AQAP 2210 Anforderungen umsetzen: Was Unternehmen in Softwareprojekten nachweisen müssen
Software lässt sich nicht durch eine reine Endprüfung absichern. Ein fehlerfreier Testlauf beweist weder eine beherrschte Entwicklung noch eine lückenlose Nachweiskette. Genau hier setzt AQAP 2210 an. Die Publikation ergänzt die Anforderungen aus AQAP 2110 oder AQAP 2310 um Regeln für die Qualität von Software.
Wer AQAP 2210 Anforderungen umsetzen muss, braucht deshalb mehr als ein QM-Handbuch. Gefordert ist ein nachvollziehbares System für den gesamten Software-Lebenszyklus. Es reicht von der ersten Anforderung bis zur Pflege nach der Auslieferung. Rollen, Entscheidungen, Änderungen, Tests und Freigaben müssen zusammenpassen und belegbar sein.
Dieser Beitrag zeigt Ihnen, wie Sie die Aufgabe praktisch angehen. Sie erfahren, wann AQAP 2210 gilt, welche Nachweise zählen und wo bestehende QM-Systeme oft Lücken haben. Zudem erhalten Sie einen Selbstcheck für Ihr nächstes Defence-Projekt.
Highlights in diesem Blogartikel:
- Vertrag zuerst prüfen: AQAP 2210 wird durch den Auftrag, das Lastenheft oder weitergegebene Kundenpflichten relevant.
- Software gezielt planen: Ein projektbezogener Software-Qualitätsplan verbindet Prozesse, Rollen, Termine und Nachweise.
- Rückverfolgbarkeit sichern: Anforderungen, Entwurf, Code, Tests, Fehler und Freigaben müssen eine geschlossene Kette bilden.
- Änderungen beherrschen: Baselines, Versionen und Freigaben schützen vor unklaren Softwareständen.
- Lieferanten einbinden: Auch bei ausgelagerter Entwicklung bleibt der Hauptauftragnehmer für die vertraglichen Pflichten verantwortlich.
1. Was sind AQAP 2210 Anforderungen?
AQAP steht für Allied Quality Assurance Publications. Diese NATO-Publikationen beschreiben vertragliche Anforderungen an die Qualitätssicherung. AQAP 2210 ergänzt AQAP 2110 oder AQAP 2310 um softwarebezogene Pflichten.
Die Ausgabe AQAP-2210 Edition B, Version 1 trägt den englischen Titel „NATO Supplementary Software Quality Assurance Requirements to AQAP-2110 or AQAP-2310“. Maßgeblich bleibt jedoch stets die Ausgabe, die Ihr Vertrag nennt. Prüfen Sie deshalb nie nur die aktuell verfügbare Fassung. Prüfen Sie die konkrete Vertragsgrundlage.
AQAP 2210 schreibt kein starres Entwicklungsmodell vor. Agile Entwicklung ist ebenso möglich wie ein sequenzielles oder gemischtes Vorgehen. Entscheidend ist, dass das Modell zum Projekt passt. Die Abläufe müssen geplant, gelenkt und durch objektive Belege nachweisbar sein.
Nicht nur ausgelieferter Programmcode zählt
Die Regeln betreffen nicht allein die Software, die der Kunde erhält. Auch Hilfsprogramme können die Produktqualität prägen. Dazu gehören etwa Generatoren, Testskripte, Emulatoren, Treiber, Prüfstände oder Werkzeuge für automatisch erzeugten Code.
Wenn ein solches Werkzeug das Ergebnis beeinflusst, muss es beherrscht werden. Das kann eine Prüfung des Werkzeugs, eine klare Version oder die Aufnahme in das Konfigurationsmanagement erfordern. Ein Team darf nicht erst beim Audit feststellen, dass der freigegebene Code mit einer unbekannten Tool-Version erzeugt wurde.
