Verschlusssachen und VS-NfD: Überblick, Einstufungsgrade und Behördenlandschaft

Problem in der Praxis

Der typische Erstkontakt ist unspektakulär: In einer Ausschreibung oder einem Vertrag, häufig von Bundeswehr/BAAINBw, aus öffentlicher Vergabe oder im Unterauftrag eines Verteidigungszulieferers, steht, dass Teile der Leistung als VS-NfD eingestuft sind. Ab hier laufen zwei Fehlreaktionen auseinander. Die Überreaktion: Das Unternehmen glaubt, es müsse Sicherheitsüberprüfungen anstoßen und förmliche Geheimschutzstrukturen aufbauen, und lehnt den Auftrag ab oder dimensioniert teuer über. Die Unterreaktion: VS-NfD wird wie Firmenvertraulichkeit behandelt; die Unterlagen landen in normaler Ablage, E-Mail und Cloud, niemand verantwortet die Handhabung. Beiden fehlt dasselbe Grundverständnis von Verschlusssachen, Graden und geltendem Regelwerk.

CISO-Einordnung

Ausgangspunkt ist § 4 SÜG. Verschlusssachen existieren unabhängig von der Darstellungsform, Papier, Datei, Datenträger, einschließlich zugehöriger Produkte und Schlüsselmittel. Nicht das Unternehmen stuft ein, sondern eine amtliche Stelle des Bundes oder eine Stelle auf deren Veranlassung. Daran hängt das Herausgeberprinzip: Der Herausgeber bestimmt über die Einstufung; Weitergabe an Dritte setzt seine nachweisliche Einwilligung voraus.

§ 4 Abs. 2 SÜG definiert die vier Grade absteigend über den möglichen Schaden bei Kenntnisnahme durch Unbefugte: STRENG GEHEIM, wenn sie den Bestand oder lebenswichtige Interessen der Bundesrepublik Deutschland oder eines ihrer Länder gefährden kann (Nr. 1); GEHEIM, wenn sie die Sicherheit gefährden oder den Interessen schweren Schaden zufügen kann (Nr. 2); VS-VERTRAULICH, wenn sie für die Interessen schädlich sein kann (Nr. 3); VS-NfD, wenn sie für die Interessen nachteilig sein kann (Nr. 4). Die Grenze zwischen Nr. 3 und Nr. 4 ist die wichtigste Linie des Systems: Sicherheitsempfindliche Tätigkeit nach § 1 Abs. 2 SÜG ist unter anderem der Zugang zu VS der Grade STRENG GEHEIM, GEHEIM oder VS-VERTRAULICH, VS-NfD ist dort bewusst nicht genannt. Der bloße VS-NfD-Zugang löst deshalb weder Sicherheitsüberprüfung noch Sicherheitsakte noch Geheimschutzbetreuung aus.

Die Regelwerkslandschaft hat drei Ebenen, die sauber getrennt gehören. Erstens das SÜG als Gesetz: Es regelt den personellen Geheimschutz und definiert die Verschlusssachen; der Fassungsstand ist datumsabhängig (zuletzt geändert laut Vollzitat Anfang 2026, vor Nutzung abgleichen). Zweitens die Verschlusssachenanweisung (VSA), eine Verwaltungsvorschrift zum materiellen Geheimschutz, erlassen vom Bundesministerium des Innern (BMI) nach § 35 Abs. 1 SÜG, in Kraft seit 01.04.2023: Sie bindet die Bundesbehörden im Innenverhältnis; das behördliche VS-NfD-Merkblatt ist dort Anlage V. Drittens, für Unternehmen maßgeblich, das Geheimschutzhandbuch (GHB) des Bundesministeriums für Wirtschaft und Energie (BMWE, zuvor BMWK); § 25 SÜG weist die Aufgabe dem Ressort funktional zu. Das VS-NfD-Merkblatt der Wirtschaft ist dort Anlage 4 (in Kraft seit 01.09.2023; Fassungsstand am BMWE-Portal zu prüfen), ergänzt durch eine FAQ (Stand 05/2026, unverbindliche Momentaufnahme). Verbindlich wird die Anlage 4 durch vertragliche Einbeziehung in den Auftrag. Anlage V VSA und Anlage 4 GHB teilen den Schutzkern, sind aber eigenständige Regelwerke: Ziffern und Pflichten dürfen nicht rechtskreisübergreifend übertragen werden.

