AQAP 2210
AQAP 2210 Software-Qualitätssicherung
Lieferanten der Verteidigungsindustrie, deren Lieferung Software enthält und deren Vertrag AQAP 2210 zusätzlich zu AQAP 2110 oder AQAP 2310 nennt.
AQAP 2210 ergänzt AQAP 2110 oder AQAP 2310 um die softwarespezifischen Anforderungen der NATO an die Qualitätssicherung. Sie wird nie allein genannt: Sie ergänzt das geforderte Qualitätsmanagementsystem für den Softwareanteil der Lieferung.
ComplyTrain unterstützt diese Norm vollständig
Was AQAP 2210 ist
AQAP 2210 sind die ergänzenden NATO-Anforderungen an die Software-Qualitätssicherung zu AQAP 2110 oder AQAP 2310. Sie greifen, sobald Ihre Lieferung Software enthält, und es gibt sie, weil Software auf Wegen ausfällt, für die ein auf Hardware ausgelegtes Prüfregime nie gedacht war.
Entscheidend ist das Wort ergänzend. AQAP 2210 ist kein eigenständiges Qualitätsmanagementsystem und wird nie allein genannt. Der Vertrag nennt AQAP 2110 oder AQAP 2310 für das Qualitätsmanagementsystem und AQAP 2210 für die Software in der Lieferung. Die Pflichten addieren sich, sie ersetzen einander nicht.
Welche Ziele die Publikation verfolgt
AQAP 2210 adressiert sowohl die Management- als auch die technischen Prozesse über den gesamten Projektlebenszyklus. Erklärte Ziele sind:
- Transparenz über den Softwareentwicklungsprozess herstellen, damit der Kunde ihn nicht auf Treu und Glauben hinnehmen muss.
- Qualitätsprobleme so früh wie möglich im Lebenszyklus erkennen, solange sie noch günstig zu beheben sind.
- Daten zur Qualitätslenkung rechtzeitig bereitstellen, damit Korrekturmaßnahmen überhaupt noch greifen können.
- Bestätigen, dass Qualität während der Entwicklung eingebaut und nicht nachträglich hineingeprüft wird.
- Sicherstellen, dass die erstellte Software den vertraglichen Anforderungen entspricht.
- Die Software-Unterstützung für Tätigkeiten auf Systemebene sicherstellen, sofern der Vertrag dies verlangt.
- Sicherstellen, dass die Sicherheits- und Schutzbedingungen des Projekts behandelt werden.
Was das in der Praxis bedeutet
Die Publikation enthält neben ihren Begriffsbestimmungen Anforderungen an den Qualitätsplan des Projekts, soweit er die Software betrifft, an den Softwareentwurf sowie an Verifizierung und Validierung. Im Alltag heißt das: ein Plan, an dem der Kunde Sie messen kann, ein Entwurf, der sich auf die Anforderungen zurückführen lässt, die er erfüllt, und Nachweise, dass jede Anforderung tatsächlich verifiziert und nicht nur unterstellt wurde.
Die eigentliche Schwierigkeit liegt selten in der Technik. Sie liegt darin, dass die Nachweise an einer Stelle liegen, die Anforderungen an einer anderen und der Qualitätsplan in einem Dokument, das seit dem Angebot niemand mehr geöffnet hat. AQAP 2210 wird dadurch nachgewiesen, dass diese drei verbunden sind und die Verbindung an dem Tag zeigbar ist, an dem jemand danach fragt.
Das Verhältnis zu AQAP 2110 und AQAP 2310
AQAP 2110 enthält die Anforderungen der ISO 9001 samt der NATO-Zusätze und ist die übliche Grundlage für einen Lieferanten, der entwickelt und fertigt. AQAP 2310 verfährt ebenso mit der EN 9100 für komplexe Vorhaben in Luftfahrt, Raumfahrt und Verteidigung. AQAP 2210 setzt auf derjenigen der beiden auf, die Ihr Vertrag nennt, und fügt den nicht softwarebezogenen Teilen der Lieferung nichts hinzu.
Wenn Sie klären, welche Publikationen Ihr Vertrag tatsächlich in Kraft setzt: Die Übersicht über die AQAP-Familie zeigt, wie 2110, 2131, 2210, 2310 und 2105 zueinander stehen.
Eine AQAP 2210-Zertifizierung gibt es nicht
Wie bei jeder AQAP wird die Konformität nicht von einer akkreditierten Zertifizierungsstelle bescheinigt, wie es bei ISO 9001 der Fall ist. Sie wird über die staatliche Qualitätssicherung festgestellt: Die Qualitätsbehörde des Kundenlandes prüft Ihr Qualitätsmanagementsystem und den konkreten Vertrag, mit Zugangsrecht zu Ihren Standorten, Ihren Aufzeichnungen und denen Ihrer Unterlieferanten. Bei Software reicht dieser Zugriff meist weiter, als Lieferanten erwarten, denn die Nachweise, die ein Prüfer sehen will, entstehen während der Entwicklung und nicht an deren Ende.
