Das Playbook für den US-Markteintritt verbündeter Verteidigungshersteller

Sie haben US-Verteidigungsumsätze, die Sie aus dem Ausland nicht erschließen können. Ein Hauptauftragnehmer will, dass das Teil hier gebaut wird. Ein Programm trägt eine Schwelle für den heimischen Wertschöpfungsanteil. Die technischen Daten dürfen eine auf US-Persons (Personen mit US-Status im Sinne des Exportkontrollrechts) beschränkte Grenze nicht verlassen. Was auch immer der Auslöser ist, die Antwort hat dieselbe Form: ein echter US-Betrieb, der steht und auf einen Maßstab läuft, den ein Prüfer akzeptiert.

Dieser Betrieb besteht aus vier Dingen, und sie kommen gemeinsam. Die meisten Mutterkonzerne entdecken sie in der falschen Reihenfolge, eines nach dem anderen, und jedes kommt als Überraschung, die den Zeitplan zurücksetzt.

Fragen Sie den Markt, wer einem ausländischen Hersteller hilft, einen regelkonformen US-Betrieb zu bauen, und Sie bekommen sechs Antworten. Jede davon ist real, kompetent und ihr Geld wert. Jede davon hört an derselben Stelle auf.

Die meisten Mutterkonzerne lösen den fehlenden Schritt auf eine von zwei Arten. Sie stellen einen General Manager für die US-Tochtergesellschaft ein und hoffen, was von einer einzigen Person verlangt, gleichzeitig ITAR zu lernen, ein CMMC-Assessment zuzuschneiden, eine Fertigung einzustellen und den Termin eines Hauptauftragnehmers zu halten. Oder sie teilen das Problem zwischen der Anwaltskanzlei und dem IT-Anbieter auf und lassen die Nahtstellen fallen, wo sie fallen.

Die Nahtstellen sind das ganze Problem. Ihr Rechtsbeistand schneidet den ITAR-Geltungsbereich in einem Vermerk zu. Ihr IT-Anbieter schneidet die Enklave um die Systeme herum zu, die man ihm gezeigt hat. Niemandem fällt auf, dass die Zeichnung auch auf einer CNC-Steuerung liegt, im Qualitätslabor und auf dem Laptop, den Ihr Prüfingenieur zum Kunden mitnimmt, denn niemand im Raum hat jemals eine Fertigung verantwortet. Das Assessment findet es, oder schlimmer, es findet es nicht, und das nächste Audit tut es.

Ein Planungspunkt gehört zu dieser zweiten Ebene und wird übersehen. Ein Aufbau auf der grünen Wiese, eine neue US-Anlage, die Sie selbst hochziehen, liegt derzeit außerhalb der Zuständigkeit des CFIUS, das Übernahmen bestehender US-Unternehmen und bestimmte Immobiliengeschäfte prüft. Der Kauf eines bestehenden US-Betriebs bringt das CFIUS ins Spiel. Das ist ein lebendiger Eingangswert für Ihre Entscheidung zwischen bauen und kaufen, und er ist nicht dauerhaft: Das Memorandum America First Investment Policy von 2025 hat signalisiert, dass die Zuständigkeit auf die grüne Wiese ausgeweitet werden könnte. Ihr Rechtsbeistand verfolgt das. Ich spreche es an, weil Mutterkonzerne die Entscheidung zwischen bauen und kaufen über Kosten und Zeitplan treffen und danach der Prüfung begegnen.

Ich bin die operative Ebene. Alles Folgende ist das, was diese Ebene tatsächlich tut, in der Reihenfolge, in der es geschehen muss.

Es gibt drei Klassen von Verteidigungsarbeit. Jede ist ein anderer Aufbau, eine andere Kostenstruktur und ein anderer Kalender. Ein Angebot, das Ihre Klasse nicht benennt, ist eine Vermutung, die eine Zahl trägt.

Die Falle ist, die eigene Klasse aus dem Produktkatalog abzulesen. So funktioniert es nicht. In die Klasse B ziehen kontrollierte technische Daten, nicht das sichtbare Teil. Ein hochzuverlässiger Drucksensor ist genau so lange eine kommerzielle Komponente, bis seine Konstruktionsdaten in eine DoD-Plattform hineinspezifiziert sind, und dann ist er es nicht mehr, und am Sensor selbst hat sich nichts geändert.

