PQC-Anforderungen an Lieferanten: Ohne Zielvorgaben entsteht nur Bürokratie

Ausgabe 06 der Reihe „Post-Quanten-Sicherheit in der deutsch-slowenischen Lieferkette“. Für Einkauf und Informationssicherheit, die Anforderungen an Lieferanten formulieren.

„Der Auftragnehmer gewährleistet die Quantensicherheit sämtlicher im Rahmen dieses Vertrags eingesetzten Systeme.“ Der Satz steht in einem Anforderungskatalog, er klingt entschlossen, und er wird unterschrieben. Was er bewirkt: nichts, außer vielleicht einem Risikoaufschlag im nächsten Angebot, den niemand einer Leistung zuordnen kann.

In diesem Beitrag: Wie Bürokratie entsteht · Sechs Bestandteile · Ergebnis festlegen, Technik offen lassen · Wer was beiträgt · Beispiel: vorher und nachher · Was sich im Einkauf ändert · Von der Matrix zur Anforderung · Die Frage an Ihren Lieferanten · Anhang: Formular

Eine Anforderung ohne Zielvorgabe lässt dem Lieferanten drei Möglichkeiten, und keine davon ist gut für Sie:

• Er sagt ja. Weil der Auftrag wichtig ist und niemand prüfen kann, was „quantensicher“ heißen soll. Sie haben eine Unterschrift und keine Information.
• Er sagt nein oder streicht den Satz. Dann beginnt eine Verhandlung über Formulierungen, nicht über Sicherheit.
• Er kalkuliert das Risiko ein. Eine unbestimmte Pflicht ist für einen Lieferanten ein unbestimmtes Haftungsrisiko. Das hat einen Preis, und Sie zahlen ihn, ohne etwas dafür zu bekommen.

In allen drei Fällen entsteht Papier: Nachträge, Rückfragen, Selbstauskünfte. Die Kryptografie auf der Verbindung bleibt, wie sie war.

Typische Formulierungen, an denen man solche Anforderungen erkennt:

• „ausschließlich quantensichere Verfahren“ (für welche Funktion, ab wann, gemessen woran?);
• „gemäß dem jeweils aktuellen Stand der Technik ohne Mehrkosten“ (wer trägt die Kosten, wenn sich der Stand durch Ihre neuen Anforderungen ändert?);
• „unverzüglich nach Verfügbarkeit entsprechender Standards“ (Standards sind seit August 2024 verfügbar; Produkte sind es nicht überall);
• „Nachweis durch Selbstauskunft“ (ein Formular, das bestätigt, dass ein Formular ausgefüllt wurde).

Keine dieser Formulierungen ist böswillig. Jede verschiebt eine Entscheidung, die der Auftraggeber hätte treffen müssen, auf den Lieferanten oder auf später.

Die Ursache liegt selten im Einkauf. Sie liegt darin, dass die Anforderung geschrieben wird, bevor der Auftraggeber weiß, was er braucht. Die vorangehenden Ausgaben dieser Reihe beschreiben, wie dieses Wissen entsteht: Schutzdauer (02), Abhängigkeiten (03), eigenes Register (04), Zuständigkeiten (05). Eine Anforderung ist die Übersetzung dieses Wissens in einen Satz, den ein Lieferant erfüllen und Sie prüfen können.

