VS-NfD im ISMS: Mapping und Roadmap für den CISO

Problem in der Praxis

Der erste VS-NfD-Auftrag erreicht den CISO selten über den Geheimschutz, sondern über den Vertrieb: Im Vertrag eines öffentlichen Auftraggebers ist die GHB-Anlage 4 einbezogen, und niemand im Haus kann die Klausel einordnen. Dann beginnt eine typische Verwirrung: Der Einkauf sucht eine „Geheimschutz-Zertifizierung", die es für VS-NfD nicht gibt; die Personalabteilung vermutet Sicherheitsüberprüfungen, die nicht erforderlich sind; die IT verweist auf das ISO-27001-Zertifikat, das die geheimschutzrechtlichen Pflichten nicht abdeckt. Ohne klare Zuordnung entsteht entweder Übererfüllung, VS-NfD wird behandelt wie VS-VERTRAULICH, oder Untererfüllung, etwa Klartext-E-Mail und normale Ablage. Beides hat Folgen: vertragsrechtlich gegenüber dem Auftraggeber, im Ernstfall auch strafrechtlich (tatbestandsabhängig u. a. §§ 93 bis 99, § 203 Abs. 2, § 353b StGB).

CISO-Einordnung

Der Geheimschutz gliedert sich in zwei Teile: den personellen Geheimschutz (SÜG: Sicherheitsüberprüfungen, erst ab VS-VERTRAULICH relevant) und den materiellen Geheimschutz (Handhabung, Räume, VS-IT). Ein ISMS kann nur den materiellen, technisch-organisatorischen Teil unterstützen; Verpflichtung, Sicherheitsüberprüfung und Geheimschutzbetreuung sind Rechtsakte, die kein Audit erzeugt.

Zweitens sind zwei Rechtskreise strikt zu trennen: Behörden folgen der VSA, dort ist das VS-NfD-Merkblatt Anlage V. Unternehmen wenden die GHB-Anlage 4 an (in Kraft seit 01.09.2023; aktueller Fassungsstand am BMWE-Portal zu prüfen), ergänzt durch eine FAQ (Stand 05/2026, datumsabhängig). Anforderungen und Randnummern dürfen nicht rechtskreisübergreifend übertragen werden, Adressaten, Verantwortlichkeiten und VS-IT-Freigabe unterscheiden sich.

Das Verhältnis zum ISMS bringt der BSI-Baustein CON.11.1 sinngemäß auf den Punkt: Der IT-Grundschutz dient der Informationssicherheit, die VSA dem Geheimschutz; eine ISO-27001-Zertifizierung auf Basis von IT-Grundschutz ersetzt nicht die Freigaben nach der VSA. CON.11.1 (Edition 2023) und CON.11.2 (bislang nur Entwurf) richten sich an Bundesbehörden. Für Unternehmen ist die vertraglich einbezogene Anlage 4 maßgeblich; die Bausteine sind höchstens informativ.

Auch das Rollenbild bleibt getrennt: Für reine VS-NfD-Aufträge genügt eine benannte VS-NfD-verantwortliche Person. Sicherheitsbevollmächtigte (SiBe) sind eine Rolle des Geheimschutzverfahrens ab VS-VERTRAULICH, der Geheimschutzbeauftragte (GSB) eine Behördenrolle. Der Geheimschutz ergänzt die Rolle des Informationssicherheitsbeauftragten (ISB) bzw. CISO, er ersetzt sie nicht, Verzahnung statt Parallelorganisation ist das Ziel.

Umsetzungsperspektive

Roadmap für den ersten VS-NfD-Auftrag:

1. Vertrag prüfen: Ist die GHB-Anlage 4 einbezogen, in welchem Fassungsstand, mit welchen zusätzlichen Auflagen des Auftraggebers?
2. VS-NfD-verantwortliche Person benennen, mit Vertretungsregelung und klarer Schnittstelle zum ISB/CISO.
3. Verpflichtungs- und Belehrungsprozess aufsetzen: nachweisliche Belehrung, schriftliche Verpflichtung, Nachweisführung, eingebettet in das Personal-Onboarding.
4. Handhabungsregeln festlegen für Kennzeichnung, Aufbewahrung, Weitergabe, Versand und Vernichtung (Details Artikel vsnfd-002).
5. VS-NfD-IT konzipieren und intern freigeben: IT-Ausprägung wählen, Freigabe durch die VS-NfD-verantwortliche Person, Produkte mit BSI-Zulassungsaussage gegen die tagesaktuelle BSI-Schrift 7164 prüfen (Details Artikel vsnfd-003).
6. Selbstakkreditierung terminieren: Bei VS-NfD-Verarbeitung auf eigener IT bestätigt das Unternehmen der Geschäftsleitung mindestens alle drei Jahre schriftlich die Umsetzung (erstmalige Übergangsfrist bis 01.09.2025; datumsabhängig).
7. Meldewege etablieren: Verlust oder Kompromittierung unverzüglich an die VS-NfD-verantwortliche Person, die den Auftraggeber informiert, angebunden an das Incident Management des ISMS.
8. Offboarding regeln: Rückgabe und Vernichtung von VS-NfD, Entzug der Zugänge, Dokumentation der fortgeltenden Verpflichtung nach dem Ausscheiden.

Schritt 6 ist der eigentliche ISMS-Anker: Die Anlage 4 nennt drei Nachweispfade, Anwendung des IT-Grundschutzes ohne Zertifizierung, ISO-27001-Zertifizierung auf Basis IT-Grundschutz oder anderweitige ISO-27001-Zertifizierung mit Differenzanalyse und mindestens gleichwertigem Niveau. Eine lediglich „ISO-nahe", nicht zertifizierte Umsetzung erfüllt die Zertifizierungspfade nicht.

Ausblick: Ab VS-VERTRAULICH ändert sich das Bild grundlegend, Geheimschutzbetreuung durch das BMWE (kein Eigenantrag, nur auf Veranlassung eines VS-Auftraggebers), SiBe-Bestellung und Sicherheitsüberprüfungen kommen hinzu und sind rechtzeitig vor dem Zugang einzuleiten (Details Artikel vsnfd-004).

Typische Fehler

1. „Für VS-NfD brauchen wir Sicherheitsüberprüfungen.", Falsch: Die SÜ beginnt erst ab VS-VERTRAULICH; für VS-NfD genügen Belehrung und schriftliche Verpflichtung, eine Sicherheitsakte entsteht nicht.
2. „ISO 27001 oder TISAX ersetzt den Geheimschutz.", Falsch: Die Zertifizierung ersetzt die Freigaben des Geheimschutzregimes nicht; TISAX ist für VS-NfD weder hinreichend noch generell vorgeschrieben. Bei eigener VS-NfD-IT ist ein ISMS-Nachweispfad über die Selbstakkreditierung aber Pflicht.
3. „VS-NfD kann per normaler E-Mail oder in der öffentlichen Cloud im Klartext verarbeitet werden.", Falsch: Elektronische Übertragung grundsätzlich nur verschlüsselt mit Produkten mit BSI-Zulassungsaussage; Cloud-Ablage allenfalls nach vorheriger zugelassener Verschlüsselung ohne Klartextverarbeitung (FAQ-Stand 05/2026, zu prüfen).
4. „KRITIS-/NIS2-Compliance deckt den Geheimschutz mit ab.", Falsch: eigenständige, nur teilweise überlappende Regime mit getrennten Anknüpfungstatbeständen.
5. „Wir beantragen selbst die Geheimschutzbetreuung als Vertriebsargument.", Falsch: Es gibt keinen Eigenantrag; die Aufnahme erfolgt nur auf Veranlassung eines VS-Auftraggebers ab VS-VERTRAULICH, reines VS-NfD braucht keine Betreuung.
6. Behörden- und Wirtschaftsregelwerk werden vermischt: Randnummern der Anlage V VSA werden auf das Unternehmen übertragen oder CON.11.1 als Unternehmensgrundlage behandelt, obwohl vertraglich die GHB-Anlage 4 maßgeblich ist.

