VS-NfD-Merkblatt Teil 1
Merkblatt für die Behandlung von Verschlusssachen des
Geheimhaltungsgrades VS-NUR FÜR DEN DIENSTGEBRAUCH
(VS-NfD-Merkblatt)
Teil 1a): Über dieses Merkblatt - Verschlusssachen des Geheimhaltungsgrades VS-NUR FÜR DEN DIENSTGEBRAUCH: Rechte und Pflichten von öffentlichem VS-NfD-Auftraggeber und Unternehmen
Teil 1b): Vereinbarung über die Behandlung von Verschlusssachen des Geheimhaltungsgrades VS-NUR FÜR DEN DIENSTGEBRAUCH zwischen VS-NfD-Auftraggeber und VS-NfD-Auftragnehmer
Teil 2: Allgemeine Hinweise zum Umgang mit Verschlusssachen des Geheimhaltungsgrades VS-NUR FÜR DEN DIENSTGEBRAUCH
Teil 3: Anforderungen an Informationstechnik zur Verarbeitung von Verschlusssachen des Geheimhaltungsgrades VS-NUR FÜR DEN DIENSTGEBRAUCH (VS-NfD)
Teil 4: Hinweise zur Kennzeichnung einer Verschlusssache des Geheimhaltungsgrades VS-NUR FÜR DEN DIENSTGEBRAUCH
Teil 5: Nachweis über die Verpflichtung
Teil 6: Vereinbarung über die Behandlung von Verschlusssachen des Geheimhaltungsgrades VS-NUR FÜR DEN DIENSTGEBRAUCH in der Privatwohnung (Homeoffice)
Stand: 01.09.2023 Seite 1 von 17
VS-NfD-Merkblatt Über dieses Merkblatt Teil 1a)
Teil 1a) Über dieses Merkblatt - Verschlusssachen des Geheimhaltungsgrades
VS-NUR FÜR DEN DIENSTGEBRAUCH: Rechte und Pflichten von
öffentlichem VS-NfD-Auftraggeber und Unternehmen
1 VS-NfD-Auftrag Vor der Weitergabe von Verschlusssachen (VS) des Geheimhaltungsgrades VS-NUR FÜR DEN DIENSTGEBRAUCH (VS-NfD) an nichtöffentliche Stellen (Unternehmen1) muss mit diesen jeweils ein Vertrag geschlossen werden, in den die Bestimmungen dieses VS-NfD-Merkblatts (Anlage 4 zum Geheimschutzhandbuch - GHB) Eingang gefunden haben. Die konkreten geheimschutzrechtlichen Anforderungen eines VS-NfD-Auftrags sind zwischen VS-NfD-Auftraggeber und VS-NfD- Auftragnehmer zu klären. Dazu gehört auch die Einbeziehung von VS-NfD-Unterauftragnehmern (siehe Ziffer 3.2)
2 VS-NfD-Auftraggeber und VS-NfD-Herausgeber VS-NfD-Auftraggeber im Sinne dieses Merkblatts sind öffentliche Stellen oder Unternehmen, die Unternehmen (VS-NfD-Auftragnehmer) Zugang oder Zugangsmöglichkeit zu VS-NfD ermöglichen müssen2. Bei Unternehmen erfolgt dies in Form eines VS-NfD-Unterauftrags. Die Bundesbehörden und bundesunmittelbaren öffentlich-rechtlichen Einrichtungen (Dienststellen), die eine VS-NfD erstellen oder deren Erstellung veranlassen, oder der Rechtsnachfolger dieser Dienststelle, sind VS-NfD-Herausgeber.
3 Rechte und Pflichten des VS-NfD-Auftraggebers
3.1 Öffentlicher VS-NfD-Auftraggeber Bei Weitergabe von VS-NfD an Unternehmen muss der öffentliche VS-NfD-Auftraggeber mit dem Unternehmen einen Vertrag schließen, in den die Bestimmungen dieses Merkblatts Eingang gefunden haben (gemäß Ziffer 6.6 Absatz 2 Anlage V der Allgemeinen Verwaltungsvorschrift zum materiellen Geheimschutz - Verschlusssachenanweisung – VSA). Die hierin enthaltenen Kontrollrechte werden grundsätzlich vom öffentlichen VS-NfD-Auftraggeber ausgeübt. Weitergehende Maßnahmen, wie ein Geheimschutzverfahren des Bundesministeriums für Wirtschaft und Energie (BMWE) oder Sicherheitsüberprüfungen, sind für eine Weitergabe von VS-NfD nicht erforderlich.
