Bereit für Förderanträge und Ausschreibungen: für Dual-Use-Technologieunternehmen

Unternehmen mit Dual-Use-Technologie (also solche, die Produkte für zivile und militärische Anwendungen verkaufen) stoßen auf eine Dokumentationshürde, die rein kommerziellen Start-ups selten begegnet. Ausschreibungen der EU und aus dem Verteidigungsumfeld, ob vom European Defence Fund (EDF), aus Horizon Europe oder aus nationalen Innovationsprogrammen der Verteidigungsministerien, enthalten Prüfungen zur Compliance-Eignung. Diese können Sie ausschließen, bevor ein einziger Gutachter Ihren technischen Vorschlag liest. Die gute Nachricht: Fast jedes verlangte Dokument lässt sich im Voraus vorbereiten, intern testen und lange vor Öffnung einer Ausschreibung unter Versionskontrolle stellen. Dieser Artikel geht die Dokumentationskategorien durch, erklärt, worauf Gutachter tatsächlich achten, und schlägt eine praktische Reihenfolge für die Vorbereitung vor.

Warum die Compliance-Eignung eine Hürde ist und keine Bewertung

Die meisten Bewertungen von Fördermitteln und Ausschreibungen trennen Eignung von inhaltlicher Qualität. Die Eignung ist binär: Sie bestehen oder Sie bestehen nicht. Ein fehlendes Pflichtdokument, ein abgelaufenes Zertifikat oder der Verweis auf einen Standard, den Sie nicht tatsächlich umgesetzt haben, kann Sie vollständig aus dem Verfahren nehmen. Gutachter in Programmen aus dem Verteidigungsumfeld sind besonders streng, weil Förderungen oft mit Verpflichtungen zur Exportkontrolle oder zum Umgang mit Verschlusssachen verbunden sind. Für ein Dual-Use-Start-up mit begrenzten administrativen Ressourcen bedeutet das: Die Compliance-Akte verdient genauso viel Planungszeit wie die technische Darstellung.

Die zentralen Dokumente

Zwar hat jede Ausschreibung ihre eigenen Anhänge, doch die meisten Programme der EU und aus dem Verteidigungsumfeld greifen auf einen gemeinsamen Bestand geforderter Dokumente zurück. Nachstehend eine Checkliste der Punkte, die Ihnen am häufigsten begegnen.

1. Nachweis eines Qualitätsmanagementsystems (QMS). Gutachter möchten sehen, dass Ihre Organisation Qualität strukturiert angeht. Ein an ISO 9001 angelehntes Qualitätsmanagementsystem ist das am weitesten akzeptierte Rahmenwerk. Ein Zertifikat einer dritten Stelle brauchen Sie in der Eignungsphase nicht immer, dokumentierte Prozesse aber schon: Lenkung dokumentierter Information, Umgang mit Nichtkonformität, Aufzeichnungen zur Managementbewertung und Verfahren für Korrekturmaßnahmen. Das QMS-Modul von ComplyTrain ist um diese Struktur herum aufgebaut (unter /product/qms finden Sie Details dazu, wie es auf die Anforderungen der ISO-9001-Kapitel abgebildet ist).

2. Erklärung zur Exportkontroll-Compliance. Dual-Use-Güter fallen unter die EU-Dual-Use-Verordnung (EU 2021/821). Gutachter erwarten eine schriftliche Richtlinie, die beschreibt, wie Ihr Unternehmen Produkte gegen die EU-Kontrollliste einstuft, Endverwender überprüft und Ausfuhrgenehmigungen beantragt. Berührt Ihr Produkt Kryptografie, Sensorik oder bestimmte Softwarekategorien, ist dieses Dokument unverzichtbar.

3. Informationssicherheitsrichtlinie. Förderprogramme im Verteidigungsbereich verlangen regelmäßig einen Nachweis, dass Sie Projektdaten schützen. Sie möchten eine Informationssicherheitsrichtlinie sehen, Verfahren zur Zugriffskontrolle, Pläne zur Reaktion auf Vorfälle und, sofern Verschlusssachen betroffen sind, eine Sicherheitsbescheinigung für Ihren Standort oder einen Plan, diese zu erlangen. Beschreiben Sie genau, was Sie umgesetzt haben und was geplant ist. Ihre Lage zu übertreiben führt schneller zum Ausschluss, als sie zu untertreiben.

