AS9100D vs. ISO 9001, ITAR und DFARS/CMMC für die Präzisionsbearbeitung in der Verteidigungsindustrie: Welche Qualifizierungshürden zwingend sind

Ist AS9100D eine harte Hürde, oder reicht die ISO 9001 allein?

Beginnen Sie mit dem Wortlaut von Vertrag, SOW oder Bestellung. AS9100D baut auf der ISO 9001:2015 auf und ergänzt luft- und raumfahrtspezifische Anforderungen zu Produkt- und Prozesssicherheit, Konfigurationsmanagement, Erstmusterprüfung, kritischen Merkmalen, Schutz vor Fälschungsteilen und vertraglicher Weitergabe an Lieferanten (Flow-down)^{1,8,9,11,17,35}.

Ein Betrieb, der nur ISO 9001 hält, wurde gegen diese Zusätze nicht auditiert, sodass das Zertifikat den Luft- und Raumfahrt-Scope nicht abdeckt, den Ihr Programm möglicherweise in Anspruch nimmt^8,15,35. Für Luft- und Raumfahrtprogramme wird die ISO 9001 allein als unzureichend beschrieben, und Prime-Auftragnehmer verlangen von Bearbeitungslieferanten laut Berichten die AS9100D³⁵.

Eine Quelle stellt fest, dass ein CNC-Lieferant ohne AS9100D keine flugkritischen Komponenten an einen großen Luft- und Raumfahrt-OEM liefern kann¹⁷. AS9100D wird zudem als verpflichtendes Qualitätsmanagementsystem für Verteidigungs-Hardware der Luft- und Raumfahrt beschrieben, während die ISO 9001 unabhängig davon für Lieferanten außerhalb des Luft- und Raumfahrt-Scope der AS9100 gefordert wird^9,21.

Allerdings zitiert keine Quelle dieses Sets eine konkrete Vertrags-, SOW- oder Bestellungsklausel, die die AS9100 verpflichtend macht. Und keine legt dar, dass die AS9100 in jedem Verteidigungsvertrag rechtlich gefordert ist, unabhängig davon, was der Vertrag verlangt²².

Behandeln Sie die AS9100D als erwartete Basis für den Bearbeitungs-Scope in Luft- und Raumfahrt/Verteidigung, und lesen Sie Ihre eigenen Vertragsunterlagen, um zu bestätigen, ob sie ausdrücklich verlangt wird. Ist der Scope rein kommerziell, kann die ISO 9001 die einschlägige Norm sein⁹.

Sind die Teile oder Zeichnungen USML-kontrolliert, und macht das die ITAR-Registrierung zu einer Hürde vor der Auftragsvergabe?

Die ITAR-Registrierung bei der DDTC wird als verpflichtend beschrieben für jeden Hersteller, der Verteidigungsgüter oder technische Daten im Sinne der USML herstellt, exportiert oder handhabt — und als erforderlich, bevor auf den meisten Verteidigungsprogrammen ein Vertrag vergeben wird^2,9. Die Registrierung ist verpflichtend, selbst wenn das Unternehmen keinen Export plant².

Für einen Lieferanten, der USML-gelistete Hardware oder technische Daten berührt, wird die Registrierung als Filter dargestellt, der Unternehmen ohne US-Sitz ausschließt, sofern keine Exportlizenz vorliegt²¹. Der Mechanismus zählt mehr als das Zertifikat.

ITAR erfasst technische Daten — Zeichnungen, Pläne, Software — und Verteidigungsdienstleistungen, nicht nur die Hardwareauslieferung². Das bedeutet: Ein Betrieb, der Ihre Verteidigungszeichnungen handhabt, muss den Zugriff ausländischer Staatsangehöriger auf diese Daten kontrollieren, einschließlich ausländischer Mitarbeiter oder Partner, die sich physisch in den USA befinden².

Die Registrierung allein begründet diese Kontrolle nicht; der Lieferant braucht einen dokumentierten Prozess für Datenhandhabung und Personen-Zugriff¹⁵. Bevor Sie Zeichnungen senden: Fragen Sie, ob das Teil oder die technischen Daten USML-gelistet sind und welche Kategorie greift.

Keine Quelle dieses Sets liefert eine Methode zur Bestimmung der USML-Kategorie oder ein durchgearbeitetes Beispiel zur Klassifizierung eines bearbeiteten Teils. Diese Bestimmung ist also eine Frage für Ihren Contracting Officer oder Ihren Außenhandelscompliance-Anwalt, nicht etwas, das Sie aus dem Registrierungsschreiben eines Lieferanten ableiten.