Umsetzungsperspektive

Zur Behördenlandschaft: Das BMI ist federführend für die Geheimschutzpolitik des Bundes, erlässt die VSA, gibt die amtliche Vergleichstabelle der Geheimhaltungsgrade heraus und ist nach § 3 Abs. 1 Nr. 2 SÜG die Nationale Sicherheitsbehörde. Das BMWE verantwortet den Geheimschutz in der Wirtschaft: Es gibt das GHB heraus, betreut geheimschutzbetreute Unternehmen und agiert als Designated Security Authority (DSA) gegenüber ausländischen Sicherheitsbehörden. Das BSI trägt den technischen Geheimschutz der VS-IT, insbesondere die Produktzulassung und deren Liste (BSI-Schrift 7164, Details in vsnfd-003). BfV und BAMAD wirken bei Sicherheitsüberprüfungen mit, für reine VS-NfD-Aufträge nicht einschlägig (Details in vsnfd-004).

Für den ersten VS-NfD-Auftrag ergibt sich ein überschaubares Programm: Vertrag prüfen (welche Leistungsteile sind eingestuft, ist die GHB-Anlage 4 einbezogen, wer ist der Herausgeber), VS-NfD-verantwortliche Person benennen, Personenkreis nach Need-to-know zuschneiden, Belehrung und schriftliche Verpflichtung dokumentieren, elektronische Verarbeitung klären. Die materiellen Handhabungsregeln behandelt vsnfd-002, die VS-IT-Anforderungen vsnfd-003, das ISMS-Verhältnis vsnfd-006. Für die Erwartungssteuerung: Eine Geheimschutzbetreuung durch das BMWE entsteht erst ab VS-VERTRAULICH und nur auf Veranlassung eines VS-Auftraggebers, für reine VS-NfD-Aufträge ist sie weder erforderlich noch beantragbar.

Typische Fehler

1. Für VS-NfD werden Sicherheitsüberprüfungen beantragt oder von Unterauftragnehmern verlangt, die Überprüfungspflicht beginnt erst ab VS-VERTRAULICH; für VS-NfD genügen Belehrung und Verpflichtung.
2. Umgekehrt wird VS-NfD wie eine gewöhnliche NDA behandelt, obwohl es amtlich eingestuftes Material mit vertraglichem Pflichtenrahmen ist.
3. Anlage V VSA (Behörden) und Anlage 4 GHB (Wirtschaft) werden vermischt; Ziffern werden aus dem falschen Regelwerk zitiert.
4. Das Unternehmen bewirbt sich proaktiv um Geheimschutzbetreuung oder Sicherheitsbescheid, die Aufnahme erfolgt nur auf Veranlassung eines VS-Auftraggebers ab VS-VERTRAULICH.
5. ISO/IEC 27001 oder TISAX werden als Ersatz für Geheimschutzpflichten dargestellt; beide ersetzen weder Verpflichtung noch Freigaben (Einordnung in vsnfd-006).
6. Fassungs- und Versionsstände (Merkblatt, FAQ, SÜG) werden trotz Datumsabhängigkeit ungeprüft aus Sekundärquellen übernommen.

