Praxisorientierte Einordnung zu VS-NfD, Geheimschutz und ISO 27001: Wo die Anforderungen auseinandergehen: Anforderungen verstehen, Risiken priorisieren und eine belastbare Umsetzung für VS-NfD aufbauen.
ISO/IEC 27001, VS-NfD und der förmliche Geheimschutz verfolgen alle das Ziel, Informationen vor unbefugtem Zugriff zu schützen. Trotzdem sind sie weder austauschbar noch gleich aufgebaut. ISO 27001 ist ein risikobasiertes Managementsystem für Informationssicherheit. VS-NfD ist ein amtlicher Geheimhaltungsgrad mit konkreten Regeln für entsprechend eingestufte Informationen. Der förmliche Geheimschutz umfasst darüber hinaus Verfahren für höher eingestufte Verschlusssachen und sicherheitsempfindliche Tätigkeiten.
In der Praxis führt die sprachliche Nähe zu zwei Fehlannahmen: Ein ISO-Zertifikat werde als Freigabe für VS-NfD genügen oder jede VS-NfD-Verarbeitung verlange automatisch ein vollständiges Geheimschutzverfahren. Beides ist falsch. Unternehmen benötigen eine saubere Zuordnung von Anwendungsbereich, Rechtsgrundlage, Rollen, technischen Freigaben und Nachweisen.
Drei unterschiedliche Ausgangspunkte
ISO/IEC 27001 definiert Anforderungen an Aufbau, Betrieb, Überwachung und fortlaufende Verbesserung eines Informationssicherheitsmanagementsystems. Die Organisation bestimmt ihren Geltungsbereich, bewertet Risiken und wählt angemessene Maßnahmen. Eine unabhängige Zertifizierung kann die Konformität dieses Managementsystems bestätigen.
VS-NfD beginnt dagegen mit einer amtlichen Einstufung oder einer Einstufung auf Veranlassung einer amtlichen Stelle. Der Schutz richtet sich nach gesetzlichen, administrativen und vertraglichen Vorgaben. Beim förmlichen Geheimschutz kommen für VS-VERTRAULICH, GEHEIM oder STRENG GEHEIM weitergehende personelle, materielle und organisatorische Verfahren hinzu.
Was unter „Geheimschutz“ zu verstehen ist
Staatlicher Geheimschutz schützt im öffentlichen Interesse geheimhaltungsbedürftige Tatsachen, Gegenstände und Erkenntnisse. Das Sicherheitsüberprüfungsgesetz unterscheidet vier Geheimhaltungsgrade. Die Einstufung wird durch eine amtliche Stelle oder auf deren Veranlassung vorgenommen und ist nicht das Ergebnis einer privaten Risikobewertung.
Der Begriff umfasst personellen und materiellen Geheimschutz. Personelle Verfahren sollen den Zugang zu sicherheitsempfindlichen Tätigkeiten regeln. Materielle Maßnahmen schützen Erstellung, Kennzeichnung, Bearbeitung, Aufbewahrung, Übermittlung und Vernichtung von Verschlusssachen. Für Unternehmen konkretisiert das Geheimschutzhandbuch die Verfahren im Geheimschutz der Wirtschaft.
VS-NfD ist Geheimschutz, aber mit eigener Verfahrenslogik
VS-NUR FÜR DEN DIENSTGEBRAUCH ist der niedrigste der vier Geheimhaltungsgrade. Nach § 4 SÜG ist er einschlägig, wenn die Kenntnisnahme durch Unbefugte für die Interessen des Bundes oder eines Landes nachteilig sein kann. Auch hier gilt der gesetzliche Grundsatz „Kenntnis nur, wenn nötig“.
Das Geheimschutzhandbuch stellt zugleich klar, dass für VS-NfD das spezielle Merkblatt zu beachten und kein förmliches Geheimschutzverfahren erforderlich ist. Personen mit Zugang oder Zugangsmöglichkeit werden nachweisbar verpflichtet. Zusätzliche Anforderungen können sich aus Vertrag, ausländischer oder zwischenstaatlicher Einstufung und dem konkreten Auftrag ergeben.
ISO 27001 schützt mehr als Vertraulichkeit
Ein ISMS betrachtet Vertraulichkeit, Integrität und Verfügbarkeit von Informationen und bezieht Geschäftsziele, interessierte Parteien sowie Risiken ein. Auch Authentizität und weitere Eigenschaften können relevant sein. Die Organisation schützt nicht nur amtliche Verschlusssachen, sondern etwa Kundendaten, Entwicklungswissen, Produktionssysteme, personenbezogene Daten und betriebliche Verfügbarkeit.