Gelten CMMC- und DFARS-Klauseln für diesen Scope, und welche Phase ist derzeit in Kraft?

CMMC knüpft an Programme mit Controlled Unclassified Information an. Bei Verteidigungsprogrammen mit CUI wird die CMMC-Konformität als harte Programmanforderung beschrieben, und ein einziger nicht konformer Hersteller kann ein Angebot disqualifizieren²⁰.

CMMC Level 2 umfasst laut Berichten etwa 110 Kontrollen aus dem NIST SP 800-171 und erfordert typischerweise eine Bewertung durch Dritte (C3PAOs) für Auftragnehmer, die mit CUI umgehen^14,21. Selbstattestierung und Bewertung durch Dritte sind nicht gleichwertig²⁰.

Die DFARS-Pflichten laufen neben CMMC her. Lieferanten müssen die anwendbaren DFARS-Klauseln akzeptieren und umsetzen, die der Prime weitergibt — einschließlich Schutz vor Fälschungsteilen, Materialrückverfolgbarkeit und Cybersicherheitsanforderungen¹⁴.

Soweit das Programm Inlandsanteilsbeschränkungen unterliegt, gelten DFARS-konforme Beschaffung von Specialty Metals und Dokumentation der Schmelzenherkunft^28,29. Die Specialty-Metals-Konformität muss vor dem RFQ geklärt sein, nicht nach der Bestellung, weil die Materialbeschaffung Lieferzeit und Kosten so beeinflusst, dass sich das innerhalb des Programms nicht mehr korrigieren lässt¹⁵.

Der CMMC-Einführungszeitplan ist der Punkt, an dem die Quellen auseinandergehen, und der Streit ist für Ihren Bestellungswortlaut relevant. Eine Quelle nennt den 10.

November 2026 als Beginn von Phase 2, womit die Zertifizierung durch Dritte für viele Level-2-Verträge verpflichtend wird¹⁴. Eine andere nennt als Stand Juli 2026 die Aussetzung der Folgephasen durch das DoD — einschließlich der Phase-2-Pflicht zur Drittzertifizierung — bis zu einer programmweiten Überprüfung, während die Phase-1-Selbsteinschätzung in Kraft bleibt²².

Eine dritte Quelle nennt die CMMC-Program-Final Rule mit Wirkung zum 16. Dezember 2024 und Vertragsanforderungen ab Q3 2025²⁰.

Die Evidenz klärt nicht, welche Phase für Ihre Ausschreibung derzeit gilt. Bestätigen Sie den aktuellen Einführungsstatus mit Ihrem Contracting Officer, bevor Sie CMMC-Formulierungen in die Bestellung schreiben.

Was Sie bei jedem Kandidatenbetrieb prüfen, bevor Sie eine Zertifikatsaussage akzeptieren

Die Quellen konvergieren auf einen gemeinsamen Prüfsatz, und keiner dieser Punkte ist durch die Marketingaussage eines Lieferanten selbst belegt. Führen Sie je Kandidat einen dokumentierten Durchlauf durch und legen Sie die Nachweise ab.

• ✓Fordern Sie das aktuelle AS9100-Zertifikat an und bestätigen Sie Scope, Ablaufdatum und Zertifizierungsstelle; prüfen Sie, ob die Zertifizierungsstelle akkreditiert ist.
• ✓Verifizieren Sie die AS9100D-Zertifizierung über die IAQG-OASIS-Datenbank statt über eine Website-Aussage.
• ✓Fordern Sie das aktuelle DDTC-Registrierungsschreiben mit gültigem M-Code und nicht abgelaufenem Registrierungsdatum an.
• ✓Bestätigen Sie, dass die USML-Kategorien auf dem Registrierungsschreiben zu den kontrollierten Gütern oder technischen Daten Ihres Programms passen.
• ✓Fragen Sie, wie der Betrieb den Zugriff ausländischer Staatsangehöriger auf kontrollierte Daten handhabt, und fordern Sie das dokumentierte Trade Compliance Program an.
• ✓Bestätigen Sie die CMMC-Stufe des Lieferanten und ob sie die CUI-Handhabungsanforderungen Ihres Programms erfüllt.
• ✓Fragen Sie, ob der Betrieb AS9102-konforme FAIs durchgeführt hat, und fordern Sie ein Beispielpaket an.

