Logistik-Sicherheitspersonal.

Personalsicherheit

Das Management menschlicher Risiken ist eine zentrale Säule des SMLDI 2025-Regelwerks.

Protokolle zur Zuverlässigkeitsüberprüfung

• Leumund und Vorgeschichte (Character and Antecedents - CandA): Obligatorische polizeiliche Überprüfung (Führungszeugnis) für alle festangestellten Mitarbeiter, temporären Leiharbeitnehmer und Gelegenheitsarbeiter vor Gewährung des Werkszutritts.

• Sicherheitsüberprüfung für Streng Geheim: Personal, das in Bereichen der Kategorie A oder an Projekten mit der Einstufung STRENG GEHEIM arbeitet, muss sich einer umfassenden Sicherheitsüberprüfung unterziehen, die über staatliche Geheimdienstkanäle koordiniert wird.

• Regelmäßige Re-Evaluierung: Das SMLDI 2025 schreibt vor, dass führende Positionen (CCSO, CISO) und Personal, das mit klassifizierten Arbeiten betraut ist, alle 3 Jahre erneut überprütft werden.

Berechtigungsmanagement und Offboarding

• Rollenbasierter Zugriff (RBAC): Der Zugriff auf sichere Bereiche und digitale Repositories darf ausschließlich nach dem Prinzip "Need-to-know" (Kenntnis nur wenn nötig) erfolgen.

• Exit-Kontrollen: Formelle Offboarding-Checkliste, die den sofortigen Entzug physischer Ausweise, digitaler Zugangsdaten und VPN-Zugänge fordert, begleitet von einem obligatorischen Abschlussgespräch über lebenslange Vertraulichkeitsverpflichtungen.

Ausländische Staatsangehörige, internationale Sicherheit und Auslandstransfers

Die Interaktion mit ausländischen Organisationen und Personen bringt im Rahmen des SMLDI 2025 erhöhte Risikoprofil-Verpflichtungen mit sich.

Vorschriften für ausländische Besucher

• Vorherige Genehmigung: Der Empfang ausländischer Staatsangehöriger in einer lizenzierten Rüstungsbetriebsstätte erfordert eine vorherige schriftliche Anmeldung und Freigabe durch das Department of Defence Production (DDP) und das Innenministerium (MHA).

• Verbot von Touristenvisa: Das SMLDI 2025 untersagt ausländischen Staatsangehörigen mit Touristen- oder e-Touristenvisa explizit den Zutritt zu lebenswichtigen Rüstungsproduktionsstätten. Besucher müssen im Besitz eines gültigen Geschäftsvisums mit ausdrücklicher Genehmigung sein.

• Begleitprotokolle: Ausländische Besucher müssen vom Betreten bis zum Verlassen des Geländes kontinuierlich von einer benannten, überprütften Sicherheitsbegleitung begleitet werden.

• Fotografie- und Gerätebeschränkungen: Absolutes Verbot für ausländische Besucher, persönliche Laptops, Mobiltelefone, Kameras oder Aufzeichnungsgeräte in den Produktionsbereichen mitzuführen.

Internationale Daten- und Technologieübertragungen

• Jeglicher Austausch von rüstungsbezogenen technischen Daten, CAD-Modellen oder proprietärer Software mit ausländischen OEMs oder Partnern über See muss den indischen SCOMET-Exportkontrollbestimmungen (Special Chemicals, Organisms, Materials, Equipment and Technologies) sowie den geltenden MoD-Genehmigungen entsprechen.

Audits, Compliance-Nachweispaket und Readiness-Assessment

SMLDI Audit-Readiness-Matrix

Um sich auf behördliche Inspektionen durch das DDP oder Teams der Teilstreitkräfte vorzubereiten, sollten Unternehmen die unten dargestellte strukturierte Audit-Matrix pflegen.

 Essentielles SMLDI-Compliance-Nachweispaket

Ein vollständig konformes Unternehmen muss ein zentrales, auditfähiges Dokumenten-Repository mit folgenden Inhalten führen:

1. Lizenz- und Governance-Dokumente: Kopie der Rüstungsindustrielizenz, DDP-Genehmigungen, unterzeichnete Sicherheitsrichtlinie des Unternehmens.

2. Ernennungen für führende Sicherheitskräfte: Formelle Ernennungsschreiben und staatliche Sicherheitsfreigaben für CCSO und CISO.