Dadurch ist der ISO-Geltungsbereich häufig breiter als eine VS-NfD-Umgebung. Zugleich bleibt die Norm auf Managementsystemebene generisch. Sie schreibt nicht automatisch die spezielle Kennzeichnung, Verpflichtung, Produktzulassung oder Auftraggeberzustimmung des VS-NfD-Merkblatts vor.
Wer den Geltungsbereich festlegt
Bei ISO 27001 definiert die Organisation den Scope ihres ISMS unter Berücksichtigung externer und interner Themen, interessierter Parteien und Abhängigkeiten. Ein Zertifikat kann sich auf das gesamte Unternehmen, einen Standort, einen Geschäftsbereich oder bestimmte Leistungen beziehen. Deshalb muss bei der Bewertung immer der ausgewiesene Zertifizierungsbereich gelesen werden.
Bei VS-NfD folgt der Scope den eingestuften Informationen und ihrem Lebenszyklus. Wo immer sie erstellt, gespeichert, übertragen, besprochen oder gesichert werden, entstehen Schutzanforderungen. Ein Unternehmen kann sein ISMS eng abgrenzen, nicht aber durch eine interne Scope-Entscheidung die vertraglichen Pflichten für eine Verschlusssache verkleinern.
Risikobasiert bedeutet nicht frei von Mindestvorgaben
ISO 27001 verlangt eine nachvollziehbare Risikobeurteilung und Risikobehandlung. Maßnahmen werden passend zum Risiko ausgewählt und ihre Nichtanwendung begründet. Das schafft Flexibilität für Größe, Branche und Technik der Organisation.
Im VS-NfD-Kontext existieren daneben verbindliche Mindestregeln. Need-to-know, vorherige Verpflichtung, Kennzeichnung, zulässige Verarbeitung und spezifische IT-Anforderungen können nicht allein mit einer internen Risikoakzeptanz abbedungen werden. Risikomanagement hilft bei der Ausgestaltung, ersetzt aber keine vorgeschriebene Freigabe oder Zustimmung.
Leitungsverantwortung und besondere Rollen
ISO 27001 verlangt Führung, Verantwortlichkeiten, Ressourcen und die Integration des ISMS in Geschäftsprozesse. Häufig koordiniert ein Informationssicherheitsbeauftragter die Umsetzung, ohne dass die Norm einen bestimmten deutschen Amtstitel vorschreibt.
Für VS-NfD benennt das Unternehmen eine verantwortliche Person und Vertretung entsprechend Merkblatt und Vertrag. Im förmlichen Geheimschutz der Wirtschaft bestehen definierte Funktionen und Beziehungen zur zuständigen Stelle. Rollen können personell zusammenfallen, ihre Aufgaben, Entscheidungswege und Vertraulichkeitsgrenzen bleiben dennoch getrennt nachvollziehbar.
Personelle Anforderungen im Vergleich
Ein ISMS regelt Kompetenz, Bewusstsein, Vertraulichkeitsverpflichtungen und Zugriffsrechte auf Basis von Risiko und Unternehmensvorgaben. Hintergrundprüfungen können eine ausgewählte Maßnahme sein, unterliegen aber rechtlichen und verhältnismäßigen Grenzen.
Bei VS-NfD werden Personen vor Zugang oder Zugangsmöglichkeit nach dem Merkblatt belehrt und verpflichtet. Eine formelle Sicherheitsüberprüfung ist für VS-NfD gesetzlich nicht pauschal vorgesehen. Bei sicherheitsempfindlichen Tätigkeiten, insbesondere Zugang zu VS-VERTRAULICH oder höher, greift dagegen das Verfahren des SÜG mit Zustimmung, zuständiger Stelle und definierten Überprüfungsarten.
Need-to-know ist strenger als allgemeines Least Privilege
ISO-orientierte Zugriffskontrolle verwendet typischerweise Least Privilege und rollenbasierte Berechtigungen. Diese Prinzipien passen gut zu VS-NfD. Need-to-know ist jedoch ausdrücklich gesetzlich verankert und verlangt, dass Kenntnis für die konkrete Aufgabenerfüllung erforderlich ist, nicht früher entsteht und nicht weiter reicht als nötig.
Eine ISO-konforme Unternehmensgruppe kann daher für den normalen Betrieb angemessen sein, für VS-NfD aber zu breit. Fachliche Rolle, Informationsobjekt, Zeitpunkt, Raumzutritt und technische Zugangsmöglichkeit werden im Geheimschutzkontext präziser verbunden.
Technische Produkte und Freigaben
ISO 27001 verlangt geeignete, risikobasierte Kontrollen, schreibt jedoch im Regelfall kein bestimmtes Verschlüsselungsprodukt vor. Die Organisation kann Technologie anhand Schutzbedarf, Risiko, Kosten, Integration und Wirksamkeit auswählen.