Bearbeitungsfähigkeit und Compliance-Papiere getrennt bewerten

Die ITAR-Registrierung zählt, aber sie ersetzt keine Bearbeitungsfähigkeit²⁴. Ein registrierter Betrieb muss das Teil trotzdem korrekt fertigen.

Und die Quellen raten Käufern, Toleranzen, Maßgenauigkeit, komplexe Geometrien, anspruchsvolle Vorrichtungen, Wiederholbarkeit und Erfahrung mit anspruchsvollen Werkstoffen wie Aluminium, Edelstahl, Titan, Speziallegierungen und technischen Kunststoffen getrennt vom ITAR- oder Qualitätsmanagementstatus zu bewerten²⁴.

Eine Titanhalterung für eine Verteidigungs- oder Luft- und Raumfahrtanwendung kann mehr verlangen als grundlegende CNC-Kapazität — erfahrene Fachkräfte, Materialwissen, Inspektionsplanung, kontrollierte Dokumentation und disziplinierte Prozesslenkung²⁴. Ein Maschinenbaubetrieb kann starke Fräs- und Drehfähigkeiten haben und für ITAR-kontrollierte Arbeit dennoch ungeeignet sein, wenn ihm die Datenhandhabungskontrollen fehlen²⁴.

Wenn Sie die Fähigkeit bewerten, lassen Sie den Betrieb sie an einem Teil wie Ihrem nachweisen, statt eine Toleranzzahl von einer Website zu zitieren.

Quellen auf Lieferantenebene veröffentlichen Werte wie ±0.0127 mm True Position für flugkritische Lochpositionen und ±0.005 mm für Lagerbohrungen¹¹, aber das sind Einzelbehauptungen von Lieferanten, keine Abnahmenormen, auf die Sie sich stützen könnten. Nutzen Sie sie als Anregung, was Sie einen Betrieb im Rahmen eines Demonstrationsauftrags nachweisen lassen — nicht als Spezifikation für Ihre Zeichnung.

Welcher Qualifizierungsweg greift: voller Prime-ASL/QML-Eintritt oder der leichtere Prototypenweg?

In US-DoD-Programmen legt die Approved Supplier List oder Qualified Manufacturer List des Prime-Auftragnehmers fest, welche Lieferanten für bestimmte Komponenten eingesetzt werden dürfen. Und die Qualifizierung eines neuen Lieferanten erfordert eine formale Engineering-Prüfung und ein Qualitätsaudit, bevor Bestellungen aufgegeben werden können¹⁶.

Diese Hürde liegt über den Zertifizierungsprüfungen: Ein Betrieb kann AS9100D und ITAR-Registrierung halten und bleibt für ein bestimmtes Arbeitspaket unbrauchbar, bis der Prime ihn freigibt. Für Entwicklungs- und Prototypenprogramme, die noch nicht ASL-Beschränkungen unterliegen, wird das schnelle Onboarding über ITAR-Registrierungsverifikation, eine AS9100D-Zertifikatsprüfung über IAQG OASIS und einen begrenzten Fähigkeitsdemonstrationsauftrag als typischer Weg beschrieben¹⁶.

Befindet sich Ihr Programm in dieser Phase, lässt der leichtere Weg Sie Fähigkeit und Compliance gemeinsam bewerten, bevor Sie sich auf ein vollständiges Qualifizierungsaudit festlegen. Eine Folge der AS9100D, die Ihr Sub-Tier-Risiko betrifft: Zertifizierte Organisationen müssen Qualitätsanforderungen — kritische Merkmale, Rückverfolgbarkeit, Zugriffsrecht für Kunden- und Regulierungsaudits — an ihre eigenen Sub-Tier-Lieferanten weitergeben⁸.

Die ISO 9001 hat allgemeine Lieferantenbewertungsanforderungen, aber keinen vergleichbaren luft- und raumfahrtspezifischen Flow-down⁸. Lässt Ihr Betrieb einen Sonderprozess auslagern, geben sich die Qualitätsanforderungen des Prime typischerweise an diese Subunternehmer weiter.

Und ein Betrieb, der seine Approved Supplier List oder seine Subunternehmer-Qualifizierungsunterlagen nicht vorzeigen kann, trägt eine Lücke, die sich in Ihren Teilen zeigen wird³⁵.