DFARS 252.204-7012 (DFARS, die Ergänzung zur US-Bundesvergabeordnung für Verteidigungsbeschaffungen) definiert kontrollierte technische Informationen als technische Informationen mit militärischer oder raumfahrtbezogener Anwendung, die Kontrollen des Zugriffs, der Nutzung, der Vervielfältigung, der Änderung, der Ausführung, der Anzeige, der Weitergabe, der Offenlegung oder der Verbreitung unterliegen. Lesen Sie diese Liste von Tätigkeiten noch einmal, langsam. Zugriff. Nutzung. Vervielfältigung. Änderung. Anzeige. Jede einzelne davon tun Ihre Ingenieure hundertmal am Tag, in der Fertigung, im ERP, am Prüfstand, bei 200 Prozent Zoom auf einem Monitor in der Halle.

Deshalb kann die Compliance-Grenze nicht von jemandem gezogen werden, der nur Ihr Organigramm gesehen hat. Sie muss von jemandem gezogen werden, der weiß, wohin die Zeichnung tatsächlich geht, sobald ein Zerspaner sie öffnet.

Kanada, das Vereinigte Königreich, Deutschland, Italien, Frankreich, Japan, Australien, Spanien und die Schweiz sind allesamt nach DFARS qualifizierte Länder. Ebenso Belgien, Dänemark, Finnland, die Niederlande, Norwegen, Polen, Schweden und ein Dutzend weitere. Die Liste steht in DFARS 225.003, und sie ist der Beleg hinter dem Wort verbündet.

Der Status leistet eine Sache. Im Rahmen einer gegenseitigen Absichtserklärung zur Verteidigungsbeschaffung mit dem US-Verteidigungsministerium erhalten Endprodukte und Komponenten aus qualifizierten Ländern eine Beschaffungspräferenz gegenüber den Buy-American-Beschränkungen, den US-Vorschriften zur Bevorzugung heimischer Waren. Das ist real, es ist wertvoll, und es ist der Grund, warum Ihr Land überhaupt auf meiner Liste steht.

Was er nicht leistet, ist der Teil, der über Ihren Aufbau entscheidet. Der Status als qualifiziertes Land hebt ITAR nicht auf. Er hebt CMMC nicht auf. Er räumt FOCI nicht aus. Er bewegt kein einziges Byte kontrollierter technischer Daten über den Atlantik oder über den 49. Breitengrad. Diese Regelwerke gelten für einen US-Betrieb in deutschem Besitz genauso wie für einen Familienbetrieb in Nashua.

Ich stelle das nach vorn, weil alles Nachfolgende davon abhängt. Ein Mutterkonzern, der qualifiziertes Land liest und geringere Compliance-Last hört, budgetiert den falschen Aufbau, besetzt den falschen Aufbau und erfährt es, wenn die weitergereichte Pflicht des Hauptauftragnehmers mit einem Termin daran eintrifft.

Länderspezifische Feinheiten sitzen darauf, und sie sind real. Die Säule 2 von AUKUS senkt die Reibung in der Exportkontrolle zwischen dem Vereinigten Königreich, den USA und Australien, während erhebliche Ausnahmen bestehen bleiben. Kanada sitzt näher als jeder andere Verbündete, und die Vorschrift sagt das mit ihren eigenen Worten: Für Zwecke der Produktionsplanung ist Kanada Teil der verteidigungsindustriellen Basis (DFARS 225.870-1). Derselbe Abschnitt leitet die Vertragsvergabe an kanadische Auftragnehmer über die Canadian Commercial Corporation, die diese Verträge vergibt und verwaltet, vorbehaltlich vier benannter Ausnahmen. Frankreich steht außerhalb von AUKUS und läuft im Standardregime. Jede dieser Feinheiten ändert, was über eine Grenze geht. Keine davon ändert, was Sie bauen, sobald Sie hier sind.

Alles bisher war Beschaffung. Dieser Abschnitt ist Strafrecht, und hier wird ein Betrieb mit ausländischem Mutterkonzern tatsächlich verletzt.

