VS-NFD Monitoring & Regular Checks

Die Verschlusssachenanweisung (VSA) schreibt vor, dass der Geheimschutzbeauftragte in unangekündigten Stichproben prüft, ob Verschlusssachen korrekt eingestuft, gekennzeichnet und verwahrt werden. Zusätzlich müssen IT-Sicherheitskomponenten auf ordnungsgemäße Nutzung kontrolliert, Zugriffsrechte regelmäßig überprüft und Audit-Trail-Daten ausgewertet werden. Die Geheimschutzdokumentation ist mindestens alle drei Jahre auf Aktualität und Vollständigkeit zu prüfen. ADVISORI unterstützt Unternehmen bei der Einrichtung und Durchführung dieser Kontrollprozesse.

Das Monitoring im materiellen Geheimschutz umfasst die Kontrolle der physischen Sicherungsmaßnahmen für Verschlusssachen: Zutrittskontrolle zu VS-Bereichen, ordnungsgemäße Verwahrung in zugelassenen Behältnissen, Überprüfung der Kennzeichnung und Registrierung sowie die Kontrolle von Transport- und Versandwegen. IT-Systeme und Datenträger müssen vor der VS-NfD-Nutzung auf Schadsoftware geprüft werden, und diese Prüfung ist in regelmäßigen Abständen zu wiederholen.

Der Geheimschutzbeauftragte trägt die Gesamtverantwortung für alle VS-NfD-bezogenen Kontrollmaßnahmen. Seine Kernaufgaben umfassen: Durchführung unangekündigter Stichprobenkontrollen, Überprüfung der korrekten Einstufung von Verschlusssachen, Kontrolle der Einhaltung des VS-NfD-Merkblatts, Auswertung von Sicherheitsvorfällen, Aktualisierung der Geheimschutzdokumentation und Berichterstattung an die zuständige Behörde. ADVISORI berät beim Aufbau effizienter Kontrollstrukturen für den Geheimschutzbeauftragten.

Die Häufigkeit richtet sich nach dem Kontrollbereich: Stichprobenkontrollen durch den Geheimschutzbeauftragten erfolgen unregelmäßig und unangekündigt. Die Geheimschutzdokumentation ist bei jeder sicherheitsrelevanten Änderung zu aktualisieren, mindestens jedoch alle drei Jahre vollständig zu überprüfen. Zugriffsrechte müssen regelmäßig überprüft werden und erlöschen automatisch bei Wegfall der Erforderlichkeit. Audit-Trail-Daten sind fortlaufend auszuwerten. Protokolle über durchgeführte Kontrollen müssen fünf Jahre aufbewahrt werden.

Bei Verstößen gegen VS-NfD-Vorschriften muss der Geheimschutzbeauftragte den Vorfall dokumentieren, die Ursache analysieren und Gegenmaßnahmen einleiten. Je nach Schwere des Verstoßes sind Meldepflichten an das Bundesamt für Sicherheit in der Informationstechnik (BSI) oder die zuständige Geheimschutzbehörde zu beachten. Wiederholte Verstöße können zum Entzug der Ermächtigung zum Zugang zu Verschlusssachen und zu arbeits- oder strafrechtlichen Konsequenzen führen. Kontinuierliches Monitoring hilft, Verstöße frühzeitig zu erkennen und zu verhindern.

VS-NfD Monitoring geht über reguläres IT-Sicherheitsmonitoring hinaus, da es spezifische Anforderungen der Verschlusssachenanweisung abdeckt: Nur BSI-zugelassene Produkte und Systeme dürfen eingesetzt werden, es gelten besondere Anforderungen an Verschlüsselung und Zugriffskontrolle, und die Protokollierung muss den Vorgaben des Geheimschutzhandbuchs entsprechen. Zusätzlich müssen physische und personelle Sicherheitsaspekte überwacht werden, die im klassischen IT-Monitoring nicht berücksichtigt werden.

Die Dokumentation beim VS-NfD Monitoring muss folgende Bereiche abdecken: Protokolle über durchgeführte Kontrollen und sicherheitsrelevante Feststellungen (Aufbewahrungsfrist: fünf Jahre), die Geheimschutzdokumentation mit allen geheimschutzrelevanten Änderungen, Nachweise über Zugriffsberechtigungen und deren Überprüfung, Audit-Trail-Auswertungen sowie Berichte über Sicherheitsvorfälle und eingeleitete Maßnahmen. ADVISORI hilft bei der Erstellung revisionssicherer Dokumentationsvorlagen.