3.2 Nicht-öffentlicher VS-NfD-Auftraggeber Verschafft der VS-NfD-Auftragnehmer anderen Unternehmen (VS-NfD-Auftragnehmern beziehungsweise VS-NfD-Unterauftragnehmern) Zugang oder Zugangsmöglichkeit zu VS-NfD, hat er den VS-NfD-Unterauftragnehmer auf dieses Merkblatt zu verpflichten. Er nimmt in diesem Verhältnis die Rolle des VS-NfD-Auftraggebers ein und die entsprechenden Kontrollrechte werden dann von ihm ausgeübt.
1 Der Begriff „nicht-öffentliche Stelle“ im Sicherheitsüberprüfungsgesetz (SÜG) umfasst vor allem Unternehmen der Wirtschaft und privatrechtlich verfasste Institutionen. Er wurde als gebräuchlicher Terminus aus dem BDSG übernommen. Im GHB und in diesem Merkblatt wird im Folgenden der Begriff „Unternehmen“ verwendet. 2 Ein „VS-Auftrag“ liegt erst ab VS des Geheimhaltungsgrades VS-VERTRAULICH vor.
Stand: 01.09.2023 Seite 2 von 17
VS-NfD-Merkblatt Über dieses Merkblatt Teil 1a)
4 Pflichten des VS-NfD-Auftragnehmers
4.1 Allgemein Der VS-NfD-Auftragnehmer verpflichtet sich, die Vorgaben sämtlicher Teile dieses Merkblatts einzuhalten. Auf mögliche strafrechtliche und vertragliche Konsequenzen bei Zuwiderhandlung wird ausdrücklich hingewiesen.
4.2 Nachweisliche Belehrung und Verpflichtung Bevor eine Person Zugang oder Zugangsmöglichkeit zu VS-NfD erhält, ist sie vom Unternehmen über Teil 2 dieses Merkblatts zu belehren und auf dessen Einhaltung zu verpflichten. Dabei ist ihr ein Exemplar von den Teilen 2 und 4 dieses Merkblatts zugänglich zu machen. Wenn die Person Zugang oder Zugangsmöglichkeit zu VS-NfD auf Informationstechnik (IT) erhält, gilt gleiches zusätzlich für Teil 3 dieses Merkblatts. Die Belehrung, die Verpflichtung und der Empfang der erforderlichen Teile des Merkblatts sind durch Unterzeichnung des „Nachweises über die Verpflichtung“ (VS-NfD-Merkblatt Teil 5) durch die Person nachzuweisen. Der Nachweis muss vom VS-NfD-Auftragnehmer aufbewahrt werden und ist auf Nachfrage dem VS-NfD-Auftraggeber vorzulegen. Der Nachweis muss spätestens fünf Jahre nach dem Ausscheiden der betroffenen Person aus der Tätigkeit mit Bezug zu VS-NfD vernichtet werden.
4.3 Kontrollmöglichkeiten Der VS-NfD-Auftraggeber berät den VS-NfD-Auftragnehmer über die Vorgaben dieses Merkblatts und kann sich über deren Einhaltung vergewissern.
4.4 Benennung einer für VS des Geheimhaltungsgrades VS-NfD verantwortlichen Person Der VS-NfD-Auftragnehmer benennt eine für die Einhaltung und Durchführung der erforderlichen Maßnahmen zum Schutz von VS-NfD verantwortliche Person sowie gegebenenfalls eine/n Vertreter/in unter Nutzung des Teils 1b) dieses Merkblatts. Der VS-NfD-Auftraggeber und der VS-NfD-Auftragnehmer erhalten jeweils eine Ausfertigung des unterschriebenen Teils 1b) des NfD-Merkblatts.
5 Übergangsfrist Dieses Merkblatt (Teil 1a), Teil 1b), Teil 2, Teil 3, Teil 4, Teil 5, Teil 6) tritt zum 01.09.2023 in Kraft. Die Selbstakkreditierung gem. Teil 3 dieses Merkblatts ist bis zum 01.09.2025 durchzuführen.