1. Geltungsbereich. Welche Verbindungen, Produkte, Datenflüsse? Nicht „sämtliche Systeme“, sondern „die SFTP-Verbindung für Konstruktionsdaten und die Signatur der Firmware für Baugruppe X“.
2. Schutzziel und Schutzdauer. Geht es um Vertraulichkeit, um Echtheit oder um beides, und für wie lange? Daraus folgt, ob ein Fall nach der EU-Roadmap als hohes Risiko gilt.
3. Zielbild. Was soll am Ende gelten? Etwa: „Der Schlüsselaustausch erfolgt hybrid, also klassisch und mit einem Post-Quanten-Verfahren kombiniert, nach dem Stand der Technik.“
4. Zeitrahmen. Meilensteine, die sich an realen Abhängigkeiten orientieren: bis wann Auskunft, bis wann Plan, bis wann Umsetzung. Für Hochrisiko-Anwendungen nennt die EU-Roadmap Ende 2030 als spätesten Abschluss.
5. Nachweis. Woran erkennen Sie die Erfüllung? Konfigurationsauszug, Testprotokoll einer gemeinsamen Verbindung, Herstellerbestätigung mit Version und Datum.
6. Mitwirkung und Ausnahmen. Was liefern Sie selbst zu (Ihre Seite der Verbindung, Testumgebung, Termine)? Was geschieht, wenn ein Hersteller nicht rechtzeitig liefert?

Fehlt einer dieser Teile, wird die Anforderung entweder unerfüllbar oder unprüfbar.

Kryptografische Empfehlungen ändern sich. Das BSI aktualisiert seine Technische Richtlinie TR-02102-1 regelmäßig; sie enthält seit 2020 Empfehlungen zu Post-Quanten-Verfahren und empfiehlt deren Einsatz in Kombination mit klassischen Verfahren. Wer heute ein konkretes Verfahren mit Parametern in einen Vertrag mit fünf Jahren Laufzeit schreibt, schreibt eine Anforderung, die in drei Jahren falsch sein kann.

Besser ist eine zweistufige Formulierung:

• Im Vertrag: das Ergebnis („Stand der Technik, orientiert an BSI TR-02102-1 in der jeweils gültigen Fassung“) und die Fähigkeit, Verfahren zu wechseln, ohne die Anwendung umzubauen („Kryptoagilität“).
• In der technischen Anlage je Verbindung: das konkret abgestimmte Profil, das beide Seiten aktuell einsetzen. Diese Anlage wird bei Bedarf geändert, ohne den Vertrag neu zu verhandeln.

Vorschreiben sollten Sie nur, was für das Zusammenspiel beider Seiten nötig ist. Ein bestimmtes Produkt, eine bestimmte Bibliothek oder ein bestimmter Hersteller gehört fast nie in eine Anforderung. Ein bestimmtes Profil für eine gemeinsame Verbindung dagegen schon, denn dort müssen beide Enden dasselbe sprechen.

Die Grenze ist einfach: Der Auftraggeber bestimmt das Was und das Woran, der Lieferant das Wie. Wer das Wie vorschreibt, übernimmt Verantwortung für eine Lösung, die er nicht betreibt.

Ein Hersteller von Prozessmesstechnik in Hessen etwa lässt Elektronikbaugruppen bei einem Auftragsfertiger in Slowenien bestücken und prüfen. Der Fertiger erhält Fertigungsdaten und Prüfprogramme und liefert Prüfprotokolle sowie die vorprogrammierte Firmware zurück.

Vorher (aus dem Anforderungskatalog):

„Der Auftragnehmer setzt ausschließlich quantensichere kryptografische Verfahren ein und weist dies jährlich nach.“

Nachher (nach Register und Schutzdauer):

„1. Für die Übertragung von Fertigungsdaten und Prüfprogrammen (Schutzdauer über zehn Jahre) wird bis 30.06.2027 ein hybrider Schlüsselaustausch nach dem Stand der Technik eingesetzt. Der Auftraggeber stellt seinen Endpunkt bis 31.12.2026 bereit. 2. Die Signatur der Prüfprotokolle bleibt bis auf Weiteres unverändert; der Auftragnehmer teilt bis 31.03.2026 mit, welche Möglichkeiten sein Prüfsystem für andere Signaturverfahren bietet. 3. Nachweis: Testprotokoll einer gemeinsamen Verbindung mit ausgehandeltem Verfahren; bei Verzug eines Herstellers Mitteilung mit Begründung und neuem Termin.“

Die zweite Fassung ist länger. Das ist bei guten Anforderungen leider die Regel. Sie ist aber erfüllbar, prüfbar und für beide Seiten planbar. Und sie zeigt etwas, das die erste verschweigt: Der Auftraggeber muss seinen eigenen Endpunkt zuerst umstellen.