Beginnen Sie mit der guten Nachricht, denn die meisten Mutterkonzerne haben das falsch herum im Kopf. Nach ITAR (der US-Rüstungsexportkontrolle) zählt zu den US-Persons jede Kapitalgesellschaft, Personenvereinigung, Personengesellschaft, Körperschaft, Treuhand oder jede sonstige Einheit, Organisation oder Gruppe, die in den Vereinigten Staaten zur Geschäftstätigkeit gegründet ist. Ihre US-Tochtergesellschaft ist, sobald sie hier zur Geschäftstätigkeit gegründet ist, eine US-Person. Ausländisches Eigentum ändert daran nichts. Die Gesellschaft ist nicht das Problem.

Die Menschen sind es. ITAR fasst unter Ausfuhr auch die Weitergabe oder sonstige Übermittlung technischer Daten an eine foreign person innerhalb der Vereinigten Staaten und nennt das einen deemed export. Und es geht weiter. Jede Weitergabe technischer Daten an eine foreign person innerhalb der Vereinigten Staaten gilt als Ausfuhr in alle Länder, deren Staatsangehörigkeit diese Person hält oder gehalten hat oder in denen sie ein dauerhaftes Aufenthaltsrecht hält.

Lesen Sie das nun gegen Ihr tatsächliches Organigramm. Ihre US-Gesellschaft ist eine US-Person. Der deutsche Ingenieur, den sie in Massachusetts beschäftigt, ist es nicht. Diesem Ingenieur eine kontrollierte Zeichnung zu geben, ist eine Ausfuhr nach Deutschland, vollzogen in einem Besprechungsraum an der Route 495, ohne Paket, ohne Grenze und ohne Zollpapier. Ihr Konzern-CTO, der einen Entwurf per Video aus Brescia durchsieht, ist eine Ausfuhr nach Italien. Ihr Konzern-ERP, das diese Zeichnung beim nächtlichen Abgleich auf einen Server in Frankfurt repliziert, ist jede Nacht um 2 Uhr eine Ausfuhr, automatisch, ob jemals ein Mensch die Datei öffnet oder nicht.

Deshalb ist die auf US-Persons beschränkte Datengrenze ein Aufbau und keine Richtlinie. Eine Richtlinie sagt, dass der Mutterkonzern nicht auf kontrollierte Daten zugreifen soll. Eine Grenze macht den Zugriff technisch unmöglich, außer über einen genehmigten Weg, und erzeugt den Nachweis, dass es so war. Identitäts- und Zugriffsmanagement, Netzwerksegmentierung, der Zuschnitt von ERP und PLM, die Isolierung von MES und Prüftechnik und ein dokumentierter Weitergabeprozess, der vor jede Übermittlung nach außen eine benannte menschliche Entscheidung setzt.

Die Ausnahmeregelung für Kanada in 22 CFR 126.5 erzeugt die schärfste Fassung dieses Missverständnisses, und sie verdient einen Absatz. Sie erlaubt die lizenzfreie Ausfuhr bestimmter nicht klassifizierter Güter der USML aus den USA an eine in Kanada registrierte Person. Sie trägt echte Grenzen, darunter die durch Supplement No. 1 zu Part 126 ausgeschlossenen Güter und die vorherige Genehmigung der DDTC für Wiederausfuhr oder Weiterverbringung. Sie ist eine Ausfuhrgenehmigung von den USA nach Kanada. Sie ist keine allgemeine Lizenz für einen kanadischen Mutterkonzern, in die kontrollierten technischen Daten seiner US-Tochtergesellschaft hineinzugreifen. Sie so zu lesen, ist der Weg, auf dem ein Betrieb mit kanadischem Mutterkonzern eine freiwillige Selbstanzeige entwirft.

Übermittlungen an den Mutterkonzern erfolgen mit Genehmigung der DDTC oder gar nicht. Das ist keine Haltung, die ich Sie zu übernehmen bitte. Es ist die Entwurfsbedingung, um die herum die gesamte IT- und OT-Architektur gebaut wird, und es ist das Erste, was ich setze, weil jede spätere Entscheidung sie erbt.