Wie Compliance-Hürden und Materialanforderungen Kosten und Lieferzeit bewegen

Für Luft- und Raumfahrt- und Verteidigungsarbeit werden Aufschläge gegenüber allgemeiner Bearbeitung für missionskritische Komponenten berichtet — wegen Rückverfolgbarkeit, Qualitätsmanagementsystemen und exotischen Werkstoffen⁴. Eine Quelle berichtet US-Stundensätze für 5-Achs-CNC von $75-300/hr im Jahr 2026, je nach Stufe, Komplexität und Zertifizierungen wie AS9100D/ITAR, mit 20-50% Aufschlägen für Luft- und Raumfahrt- und Verteidigungsarbeit⁴.

Dieselbe Quelle berichtet Kostenaufschläge von 30-100% für exotische Werkstoffe und 15-40% für enge Toleranzen^{4 9} (lieferantenberichteter Wert). Das sind berichtete Spannen einer einzelnen Quelle, keine Branchenbenchmarks, und sie enthalten weder NRE, Werkzeugkosten, MOQ noch Mengenpreise.

Die Lieferzeit reagiert auf dieselben Treiber. Ein Lieferant berichtet 5-10 Werktage Lieferzeit für Prototypen-Verteidigungskomponenten mit vollständigem Dokumentationspaket einschließlich CMTR, Härtezeugnis, CMM-Prüfbericht, Oberflächengütemessung, AS9100D-Konformitätszertifikat und AS9102-Fünf-Formulare-FAI²³.

Das ist eine lieferantenspezifische Aussage für Prototypenmengen, keine Serien-Lieferzeit. Weil Specialty-Metals-Konformität und Materialherkunft innerhalb des Programms nicht korrigierbar sind, klären Sie diese Fragen vor dem RFQ¹⁵.

Wenn Sie Angebote vergleichen, lassen Sie jeden Betrieb separat ausweisen, welcher Preisanteil auf Compliance-Dokumentation, welcher auf Materialherkunft und welcher auf Bearbeitungszeit entfällt — nur so ist der Vergleich gleichartig.

Wo die Quellen beim CMMC-Einführungszeitpunkt auseinandergehen

Die Quellen widersprechen sich darin, ob der CMMC-Phase-2-Meilenstein der Drittzertifizierung derzeit in Kraft ist. Die Evidenz klärt nicht, welche Phase für Ihre Ausschreibung gilt; verifizieren Sie das mit Ihrem Contracting Officer, statt sich auf einen veröffentlichten Zeitplan zu verlassen.

Was die Quellen nicht belegen

• Keine Quelle zitiert den tatsächlichen Vertrags-, SOW- oder Bestellungsklauselwortlaut, der die AS9100 verpflichtend macht; Sie können sich also nicht auf diesen Artikel verlassen, um zu erfahren, ob Ihr konkreter Vertrag sie verlangt — lesen Sie Ihre eigenen Vertragsunterlagen.
• Die SAM.gov-Registrierung wird von keiner Quelle dieses Sets behandelt.
• Die DCMA-Regierungsquellen-Inspektion und die Sicherheitsklassifizierungsanforderungen der DD254 werden von keiner Quelle dieses Sets behandelt.
• Keine Quelle liefert NRE, Werkzeugkosten, MOQ, Mengen-Stückpreise oder Daten zur Verteidigungs-Surge-Kapazität, sodass sich die Gesamtkosten des Programms aus diesen Quellen nicht abschätzen lassen.
• Keine Quelle liefert eine Methode zur Bestimmung der USML-Kategorie oder ein durchgearbeitetes Beispiel zur Klassifizierung eines bearbeiteten Teils — diese Bestimmung ist eine Frage für Ihren Contracting Officer oder Ihren Außenhandelscompliance-Anwalt.
• Keine Quelle nennt das derzeit geltende CMMC-Anforderungsniveau für eine konkrete Ausschreibung, und die Quellen widersprechen sich beim Einführungszeitpunkt.
• Keine Quelle legt die erforderlichen NDT-Verfahren oder Abnahmekriterien für einen bestimmten Teiltyp fest.
• Keine Quelle behandelt Mechanismen zur Minderung von Foreign Ownership, Control or Influence (FOCI), abgesehen vom Hinweis, dass die FOCI-Bewertung unterer Ebenen eine Frage an den Lieferanten ist.