Qualität muss sichtbar werden
AQAP 2210 richtet den Blick auf die Software-Qualitätsarbeit im konkreten Auftrag. Der Kunde oder der staatliche Güteprüfer muss erkennen können, wie Ihr Unternehmen Risiken steuert. Reine Aussagen wie „Wir entwickeln nach unserem Standardprozess“ reichen dafür selten aus.
Sie benötigen belegbare Antworten auf vier Fragen:
- Welche Anforderungen gelten für die Software?
- Wer prüft und genehmigt welche Ergebnisse?
- Wie wird ein eindeutiger Softwarestand erzeugt und geschützt?
- Welche Nachweise belegen, dass die Software ihren Zweck erfüllt?
2. Wann wird AQAP 2210 vertraglich relevant?
AQAP 2210 gilt nicht automatisch für jedes Produkt mit Software. Die Publikation wird relevant, wenn sie im Vertrag gefordert wird. Sie kann bereits in einer Ausschreibung, einem Lastenheft oder einer Kundenklausel stehen. Auch ein Hauptauftragnehmer kann Pflichten an einen Unterauftragnehmer weitergeben.
Der erste Schritt ist daher keine Prozessbeschreibung. Es ist eine strukturierte Vertragsprüfung. Beziehen Sie Einkauf, Projektleitung, Qualität, Entwicklung und Recht früh ein.
Diese Unterlagen sollten Sie gemeinsam prüfen
- Vertrag und Bestelltext
- Leistungsbeschreibung und Lastenheft
- mitgeltende Normen und Kundenvorgaben
- Qualitätsklauseln des Hauptauftragnehmers
- vereinbarte Liefergegenstände und Meilensteine
- Regeln für Güteprüfung, Zutritt und Nachweise
- Pflichten für Unterauftragnehmer
- vereinbarte Abweichungen oder Anpassungen
Im Beitrag AQAP im Lastenheft: Was Sie jetzt prüfen müssen zeigen wir, warum diese Prüfung vor der Kalkulation beginnen sollte. Das ist bei Software besonders wichtig. Späte Nachweise lassen sich nicht immer nachträglich erzeugen.
Fehlt etwa eine saubere Zuordnung zwischen Anforderung und Test, hilft ein nachträglich erstelltes Dokument nur begrenzt. Das Projektteam muss dann alte Entscheidungen rekonstruieren. Das kostet Zeit und schafft neue Zweifel.
Tailoring ist keine interne Streichliste
Nicht jede Regel muss in jedem Projekt gleich tief umgesetzt werden. AQAP 2210 erlaubt eine Anpassung an Projekt, Software, Risiko und Kritikalität. Dieser Vorgang wird oft Tailoring genannt.
Tailoring bedeutet jedoch nicht, unbequeme Pflichten intern zu streichen. Die Auswahl braucht eine fachliche Begründung. Risiken und Gegenmaßnahmen müssen sichtbar sein. Zudem muss die Entscheidung mit dem Auftraggeber abgestimmt und in den Vertragsunterlagen oder im Software-Qualitätsplan festgehalten werden.
Ein kleines Wartungstool braucht meist andere Kontrollen als sicherheitskritische Steuerungssoftware. Trotzdem muss das Unternehmen erklären können, warum ein Prozess oder Nachweis reduziert wurde. Ohne diese Begründung entsteht im Review schnell der Eindruck einer ungelenkten Lücke.