4. Dokumentation zu Datenverarbeitung und Datenschutz. Verarbeitet das Projekt personenbezogene Daten (und viele Dual-Use-Projekte im KI- oder überwachungsnahen Bereich tun das), brauchen Sie ein DSGVO-konformes Verzeichnis von Verarbeitungstätigkeiten, eine Vorlage für eine Datenschutz-Folgenabschätzung und Auftragsverarbeitungsverträge. Wo Ihre Daten gehostet werden, ist von Bedeutung. ComplyTrain etwa hostet alle Mandantendaten in AWS eu-central-1 (Frankfurt), was Angaben zum Datenstandort bei EU-geförderten Projekten vereinfacht.

5. Erklärungen zu wirtschaftlich Berechtigten und Sanktionsprüfung. EDF-Ausschreibungen verlangen eine Erklärung zur Eigentümerstruktur und die Bestätigung, dass keine sanktionierte Einheit eine beherrschende Beteiligung hält. Erstellen Sie dieses Dokument einmal, aktualisieren Sie es bei Änderungen Ihrer Beteiligungsverhältnisse und führen Sie es versioniert neben Ihren übrigen Compliance-Dateien.

6. Plan zum Management geistigen Eigentums (IP). Die meisten Verteidigungsförderungen verlangen eine Beschreibung des Alt-IP, das Sie in das Projekt einbringen, sowie Regeln für das während des Projekts entstehende Neu-IP. Entwerfen Sie jetzt eine Vorlage für einen IP-Management-Plan. Sie passen ihn je Ausschreibung an, aber die Grundlagenarbeit (die Bestimmung Ihres Alt-IP und der Standard-Lizenzbedingungen) sollte nicht bis zur Frist warten.

Die Akte zusammenstellen: eine praktische Reihenfolge

Wer versucht, all diese Dokumente in den letzten zwei Wochen vor der Einreichungsfrist zu erstellen, produziert Fehler, Widersprüche und Lücken. Besser ist es, die Compliance-Akte in Schichten aufzubauen und mit den Dokumenten zu beginnen, die am längsten zum Reifen brauchen.

Phase 1 (Monat 1 bis 2): Bauen Sie Ihr QMS auf. Dokumentieren Sie Ihre Kernprozesse, schulen Sie Ihr Team in der Lenkung dokumentierter Information und durchlaufen Sie mindestens einen internen Auditzyklus. Wenn Sie die Plattform von ComplyTrain nutzen, führt Sie der an ISO 9001 orientierte Arbeitsablauf Kapitel für Kapitel durch die Umsetzung (die Kapitelzuordnung finden Sie unter /standards/iso-9001). Ein QMS, das einen Bewertungszyklus durchlaufen hat, wirkt auf Gutachter weit glaubwürdiger als eines, das in der Woche vor der Einreichung erstellt wurde.

Phase 2 (Monat 2 bis 3): Entwerfen Sie Ihre Exportkontrollrichtlinie und Ihre Informationssicherheitsrichtlinie. Das sind die beiden Dokumente, die am ehesten eine rechtliche Prüfung oder die Mitwirkung eines externen Beraters erfordern. Beginnen Sie früh, damit Zeit für Überarbeitungen bleibt. Stufen Sie Ihre Produkte gegen die Dual-Use-Kontrollliste ein und dokumentieren Sie die Begründung der Einstufung.

Phase 3 (Monat 3): Bereiten Sie Ihre DSGVO-Dokumentation, die Erklärung zu wirtschaftlich Berechtigten und die Vorlage für den IP-Management-Plan vor. Das sind kürzere Dokumente, sie hängen aber von korrekten Zulieferungen aus der Finanzabteilung (Beteiligungsverhältnisse), der Rechtsabteilung (Auftragsverarbeitungsverträge) und der Technik (Bestandsaufnahme des Alt-IP) ab.

