AS9100D vs ISO 9001, ITAR en DFARS/CMMC voor precisiebewerking voor defensie: welke kwalificatiedrempels zijn verplicht

Is AS9100D een harde drempel, of volstaat ISO 9001 alleen?

Begin met de taal van het contract, de SOW of de PO. AS9100D is gebouwd op ISO 9001:2015 en voegt aerospace-specifieke eisen toe over product- en procesveiligheid, configuratiemanagement, eerste-exemplaarinspectie, key characteristics, preventie van namade-producten en supplier flow-down^{1,8,9,11,17,35}.

Een leverancier die alleen ISO 9001 heeft, is niet tegen die toevoegingen geauditeerd, dus het certificaat dekt de aerospace-scope die jouw programma kan oproepen niet^8,15,35. Voor werk aan aerospaceprogramma's wordt ISO 9001 alleen als onvoldoende beschreven, en van prime contractors wordt gemeld dat zij AS9100D eisen van bewerkingsleveranciers³⁵.

Eén bron stelt dat een CNC-leverancier zonder AS9100D geen vlakritische componenten kan leveren aan een grote aerospace-OEM¹⁷. AS9100D wordt ook beschreven als het verplichte quality managementsysteem voor defensie-aerospace-hardware, terwijl ISO 9001 zelfstandig wordt geëist van leveranciers buiten de aerospace-scope van AS9100^9,21.

Dat gezegd zijnde: geen enkele bron in deze set haalt een concrete contract-, SOW- of PO-clausule aan die AS9100 verplicht stelt. En geen enkele stelt vast dat AS9100 wettelijk verplicht is in elk defensiecontract, ongeacht wat het contract oproept²².

Behandel AS9100D als de verwachte baseline voor bewerkingswerk met aerospace/defensie-scope, en lees je eigen contractdocumenten om te bevestigen of het expliciet wordt opgeroepen. Als de scope puur commercieel is, kan ISO 9001 de toepasselijke norm zijn⁹.

Vallen de onderdelen of tekeningen onder USML-controle, en maakt dat ITAR-registratie tot een drempel vóór toekenning?

ITAR-registratie bij de DDTC wordt beschreven als verplicht voor elke fabrikant die defensieartikelen of technische data onder de USML produceert, exporteert of handelt. En als vereist vóór contracttoekenning op de meeste defensieprogramma's^2,9.

Registratie is verplicht zelfs als het bedrijf niet van plan is te exporteren². Voor een leverancier die USML-geliste hardware of technische data raakt, wordt registratie gepresenteerd als een filter dat niet-Amerikaanse bedrijven uitsluit tenzij er een exportvergunning is verkregen²¹.

Het mechanisme telt zwaarder dan het certificaat. ITAR reikt tot technische data — blauwdrukken, tekeningen, software — en defensiediensten, niet alleen tot de verzending van hardware².

Dat betekent dat een leverancier die jouw defensietekeningen behandelt de toegang van buitenlandse staatsburgers tot die tekeningen moet beheersen, inclusief buitenlandse medewerkers of partners die zich fysiek in de VS bevinden². Registratie alleen stelt die beheersing niet vast; de leverancier heeft een gedocumenteerd proces voor databehandeling en personeelstoegang nodig¹⁵.

Voordat je tekeningen verstuurt, vraag of het onderdeel of de technische data op de USML staat en welke categorie van toepassing is. Geen enkele bron in deze set biedt een methode om een USML-categorie te bepalen of een uitgewerkt voorbeeld van het classificeren van een bewerkingsdeel.

Die bepaling is dus een vraag aan je contractofficier of trade-compliance-adviseur, niet iets om af te leiden uit de registratiebrief van een leverancier.

Gelden CMMC- en DFARS-clausules voor deze scope, en welke fase is momenteel van kracht?

CMMC kleeft aan programma's met Controlled Unclassified Information. Voor defensieprogramma's met CUI wordt CMMC-naleving beschreven als een harde programmeis, en één niet-conforme fabrikant kan een bod diskwalificeren²⁰.

CMMC Level 2 dekt volgens de bronnen ongeveer 110 NIST SP 800-171-controls en vereist doorgaans een beoordeling door derden via C3PAO's voor contractanten die met CUI werken^14,21. Zelfverklaring en beoordeling door derden zijn niet gelijkwaardig²⁰.

DFARS-verplichtingen lopen naast CMMC. Leveranciers moeten de toepasselijke DFARS-clausules die de prime doorzaagt accepteren en implementeren, waaronder preventie van namade-producten, materiaaltraceerbaarheid en cyberbeveiligingseisen¹⁴.

Waar het programma aan binnenlandse-inhoudrestricties is onderworpen, gelden DFARS-conforme inkoop van specialiteitmetalen en documentatie van de smeltorigine^28,29. Naleving van specialiteitmetalen moet vóór de offerteaanvraag geregeld zijn, niet na de PO, omdat materiaalbron en levertijd en kosten raken op manieren die midden in het programma niet te herstellen zijn¹⁵.