Stand: 01.09.2023 Seite 3 von 17
VS-NfD-Merkblatt Allgemeine Hinweise Teil 1b)
Teil 1b) Vereinbarung über die Behandlung von Verschlusssachen des
Geheimhaltungsgrades VS-NUR FÜR DEN DIENSTGEBRAUCH zwischen VS-
NfD-Auftraggeber und VS-NfD-Auftragnehmer
-
Der VS-NfD-Auftragnehmer verpflichtet sich, das VS-NfD-Merkblatt (Anlage 4 zum GHB) einzuhalten.
-
Der VS-NfD-Auftragnehmer benennt in Übereinstimmung mit datenschutzrechtlichen Vorschriften eine für die Einhaltung und Durchführung der erforderlichen Maßnahmen zum Schutz der Verschlusssachen (VS) des Geheimhaltungsgrades VS-NUR FÜR DEN DIENSTGEBRAUCH (VS-NfD) verantwortliche Person sowie gegebenenfalls ein/e Vertreter/in.
Verantwortliche Person (geschäftliche Daten):
Name, Vorname: Herr Frau
Telefon-Nr. Mobilfunk-Nr.
E-Mail-Adresse Anschrift
Gegebenenfalls Vertreter/in der verantwortlichen Person (geschäftliche Daten):
Name, Vorname: Herr Frau Telefon-Nr. Mobilfunk-Nr.
E-Mail-Adresse Anschrift
- Die Person ist im Auftrag des VS-NfD-Auftragnehmers dabei unter anderem für folgende Maßnahmen verantwortlich: Nachweisliche Belehrung und Verpflichtung der Mitarbeiter/innen des VS-NfD- Auftragnehmers, die Zugang oder eine Zugangsmöglichkeit zu VS-NfD erhalten, über beziehungsweise auf VS-NfD-Merkblatt Teil 2, Teil 3 (sofern anwendbar) und Teil 4; Umsetzung der Vorgaben von Teil 3 dieses Merkblatts bei Verarbeitung von VS-NfD auf IT; Einholung der schriftlichen Einwilligung des VS-NfD-Auftraggebers zur Weitergabe von VS- NfD; Kontrolle der Einhaltung der erforderlichen Maßnahmen zum Schutz von VS-NfD im Unternehmen, gegebenenfalls auch bei VS-NfD-Unterauftragnehmern.
Ort, Datum
.......................................................... ............................................................ Unterschrift VS-NfD-Auftraggeber Unterschrift VS-NfD-Auftragnehmer Dienststelle/Unternehmen Unternehmen
Stand: 01.09.2023 Seite 4 von 17
VS-NfD-Merkblatt Allgemeine Hinweise Teil 2
Teil 2) Allgemeine Hinweise zum Umgang mit Verschlusssachen des
Geheimhaltungsgrades VS-NUR FÜR DEN DIENSTGEBRAUCH
1 Allgemeines
1.1 Anwendbarkeit Die Regelungen dieses VS-NfD-Merkblatts gelten für deutsche VS-NfD sowie für ausländische vergleichbar eingestufte VS, die einem Unternehmen in Deutschland zur Aufbewahrung oder Verarbeitung überlassen worden sind. Gleiches gilt für bilaterale Geheimschutzabkommen, soweit dort nichts anderes geregelt ist. Die Regelungen dieses VS-NfD-Merkblatts gelten nicht für VS über- oder zwischenstaatlicher Einrichtungen und Stellen (wie z. B. NATO, EU, ESA, OCCAR) mit vergleichbarem Geheimhaltungsgrad. Beim Schutz solcher VS sind die jeweiligen Vorschriften dieser Einrichtungen/ Stellen zu beachten.
1.2 Kenntnis nur, wenn nötig Von einer VS-NfD dürfen nur Personen Kenntnis erhalten, die auf Grund ihrer Aufgabenerfüllung Kenntnis haben müssen. Keine Person darf über eine VS-NfD umfassender oder eher unterrichtet werden, als dies aus Gründen der Aufgabenerfüllung notwendig ist. Es gilt der Grundsatz „Kenntnis nur, wenn nötig“.
1.3 Verstöße gegen die Geheimhaltungspflicht Personen, die gegen die Vorschriften dieses VS-NfD-Merkblatts verstoßen, drohen Konsequenzen und eine strafrechtliche Ahndung des Verstoßes nach den §§ 93 bis 99, 203 Absatz 2 und 353b StGB. Personen, die sich für den Umgang mit VS als ungeeignet erwiesen haben oder deren Geeignetheit nicht bewertet werden kann, werden von der für VS-NfD verantwortlichen Person von der Verarbeitung von VS-NfD ausgeschlossen.
