Ist NATO RESTRICTED dasselbe wie VS-NfD?

Äquivalenzen: VS-NfD = NATO RESTRICTED = RESTREINT UE/EU RESTRICTED, aufsteigend bis STRENG GEHEIM = COSMIC TOP SECRET = TRÈS SECRET UE/EU TOP SECRET (GHB Anlage 31, BMI-Vergleichstabelle; Grundlagen NATO C-M(2002)49, EU-Ratsbeschluss 2013/488/EU). „Vergleichbar" heißt Schutzniveau-Äquivalenz, nicht Regelidentität; maßgeblich sind GSA, PSI und SAL. NATO RESTRICTED erfordert aus deutscher Sicht grundsätzlich keine PSC/FSC und keine Registrierung (Administrative Zones); einzelne NATO-Staaten können abweichen. Kryptoprodukte müssen ausdrücklich für NATO RESTRICTED zugelassen sein (BSI-Schrift 7164). USA und Frankreich haben kein unmittelbares VS-NfD-Äquivalent; die Schweiz (ISG 2024) ist gesondert zu prüfen. FSC und Sicherheitsbescheid greifen erst ab VS-VERTRAULICH/CONFIDENTIAL; Besuchsanträge (RfV) laufen ab CONFIDENTIAL über das BMWE.

Ist NATO RESTRICTED dasselbe wie VS-NfD?

Nein. Beide Grade sind im Schutzniveau vergleichbar, und NATO RESTRICTED wird in Deutschland nach VS-NfD-Maßstab behandelt, die Regeln sind aber nicht identisch. Die konkrete Handhabung bestimmen Abkommen und PSI; Kryptoprodukte müssen ausdrücklich für NATO RESTRICTED zugelassen sein, eine nationale VS-NfD-Zulassung genügt nicht automatisch.

Brauchen wir für NATO RESTRICTED eine FSC?

Aus deutscher Sicht grundsätzlich nein: Wie bei VS-NfD löst der bloße Zugang keine Firmen- oder Personenüberprüfung aus; es genügen Belehrung, schriftliche Verpflichtung, Need-to-know und eine verantwortliche Person. Einzelne NATO-Staaten können jedoch abweichend FSC, PSC oder Meldungen verlangen, SAL, PSI und Vertrag stets prüfen.

Was unterscheidet Sicherheitsbescheid und FSC?

Der Sicherheitsbescheid ist der nationale Nachweis der Geheimschutzbetreuung durch das BMWE. Die Facility Security Clearance ist die grenzüberschreitende Bestätigung: Die ausländische Sicherheitsbehörde bestätigt ihr Unternehmen gegenüber dem deutschen Auftraggeber, das BMWE als deutsche DSA ein deutsches Unternehmen gegenüber dem ausländischen Auftraggeber. Beides setzt eine Geheimschutzbetreuung voraus und greift erst ab VS-VERTRAULICH/CONFIDENTIAL.

Internationale Verschlusssachen: NATO RESTRICTED, RESTREINT UE/EU RESTRICTED und die FSC

Problem in der Praxis

Internationale Programme konfrontieren Unternehmen mit einem Geflecht aus Vergleichbarkeitstabellen, Abkommen und programmspezifischen Sicherheitsvorgaben. Typische Stolpersteine: Ein Unterauftrag im NATO-Programm wird mit den vertrauten deutschen VS-NfD-Regeln bearbeitet, obwohl die PSI abweicht. Ein Kryptoprodukt mit rein nationaler VS-NfD-Zulassung wird für NATO-RESTRICTED-Übertragungen eingesetzt, obwohl es dafür nicht ausdrücklich zugelassen ist. Oder ein ausländischer Auftraggeber verlangt kurz vor Vertragsschluss eine FSC von einem deutschen Unternehmen, das nur VS-NfD-Aufträge bearbeitet und mangels Geheimschutzbetreuung keinen solchen Nachweis vorlegen kann. Wer Richtungslogik, Originatorprinzip und Länder-Sonderfälle nicht kennt, verliert im Angebotsprozess Zeit oder verletzt Sicherheitsauflagen.

CISO-Einordnung

Die Äquivalenzen nach GHB-Anlage 31 und BMI-Vergleichstabelle:

Deutschland	NATO	EU (EUCI, Beschluss 2013/488/EU)
VS-NUR FÜR DEN DIENSTGEBRAUCH	NATO RESTRICTED	RESTREINT UE/EU RESTRICTED
VS-VERTRAULICH	NATO CONFIDENTIAL	CONFIDENTIEL UE/EU CONFIDENTIAL
GEHEIM	NATO SECRET	SECRET UE/EU SECRET
STRENG GEHEIM	COSMIC TOP SECRET	TRÈS SECRET UE/EU TOP SECRET

Drei Prinzipien strukturieren den internationalen Geheimschutzverkehr. Erstens die Grad-Übersetzung: Nichtdeutsche VS werden in Deutschland nach dem entsprechenden deutschen Grad behandelt, NATO RESTRICTED und RESTREINT UE/EU RESTRICTED also nach VS-NfD-Maßstab (die einschlägige VSA-Fundstelle vor verbindlicher Nutzung am aktuellen VSA-Text abgleichen). Zweitens das Herausgeber- bzw. Originatorprinzip: Weitergabe an Dritte und grenzüberschreitende Übermittlung bedürfen der nachweislichen Einwilligung des Herausgebers (release approval); ohne Geheimschutzabkommen legt der Herausgeber die Modalitäten im Benehmen mit dem Bundesministerium für Wirtschaft und Energie (BMWE, zuvor BMWK; § 25 SÜG benennt das Ressort funktional) fest. Drittens der Vorrang der Programmdokumente: Geheimschutzabkommen (GSA), PSI und Security Aspects Letter (SAL) bestimmen, welche Regel im Einzelfall gilt.