Risiken und Trade-offs

Untersteuerung ist das teurere Risiko: Verstöße können arbeits- und vertragsrechtliche Folgen haben; je nach Tatbestand, Täterkreis und Verschulden kann eine Strafbarkeit insbesondere nach §§ 93 bis 99, § 203 Abs. 2 oder § 353b StGB in Betracht kommen. Dazu kommen Reputationsschaden und Verlust von Folgeaufträgen. Übersteuerung kostet anders: Wer für reine VS-NfD-Aufträge Strukturen des förmlichen Geheimschutzverfahrens aufbaut, bindet Budget ohne rechtlichen Mehrwert. Der strategische Trade-off: VS-NfD-Fähigkeit ist die Eintrittskarte in das Behörden- und Verteidigungsgeschäft, aber der Rahmen bleibt hoheitlich, kein Zertifikat, keine Werbewirkung, kein Eigenantrag. Wer perspektivisch Zugang ab VS-VERTRAULICH benötigt, muss Sicherheitsüberprüfung und Geheimschutzbetreuung rechtzeitig vorher einplanen.

Entscheidungspunkte

• Enthält der Vertrag eine VS-NfD-Klausel, und ist die GHB-Anlage 4 wirksam einbezogen?
• Welche Leistungsteile sind tatsächlich eingestuft, und wer ist der amtliche Herausgeber?
• Wer übernimmt die VS-NfD-verantwortliche Rolle, und wie wird der Personenkreis nach Need-to-know abgegrenzt?
• Bleibt es bei VS-NfD, oder wird Zugang ab VS-VERTRAULICH nötig, mit Sicherheitsüberprüfung und Geheimschutzbetreuung als Folge?
• Wird VS-NfD elektronisch verarbeitet, mit welchen Folgen für interne Freigabe und zugelassene Produkte?

Praktische Empfehlungen

1. Prüfen Sie Ausschreibungen und Verträge systematisch auf VS-Klauseln und klären Sie den Grad, die Rechtsfolgen unterscheiden sich fundamental zwischen VS-NfD und VS-VERTRAULICH.
2. Benennen Sie früh eine VS-NfD-verantwortliche Person mit Berichtsweg zur Geschäftsleitung.
3. Etablieren Sie Belehrung und schriftliche Verpflichtung als dokumentierten Standardprozess vor jedem Zugang.
4. Beziehen Sie GHB-Anlage 4 und FAQ direkt vom BMWE-Sicherheitsforum und arbeiten Sie nur mit dem dort aktuellen Stand.
5. Verzichten Sie für reine VS-NfD-Aufträge auf Strukturen des förmlichen Geheimschutzverfahrens (Sicherheitsbevollmächtigte, Sicherheitsbescheid), sie sind dort nicht vorgesehen.
6. Planen Sie die VS-IT-Frage früh, wenn elektronische Verarbeitung absehbar ist, und prüfen Sie Produktaussagen nur gegen die tagesaktuelle BSI-Schrift 7164.

Relevante Normreferenzen

• Sicherheitsüberprüfungsgesetz (SÜG), insbesondere § 1 Abs. 2, § 4, § 25, § 35: frei zugängliches Bundesrecht; Fassungsstand datumsabhängig.
• Verschlusssachenanweisung (VSA) vom 13.03.2023: Verwaltungsvorschrift des BMI für Bundesbehörden; Anlage V nur zur Abgrenzung.
• Geheimschutzhandbuch (GHB) mit Anlage 4 (VS-NfD-Merkblatt) und FAQ (Stand 05/2026): maßgebliches Regelwerk für Unternehmen; Fassungsstand am BMWE-Portal prüfen.
• BMI-Vergleichstabelle der Geheimhaltungsgrade: Referenz für internationale Äquivalenzen (Details in vsnfd-005).
• Strafgesetzbuch (StGB), §§ 93 bis 99, § 203 Abs. 2, § 353b: mögliche Sanktionsnormen, einzelfallabhängig.
• ISO/IEC 27001 und VDA ISA/TISAX: nur zur Abgrenzung; ersetzen keinen Geheimschutz.