3. Wie hängen AQAP 2210, AQAP 2110 und AQAP 2310 zusammen?
Die häufigste Fehlannahme lautet: AQAP 2210 sei ein eigenständiger Ersatz für andere AQAP-Regelwerke. Das ist fachlich falsch. Die Publikation ist eine softwarebezogene Ergänzung zu AQAP 2110 oder AQAP 2310.
| Regelwerk | Rolle im Auftrag | Praktische Bedeutung |
|---|---|---|
| AQAP 2110 | Basis für Entwicklung, Konstruktion und Produktion auf Grundlage der ISO 9001 | Ergänzt das allgemeine QM-System um NATO-spezifische Anforderungen |
| AQAP 2310 | Basis für komplexe Luftfahrt-, Raumfahrt- und Defence-Aufträge auf Grundlage der EN 9100 | Wird bei anspruchsvollen Auftragnehmern und Produkten genutzt |
| AQAP 2210 | Softwarebezogene Ergänzung zu AQAP 2110 oder AQAP 2310 | Regelt die projektspezifische Qualitätssicherung für Software |
| AQAP 2105 | Vorgabe für einen lieferbaren Qualitätsmanagementplan | Kann Struktur und Bezug für die Qualitätsplanung im Auftrag liefern |
Wenn Ihr Vertrag AQAP 2110 und AQAP 2210 nennt, müssen beide Ebenen zusammenwirken. Das allgemeine QM-System liefert den Rahmen. Die Softwareprozesse füllen diesen Rahmen für Entwicklung, Prüfung, Freigabe und Pflege aus.
Bei AQAP 2310 gilt dieselbe Logik. Ein nach EN 9100 aufgebautes System ist eine starke Basis. Es ersetzt aber keine projektbezogene Software-Qualitätsplanung. Gerade Traceability, Tool-Kontrolle und Softwaretests brauchen oft mehr Tiefe.
Wer die Unterschiede zur ISO-Basis klären möchte, findet im Beitrag ISO 9001 vs AQAP: 7 wichtigste Unterschiede für NATO-Projekte eine klare Einordnung. Für den neuen Artikel gilt als Leitsatz:
AQAP 2110 oder AQAP 2310 schaffen den Rahmen. AQAP 2210 macht die Software darin nachweisbar beherrschbar.
Qualitätsplan und Software-Qualitätsplan trennen oder verbinden?
AQAP 2105 behandelt den vertraglich zu liefernden Qualitätsmanagementplan. AQAP 2210 fordert einen projektbezogenen Software-Qualitätsplan, den Project Software Quality Plan (PSQP). Beide Dokumente dürfen nicht unkontrolliert nebeneinanderstehen.
Je nach Vertrag kann der PSQP als eigenes Dokument geführt werden. Er kann auch eng mit dem übergeordneten Qualitätsplan verknüpft sein. Wichtig sind klare Bezüge, gleiche Rollen und widerspruchsfreie Termine. Der Auftraggeber muss erkennen können, welches Dokument welche Pflicht erfüllt.
4. AQAP 2210 Anforderungen umsetzen: die 9 zentralen Nachweisfelder
Unternehmen verlieren oft Zeit, weil sie sofort einzelne Vorlagen erstellen. Sinnvoller ist ein Nachweismodell. Es verbindet Vertrag, Prozesse und Belege.
Wenn Sie AQAP 2210 Anforderungen umsetzen, sollten Sie neun Felder gemeinsam steuern.
AQAP 2210 im Überblick
9 zentrale Handlungsfelder
Wer AQAP 2210 Anforderungen umsetzen muss, sollte diese Bereiche im Zusammenspiel betrachten.
Vertragsrahmen
Normausgabe, Softwareumfang und Kundenvorgaben bestimmen den konkreten Handlungsbedarf.
Kritikalität und Risiken
Die Bedeutung der Software beeinflusst den erforderlichen Umfang von Absicherung und Nachweisen.
Qualitätsziele
Relevante Qualitätsmerkmale müssen passend zum jeweiligen Auftrag festgelegt werden.
Software-Qualitätsplan
Der PSQP verbindet die vertraglichen Anforderungen mit der Steuerung des Softwareprojekts.
Anforderungen
Anforderungen, Entwicklungsergebnisse und Prüfungen müssen nachvollziehbar verbunden bleiben.
Entwicklung und Werkzeuge
Methoden, Abläufe und qualitätsrelevante Werkzeuge müssen kontrolliert eingesetzt werden.