Het invoeringsschema van CMMC is het punt waarop de bronnen het oneens zijn, en dat verschil is materieel voor jouw PO-formulering. Eén bron stelt dat fase 2 begint op 10 november 2026, waardoor certificering door derden verplicht wordt voor veel Level 2-contracten¹⁴.

Een andere stelt dat DoD in juli 2026 de daaropvolgende fasen heeft opgeschort — inclusief de vereiste van fase 2-certificering door derden — in afwachting van een programma-brede evaluatie, waarbij de zelfbeoordeling van fase 1 van kracht blijft²².

Een derde bron stelt dat de final rule van het CMMC-programma op 16 december 2024 in werking is getreden, met contractvereisten vanaf Q3 2025²⁰. Het bewijs lost niet op welke fase momenteel geldt voor jouw aanbesteding.

Bevestig de huidige invoeringsstatus met je contractofficier voordat je CMMC-formuleringen in de PO schrijft.

Wat je bij elke kandidaat-leverancier verifieert voordat je een certificaatclaim accepteert

De bronnen convergeren naar een gemeenschappelijke verificatieset, en geen van deze punten wordt vastgesteld door de marketingclaim van een leverancier zelf. Doorloop één gedocumenteerde ronde per kandidaat en bewaar het bewijs in je dossier.

• ✓Vraag het actuele AS9100-certificaat op en bevestig scope, vervaldatum en certificeringsinstantie; verifieer dat de certificeringsinstantie geaccrediteerd is.
• ✓Verifieer AS9100D-certificering via de IAQG OASIS-database in plaats van via een websiteclaim.
• ✓Vraag de actuele DDTC-registratiebrief op met een geldige M-code en een niet-verlopen registratiedatum.
• ✓Bevestig dat de USML-categorieën op de registratiebrief overeenkomen met de gecontroleerde artikelen of technische data in jouw programma.
• ✓Vraag hoe de leverancier de toegang van buitenlandse staatsburgers tot gecontroleerde data regelt en vraag het gedocumenteerde Trade Compliance Program op.
• ✓Bevestig het CMMC-niveau van de leverancier en of dat voldoet aan de CUI-behandelingsvereisten van jouw programma.
• ✓Vraag of de leverancier AS9102-conforme FAIR's heeft uitgevoerd en vraag een voorbeelddossier op.

Scheid bewerkingscapaciteit van compliance-papierwerk

ITAR-registratie telt, maar vervangt geen bewerkingscapaciteit²⁴. Een geregistreerde leverancier moet het onderdeel nog steeds correct produceren.

En de bronnen adviseren inkopers om toleranties, dimensionale nauwkeurigheid, complexe geometrieën, geavanceerde opspanning, herhaalbaarheid en ervaring met veeleisende materialen zoals aluminium, roestvast staal, titanium, specialiteit-legeringen en technische kunststoffen apart te beoordelen van ITAR- of quality-system-status²⁴.

Een titanium beugel voor een defensie- of aerospace-toepassing kan meer vragen dan basale CNC-capaciteit — ervaren technici, materiaalkennis, inspectieplanning, gecontroleerde documentatie en gedisciplineerde procesbeheersing²⁴. Een werkplaats kan sterke frees- en draaicapaciteiten hebben en toch niet geschikt zijn voor ITAR-gecontroleerd werk als de databehandelingscontroles ontbreken²⁴.

Beoordeel je capaciteit, vraag de leverancier dan om die te demonstreren op een onderdeel zoals het jouwe in plaats van een tolerantiecijfer van een website te citeren.

Bronnen op leveranciersniveau publiceren cijfers zoals ±0.0127 mm true position voor vlakritische gatposities en ±0.005 mm voor lagerzittingen¹¹, maar dit zijn losse leveranciersclaims, geen acceptatienormen waar je op kunt vertrouwen. Gebruik ze als aanknopingspunten voor wat je een leverancier moet laten demonstreren op een demonstratieorder, niet als de specificatie voor je tekening.

Welke kwalificatieroute geldt: volledige prime ASL/QML-toelating of het lichtere prototyperoute?

Op Amerikaanse DoD-programma's bepaalt de Approved Supplier List of Qualified Manufacturer List van de prime contractor welke leveranciers voor specifieke componenten mogen worden gebruikt. En kwalificatie van een nieuwe leverancier vereist een formele engineering-evaluatie en quality-audit voordat er inkooporders kunnen worden geplaatst¹⁶.

Die drempel ligt boven de certificeringscontroles: een werkplaats kan AS9100D en ITAR-registratie hebben en toch onbruikbaar zijn op een specifiek werkpakket totdat de prime haar goedkeurt.