Risiken und Trade-offs

Der zentrale Trade-off liegt zwischen Integration und Regimetrennung. Wer Geheimschutzpflichten vollständig im ISMS aufgehen lässt, riskiert, die rechtlich eigenständigen Nachweise (Verpflichtungen, Freigaben, Selbstakkreditierung) nicht sauber belegen zu können; wer eine Parallelorganisation aufbaut, verdoppelt Aufwand und Fehlerquellen. Zulieferer mit Automotive- und Verteidigungsgeschäft betreiben in der Praxis TISAX und Geheimschutz parallel, das ist branchenüblich (Praxisbeobachtung, nicht amtlich geregelt) und spricht für eine gemeinsame Maßnahmenbasis bei getrennten Nachweisregistern. Auch NIS2-/BSIG-Pflichten bestehen nebeneinander fort; keines der Regime ersetzt das andere. Datumsabhängige Stände (Merkblatt-Fassung, FAQ 05/2026, SÜG-Novellen) bleiben ein Planungsrisiko; die Roadmap braucht wiederkehrende Prüfpunkte statt einmaliger Festlegungen. Übersteuerung bleibt ein Kostenrisiko: Wer VS-NfD wie VS-VERTRAULICH behandelt, bezahlt Schutzmaßnahmen ohne Rechtsgrund und verliert Akzeptanz.

Entscheidungspunkte

• Ist die GHB-Anlage 4 in unseren Verträgen einbezogen, und auf welchem Fassungsstand?
• Wer übernimmt die Rolle der VS-NfD-verantwortlichen Person, und wie ist sie mit ISB/CISO verzahnt?
• Verarbeiten wir VS-NfD elektronisch, und welcher der drei Selbstakkreditierungs-Nachweispfade passt zu unserem ISMS-Reifegrad?
• Streben wir mittelfristig Aufträge ab VS-VERTRAULICH an, und planen wir die Geheimschutzbetreuung rechtzeitig vor dem Zugang?
• Wie führen wir Geheimschutz-, NIS2- und gegebenenfalls TISAX-Nachweise in einem Steuerungsmodell zusammen, ohne die Regime zu vermischen?

Praktische Empfehlungen

1. Prüfen Sie jeden Auftrag mit VS-Bezug zuerst auf die vertragliche Einbeziehung der Anlage 4 und deren Fassungsstand.
2. Benennen Sie die VS-NfD-verantwortliche Person schriftlich und verankern Sie sie in der Sicherheitsorganisation neben dem ISB/CISO.
3. Betten Sie Belehrung, Verpflichtung und Meldewege in vorhandene ISMS-Prozesse ein (Onboarding, Awareness, Incident Management), statt Parallelstrukturen aufzubauen.
4. Nutzen Sie die Selbstakkreditierung als Takt: Nachweispfad festlegen, Dreijahresrhythmus im Auditkalender terminieren.
5. Behandeln Sie Produktzulassungen als tagesaktuelle Prüffrage gegen die BSI-Schrift 7164, nicht als einmal geklärte Beschaffungsentscheidung.
6. Halten Sie getrennte Nachweisregister für Geheimschutz, NIS2 und TISAX mit gemeinsamer Maßnahmenbasis im ISMS.

Relevante Normreferenzen

• SÜG: gesetzliche Grundlage des Geheimschutzes und des VS-Begriffs (§ 4); Fassungsstand datumsabhängig.
• VSA vom 13.03.2023: Verwaltungsvorschrift zum materiellen Geheimschutz der Bundesverwaltung; für Unternehmen nur Abgrenzungsreferenz (Anlage V ≠ Anlage 4).
• GHB mit Anlage 4 (VS-NfD-Merkblatt, in Kraft seit 01.09.2023): maßgeblich für Unternehmen in der jeweils vertraglich einbezogenen Fassung; die FAQ (Stand 05/2026) ist eine rechtlich unverbindliche, datumsabhängige Auslegungshilfe, Einzelfragen mit dem VS-NfD-Auftraggeber klären.
• BSI IT-Grundschutz-Bausteine CON.11.1 (Edition 2023) und CON.11.2 (Entwurf): adressieren Bundesbehörden, für Unternehmen informativ.
• BSI-Schrift 7164: Liste der zugelassenen IT-Sicherheitsprodukte und -systeme; stets tagesaktuell prüfen.
• ISO/IEC 27001: ISMS-Referenz, nur als Referenz.
• VDA ISA/TISAX: privatwirtschaftliches Prüfverfahren, deckt Geheimschutz nicht ab, nur als Referenz.
• NIS2 bzw. BSIG: eigenständiges, teilweise überlappendes Regime; Paragraphenstände zu prüfen.