Eine Zeile in der ITAR erwischt Hersteller mit ausländischem Mutterkonzern, die dachten, die ITAR gelte für sie noch nicht.

22 CFR 122.1 verlangt von jeder Person, die in den Vereinigten Staaten gewerblich Rüstungsgüter herstellt, ausführt oder vorübergehend einführt oder Rüstungsdienstleistungen erbringt, die Registrierung bei der Directorate of Defense Trade Controls. Dann folgt der Satz, den man überspringt: Ein Hersteller, der nicht ausführt, muss sich dennoch registrieren.

Sie müssen nichts ausführen. Sie müssen kein Teil versenden, keine Zeichnung übermitteln und es nicht einmal vorhaben. Wenn Ihr US-Betrieb ein Rüstungsgut herstellt, registrieren Sie sich. Die Vorschrift ist ausdrücklich: Für die Ausübung dieses Gewerbes genügt ein einziger Fall der Herstellung.

Und die Registrierung ist keine Genehmigung. Die Regel sagt es mit ihren eigenen Worten: Die Registrierung verleiht keinerlei Exportrechte oder Privilegien. Sie ist in erster Linie ein Mittel, der US-Regierung die nötigen Informationen darüber zu geben, wer an bestimmten Herstellungs- und Ausfuhrtätigkeiten beteiligt ist, und sie ist in der Regel eine Vorbedingung für die Erteilung jeder Lizenz oder sonstigen Genehmigung. Mutterkonzerne lesen eine abgeschlossene Registrierung regelmäßig als grünes Licht. Sie ist die Voraussetzung dafür, überhaupt fragen zu dürfen.

Die Regel trägt enge Ausnahmen, darunter eine für Personen, die Güter ausschließlich zu Versuchs- oder wissenschaftlichen Zwecken fertigen, und dort sitzt ein Betrieb im Prototypenstadium manchmal eine Weile. Sie ist eng, sie greift in dem Moment nicht mehr, in dem Sie für ein Programm bauen, und diese Einordnung trifft Ihr Rechtsbeistand für Exportkontrolle, nicht ich.

Ihr Rechtsbeistand reicht die Registrierung ein. Ich sorge dafür, dass der Betrieb, den die Eintragung beschreibt, der Betrieb ist, den Sie tatsächlich führen, denn eine Registrierung, die eine Fiktion beschreibt, ist schlimmer als gar keine Registrierung.

CMMC (der von der US-Verteidigung geforderte Cybersicherheits-Reifegrad) hat aufgehört, ein politisches Gespräch zu sein, und ist eine Klausel geworden. DFARS 252.204-7021 verlangt von einem Auftragnehmer, für die Laufzeit des Vertrags einen aktuellen CMMC-Status auf der Stufe zu halten, die der Contracting Officer (der Vergabebeamte) festlegt, und zwar für alle bei der Erfüllung genutzten Informationssysteme, die Federal Contract Information (Informationen aus Bundesaufträgen) oder CUI (kontrollierte, nicht klassifizierte Informationen) verarbeiten, speichern oder übertragen. Sie verlangt eine jährliche Bestätigung fortlaufender Konformität durch einen namentlich benannten Verantwortlichen im SPRS. Und sie verlangt von Ihnen, vor der Vergabe eines Untervertrags den Status Ihres eigenen Unterauftragnehmers zu bestätigen. Kein Status, keine Vergabe. Keine Bestätigung, keine Fortführung.

Die Einführung ist in der CMMC-Programmregel in 32 CFR 170.3 definiert und läuft in vier Schritten von je einem Jahr. Die Phase 1 beginnt am Tag des Inkrafttretens der ergänzenden CMMC-Vergaberegel nach 48 CFR. Diese Regel, DFARS Case 2019-D041, wurde am 10. September 2025 veröffentlicht und trat am 10. November 2025 in Kraft. Die Phase 2 beginnt ein Kalenderjahr nach dem Startdatum der Phase 1, und die Phase 2 war der Schritt, der einen CMMC-Status auf Level 2 mit einer zertifizierten Drittprüfung zur Bedingung der Auftragsvergabe gemacht hätte.