Voor ontwikkelings- en prototypeprogramma's die nog niet aan ASL-restricties zijn onderworpen, wordt snelle onboarding via ITAR-registratieverificatie, een AS9100D-certificaatcontrole via IAQG OASIS en een beperkte capaciteitsdemonstratieorder beschreven als het gebruikelijke pad¹⁶. Als jouw programma in die fase zit, laat de lichtere route je capaciteit en naleving samen beoordelen voordat je committeert aan een volledige kwalificatieaudit.

Eén gevolg van AS9100D dat raakt aan jouw sub-tier-risico: gecertificeerde organisaties moeten quality-vereisten — key characteristics, traceerbaarheid, recht van toegang voor klant- en regelgevingsinspectie — doorzakken naar hun eigen sub-tier-leveranciers⁸. ISO 9001 heeft algemene leveranciersevaluatie-eisen maar geen equivalente aerospace-specifieke doorzakplicht⁸.

Als jouw werkplaats een speciaal proces uitbesteedt, zakken de quality-vereisten van de prime doorgaans door naar die onderaannemers. En een werkplaats die haar goedgekeurde leverancierslijst of onderaannemerskwalificatieregistraties niet kan tonen, heeft een gat dat zichtbaar wordt in jouw onderdelen³⁵.

Hoe de compliance-drempels en materiaalvereisten kosten en levertijd bepalen

Van werk voor lucht- en ruimtevaart en defensie wordt gemeld dat het premies boven algemene bewerking met zich meebrengt voor missiekritieke componenten, vanwege traceerbaarheid, quality-systemen en exotische materialen⁴.

Eén bron meldt Amerikaanse uurtarieven voor 5-assige CNC van $75-300/uur in 2026, afhankelijk van niveau, complexiteit en certificeringen zoals AS9100D/ITAR, met premies van 20-50% voor aerospace- en defensiewerk⁴. Dezelfde bron meldt kostentoeslagen van 30-100% voor exotische materialen en 15-40% voor strakke toleranties^{4 9} (leveranciersgemeld cijfer).

Dit zijn gerapporteerde ranges van één bron, geen industriebenchmarks, en ze omvatten geen NRE, gereedschap, MOQ of volumeprijzen. Levertijd wordt door dezelfde factoren beïnvloed.

Eén leverancier meldt levertijden van 5-10 werkdagen voor prototype-defensiecomponenten met een volledig documentatiedossier inclusief CMTR, hardheidscertificaat, CMM-rapport, oppervlakteruwheidsmeting, AS9100D Certificate of Conformance en AS9102-vijfdelige FAI²³. Dat is een leveranciersspecifieke claim voor prototypehoeveelheden, geen productielevertijd.

Omdat naleving van specialiteitmetalen en materiaalorigine niet midden in het programma te herstellen zijn, lost die vragen op vóór de offerteaanvraag¹⁵. Vergelijk je offertes, vraag elke leverancier dan apart te vermelden welk deel van de prijs uit compliance-documentatie bestaat, welk deel uit materiaalorigine en welk deel uit bewerkingstijd, zodat de vergelijking apples-with-apples is.

Waar de bronnen het oneens zijn over de invoeringstijdlijn van CMMC

De bronnen zijn het oneens over of de fase 2-certificeringsmijlpaal van CMMC door derden momenteel van kracht is. Het bewijs lost niet op welke fase geldt voor jouw aanbesteding, dus verifieer dat met je contractofficier in plaats van te vertrouwen op een gepubliceerde planning.

Wat de bronnen niet aantonen

• Geen enkele bron citeert de feitelijke contract-, SOW- of PO-clausuletaal die AS9100 verplicht stelt, dus je kunt op dit artikel niet vertrouwen om te weten of jouw specifieke contract deze oproept — lees je eigen contractdocumenten.
• SAM.gov-registratie wordt door geen enkele bron in deze set behandeld.
• DCMA-overheidsbroninspectie en DD254-veiligheidsclassificatievereisten worden door geen enkele bron in deze set behandeld.
• Geen enkele bron levert NRE-, gereedschapskosten-, MOQ-, volumeprijzen per eenheid of data over defensie-surge-capaciteit, dus de totale programmakosten zijn op basis van deze bronnen niet te schatten.
• Geen enkele bron biedt een methode om een USML-categorie te bepalen of een uitgewerkt voorbeeld van het classificeren van een bewerkingsdeel — die bepaling is een vraag aan je contractofficier of trade-compliance-adviseur.
• Geen enkele bron stelt het momenteel geldende CMMC-vereistenniveau voor een specifieke aanbesteding vast, en de bronnen zijn het oneens over de invoeringstijdlijn.
• Geen enkele bron stelt vereiste NDT-methoden of acceptatiecriteria voor een bepaald onderdeeltype vast.
• Geen enkele bron gaat in op mitigatiemechanismen voor foreign ownership, control or influence (FOCI), afgezien van de opmerking dat FOCI-beoordeling bij lagere niveaus een vraag is die je moet stellen.