Laufende VS-NfD Compliance

Laufende VS-NfD Compliance umfasst alle Maßnahmen, die ein Unternehmen dauerhaft umsetzen muss, um den Umgang mit Verschlusssachen der Stufe VS-NfD (Nur für den Dienstgebrauch) regelkonform zu gestalten. Dazu gehören regelmäßige Mitarbeiterschulungen nach dem VS-NfD-Merkblatt, die Pflege der Sicherheitsüberprüfungen (SÜG) aller Mitarbeitenden mit Zugang zu Verschlusssachen, die Aktualisierung von IT-Sicherheitskonzepten gemäß BSI-Anforderungen sowie die Vorbereitung auf Geheimschutzaudits durch das BMWK. Ohne laufende Compliance-Maßnahmen riskieren Unternehmen den Verlust ihrer Geheimschutzbetreuung und damit die Fähigkeit, an Verschlusssachen-Aufträgen teilzunehmen.

Die Verschlusssachenanweisung (VSA) verpflichtet Unternehmen mit Zugang zu VS-NfD-Material zu umfassenden Schutzmaßnahmen. Dazu zählen der materielle Geheimschutz (sichere Aufbewahrung, Zugangskontrolle, Transportregelungen), der personelle Geheimschutz (Sicherheitsüberprüfungen nach SÜG, Verpflichtungserklärungen), die Kennzeichnung und Verwaltung von Verschlusssachen sowie die IT-Sicherheit (verschlüsselte Übertragung, BSI-zugelassene Systeme). Seit der VSA-Novelle 2023 gelten verschärfte Anforderungen für die digitale Verarbeitung von Verschlusssachen.

Alle Mitarbeitenden, die Zugang zu Verschlusssachen der Stufe VS-NfD haben, müssen vor Aufnahme ihrer Tätigkeit eine Erstunterweisung nach dem VS-NfD-Merkblatt (GHB Anlage 4) erhalten und eine Verpflichtungserklärung unterzeichnen. Danach sind regelmäßige Wiederholungsschulungen erforderlich, in der Praxis mindestens jährlich. Die Schulungen müssen dokumentiert und für Audits nachweisbar archiviert werden. ADVISORI unterstützt bei der Konzeption, Durchführung und Dokumentation dieser Schulungen.

Bei einem Geheimschutzaudit prüft das Bundesministerium für Wirtschaft und Klimaschutz (BMWK) oder die zuständige Geheimschutzstelle, ob das Unternehmen die Anforderungen des Geheimschutzhandbuchs (GHB) und der Verschlusssachenanweisung (VSA) vollständig einhält. Prüfungsschwerpunkte sind die Organisation des Geheimschutzes (Geheimschutzbeauftragter), die sichere Aufbewahrung von Verschlusssachen, die IT-Sicherheitsmaßnahmen, die Aktualität der Sicherheitsüberprüfungen, die Schulungsnachweise und die Dokumentation des VS-Bestands. ADVISORI bereitet Unternehmen gezielt auf diese Audits vor.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) legt die technischen Anforderungen für die Verarbeitung von VS-NfD-Informationen auf IT-Systemen fest. Dazu gehören die Zulassung von Verschlüsselungsprodukten, Vorgaben für VPN-Infrastrukturen, Anforderungen an Multi-Faktor-Authentifizierung und die Prüfung von IT-Sicherheitskonzepten. Unternehmen müssen für die digitale Verarbeitung von VS-NfD ausschließlich BSI-zugelassene oder BSI-empfohlene Lösungen einsetzen und dies im Rahmen der laufenden Compliance nachweisen.

Materieller Geheimschutz umfasst alle technischen und organisatorischen Maßnahmen zum Schutz von Verschlusssachen: sichere Aufbewahrung (z. B. Stahlschränke, Sicherheitsräume), Zugangskontrollsysteme, Regelungen für Transport und Vernichtung sowie IT-Sicherheitsmaßnahmen. Personeller Geheimschutz betrifft die Personen, die Zugang zu Verschlusssachen erhalten: Sicherheitsüberprüfungen nach dem Sicherheitsüberprüfungsgesetz (SÜG), Verpflichtungserklärungen, regelmäßige Schulungen und die Überwachung von Zugangsberechtigungen. Beide Bereiche müssen im Rahmen der laufenden VS-NfD Compliance kontinuierlich gepflegt werden.

Verstöße gegen VS-NfD-Vorschriften können schwerwiegende Folgen haben. Auf unternehmerischer Ebene droht der Entzug der Geheimschutzbetreuung, was den Ausschluss von VS-Aufträgen bedeutet. Für betroffene Personen können strafrechtliche Konsequenzen nach Paragraf 93 ff. StGB (Landesverrat, Gefährdung der äußeren Sicherheit) entstehen, da auch VS-NfD ein Staatsgeheimnis darstellen kann. Zusätzlich drohen vertragliche Konsequenzen und Reputationsschäden. Laufende Compliance-Maßnahmen mit regelmäßigem Monitoring verhindern, dass solche Verstöße überhaupt entstehen.