1.4 Mitteilungspflichten bei Verlust von VS-NfD und Verstößen gegen Vorschriften dieses VS- NfD-Merkblatts Der Verlust von VS-NfD sowie vermutete und festgestellte Verstöße gegen die Vorschriften dieses VS-NfD-Merkblatts sind unverzüglich der für VS-NfD verantwortlichen Person mitzuteilen. Diese informiert unverzüglich den VS-NfD-Auftraggeber. Mitteilungspflichten geheimschutzbetreuter Unternehmen nach GHB bleiben unberührt. Die erforderlichen Maßnahmen, um Schaden abzuwenden oder zu verringern und Wiederholungen zu vermeiden, werden unverzüglich getroffen. Die für VS-NfD verantwortliche Person bemüht sich um die Aufklärung des Sachverhalts.
1.5 VS-NfD auf IT Bei Nutzung von IT beim Umgang mit VS-NfD ist zusätzlich Teil 3 dieses Merkblatts einzuhalten. Für die bearbeitenden Personen sind dort insbesondere die Vorgaben zur Verarbeitung in Ziffer 3 relevant.
2 Einstufung Die Bundesbehörden und bundesunmittelbaren öffentlich-rechtlichen Einrichtungen (Dienststellen), die eine VS-NfD erstellen oder deren Erstellung veranlassen, oder der Rechtsnachfolger dieser Dienststelle, sind VS-NfD-Herausgeber.
Stand: 01.09.2023 Seite 5 von 17
VS-NfD-Merkblatt Allgemeine Hinweise Teil 2
Der VS-NfD-Herausgeber stuft eine VS in den Geheimhaltungsgrad VS-NfD ein, wenn deren Kenntnisnahme durch Unbefugte für die Interessen der Bundesrepublik Deutschland oder eines ihrer Länder nachteilig sein kann (§ 4 Absatz 2 Nummer 4 SÜG). Von einer Einstufung als VS-NfD ist nur Gebrauch zu machen, soweit dies notwendig ist. Der VS-NfD-Herausgeber bestimmt, welche Informationen geheimhaltungsbedürftig sind. Das Unternehmen kann eine Einstufung nur auf Veranlassung des VS-NfD-Herausgebers vornehmen. Es ist stets nur deren Ersteller und nie selbst VS-NfD-Herausgeber. Das Unternehmen hat die erforderliche VS-NfD-Einstufung bei sich zu gewährleisten.
3 Befristung und Aufhebung der Einstufung Die Einstufung einer VS-NfD ist auf 30 Jahre befristet. Der VS-NfD-Herausgeber kann, unter Berücksichtigung der Begründung für die Einstufung, eine kürzere Frist bestimmen. Die Einstufung endet mit Ablauf des Jahres, in welches das Fristende fällt. Die Frist kann nicht verlängert werden. Entfällt die Geheimhaltungsbedürftigkeit einer VS-NfD, hat der VS-NfD-Herausgeber die Einstufung aufzuheben beziehungsweise die Umsetzung durch das Unternehmen zu veranlassen. Die Aufhebung der Einstufung ist so zu vermerken, dass diese und die verfügende Stelle jederzeit erkennbar sind.
4 Kennzeichnung Bei der Erstellung ist eine VS-NfD so zu kennzeichnen, dass bei ihrer Handhabung während der gesamten Dauer ihrer Einstufung jederzeit der Geheimhaltungsgrad, das erstellende Unternehmen, der VS-NfD-Herausgeber, das Datum der Einstufung sowie das vom Herausgeber festgelegte Ende der Einstufung (falls die Regelfrist von 30 Jahren unterschritten wird) erkennbar sind. Die verbindliche Gestaltung der Kennzeichnung von VS-NfD ist dem Teil 4 dieses Merkblatts zu entnehmen. Lässt die Beschaffenheit einer VS-NfD eine solche Kennzeichnung nicht zu, ist sinngemäß zu verfahren. Geheimhaltungsgrade sind grundsätzlich auszuschreiben soweit die Beschaffenheit einer VS dies zulässt. Ist dies nicht möglich, wird der Geheimhaltungsgrad VS-NUR FÜR DEN DIENSTGEBRAUCH mit VS-NfD abgekürzt. Im Falle nichtdeutscher VS eines entsprechenden Geheimhaltungsgrades sind diese zusätzlich mit dem deutschen Geheimhaltungsgrad zu kennzeichnen, sofern dies in den anwendbaren Geheimschutzabkommen vorgesehen ist.