Phase 4 (laufend): Pflegen Sie Versionskontrolle und Prüftermine. Eine Compliance-Akte ist keine einmalige Lieferung. Weisen Sie jedem Dokument einen Verantwortlichen zu, legen Sie Prüfintervalle fest (vierteljährlich für die Sicherheitsrichtlinie, jährlich für das QMS-Handbuch) und protokollieren Sie Änderungen. Öffnet sich eine Ausschreibung, ziehen Sie die aktuellen Versionen heran, passen die projektspezifischen Abschnitte an und reichen ein.

Häufige Fehler, die Anträge ausschließen

Aus der Durchsicht von Rückmeldungen nach der Einreichung bei mehreren EU-Programmbewertungen stechen einige wiederkehrende Fehler hervor. Erstens: der Verweis auf Standards oder Zertifizierungen, die Ihr Unternehmen nicht tatsächlich besitzt. Gutachter prüfen Angaben nach, und ein unbelegter Verweis auf eine nicht erworbene Zertifizierung gilt als wesentliche Falschangabe. Geben Sie nur an, was Sie umgesetzt haben, und stellen Sie klar, ob Sie ein Zertifikat besitzen oder lediglich einem Rahmenwerk folgen.

Zweitens: das Einreichen von Richtlinien, die erkennbar aus generischen Vorlagen mit aufgeklebtem Logo bestehen. Gutachter lesen Dutzende davon. Ihnen fällt auf, wenn ein Dokument im einen Absatz von "Firma X" spricht und im nächsten Ihren tatsächlichen Namen nennt, oder wenn eine Richtlinie Kontrollen beschreibt, die nicht zu Ihrem angegebenen Technologie-Stack passen.

Drittens: das Übergehen der ausschreibungsspezifischen Anhänge. Jede EDF- oder Horizon-Europe-Ausschreibung enthält Anhänge, die die Standardanforderungen abändern. Lesen Sie sie Zeile für Zeile. Eine einzige zusätzliche Anforderung, vergraben in Anhang 3 (etwa eine Selbstbewertung der Cybersicherheitsreife oder eine Begründung des Technologie-Reifegrads), kann über Eignung oder Ablehnung entscheiden.

Warum Mandantentrennung für Verteidigungsprojekte zählt

Projekte aus dem Verteidigungsumfeld verarbeiten oft Daten mehrerer Konsortialpartner, jeder mit unterschiedlichen Geheimhaltungsstufen und Zugriffsbeschränkungen. Wenn Sie für Ihr QMS oder Ihre Compliance-Dokumentation eine SaaS-Plattform nutzen, zählt das Modell der Mandantentrennung dieser Plattform. ComplyTrain setzt auf eine Silo-Architektur: ein Schema je Mandant, ein Cognito-Pool je Mandant und ein Bucket je Mandant. Das bedeutet: Ihre Daten werden weder auf der Datenbank- noch auf der Authentifizierungs- oder Speicherebene mit den Daten anderer Kunden vermischt. Fragt ein Gutachter oder Programmverantwortlicher, wie Sie Projektdaten trennen, können Sie eine konkrete, prüfbare Antwort geben statt einer vagen Zusicherung.

Förderfähigkeit im Verteidigungsbereich ist eine betriebliche Fähigkeit, kein Sprint

Die Unternehmen, die beständig Verteidigungsförderungen gewinnen, sind nicht zwangsläufig die mit der besten Technologie. Es sind die, die Compliance-Bereitschaft als fortlaufende betriebliche Funktion behandeln. Sie pflegen ihr QMS, halten ihre Sicherheitsrichtlinien aktuell, führen ihre Exportkontroll-Einstufungen unter Versionskontrolle und können ein regelkonformes Einreichungspaket in Tagen statt Wochen zusammenstellen. Für ein Dual-Use-Start-up ist der frühe Aufbau dieser Fähigkeit (vor Ihrem ersten großen Angebot) eine der wirkungsvollsten Investitionen überhaupt.

Wenn Sie sich auf eine anstehende Ausschreibung der EU oder aus dem Verteidigungsumfeld vorbereiten und ein QMS brauchen, das von Tag eins an um ISO 9001 herum aufgebaut ist, fordern Sie unter /product/qms eine Vorführung der ComplyTrain-Plattform an. Wir zeigen Ihnen genau, wie das System auf die oben beschriebenen Dokumentationsanforderungen abgebildet ist, ohne Verpflichtungen und ohne Verkaufstheater.