3. Personalregister: Nachverfolgungsregister der polizeilichen Führungszeugnisse der Mitarbeiter, Zeitplan für die Re-Evaluierung alle 3 Jahre, Besucherprotokolle.

4. Physische Sicherheitspläne: Standortsicherheitsplan, CCTV-Kamera-Belegungsplan, Benutzerliste der biometrischen Zutrittskontrolle.

5. Materialaufzeichnungen: Systemhandbuch des CMMS, Muster digitaler Passierscheine, Ein- und Ausgangsregister.

6. Verschlusssachen-Protokolle: Zentrales Verschlusssachenregister, Vernichtungserklärungen, Verwaltungsprotokoll für Safe-Schlüssel.

7. Cyber-Sicherheitsnachweise: ISO 27001-Zertifikat, aktuelle VAPT-Berichte, Netzwerkpläne zur physischen Netztrennung (Air-Gap), Konfigurationsdateien der DLP-Richtlinie.

8. Lieferantenkontrollen: NDA-Register für Zulieferer, Standard-Vertragsvorlage für die Sicherheitsweitergabe, Lieferanten-Auditberichte.

9. Notfallpläne: Business-Continuity-Plan (BCP), Katastrophenschutzplan (DMP), Vorfalls-Logbücher.

10. Audit-Compliance-Akte: Interne Sicherheitsauditberichte, Berichte über Korrekturmaßnahmen (CAR) und jährlicher SMLDI-Compliance-Bericht, der beim DDP eingereicht wurde.

SMLDI-Reifegrad- und Bereitschaftsmodell, vorgeschlagen von Shieldworkz

Stufe 0: Nicht existent: Keine formellen Sicherheitskontrollen etabliert

Level 1: Initial: Ad-hoc-Sicherheitsmaßnahmen; fehlende Dokumentation

Level 2: Definiert: SMLDI-Richtlinien entworfen; grundlegende physische Kontrollen aktiv

Level 3: Implementiert: Biometrie, CMMS, DLP im Einsatz; CCSO/CISO überprütft

Level 4: Gesteuert/Auditiert: ISO 27001 aktiv; jährliche Audits; Lieferanten-Weitergabe etabliert

Level 5: Optimiert: Kontinuierliche CSOC-Überwachung; automatisierte Bedrohungserkennung

Unternehmen sollten Stufe 3 als operative Basis für die Lizenzkonformität und Stufe 4 für die Audit-Bereitschaft anstreben.

Praktischer SMLDI-Implementierungs-Fahrplan (0 bis 12 Monate)

Phasen-Aufschlüsselung

Phase 1: Governance und Grundlagen (Monat 1)

• Der Vorstand beschließt formell das SMLDI 2025 Compliance-Mandat.

• Formelle Benennung des CCSO und CISO; Einreichung der staatlichen Sicherheitsüberprüfungen.

• Bestimmung der Produktkategorisierung (Kategorie A vs. Kategorie B) und Definition der physischen/logischen Werksperimeter.

Phase 2: Gap-Analyse und Scoping (Monat 2)

• Durchführung einer physischen und Cyber-Sicherheits-Schwachstellenanalyse gegen die Klauseln des SMLDI 2025.

• Prüfung bestehender polizeilicher Führungszeugnisse der Mitarbeiter und Lieferanten-NDAs.

• Ermittlung des Bedarfs an CMMS- und biometrischen Zutrittskontroll-Upgrades.

Phase 3: Rollout physischer und Cyber-Kontrollen (Monate 3–4)

• Upgrade der Zutrittspunkte an lebenswichtigen Standorten auf biometrische Zwei-Faktor-Systeme.

• Einführung von CMMS-Software zur Erstellung digitaler Materialpassierscheine.

• Durchsetzung von DLP, Netztrennung (Air-Gapping) von CAD/CAM-Netzwerken und Endpoint-Sicherheit.

Phase 4: Lieferkette und Operationalisierung (Monate 5–7)

• Einführung von Sicherheitsweitergabe-Ergänzungen in allen aktiven Verträgen mit Unterauftragnehmern.

• Durchführung von Schulungen zum Sicherheitsbewusstsein und zur Handhabung von Verschlusssachen für die Belegschaft.

• Operationalisierung der Vorab-Freigabeprotokolle für ausländische Besucher.

Phase 5: Internes Audit und Behebung (Monate 8–10)

• Durchführung eines umfassenden internen Sicherheitsaudits in den Bereichen physische, personelle und Cyber-Sicherheit.