Bei VS-IT können Zulassungsaussagen und Einsatzbedingungen des BSI verbindlich sein. CON.11.1 stellt klar, dass VS-NfD nur mit dafür freigegebener VS-IT verarbeitet werden dürfen. Ein marktübliches Produkt oder ein Common-Criteria-Zertifikat ist nicht automatisch mit einer konkreten VS-Zulassung gleichzusetzen.
Warum ein ISO-Zertifikat keine VS-Freigabe ist
Eine ISO-Zertifizierung bestätigt innerhalb ihres Scopes, dass das Managementsystem die Normanforderungen erfüllt. Sie prüft Stichproben, Prozesse und Risikobehandlung. Sie genehmigt weder einen bestimmten VS-Arbeitsplatz noch bestätigt sie automatisch die Einhaltung sämtlicher Vertragsauflagen eines öffentlichen Auftraggebers.
Das BSI formuliert dies ausdrücklich: Selbst eine ISO-27001-Zertifizierung auf Basis von IT-Grundschutz ersetzt keine Freigaben nach der Verschlusssachenanweisung. Für durchgehenden Geheimschutz sind VSA und die spezifischen Geheimschutzanforderungen zusätzlich umzusetzen.
Dokumentation und Nachweisführung
ISO 27001 verlangt dokumentierte Informationen, die für Wirksamkeit, Steuerung und Nachweis des ISMS notwendig sind. Typische Artefakte sind Scope, Risikomethode, Risikobehandlung, Statement of Applicability, Ziele, Auditnachweise und Managementbewertung.
VS-NfD ergänzt auftragsbezogene Nachweise: Vereinbarung, Verpflichtungsbelege, Rollen, Kennzeichnung, Freigaben für IT und mobile Arbeit, Zustimmung zu Unterauftragnehmern, Nutzungsanweisungen sowie Nachweise zu Übertragung, Aufbewahrung und Vernichtung. Diese Dokumente können in einem ISMS gelenkt werden, behalten aber ihre eigene Rechts- und Schutzbedeutung.
Prüfung und Audit unterscheiden
Interne und externe ISO-Audits bewerten Konformität und Wirksamkeit des Managementsystems. Ein Zertifizierungsauditor entscheidet nicht als Geheimschutzbehörde oder VS-Auftraggeber. Feststellungen beziehen sich auf den zertifizierten Scope und die Normkriterien.
Kontrollen im VS-NfD-Auftrag prüfen dagegen die Einhaltung des Merkblatts und der Vereinbarung. Der Auftraggeber kann vertragliche Prüf- und Auskunftsrechte besitzen. Im förmlichen Geheimschutz kommen Aufsicht und Verfahren der zuständigen Stellen hinzu. Prüfprogramme sollten die Rollen dieser Prüfer klar auseinanderhalten.
Lieferanten und Unterauftragnehmer
ISO 27001 fordert eine risikobasierte Steuerung von Lieferantenbeziehungen. Verträge, Leistungsüberwachung, Änderungsmanagement und Cloud-Nutzung werden nach Bedeutung des Dienstes gestaltet. Eine Zertifizierung des Lieferanten kann ein Nachweis unter mehreren sein.
Für die Weitergabe von VS-NfD an Unterauftragnehmer verlangt das Merkblatt die vorherige Zustimmung des öffentlichen Auftraggebers. ISO-Zertifikat und Datenschutzvertrag ersetzen diese Genehmigung nicht. Beim förmlichen Geheimschutz können weitere Unternehmens- und Personenfreigaben erforderlich sein.
Homeoffice und mobile Arbeit
Ein ISMS bewertet mobile Arbeit anhand seiner Risiken und legt organisatorische sowie technische Kontrollen fest. Die konkrete Lösung kann je nach Unternehmen stark variieren.
Das VS-NfD-Merkblatt enthält eine eigene Vereinbarung für die Privatwohnung mit spezifischen Bedingungen, darunter freigegebene IT, Zustimmung der verantwortlichen Person, Schutz vor Einsicht anderer Personen und Einschränkungen bei privater Nutzung und Verbindung. Allgemeine Homeoffice-Richtlinien reichen ohne diese auftragsbezogene Umsetzung nicht aus.
Vorfälle und Kommunikation
ISO 27001 verlangt geplante Prozesse für Bewertung, Reaktion, Lernen und Verbesserung bei Informationssicherheitsvorfällen. Meldepflichten werden aus Gesetzen, Verträgen und interessierten Parteien abgeleitet.
Ein möglicher Geheimschutzverstoß besitzt zusätzlich einen festgelegten Melde- und Abstimmungsweg zum Auftraggeber oder zur zuständigen Stelle. Die interne Klassifizierung muss dies erkennen. Ein Vorfall darf nicht allein nach wirtschaftlichem Schaden bewertet werden, weil bereits die unbefugte Kenntnismöglichkeit staatliche Interessen berühren kann.
