Im Kern verlangt die Executive Order eine durchgängige Transparenz über kritische Verteidigungslieferketten. Laut Text der Anordnung sollen die Vereinigten Staaten ihre Verteidigungslieferketten gegen „physische, cyberbezogene und wirtschaftliche Unterwanderung“ schützen. Dazu soll die Sichtbarkeit über Lieferanten und Subunternehmer auf jeder Ebene ausgebaut werden.
Innerhalb von 180 Tagen muss der Kriegsminister Richtlinien vorlegen, die Verteidigungsauftragnehmer zur Kartierung kritischer Lieferketten für Beschaffungen mit Bezug zur nationalen Sicherheit verpflichten. Die dazugehörigen Regeln zur Umsetzung sollen innerhalb von 90 Tagen nach Fertigstellung dieser Richtlinien folgen. Die Anforderungen könnten nicht nur für Hauptauftragnehmer gelten, sondern potenziell für Subunternehmer auf sämtlichen Ebenen der Verteidigungslieferkette.
Vorgesehen ist, dass Auftragnehmer ein vollständiges „eingerücktes Stücklistenverzeichnis“ vorlegen, das Komponenten, Ausrüstung, Software und Materialien entlang der Lieferkette bis zum Ursprung der zugrunde liegenden Rohstoffe zurückverfolgt. Diese Dokumentation wäre deutlich umfassender als ein klassisches SBOM. Sie könnte Software- und Firmware-Abhängigkeiten mit physischen Komponenten, Herstellern, Lieferanten, Wartungsinformationen, Herkunftsländern und Rohstoffquellen verknüpfen.
Die Executive Order definiert eine kritische Lieferkette als alle Ebenen von Lieferanten und Subunternehmern, die Güter, Materialien, Systeme, Software oder Dienstleistungen bereitstellen, die für Vertragserfüllung, Missionssicherheit, Sicherheit oder Resilienz wesentlich sind. Damit könnten auch Softwareentwickler, Cloud-Anbieter, Managed Service Provider und andere Technologieunternehmen in den Geltungsbereich fallen, selbst wenn sie mehrere Stufen vom eigentlichen Verteidigungsauftragnehmer entfernt sind.
Zusätzlich sollen Auftragnehmer schriftliche Verfahren zur proaktiven Prüfung von Lieferanten und Subunternehmern einführen. Diese Prüfungen müssen mindestens finanzielle Stabilität, ausländisches Eigentum oder Einfluss sowie Produktions- und Lieferkettenrisiken berücksichtigen. Genannt werden dabei etwa Abhängigkeiten von einer einzigen Bezugsquelle, unzureichende Produktionskapazitäten, Lieferantenkonzentration und eine übermäßige Abhängigkeit von einem einzelnen Anbieter.
Ausländisches Eigentum, Kontrolle oder Einfluss wird unter anderem daran festgemacht, ob ein ausländisches Interesse unbefugten Zugriff auf Informationen erlangen oder die Erfüllung eines Vertrags zur nationalen Sicherheit nachteilig beeinflussen könnte. Für Cybersecurity-Teams könnte das klassische Prüfungen von Drittrisiken auf Aspekte wie wirtschaftlich Berechtigte, ausländische Investitionen, Entwicklungsstandorte, Administrationszugriffe, Hosting-Regelungen für Daten und Veränderungen der Unternehmenskontrolle ausweiten.
Werden bei der Prüfung Risiken festgestellt, müssen Auftragnehmer diese mindern und Korrekturmaßnahmen bis zum Abschluss nachverfolgen. Erhebliche Lieferkettenrisiken sind dem Kriegsministerium innerhalb von 15 Tagen nach Abschluss der Prüfungen zu melden. Innerhalb von 45 Tagen müssen Auftragnehmer dann einen vertraulichen Maßnahmenplan vorlegen, der die Gegenmaßnahmen und den Zeitplan für deren Umsetzung beschreibt. Nach Abschluss der Korrekturmaßnahmen ist außerdem ein Abschlussbericht erforderlich.
Was genau als „erhebliches“ Lieferkettenrisiko gilt, definiert die Executive Order nicht. Ebenfalls offen bleibt, ob darunter konkrete Software-Schwachstellen, Kompromittierungen oder andere Cybersecurity-Befunde fallen. Laut Quelltext dürften diese Details erst in den noch ausstehenden Umsetzungsregeln geklärt werden. Zugleich stellt der Text klar, dass die 15-Tage-Frist nicht als allgemeine Frist zur Meldung von Cybersecurity-Vorfällen zu verstehen ist, sondern nur für Risiken aus dem vorgesehenen Lieferantenprüfprozess gilt.
Darüber hinaus verschärft die Anordnung die Beschaffungsregeln für bestimmte Materialien. Ab dem 1. Januar 2027 sollen der Kriegsminister und die Teilstreitkraft-Minister in der Regel keine Ausnahmen nach 10 U.S.C. § 4872 mehr gewähren, die den Erwerb erfasster Materialien aus verbotenen Quellen erlauben. Eine Ausnahme wäre nur noch möglich, wenn Haupt- oder Subunternehmer einen formalen Minderungsplan einreichen, der die nicht konforme Quelle benennt, die Suche nach einer konformen Alternative dokumentiert und einen Zeitplan zur Entfernung des Materials aus der Lieferkette festlegt. Bei Betrug oder bewusstem Verstoß gegen einen genehmigten Minderungsplan drohen laut Anordnung vertragliche Sanktionen und eine Weiterleitung an den Justizminister.
Eine weitere Bestimmung verlangt von Auftragnehmern, die von einem unzuverlässigen ausländischen Lieferanten abhängig sind, so bald wie praktikabel auf eine alternative Quelle umzustellen. Andernfalls könnte die Regierung Aufgabenaufträge aussetzen oder beenden, Vertragsoptionen nicht ziehen oder den Vertrag vollständig kündigen.
Die angeordneten Lieferkettenkarten schaffen nach Darstellung des Quelltexts zugleich eigene Cyberrisiken. Eine detaillierte Datenbank, die Verteidigungssysteme mit Software-Abhängigkeiten, Lieferanten, Rohstoffen, Fertigungsorten und betrieblichen Engpässen verknüpft, wäre ein potenziell wertvolles Ziel für ausländische Nachrichtendienste und andere Bedrohungsakteure. Kompromittierte Lieferkettendaten könnten einem Gegner helfen, einzelne Ausfallpunkte, schwer ersetzbare Lieferanten, verwundbare Software-Abhängigkeiten und Möglichkeiten für Spionage, Sabotage oder wirtschaftlichen Zwang zu identifizieren.
Die Executive Order weist das Kriegsministerium außerdem an, verfügbare Werkzeuge und Technologien einschließlich künstlicher Intelligenz einzusetzen, um Beschaffungsinformationen von Auftragnehmern zu analysieren und Schwachstellen für die nationale Sicherheit, Engpässe und einzelne Ausfallpunkte zu erkennen. Der Quelltext hält fest, dass dies der Regierung die Analyse sehr großer und komplexer Netzwerke aus Lieferanten, Komponenten und Abhängigkeiten ermöglichen könnte, zugleich aber Fragen zur Genauigkeit von Risikobewertungen, zum Schutz proprietärer Informationen und zur Sicherheit zentralisierter staatlicher Lieferkettendatenbanken aufwirft.