• Abarbeitung von Korrekturmaßnahmenberichten (CAR) für alle identifizierten Lücken.

• Beauftragung eines bei CERT-In akkreditierten Auditors für VAPT-Tests.

Phase 6: Externe Audit-Bereitschaft und DDP-Einreichung (Monate 11–12)

• Zusammenstellung des SMLDI-Compliance-Nachweispakets.

• Formelle Freigabe durch die Geschäftsführung und Einreichung des jährlichen Compliance-Berichts beim DDP.

• Begleitung des gemeinsamen Inspektionsteams von DDP/MoD zur Verifizierung der Lizenzkonformität.

Häufige Compliance-Lücken und Behebungsstrategien

SMLDI 2025 vs. andere globale Compliance-Regelwerke

Das Verständnis darüber, wie das SMLDI 2025 mit standardmäßigen IT/OT-Regelwerken interagiert, verdeutlicht den Implementierungsumfang.

Vergleich der Regelwerke

Praktische Integrationsstrategie

Die ISO/IEC 27001 bietet eine starke Basis für die Informationssicherheits-Anforderungen des SMLDI, aber eine Zertifizierung allein belegt nicht die SMLDI-Compliance. Das Unternehmen muss die zusätzlichen Anforderungen an Personal, physischen Schutz, Materialverfolgung, Verschlusssachen, Unteraufträge, internationale Sicherheit und rüstungsspezifische Cyber-Sicherheit erfüllen, die im Handbuch vorgeschrieben sind.

Besondere Überlegungen für Rüstungsfertigungsanlagen (OT/ICS-Umgebung)

Die Rüstungsherstellung beinhaltet eine Konvergenz zwischen traditionellen IT-Netzwerken und operativer Technologie (Operational Technology – OT) wie CNC-Maschinen, Industrierobotern, PLC-Steuerungen und automatisierten Testständen.

SMLDI-Compliance in den Werkshallen-Prozessen

Schutz von Konstruktions-Workstations und CAD

Workstations, auf denen CAD/CAM-Software zur Konstruktion von Rüstungs komponenten läuft, enthalten primäres geistiges Eigentum. Das SMLDI verlangt, dass diese Workstations in einem isolierten, physisch getrennten (air-gapped) VLAN betrieben werden, wobei USB-Ports administrativ gesperrt und Festplatten verschlüsselt sein müssen.

Produktionsbereich und CNC-Sicherheit

Industrielle CNC-Maschinen und Steuerungen im Werkstattbereich müssen vom Wi-Fi des Unternehmens und einer direkten Internetverbindung isoliert sein. Der Codetransfer zu CNC-Einheiten darf nur über verschlüsselte, dedizierte lokale Busse oder über whitelist-basierte, verwaltete USB-Geräte erfolgen.

Wartungsdienstleister und Fernzugriff

Wartungsdienstleistern von OEMs, die Industrieanlagen warten, darf kein direkter unmonitorter Fernzugriff auf OT-Systeme der Werkshalle gewährt werden. Jede Ferndiagnosesitzung muss zeitlich begrenzt sein, über ein verschlüsseltes VPN mit Multi-Faktor-Authentisierung erfolgen, live vom internen IT/OT-Sicherheitsteam überwacht werden und vollständig protokolliert sein.

Aktions-Checkliste für das Executive Management

Diese Checkliste dient der Geschäftsführung, CSOs und CISOs als Schnellreferenz zur Bewertung der SMLDI 2025-Bereitschaft.

Sicherheits-Governance und Personal

• [ ] Sicherheitsrichtlinie aktualisiert, um sie explizit an den Vorgaben des SMLDI 2025 auszurichten.

• [ ] CCSO und CISO formell ernannt und Einreichung der staatlichen Sicherheitsüberprüfungen erfolgt.

• [ ] Polizeiliche Führungszeugnisse (PCC) für 100 % der Mitarbeiter und Zeitarbeitskräfte liegen vor.

• [ ] Eine dreijährige Re-Evaluierung erfolgt unter den im Handbuch festgelegten Bedingungen, während Personal, das für STRENG GEHEIME Arbeiten eingesetzt wird, einer vorherigen positiven Sicherheitsüberprüfung und einer erneuten Überprüfung alle zwei Jahre unterliegt.

Physische und Werksicherheit

• [ ] Geländemauer entspricht den Vorgaben bezüglich Höhe (2,4 m) und Nato-Draht.

