Executive Order verpflichtet Rüstungsunternehmen zur Erfassung von Abhängigkeiten bei Software und Lieferanten

Präsident Donald Trump hat eine Executive Order unterzeichnet, die das Kriegsministerium anweist, neue Anforderungen zur Identifizierung und Absicherung kritischer Verteidigungs-Lieferketten zu schaffen. Die Anordnung betont den Schutz vor physischen, Cyber- und wirtschaftlichen Störungen und fordert Transparenz über Lieferanten und Subunternehmer auf jeder Ebene.

Der Kriegsminister hat 180 Tage Zeit, Richtlinien zu entwickeln, die Auftragnehmer dazu verpflichten, Lieferketten zu erfassen, die Beschaffungen für die nationale Sicherheit unterstützen. Ausführungsbestimmungen sollen innerhalb von 90 Tagen nach diesen Richtlinien folgen. Obwohl die Anordnung vor allem darauf abzielt, die inländische Beschaffung kritischer Materialien zu stärken, könnten ihre Bestimmungen die Sicherheit von Software-Lieferketten, das Management von Risiken durch Drittanbieter und Compliance-Programme von Auftragnehmern erheblich beeinflussen.

Umfassender als eine herkömmliche SBOM

Nach den geplanten Vorschriften könnten Auftragnehmer verpflichtet werden, eine „gestaffelte Stückliste“ vorzulegen, die Ausrüstung, Materialien, Software und Dienstleistungen umfasst und Abhängigkeiten bis zu den Lieferanten sowie zu den Ursprüngen der Rohstoffe zurückverfolgt. Dieser Ansatz würde über eine herkömmliche Software-Stückliste hinausgehen, da er Software und Firmware möglicherweise mit physischen Komponenten, Herstellern, Wartungsinformationen, Herkunftsländern und weiteren Lieferkettendaten verknüpft.

Die Definition einer kritischen Lieferkette umfasst alle Ebenen von Lieferanten und Subunternehmern, die an der Bereitstellung von Waren, Systemen, Software oder Dienstleistungen beteiligt sind, die für die Vertragserfüllung, die Sicherstellung des Auftrags, die Sicherheit oder die Resilienz wesentlich sind. Dadurch könnten Softwareanbieter, Cloud-Provider und Managed-Service-Unternehmen auch dann in den Geltungsbereich fallen, wenn sie mehrere Stufen von einem Hauptauftragnehmer entfernt sind.

Überprüfung, Meldung und Risikominderung

Auftragnehmer müssten außerdem schriftliche Prozesse zur Bewertung der finanziellen Stabilität, ausländischen Eigentümerschaft oder Einflussnahme, Fertigungskapazität und anderer Risiken ihrer Lieferanten einführen. Überprüfungen könnten Abhängigkeiten von einzelnen Quellen, eine Konzentration auf bestimmte Lieferanten und unzureichende Produktionskapazitäten aufdecken. Cybersicherheitsteams müssten möglicherweise auch Entwicklungsstandorte, administrative Zugriffe, Hosting-Vereinbarungen und Eigentümerwechsel bewerten.

• Erhebliche Risiken, die im Rahmen der Überprüfung festgestellt werden, müssten innerhalb von 15 Tagen gemeldet werden.
• Innerhalb von 45 Tagen wäre ein vertraulicher Maßnahmenplan zur Behebung der Mängel fällig, gefolgt von einem Abschlussbericht.
• Auftragnehmer könnten verpflichtet werden, unzuverlässige ausländische Lieferanten zu ersetzen, andernfalls drohen eine Suspendierung, der Verlust von Vertragsoptionen oder eine Kündigung.

Die Anordnung definiert bislang weder ein erhebliches Lieferkettenrisiko noch eine allgemeine Frist für die Meldung von Cybervorfällen. Diese Fragen sowie der Schutz sensibler Lieferkettenübersichten sollen voraussichtlich in den kommenden Vorschriften geregelt werden.