Konfiguration und Änderungen
Softwarestände, Freigaben und Änderungen benötigen eine eindeutige Steuerung.
Prüfungen und Reviews
Verifizierung, Validierung und Reviews müssen zu Risiko, Projektphase und Vertrag passen.
Externe Softwareanteile
Lieferanten, Standardsoftware und beigestellte Komponenten gehören in die Qualitätssteuerung.
Entscheidend: Erst eine projektspezifische Analyse zeigt, welche Maßnahmen und Nachweise im konkreten Defence-Auftrag tatsächlich erforderlich sind.
5. Der Projekt-Software-Qualitätsplan als Steuerzentrale
Der PSQP ist kein Dokument für den Schrank. Er ist die verbindende Ebene zwischen Vertrag und täglicher Arbeit. Mit ihm lassen sich AQAP 2210 Anforderungen umsetzen, ohne für jedes Thema ein isoliertes Parallelverfahren aufzubauen.
Der Plan sollte so früh entstehen, dass er die Entwicklung steuern kann. Wird er erst vor einem Review geschrieben, beschreibt er meist nur die Vergangenheit. Dann verliert er seinen größten Nutzen.
Typischer Fehler: Der Plan kopiert nur das QM-Handbuch
Ein allgemeines QM-Handbuch erklärt selten den Softwareauftrag. Es nennt keine projektspezifischen Baselines, Testtermine oder Lieferanten. Ein kopierter Text erzeugt daher Umfang, aber keine Steuerung.
Verweisen Sie auf bestehende Verfahren, wenn sie passen. Ergänzen Sie nur die Regeln, die das Projekt konkret braucht. So bleibt der PSQP kompakt und wirksam.
6. Konfigurations- und Änderungsmanagement beherrschen
Software kann innerhalb weniger Stunden mehrfach geändert werden. Genau darin liegt ein zentrales Risiko. Ohne klare Baseline testen Teams einen anderen Stand als den später ausgelieferten.
Wer AQAP 2210 Anforderungen umsetzen will, muss deshalb Produkt und Nachweise gemeinsam lenken. Der freigegebene Softwarestand braucht eine eindeutige Identität. Dazu gehören Quellcode, Build-Daten, Bibliotheken, Einstellungen und zugehörige Dokumente.
7. Verifizierung, Validierung und Rückverfolgbarkeit belegen
Verifizierung fragt: Wurde die Software gemäß Vorgabe entwickelt? Validierung fragt: Erfüllt die Software ihren vorgesehenen Zweck? Beide Sichtweisen sind nötig.
Eine Software kann alle technischen Tests bestehen und trotzdem den Einsatzbedarf verfehlen. Das passiert etwa, wenn eine Anforderung falsch aus dem Systemkontext abgeleitet wurde. Darum verbindet AQAP 2210 Software- und Systemebene.
8. Externe Softwarelieferanten sicher steuern
Viele Defence-Produkte enthalten Software von mehreren Firmen. Ein Anbieter liefert die Plattform. Ein anderer entwickelt eine Schnittstelle. Weitere Bausteine stammen aus Standardprodukten.
Diese Arbeitsteilung ändert nichts an der Verantwortung des Hauptauftragnehmers. Er muss sicherstellen, dass die weitergegebenen Leistungen die Pflichten des Hauptvertrags erfüllen. Das gilt selbst bei einer komplett ausgelagerten Softwareentwicklung.
9. AQAP 2210 Anforderungen umsetzen: Wie QUPEX Sie unterstützt
Welche Maßnahmen erforderlich sind, hängt vom Vertrag, der Software und den bestehenden Prozessen ab. Erfahrene QUPEX Experten erstellen mit Ihnen einen Gap-Analyse, die den konkreten Handlungsbedarf aufzeigt. Wir entwickeln gemeinsam mit Ihrem Team eine passende Vorgehensweise und begleiten die Umsetzung operativ.