Dann bewegte sich das Programm, und die Vorschrift nicht. Am 13. Juli 2026 hat das Ministerium die ursprünglich für den 10. November 2026 vorgesehenen Anforderungen der Phase II ausgesetzt, eine Taskforce zur CMMC-Reform eingesetzt und die Umsetzung in Phase 1 angehalten. Ein Ersatzdatum wurde nicht benannt. Mit Stand Juli 2026 wird CMMC Level 2 über eine Selbstbewertung alle drei Jahre anhand der 110 Sicherheitsanforderungen nach NIST SP 800-171 Revision 2 (NIST SP 800-171, der US-Standard zum Schutz kontrollierter, nicht klassifizierter Informationen) erreicht, mit einer jährlichen Bestätigung im SPRS, und das Ministerium hat erklärt, es werde während der Prüfung über Selbstbewertungen und ausgewählte behördlich geführte Assessments durchsetzen. Die Anforderungen der Phase I bleiben, mit den Worten des Ministeriums, fest in Kraft. Lesen Sie die Vorschrift, und Sie bekommen einen Zeitplan. Lesen Sie das Programm, und Sie bekommen die Wahrheit, und dieses Dokument ist für Menschen geschrieben, die nach der zweiten handeln müssen.

Lesen Sie die Aussetzung nun auf den Teil, den die Schlagzeile übersprungen hat, denn das ist der Teil, der über Ihren Aufbau entscheidet. Das Ministerium hat ausdrücklich erklärt, dass diese Maßnahme die Pflicht der Unternehmen, Informationen nach der DFARS-Klausel 252.204-7012 zu schützen, nicht aufhebt. Das Zertifikat wurde ausgesetzt. Die Pflicht nicht. Die Klausel steht weiterhin in Ihrem Vertrag, die 110 Anforderungen sind weiterhin der Maßstab, und Ihr Hauptauftragnehmer darf Ihnen unter die Klausel fallende Arbeit weiterhin nicht vergeben, solange Ihr Assessment nicht aktuell ist. Genau das ist das Tor, das DFARS 252.204-7020(g)(2) vor den Einkäufer stellt, der entscheidet, wem er kontrollierte technische Daten anvertraut.

Das ist eine härtere Frist, als der November es war, keine weichere. Ein Datum lädt einen Mutterkonzern ein, die Arbeit für Oktober einzuplanen. Was an seine Stelle getreten ist, wartet nicht: Die Klausel bindet heute, und das Assessment ist jetzt die Erklärung Ihrer eigenen Organisation gegenüber der Regierung und nicht mehr der Befund eines Prüfers. Ihr Rechtsbeistand für das öffentliche Auftragswesen verantwortet das rechtliche Risiko dieser Erklärung. Ich verantworte, ob die Fertigung die Kontrollen, die Sie bestätigen, tatsächlich betreibt. Und achten Sie darauf, worauf die Reform zielt, denn sie zielt nicht dorthin, wohin die Compliance-Anbieter zeigen: die Hürden für kleine, mittlere und branchenfremde Unternehmen senken und bürokratische Compliance durch skalierbare, widerstandsfähige Cybersicherheitsmaßnahmen ersetzen. Eine Prüfung, die auf echte Cybersicherheit statt auf Verwaltungsaufwand zielt, rettet keinen Betrieb, der einen Ordner gekauft hat. Sie belohnt den, der die Fertigung gebaut hat.

Level 2 ist keine maßgeschneiderte Erfindung des DoD. 32 CFR 170.14 sagt es klar: Die Sicherheitsanforderungen in CMMC Level 2 sind identisch mit den Anforderungen nach NIST SP 800-171 R2. Wenn Ihr Mutterkonzern ein ausgereiftes ISO-27001-Programm führt, hilft diese Disziplin. Sie bildet nicht eins zu eins ab, denn 800-171 schneidet sich dorthin zu, wo CUI tatsächlich liegt, und in einem Fertigungsbetrieb liegt CUI in der Fertigung.