Wo sich die Systeme sinnvoll ergänzen
Ein reifes ISMS liefert Governance, Risikomanagement, Dokumentenlenkung, Schulung, Lieferantenprozesse, Incident Management, interne Audits und kontinuierliche Verbesserung. Diese Strukturen reduzieren den Aufwand für VS-NfD erheblich. Sie schaffen wiederverwendbare Prozesse und Verantwortlichkeiten.
Die speziellen Geheimschutzanforderungen werden als verbindliches Compliance-Profil in diese Strukturen integriert. So entstehen keine isolierten Parallelwelten, zugleich werden Besonderheiten nicht durch generische ISO-Kontrollen verwässert. Ein gemeinsames Kontrollregister kann Anforderungen und Nachweise verknüpfen.
Ein praktisches Mapping in vier Ebenen
- Gemeinsame Managementprozesse identifizieren, etwa Rollen, Risiken, Schulung, Audit und Verbesserung.
- VS-NfD-spezifische Pflichten zu Kennzeichnung, Verpflichtung, Need-to-know, IT und Weitergabe ergänzen.
- Für höher eingestufte VS zusätzliche personelle und materielle Geheimschutzverfahren separat ausweisen.
- Für jede Anforderung Verantwortlichen, konkreten Nachweis, Prüffrequenz und genehmigende Stelle dokumentieren.
Beispiel: ISO-zertifizierter Entwicklungsdienstleister
Ein Entwicklungsunternehmen besitzt ein zertifiziertes ISMS für seinen Standort und seine Cloudplattform. Ein neuer öffentlicher Auftrag enthält VS-NfD-Unterlagen. Das Zertifikat belegt nützliche Grundlagen, erlaubt aber nicht automatisch, die Unterlagen in der bestehenden Cloud zu speichern oder an den ISO-zertifizierten Hostinganbieter weiterzugeben.
Das Unternehmen modelliert den VS-Datenfluss, benennt eine verantwortliche Person, verpflichtet den erforderlichen Personenkreis und prüft die VS-IT-Anforderungen. Unterauftragnehmer und Übertragungsweg werden mit dem Auftraggeber geklärt. Die ISMS-Prozesse für Change, Incident und Audit werden anschließend auf die freigegebene Umgebung angewendet.
Beispiel: Auftrag mit höherer Einstufung
Erweitert sich das Projekt von VS-NfD auf VS-VERTRAULICH, reicht die bisherige Merkblattlösung nicht einfach weiter. Das Unternehmen klärt frühzeitig das erforderliche Geheimschutzverfahren, personelle Sicherheitsüberprüfungen, materielle Anforderungen und Freigaben. Bestehende ISO-Kontrollen bleiben nützlich, bestimmen aber nicht die Zulassung.
Diese Übergangsschwelle gehört in Angebots- und Änderungsprozesse. Sonst akzeptiert das Unternehmen Leistungen, für die weder Personal noch Räume und Systeme rechtzeitig vorbereitet sind. Eine klare Einstufungsliste und Eskalation schützen Termin, Kosten und Compliance.
Entscheidungshilfe für Verantwortliche
- Liegt eine amtlich veranlasste Einstufung vor, sind die zugehörigen Geheimschutzregeln maßgeblich.
- Handelt es sich ausschließlich um VS-NfD, wird das aktuelle Merkblatt samt Vertrag konkret umgesetzt.
- Bei höher eingestuften VS oder anderen sicherheitsempfindlichen Tätigkeiten wird das förmliche Verfahren geklärt.
- ISO 27001 dient als Managementrahmen und Nachweis allgemeiner Informationssicherheitsprozesse.
- Keine Zertifizierung ersetzt die für den konkreten VS-Einsatz verlangte Genehmigung oder Freigabe.
Fazit: Integrieren, aber nicht gleichsetzen
ISO 27001, VS-NfD und förmlicher Geheimschutz besitzen große operative Schnittmengen, aber unterschiedliche Auslöser und Entscheidungsinstanzen. Ein ISMS kann die Umsetzung effizient tragen. Die spezielle Einstufung, Verpflichtung, Produktzulassung, Auftraggeberzustimmung und gegebenenfalls Sicherheitsüberprüfung bleiben eigenständige Anforderungen.
BlackMount verbindet VS-NfD-Readiness mit bestehenden ISMS-Strukturen. Das Ergebnis ist ein eindeutiges Mapping, das vorhandene Kontrollen nutzt, Lücken sichtbar macht und für jede Freigabe den richtigen Verantwortlichen und Nachweis benennt.