• Anforderungen entstehen mit der Informationssicherheit, nicht von ihr. Der Einkauf kennt Verträge und Lieferanten, die Informationssicherheit das Register. Erst beide zusammen können eine Anforderung schreiben, die stimmt.
• Weniger Anforderungen, dafür richtige. Drei konkrete Sätze für die Verbindungen mit hoher Schutzdauer bewirken mehr als eine Seite allgemeiner Pflichten.
• Eigene Pflichten offen benennen. Eine Anforderung, die nur den Lieferanten verpflichtet, obwohl die Verbindung zwei Enden hat, wird im Streitfall gegen Sie gelesen.
• Standardtexte nur als Rahmen. Für Rahmenverträge reicht ein kurzer allgemeiner Abschnitt mit Verweis auf eine technische Anlage. Das eigentliche Leben spielt in der Anlage.

1. Aus der Matrix (Ausgabe 02) die Zeilen mit hoher Einstufung nehmen, die einen Lieferanten betreffen.
2. Je Zeile prüfen, was auf Ihrer Seite nötig ist. Ohne Ihren Endpunkt nützt die Anforderung nichts.
3. Das Zielbild als Ergebnis formulieren, nicht als Produkt.
4. Meilensteine setzen, die mit Ihren eigenen Plänen und den Herstellerangaben aus dem Register zusammenpassen.
5. Nachweis und Ausnahmeweg festlegen.
6. Mit dem Lieferanten durchgehen, bevor sie verbindlich wird. Das Formular im Anhang hilft dabei in beiden Sprachen.

„Was brauchen Sie von uns, um ein belastbares Angebot für diese Anforderung abzugeben?“

Die Frage dreht die übliche Richtung um. Sie zeigt, dass Sie wissen, dass ein Lieferant ohne Ihre Angaben nicht seriös planen kann. Die Antwort sagt Ihnen, ob Ihre Anforderung vollständig ist, bevor sie im Vertrag steht.

Die slowenische Ausgabe beschreibt, welche Fragen ein Lieferant stellen sollte, wenn eine solche Anforderung bei ihm ankommt: »Naročnik zahteva postkvantno varnost. Kaj mu morate najprej vprašati?« (auf Slowenisch). Vorherige Ausgabe: PQC lässt sich nicht einfach an den Dienstleister delegieren.

Ein gemeinsames Formular für Auftraggeber und Lieferant, auf Deutsch und Slowenisch. Je Anforderung ein Formular. Der Auftraggeber füllt Teil A aus, der Lieferant Teil B; Teil C wird gemeinsam vereinbart. In der slowenischen Ausgabe identisch.

Grenze der Vorlage: Das Formular klärt die Anforderung, es ist kein Vertrag. Was vereinbart wird, gehört anschließend in die technische Anlage.

Alle erschienenen Ausgaben der Reihe: Übersicht „Post-Quanten-Sicherheit in der Lieferkette“

Nächste Ausgabe (5. 1. 2026): „Wer ist für die Umstellung verantwortlich: Ihre IT, der Integrator oder der Softwarehersteller?“

Quellen (Stand 1. 12. 2025): NIS Cooperation Group, „A Coordinated Implementation Roadmap for the Transition to Post-Quantum Cryptography“, Version 1.1 (Juni 2025), Abschnitte 4 und 6; BSI TR-02102-1 „Kryptographische Verfahren: Empfehlungen und Schlüssellängen“ (Fassung 2025).

Wenn Sie eine bestehende Anforderung einmal gegen die sechs Bestandteile prüfen lassen möchten: Schreiben Sie uns.