Dann gibt es die Klausel, die darüber entscheidet, ob die IT-Abteilung Ihres Mutterkonzerns überhaupt im Bild bleibt. DFARS 252.204-7012 verlangt, dass ein externer Cloud-Dienstleister, den Sie zum Speichern, Verarbeiten oder Übertragen kontrollierter Verteidigungsinformationen nutzen, Sicherheitsanforderungen erfüllt, die denen gleichwertig sind, die die Regierung für die FedRAMP-Moderate-Baseline aufgestellt hat, und dass er die Pflichten der Klausel zu Vorfallmeldung, Sicherung von Datenträgern und forensischem Zugriff einhält. Der europäische Mandant Ihres Konzerns. Die gemeinsam genutzte ERP-Instanz Ihres Mutterkonzerns. Das PLM, das Ihre Konstruktionsorganisation global betreibt, jenes, von dem Ihr CTO ganz selbstverständlich annehmen wird, dass der US-Standort sich einfach dazuschaltet. Jedes davon fällt in den Geltungsbereich, sobald es kontrollierte Verteidigungsinformationen berührt, und die meisten davon nehmen diese Hürde nicht.

Dieselbe Klausel definiert ein covered contractor information system als ein nicht klassifiziertes Informationssystem, das einem Auftragnehmer gehört oder von ihm oder für ihn betrieben wird und das kontrollierte Verteidigungsinformationen verarbeitet, speichert oder überträgt. Diese Definition sagt nicht Büro-IT. Wenn die Zeichnung auf der CNC-Steuerung liegt, fällt die Steuerung in den Geltungsbereich. Das ist das gesamte Argument dafür, IT und OT vor dem Assessment zusammenzuführen statt danach, und es ist der Grund, warum eine als Compliance-Lösung verkaufte Enklave Ihre Fertigung außerhalb genau der Grenze stehen lassen kann, für deren Schutz sie gekauft wurde.

Und die Klausel hat eine Stoppuhr in sich. Unverzüglich melden heißt innerhalb von 72 Stunden nach Entdeckung eines Cybervorfalls, eingereicht beim DoD über das DIBNet-Portal, das ein vom DoD anerkanntes Medium Assurance Certificate verlangt, das Sie sich beschaffen müssen, bevor Sie es brauchen, und nicht währenddessen. Ein Mutterkonzern, dessen Reaktion auf Vorfälle über ein europäisches SOC, eine konzernrechtliche Prüfung und eine Zeitzone läuft, wird die 72 Stunden an dem Tag nicht halten, an dem es zählt.

Foreign Ownership, Control, or Influence, also ausländisches Eigentum, ausländische Kontrolle oder ausländischer Einfluss, ist das Regelwerk, das darüber entscheidet, ob eine US-Gesellschaft in ausländischem Besitz eine facility clearance halten kann. Verwaltet wird es von der Defense Counterintelligence and Security Agency. Die DCSA ist der Schiedsrichter. Sie ist kein Anbieter, und kein Operator verhandelt mit ihr.

Zuerst die Frage des Geltungsbereichs, denn sie spart diesem Publikum echtes Geld. Eine facility clearance und FOCI-Minderungsmaßnahmen hängen an klassifizierter Arbeit, und das ist die Klasse C. Wenn Ihr US-Betrieb Arbeit der Klasse B leistet, also kontrollierte technische Daten und CUI ohne klassifizierte Informationen, liegen Sie sehr wahrscheinlich vollständig außerhalb des Wegs über die facility clearance. Bestätigen Sie das mit Ihrem Rechtsbeistand, statt es in die eine oder andere Richtung anzunehmen: Mutterkonzerne budgetieren sowohl Ermächtigungsprogramme über, die sie nie brauchen werden, als auch werden sie überrascht, wenn ein bestimmter Kunde oder ein bestimmtes Programm bei nicht klassifizierter Arbeit Fragen zum ausländischen Eigentum stellt.

Wo es greift, ist entscheidend zu verstehen, dass die FOCI-Minderung kein Dokument ist, das man unterschreibt und ablegt. Die Instrumente, die die DCSA einsetzt, Board Resolutions, Security Control Agreements, Special Security Agreements, Proxy-Vereinbarungen, greifen unmittelbar in die Führung Ihres Unternehmens ein. Wer dem Aufsichtsrat angehört. Wer von Ihren eigenen Führungskräften worüber unterrichtet werden darf. Welche Berichte zum Mutterkonzern fließen und welche an der US-Grenze enden. Wer im Mutterkonzern die Geschäfte der US-Gesellschaft lenken darf und wer nicht.