• [ ] Biometrische Multi-Faktor-Zutrittskontrolle an allen lebenswichtigen und sensiblen Bereichen in Betrieb.

• [ ] CCTV-System deckt alle Perimeter-, Zutritts- und Lagerbereiche mit einer Videoaufbewahrung von 90 Tagen ab.

• [ ] Sicherheitsleitstelle (SCR) ist rund um die Uhr (24/7) besetzt.

Material- und Dokumentensicherheit

• [ ] Computergestütztes Materialmanagementsystem (CMMS) für die Generierung von Passierscheinen implementiert.

• [ ] Zentrales Verschlusssachenregister aktiv; GEHEIME Dokumente werden in feuerfesten Safes mit Doppelbesicherung aufbewahrt.

• [ ] Genehmigte Protokolle zur Aktenvernichtung (Partikelschnitt) / Zerstörung einsatzbereit.

Cyber-Sicherheit und Lieferkette

• [ ] ISO/IEC 27001-Regelwerk über das gesamte Unternehmens- und Produktionsnetzwerk hinweg implementiert.

• [ ] Netzwerke für klassifizierte Konstruktionen (CAD/CAM) physisch vom Internet getrennt (air-gapped).

• [ ] Endpoint Detection (EDR) und DLP-Software auf allen Endgeräten aktiv.

• [ ] Verträge mit Unterauftragnehmern um obligatorische SMLDI-Sicherheitsweitergabeklauseln ergänzt.

• [ ] Vorabfreigabeprozess für ausländische Besucher aktiv; Zutrittsverbot mit Touristenvisum strengstens durchgesetzt.

• [ ] Jährlicher SMLDI-Compliance-Bericht zur Einreichung beim DDP vorbereitet.

Die Veröffentlichung des Sicherheitshandbuchs für lizenzierte Rüstungsindustrien (SMLDI 2025) markiert eine bedeutende Weiterentwicklung in der indischen Rüstungsindustriepolitik. Da Indien seine Initiative Aatmanirbhar Bharat (Selbsttragendes Indien) im Bereich der Rüstungsherstellung beschleunigt, verarbeiten private Zulieferer, DPSUs und globale OEMs, die in Indien tätig sind, zunehmend sensible Rüstungstechnologien. Das SMLDI 2025 etabliert den verbindlichen operativen Rahmen, um sicherzustellen, dass diese Rüstungs gütör gegen moderne physische und Cyber-Bedrohungen geschützt bleiben.

Die Einhaltung des SMLDI 2025 ist keine einmalige Papierübung und kann auch nicht ausschließlich an eine IT-Abteilung delegiert werden. Sie erfordert eine integrierte industrielle Sicherheitsarchitektur, die sich über die Bereiche Governance, physischer Perimeterschutz, Integrität bei der Personalauswahl, Materialrückverfolgbarkeit, Cyber-Resilienz und Wachsamkeit in der Lieferkette erstreckt.

Rüstungszulieferer und Lizenzinhaber müssen unverzüglich ihren Sicherheitsstatus im Vergleich zum SMLDI 2025 bewerten, operative Lücken schließen, ein nachweisbares Nachweispaket aufbauen und eine kontinuierliche Sicherheitsüberwachung etablieren. Indem Rüstungshersteller die SMLDI-Compliance in die tägliche Produktion und die Betriebsabläufe integrieren, sichern sie ihren Lizenzstatus, gewährleisten ihre Eignung für Ausschreibungen und leisten einen direkten Beitrag zur nationalen Sicherheitsarchitektur Indiens.

Erfahren Sie mehr darüber, wie Shieldworkz Ihr Unternehmen bei der Einhaltung des SMLDI-Mandats unterstützen kann.

Regulatorischer Hinweis: Dieser Artikel ist eine implementierungsorientierte Interpretation des SMLDI 2025 und soll Rüstungsherstellern helfen, dessen Anforderungen zu verstehen und umzusetzen. Er ist nicht als Ersatz für das offizielle Sicherheitshandbuch, geltende Lizenzbedingungen, staatliche Richtlinien, projektspezifische Sicherheitsanforderungen oder eine Rechtsberatung zu betrachten. Soweit in diesem Artikel technische oder organisatorische Kontrollen empfohlen werden, die über den ausdrücklichen Wortlaut des SMLDI 2025 hinausgehen, sind diese Empfehlungen als Implementierungshinweise gekennzeichnet.