Sensitive Security Information, befristete Richtlinien und vorgeschlagene Dauerregel: der TSA-Rahmen für deutsche Konzerne

Problem in der Praxis

Konzernrevision, Konzern-CISO und Berater in Deutschland wollen Pläne und Berichte der US-Tochter einsehen. Nach 49 CFR Part 1520 hängt die Weitergabe davon ab, ob der Empfänger eine erfasste Person mit Need-to-know ist. Wer Unterlagen ungeprüft in konzernweite Ablagen stellt, riskiert eine unbefugte Offenlegung, die gemeldet werden muss. Gleichzeitig planen Konzerne Budgets über mehrere Jahre, während die Richtlinien jährlich ablaufen und neu gefasst werden.

CISO-Einordnung

SSI-Pflichten (49 CFR 1520.9):

• Angemessene Schritte zum Schutz vor unbefugter Offenlegung; verschlossene Aufbewahrung, wenn die Unterlagen nicht in physischem Besitz sind.
• Weitergabe nur an erfasste Personen mit Need-to-know, sofern nicht schriftlich anders gestattet.
• Anfragen anderer Personen an TSA oder die zuständige Stelle verweisen.
• Kennzeichnung und Vernichtung nach den Vorschriften; nicht gekennzeichnete SSI kennzeichnen und den Absender informieren.
• Unbefugte Offenlegung umgehend an TSA oder die zuständige Stelle melden.

Die Mitigations-Richtlinie SD Pipeline-2021-02G verlangt ausdrücklich, Pläne und Berichte nach 49 CFR Part 1520 zu speichern und zu übermitteln. Die auf tsa.gov veröffentlichten Fassungen der Richtlinien stuft TSA nicht als SSI ein.

Befristung und Fortschreibung: Die aktuellen Fassungen gelten bis 15.01.2027 (SD Pipeline-2021-01G, SD 1580-21-01E, SD 1582-21-01E) bzw. 02.05.2027 (SD Pipeline-2021-02G, SD 1580/82-2022-01E). Die Bezeichnungen zeigen fortlaufende Neufassungen seit 2021. Ob und mit welchem Inhalt neue Fassungen folgen, ist offen.

Vorgeschlagene Dauerregel: Der Entwurf vom 07.11.2024 würde Anforderungen an das Cyber-Risikomanagement für bestimmte Pipeline- und Bahnbetreiber festlegen, eine Meldepflicht für bestimmte Überlandbusbetreiber einführen und Anforderungen an einen Physical Security Coordinator auf Pipelineanlagen ausdehnen. Die Kommentarfrist endete am 05.02.2025. Es handelt sich um einen Vorschlag, nicht um geltendes Recht.

Umsetzungsperspektive

• Konzernweite Regeln für SSI aufstellen: wer ist erfasste Person, wer hat Need-to-know, wo liegen die Unterlagen.
• Konzernrevision und Berater nur nach Need-to-know-Prüfung einbinden.
• Meldeweg für unbefugte Offenlegung an TSA festlegen.
• Ablaufdaten der Richtlinien im Compliance-Kalender führen und neue Fassungen auswerten.
• Den Regelentwurf beobachten und seine Inhalte klar als Vorschlag kennzeichnen.

Typische Fehler

1. Pläne der US-Tochter werden in konzernweite Ablagen gestellt.
2. Berater erhalten SSI ohne Need-to-know-Prüfung.
3. Eine unbefugte Offenlegung wird intern bereinigt, aber nicht an TSA gemeldet.
4. Budgets und Projekte werden an eine Fassung gebunden, die bald abläuft.
5. Inhalte des Regelentwurfs werden als geltende Pflichten kommuniziert.

Risiken und Trade-offs

Strenge SSI-Regeln schützen vor Verstößen, erschweren aber Konzernsteuerung und Revision. Frühzeitige Ausrichtung am Regelentwurf kann künftigen Aufwand senken, birgt aber das Risiko, Inhalte umzusetzen, die in der endgültigen Regel anders ausfallen.

Entscheidungspunkte

• Wer im Konzern ist erfasste Person mit Need-to-know?
• Wo und wie werden SSI-Unterlagen gespeichert?
• Wer verfolgt Neufassungen und die Rechtsetzung?
• Wie weit richtet sich der Konzern schon am Regelentwurf aus?

Praktische Empfehlungen

1. Legen Sie eine SSI-Richtlinie für den Konzern fest.
2. Prüfen Sie Need-to-know vor jeder Weitergabe an Konzernstellen oder Berater.
3. Verankern Sie den Meldeweg für unbefugte Offenlegungen.
4. Führen Sie die Ablaufdaten der Richtlinien im Compliance-Kalender.
5. Kennzeichnen Sie Inhalte des Regelentwurfs intern als Vorschlag.

Relevante Normreferenzen

• 49 CFR Part 1520, insbesondere 1520.9 und 1520.17 (eCFR, Stand 07.10.2026).
• SD Pipeline-2021-02G, Abschnitt IV.B (Schutz von SSI) (veröffentlichte Fassung, tsa.gov).
• Proposed Rule "Enhancing Surface Cyber Risk Management", 89 FR 88488 (07.11.2024).