Ihr Rechtsbeistand entwirft dieses Instrument. Ich lebe in seinen Folgen. Ein Special Security Agreement, das den Mutterkonzern von den technischen Abläufen der Tochtergesellschaft abschirmt, ist am Dienstag ein Rechtsdokument und am Mittwoch ein Betriebsmodell: eine Berichtslinie, die tatsächlich existieren muss, ein Datenfluss, der tatsächlich aufhören muss, eine Führungskraft, die eine Zahl, die sie ein Jahrzehnt lang jeden Monat durchgesehen hat, wirklich nicht mehr sehen kann. Einen Betrieb zu bauen, der das Instrument erfüllt und trotzdem Produkte liefert, ist die eigentliche Arbeit, und es ist keine juristische Arbeit.

Die veröffentlichte Handreichung ist hier dünn und für Juristen geschrieben. Die DCSA dokumentiert das Regelwerk. Das Center for Development of Security Excellence veröffentlicht einen Studienleitfaden. Der Standards Guide for Foreign Partners des DoD CIO ist ein Kontroll-Overlay. Keiner von ihnen sagt Ihnen, was Sie am Montagmorgen mit Ihrem Organigramm tun sollen.

Der Aufbau läuft parallel, nicht nacheinander, denn ein Tor des Hauptauftragnehmers wartet nicht darauf, dass Sie eine Phase abschließen, bevor Sie die nächste beginnen. Das Betriebsmodell, die IT- und OT-Umgebung und die Compliance-Aufstellung entstehen gemeinsam.

Was ein Quartal realistisch macht, ist, die vier Aufbauten gleichzeitig statt nacheinander zu leisten und die Abhängigkeiten gut genug zu kennen, um am ersten Tag das Richtige zu beginnen.

Die serielle Fassung ist die, in die ich gerufen werde. Die Gesellschaft gründen. Dann den Standort wählen. Dann einen General Manager einstellen. Dann den ITAR-Geltungsbereich entdecken. Dann einen IT-Anbieter anrufen. Dann feststellen, dass die Enklave die Fertigung nicht abdeckt. Dann das Assessment neu zuschneiden, was das Tor des Hauptauftragnehmers verschiebt, was den Einstellungsplan verschiebt. Diese Fassung hat keine Dauer. Sie entdeckt immerfort ihre eigenen Anforderungen, und jede Entdeckung setzt etwas weiter oben zurück.

Die parallele Fassung zieht die zwei Entscheidungen nach vorn, die alles andere erbt: Ihre Auftragsklasse und den Verlauf der Datengrenze. Treffen Sie diese in den ersten dreißig Tagen richtig, und der Rest ist Ausführung gegen eine bekannte Form. Treffen Sie sie falsch, und kein Tempo später holt das wieder auf.

Die Abfolge ist das Ergebnis. Nicht die Checkliste, nicht die Enklave, nicht der Bericht. Die Reihenfolge.

Neuengland ist die Landezone. Nicht, weil ich hier bin, obwohl ich es bin, in Brookline, New Hampshire. Sondern weil die Hauptauftragnehmer, die Zulieferbasis und die Compliance-Tiefe bereits hier sind, und weil ein Zulieferer, der in Fahrdistanz zu der Linie steht, die er beliefert, etwas wert ist, das in einer Standorttabelle nicht auftaucht.

Das Muster ist an beiden Enden der Größenskala belegt. Im April 2026 erreichte American Rheinmetall, die US-Tochter des deutschen Konzerns, an seinen US-Produktionsstandorten die Zertifizierung nach CMMC Level 2. Das ist die Großkonzern-Fassung genau dieses Aufbaus, und es ist eine öffentliche, datierte Tatsache, die Sie selbst prüfen können, bevor Sie mich anrufen.

Am anderen Ende fertigt GEFRAN, ein italienischer Sensor- und Automatisierungskonzern, in North Andover, Massachusetts, weniger als eine Stunde von meinem Standort entfernt. GEFRAN ist kein Verteidigungszulieferer, und genau das ist der Punkt: Dieser Korridor hält bereits europäische Präzisionshersteller, die echte US-Werke betreiben. Der Verteidigungsaufbau ist eine Aufstellung, die einem Muster hinzugefügt wird, das bereits hier ist und bereits funktioniert.