Bei den Unternehmensnachweisen ist die Richtungslogik entscheidend. National bestätigt das BMWE den Geheimschutzstatus eines Unternehmens per Sicherheitsbescheid. Grenzüberschreitend bestätigt die zuständige nationale Sicherheitsbehörde den Status mittels Facility Security Clearance: die ausländische Behörde ihr Unternehmen gegenüber dem deutschen Auftraggeber, und umgekehrt das BMWE als deutsche Designated Security Authority (DSA) ein deutsches Unternehmen gegenüber dem ausländischen Auftraggeber. Beide Nachweise knüpfen an eine Geheimschutzbetreuung an und werden erst ab VS-VERTRAULICH/CONFIDENTIAL relevant; für reine VS-NfD- oder NATO-RESTRICTED-Konstellationen existiert kein solcher Nachweis, dort tragen Belehrung, schriftliche Verpflichtung, Need-to-know und vertragliche Auflagen den Schutz. Nur als Randnotiz: Für die höchsten Stufen bestehen Zentralregistraturen (COSMIC TOP SECRET/ATOMAL beim BMVg, EU TOP SECRET beim Auswärtigen Amt).

Umsetzungsperspektive

NATO RESTRICTED aus deutscher Sicht: grundsätzlich keine PSC oder FSC allein wegen des Zugangs, keine Einzelregistrierung der Dokumente, Aufbewahrung in zugangskontrollierten Bereichen (Administrative Zones). Das entspricht der VS-NfD-Logik. Aber: Einzelne NATO-Staaten können auch auf RESTRICTED-Niveau FSC, PSC, Vertragsmeldungen oder Registrierung verlangen; SAL, PSI und Vertragsklauseln sind deshalb vor Angebotsabgabe systematisch darauf zu prüfen.

Kryptografie ist der häufigste technische Fallstrick: Für die elektronische Übertragung von NATO RESTRICTED müssen Kryptoprodukte im konkreten Produkt- und Versionsstand ausdrücklich für NATO RESTRICTED zugelassen sein; eine rein nationale VS-NfD-Zulassung genügt nicht automatisch. Maßgeblich ist der tagesaktuelle Eintrag in der BSI-Schrift 7164 (Zulassungs-ID, Stufe, Gültigkeit), keine Annahmen aus Projekthistorie oder Herstellerkommunikation. Die nationalen Zulassungsgrundlagen behandelt der VS-IT-Artikel dieses Tracks.

Besuchsverkehr: Besuchsanträge (Request for Visit, RfV) laufen ab CONFIDENTIAL-Niveau über das BMWE (teils mit Weiterleitung an das BAAINBw); bis NATO RESTRICTED bestehen in der Regel keine formalen Anforderungen.

Länder-Sonderfälle verbieten Pauschal-Zuordnungen: Die USA und Frankreich kennen keinen unmittelbar VS-NfD entsprechenden Grad; deutsche VS-NfD werden dort nach gleichwertigen oder strengeren nationalen Regeln geschützt. Frankreich führt seit dem 01.07.2021 regulär nur noch SECRET und TRÈS SECRET; eine aktuelle französische Entsprechung ist daher nicht fest zuzuordnen. Für die Schweiz ist mit dem 2024 in Kraft getretenen Informationssicherheitsgesetz (unter anderem Grad „INTERN") die bilaterale Äquivalenz gesondert zu prüfen. Maßgeblich sind stets GSA, PSI/SAL und die Auskunft des BMWE bzw. die Weisung des Herausgebers, abkommens- und projektbezogen, datumsabhängig.

Typische Fehler

„Vergleichbar" wird als „identisch" gelesen: Deutsche VS-NfD-Routinen werden ungeprüft auf NATO- oder EU-RESTRICTED-Material angewendet, obwohl PSI oder SAL abweichen.
Ein Kryptoprodukt mit nationaler VS-NfD-Zulassung wird für NATO RESTRICTED eingesetzt, ohne ausdrückliche Zulassung des konkreten Produktstands (7164-Abgleich unterlassen).
Länder werden pauschal zugeordnet, etwa eine US-amerikanische oder französische „VS-NfD-Entsprechung" behauptet, die es so nicht gibt.
Sonderanforderungen einzelner NATO-Staaten (FSC, PSC, Meldungen oder Registrierung schon bei RESTRICTED) werden übersehen, weil nur die deutsche Sicht geprüft wurde.
Sicherheitsbescheid und FSC werden verwechselt; im Angebot wird eine FSC zugesagt, die mangels Geheimschutzbetreuung nicht existiert und für reine VS-NfD-Aufträge auch nicht erforderlich ist.
Das Originatorprinzip wird bei Unteraufträgen ignoriert: Weitergabe an ausländische Partner ohne Einwilligung des Herausgebers und ohne Verpflichtung des Unterauftragnehmers.