Sie möchten zunächst Ihre allgemeine Ausgangssituation bewerten? Das AQAP Readiness Assessment zeigt zentrale Risiken und Handlungsfelder Ihrer AQAP-Vorbereitung auf. Die softwarespezifische Umsetzung der AQAP 2210 arbeitet der eingesetzte Experte anschließend passend zu Ihrem Defence-Auftrag mit Ihnen aus.
Sie müssen AQAP 2210 Anforderungen umsetzen? QUPEX Experten unterstützen Sie kurzfristig.
10. Häufige Fragen zu AQAP 2210
Was sind AQAP 2210 Anforderungen?
AQAP 2210 enthält zusätzliche NATO-Anforderungen an die Qualitätssicherung von Software. Die Publikation ergänzt AQAP 2110 oder AQAP 2310. Sie behandelt unter anderem Qualitätsplanung, Kritikalität, Anforderungen, Entwicklung, Konfigurationsmanagement, Lieferanten, Verifizierung, Validierung und Pflege.
Wann muss ein Unternehmen AQAP 2210 anwenden?
AQAP 2210 wird relevant, wenn der Vertrag, die Ausschreibung oder eine weitergegebene Kundenpflicht sie fordert. Maßgeblich sind die dort genannte Ausgabe und alle vereinbarten Anpassungen. Der reine Einsatz von Software in einem Produkt löst die Pflicht nicht automatisch aus.
Braucht jedes Projekt einen eigenen Software Quality Plan?
Wenn AQAP 2210 vertraglich gilt, muss die projektbezogene Software-Qualitätsarbeit geplant und dokumentiert werden. Dafür dient der Project Software Quality Plan. Form, Umfang und Verbindung zu anderen Qualitätsplänen richten sich nach Vertrag, Risiko und vereinbartem Tailoring.
Reicht eine ISO-9001- oder EN-9100-Zertifizierung aus?
Nein. Beide Systeme können eine gute Grundlage schaffen. AQAP 2210 fordert jedoch zusätzliche, softwarebezogene und projektnahe Nachweise. Unternehmen müssen daher prüfen, wo Traceability, Tool-Kontrolle, Tests, Baselines und Lieferantenpflichten ergänzt werden müssen.
Kann ein Unternehmen AQAP 2210 agil umsetzen?
Ja. AQAP 2210 legt kein einziges Entwicklungsmodell fest. Auch agile oder gemischte Modelle sind möglich. Rollen, Ergebnisse, Freigaben, Änderungen und Nachweise müssen jedoch eindeutig geplant und beherrscht sein.
12. Fazit: Aus Softwareprozessen wird eine belastbare Nachweiskette
Unternehmen können AQAP 2210 Anforderungen umsetzen, ohne ihre Entwicklung mit unnötiger Bürokratie zu belasten. Dafür müssen sie früh beginnen. Vertrag, Kritikalität und Softwareumfang geben die Richtung vor.
Der größte Fehler ist ein perfektes Dokument ohne wirksamen Prozess. Der zweitgrößte Fehler ist ein guter Prozess ohne auffindbare Nachweise. Auditfähigkeit entsteht erst, wenn beides zusammenpasst.
Sie möchten AQAP 2210 Anforderungen umsetzen und wissen noch nicht, wo Sie starten sollen? Beginnen Sie mit dem AQAP Readiness Assessment für eine strukturierte Sicht auf Ihre allgemeine AQAP-Ausgangslage.
Für die konkrete Umsetzung schafft QUPEX Zugang zu erfahrenen AQAP-Beratern, Software-Qualitätsexperten und Interim Managern. Sie unterstützen bei Vertragsprüfung, Gap-Analyse, PSQP, Konfigurationsmanagement, Lieferantensteuerung und Auditvorbereitung. So wird aus einer Normforderung ein fachlich definierter Auftrag mit klaren Ergebnissen.
…für Unternehmen
…für Freelancer