Ich habe das Nordamerika-Geschäft von GEFRAN geleitet. Ich war der Operator des ausländischen Mutterkonzerns in den Vereinigten Staaten und habe genau auf dem Boden gestanden, den ein italienischer oder ein deutscher Mutterkonzern gerade betritt. Und ich tue es jetzt, beim Aufbau des US-Fertigungsbetriebs im Verteidigungsbereich für die Tochtergesellschaft eines kanadischen Mutterkonzerns. Die Abfolge in diesem Dokument ist das Mandat, das ich führe, und kein Rahmenwerk, das für eine Broschüre zusammengestellt wurde.

Die Begründung für diesen Korridor im Einzelnen, die Dichte der Hauptauftragnehmer, die Zulieferbasis, der Arbeitsmarkt und die Gründe, warum ein Mutterkonzern aus Brescia oder Ontario hier landet statt in einem günstigeren Bundesstaat, ist Gegenstand von Die Landezone Neuengland. Die Architektur der Datengrenze selbst, der digitale Faden, der zugleich eine ITAR-Datengrenze und ein CMMC-Assessment erfüllen muss, ist Gegenstand von Ein Faden, zwei Flaggen. Die einzelnen Länderkorridore, der CCC-Kanal Kanadas, die AUKUS-Ausnahmen, der Weg des Mittelstands, werden in den Markteintritts-Briefings einzeln auseinandergenommen.

Ich baue den regelkonformen US-Betrieb auf und führe ihn: die Fertigung, das Betriebsmodell, den Aufbau der IT- und OT-Umgebung, die auf US-Persons beschränkte Datengrenze und die Bereitschaftsnachweise für das Tor, gegen das Sie laufen. Die Gründung der Gesellschaft, die FOCI-Minderungsmaßnahmen und die Standortwahl bleiben bei Ihrem Unternehmensrechtsbeistand, Ihrem Rechtsbeistand für Exportkontrolle und einem Standortberater. Ich stimme mich mit ihnen ab und verantworte das operative Ergebnis.

Diese Grenze ist bewusst gezogen, und sie ist der Grund, warum das Mandat funktioniert. Sie haben bereits Berater für das rechtliche Instrument, und keiner von ihnen wird Ihre Fertigung führen. Eine Firma, die das Ganze für sich beansprucht, beansprucht eine Rechtspraxis, die sie nicht hat, und dieses Publikum prüft das nach.

Was ich hinzufüge, ist die Ebene, die die sechs Ebenen offen lassen. Ein Ingenieur, der operativ geführt hat: ein Hersteller-CEO, der als Arbeitgeber für die Gehälter unterschrieben hat, ein General Manager des Nordamerika-Geschäfts einer ausländischen Tochtergesellschaft, ein Operator, der im AS9100-Audit-Stuhl (AS9100, die Norm für das Qualitätsmanagement in der Luft- und Raumfahrt) gesessen hat, statt ihn von einer Folie aus zu begutachten, und der eine MRP-Umstellung (MRP, die Materialbedarfsplanung) bei laufendem Betrieb durchgeführt hat, ohne eine einzige Lieferung zu verlieren.

Die Mandate sind die bestehenden drei. Eine Operative Triage in 30 Tagen, die einen belastbaren schriftlichen Plan hervorbringt statt eines Foliensatzes. Ein Fractional-COO-Retainer, der die operative Führung durch den Aufbau hindurch einbettet. Eine Strategische Beratung, zum Festpreis auf ein klar umrissenes Ereignis zugeschnitten. Ein Markteintrittsaufbau beginnt üblicherweise mit der Triage und läuft als Fractional-Führung durch die ersten neunzig Tage weiter, denn dann fallen die Entscheidungen, die sich nicht rückgängig machen lassen.

Maximal vier Mandate gleichzeitig. Die Kapazität ist der Engpass und der Beweis, denn vier ist die echte Grenze, diese Arbeit in der Tiefe zu leisten, die sie verlangt. Jedes Mandat steht unter NDA (Vertraulichkeitsvereinbarung).