Risiken und Trade-offs

Der zentrale Trade-off verläuft zwischen Über- und Untersteuerung. Wer RESTRICTED-Material vorsorglich wie CONFIDENTIAL behandelt, erzeugt unnötige Kosten und blockiert Personal mit rechtlich nicht geforderten Überprüfungsverfahren. Wer umgekehrt die deutschen VS-NfD-Erleichterungen ungeprüft auf internationale Programme überträgt, riskiert Vertragsverletzungen, Programmausschluss und Verstöße gegen das Originatorprinzip. Zweites Risiko ist die Datumsabhängigkeit: Einstufungssysteme ändern sich (Frankreich 2021, Schweiz 2024); Fassungsstände von GHB-Anlage 31, BMI-Vergleichstabelle und EU-Ratsbeschluss sind vor verbindlicher Nutzung zu prüfen. Drittens die Vorlaufzeit: Wird ein Zugang ab CONFIDENTIAL-Niveau absehbar, sind FSC, Sicherheitsüberprüfungen und Geheimschutzbetreuung rechtzeitig vorher einzuleiten.

Entscheidungspunkte

Welche Sicherheitsdokumente (GSA, PSI, SAL, Vertragsklauseln) gelten für unser Programm, und was setzt sich bei Widersprüchen zur deutschen VS-NfD-Routine durch?
Verlangt ein beteiligter NATO- oder EU-Staat für RESTRICTED-Niveau abweichend FSC, PSC, Vertragsmeldungen oder Registrierung?
Sind unsere Kryptoprodukte im konkreten Versionsstand ausdrücklich für NATO RESTRICTED bzw. RESTREINT UE/EU RESTRICTED zugelassen (tagesaktueller 7164-Abgleich)?
Liegt für jede Weitergabe an ausländische Partner und Unterauftragnehmer die nachweisliche Einwilligung des Herausgebers vor?
Wird ein Zugang ab CONFIDENTIAL-Niveau absehbar, und ist der Vorlauf für FSC, Besuchsverfahren und Geheimschutzbetreuung eingeplant?

Praktische Empfehlungen

Führen Sie je Programm ein Register der geltenden Sicherheitsdokumente (GSA, PSI, SAL, Vertragsauflagen) und klären Sie Abweichungen von der deutschen VS-NfD-Routine mit dem Auftraggeber.
Ordnen Sie vor Angebotsabgabe die Einstufungsniveaus den deutschen Graden zu; behandeln Sie die Schwelle CONFIDENTIAL/VS-VERTRAULICH als Trigger für FSC-, Überprüfungs- und Betreuungsfragen.
Setzen Sie Kryptoprodukte für internationale Übertragungen nur nach tagesaktuellem 7164-Abgleich ein und dokumentieren Sie die internationale Zulassungsstufe explizit.
Verankern Sie das Herausgeberprinzip prozessual: Einwilligung vor jeder Weitergabe einholen und dokumentieren, Unterauftragnehmer förmlich verpflichten.
Improvisieren Sie bei Länder-Sonderfällen (USA, Frankreich, Schweiz) keine eigene Zuordnung, sondern holen Sie die Auskunft des BMWE bzw. die Weisung des Herausgebers ein.
Planen Sie Besuchsverkehr ab CONFIDENTIAL-Niveau frühzeitig (RfV über das BMWE, teils BAAINBw) und berücksichtigen Sie die Vorlaufzeiten in der Programmplanung.

Relevante Normreferenzen

Sicherheitsüberprüfungsgesetz (SÜG): Rahmen für Verschlusssachen und Sicherheitsüberprüfungen; frei zugänglich, Fassungsstand datumsabhängig.
Verschlusssachenanweisung (VSA) vom 13.03.2023: materieller Geheimschutz der Bundesverwaltung einschließlich Behandlung nichtdeutscher VS; öffentlich zugängliche Verwaltungsvorschrift.
Geheimschutzhandbuch (GHB) des BMWE mit Anlage 4 (VS-NfD-Merkblatt) und Anlage 31 (internationale Vergleichbarkeitsgrade); Fassungsstände am BMWE-Portal prüfen.
BMI-Vergleichstabelle der Geheimhaltungsgrade: amtliche Äquivalenzübersicht mit Anmerkungen zu Ländern ohne VS-NfD-Entsprechung.
EU-Ratsbeschluss 2013/488/EU über den Schutz von EU-Verschlusssachen (EUCI): öffentlich (EUR-Lex).
NATO C-M(2002)49: Sicherheitsgrundsatzdokument der NATO; nur Strukturverweis.
BSI-Schrift 7164: Liste der zugelassenen IT-Sicherheitsprodukte und -systeme; maßgeblich für Zulassungsstufen.