Wie ComplyTrain Sie dabei unterstützt
Da AQAP 2210 immer zusätzlich zu AQAP 2110 oder AQAP 2310 gilt, ist ein System sinnvoll, das beide Pflichtenkreise trägt, statt eines eigenen Werkzeugs für die Softwareseite:
- Das an ISO 9001 ausgerichtete QMS, das die Grundpublikation verlangt - Qualitätsmanagement
- Die Softwareanforderungen des Vertrags als nachverfolgter Satz, jede mit dem Nachweis verknüpft, der sie verifiziert - Anforderungsmanagement
- Qualitätsplan und Softwareverfahren unter Versionskontrolle mit Freigabe, damit der Plan, an dem der Kunde Sie misst, auch der geltende ist - Dokumentenlenkung
- Risiken für die Vertragserfüllung samt der Sicherheits- und Schutzbedingungen, die die Publikation verlangt, als lebendes Register - Risikomanagement
- Kompetenznachweise für die im Vertrag benannten Entwicklerinnen und Entwickler - Schulungsmanagement
ComplyTrain besitzt keine AQAP-Qualifikation und benötigt auch keine: Es ist das System, in dem Sie Ihre eigenen AQAP 2210-Pflichten führen und die Nachweise dafür vorhalten. Die Konformität wird zwischen Ihnen und der Qualitätsbehörde Ihres Kunden festgestellt.
Fragen
Wird AQAP 2210 allein angewendet?
Nein, sie ist ihrem Wesen nach ergänzend. Ein Vertrag nennt AQAP 2110 oder AQAP 2310 für das Qualitätsmanagementsystem und AQAP 2210 für die Software in der Lieferung. Wenn Ihnen nur AQAP 2210 genannt wurde, prüfen Sie den Vertrag noch einmal - die Grundpublikation steht darin.
Worin unterscheiden sich AQAP 2110 und AQAP 2210?
AQAP 2110 deckt die Qualitätssicherung für Entwicklung, Konstruktion und Produktion allgemein ab und enthält die Anforderungen der ISO 9001 samt NATO-Zusätzen. AQAP 2210 ergänzt darauf die softwarespezifischen Anforderungen. Ein Lieferant softwareintensiver Verteidigungsgüter ist in der Regel an beide gebunden.
Ergänzt AQAP 2210 auch AQAP 2310?
Ja. Die vollständige Bezeichnung lautet NATO Supplementary Software Quality Assurance Requirements to AQAP 2110 or AQAP 2310. Auf welcher der beiden sie aufsetzt, hängt von der im Vertrag genannten Grundpublikation ab, nicht von der Software selbst.
Kann ein Unternehmen nach AQAP 2210 zertifiziert werden?
Nein. Es gibt kein AQAP-Zertifikat einer Zertifizierungsstelle. Die Konformität wird über die staatliche Qualitätssicherung festgestellt, bei der die Qualitätsbehörde des Kundenlandes Ihr Qualitätsmanagementsystem und den konkreten Vertrag prüft. Ein ISO 9001-Zertifikat belegt üblicherweise das darunterliegende Managementsystem, die AQAP-Zusätze werden dem Kunden gegenüber nachgewiesen.
Was verlangt AQAP 2210 im Tagesgeschäft?
Einen Qualitätsplan, der die Software abdeckt, einen Entwurf, der sich auf die erfüllten Anforderungen zurückführen lässt, und Nachweise aus Verifizierung und Validierung, dass jede Anforderung tatsächlich geprüft wurde. Die Publikation ist um Transparenz herum geschrieben: Der Kunde soll den Qualitätsstand der Software während der Entwicklung sehen können, nicht erst bei der Lieferung.
Umsetzung
AQAP 2210 neben der Grundpublikation erfüllen
Die Softwareanforderungen kommen zu AQAP 2110 oder AQAP 2310 hinzu. Die Arbeit besteht darin, beides zu verbinden statt getrennt zu führen.
Klären, welche Grundpublikation gilt
AQAP 2210 ergänzt AQAP 2110 oder AQAP 2310. Welche der Vertrag nennt, bestimmt das darunterliegende Qualitätsmanagementsystem und damit den größten Teil der Arbeit.
Den Qualitätsplan auf die Software erstrecken
An diesem Plan misst Sie der Kunde. Führen Sie ihn unter Versionskontrolle mit Freigabe, damit die geltende Fassung auch die übergebene ist.
Entwurf und Verifizierung auf Anforderungen zurückführen
Jede Softwareanforderung sollte auf den Entwurf zeigen, der sie erfüllt, und auf den Nachweis, der sie geprüft hat. Genau diese Verknüpfung verlangt ein Prüfer.
Sicherheit und Schutz behandeln und aktuell halten
Die Publikation verlangt, die Sicherheits- und Schutzbedingungen des Projekts zu behandeln. Ein während der Entwicklung gepflegtes Register leistet das; ein für das Angebot geschriebenes nicht.