5 Aufbewahrung VS-NfD sind bei Nichtgebrauch in verschlossenen Behältern oder Räumen zum Schutz vor Kenntnisnahme durch Unbefugte (Grundsatz: „Kenntnis nur, wenn nötig“) aufzubewahren. Außerhalb von solchen Räumen oder Behältern sind sie auch dort so zu behandeln, dass eine Kenntnisnahme durch Unbefugte ausgeschlossen ist. Können VS-NfD nach der Aufgabendurchführung nicht vernichtet oder vollständig zurückgegeben werden, sind diese bis zur Aufhebung der Einstufung gemäß den Vorgaben dieses Merkblatts zu verwahren. VS-NfD-Zwischenmaterial (z. B. Vorentwürfe) ist in derselben Weise zu schützen wie das Bezugsdokument.
6 Weitergabe Weitergabe ist eine Übergabe oder Bereitstellung, durch die eine andere Person Zugang zu VS-NfD hat oder ihn sich verschaffen kann.
6.1 Erforderlichkeit Vor jeder Weitergabe ist zu prüfen, ob diese unter Berücksichtigung des Grundsatzes „Kenntnis nur, wenn nötig“ zur Aufgabenerfüllung tatsächlich erforderlich ist.
Stand: 01.09.2023 Seite 6 von 17
VS-NfD-Merkblatt Allgemeine Hinweise Teil 2
6.2 Weitergabe innerhalb eines Unternehmens VS-NfD können innerhalb eines Unternehmens offen weitergegeben werden, wobei auch hier gilt, dass eine Kenntnisnahme von Unbefugten ausgeschlossen sein muss. Eine Quittierung der Weitergabe ist nicht vorgesehen.
6.3 Weitergabe an Dritte (öffentliche Stellen oder Unternehmen) Durch eine Weitergabe an einen Dritten hat dieser Zugang zur VS-NfD oder kann ihn sich verschaffen. Eine Weitergabe kann auch erforderlich sein, wenn ein Dritter sich gelegentlich einer Tätigkeit (z. B. Wartung, Reparatur), die für die Aufgabenerfüllung erforderlich ist, Zugang verschaffen kann. In diesem Fall sind Maßnahmen zu ergreifen, die einen Zugang zu der Verschlusssache verhindern (z. B. technische Maßnahmen, Abdecken, Begleiten). Die Weitergabe von VS-NfD an Dritte ist nur zulässig, wenn vor der Weitergabe die Einwilligung des VS-NfD-Herausgebers nachweislich vorliegt. Der VS-NfD-Herausgeber kann im Einzelfall einwilligen, aber auch vorab bestimmten oder sämtlichen Weitergaben von VS-NfD im Rahmen eines oder mehrerer VS-NfD-Aufträge und VS-NfD- Unteraufträge innerhalb eines bestimmten Programms einwilligen. Die Einwilligung kann auch für Tätigkeiten erfolgen, bei denen sich ein Dritter gelegentlich der Ausführung eines Auftrages Zugang zu VS-NfD verschaffen kann. Diese Einwilligung ist über den VS-NfD-Auftraggeber einzuholen. Unternehmen dürfen sich auf eine schriftliche Erklärung des jeweiligen VS-NfD-Auftraggebers, dass eine solche Einwilligung des VS-NfD-Herausgebers vorliegt, verlassen. Sie bewahren die Erklärung als Nachweis auf.
6.4 Weitergabe an nichtdeutsche öffentliche Stellen und Unternehmen mit Sitz im Ausland Auch eine Weitergabe an nichtdeutsche öffentliche Stellen (ausländische öffentliche Stellen oder über- oder zwischenstaatliche Einrichtungen und Stellen) und Unternehmen1 mit Sitz im Ausland ist mit Zustimmung des VS-Herausgebers möglich. Dabei sind über die vorstehend angeführten Aspekte hinaus zusätzliche Anforderungen zu beachten: Die Weitergabe von deutschen VS-NfD an nichtdeutsche öffentliche Stellen setzt grundsätzlich ein bilaterales Regierungs- oder Ressortgeheimschutzabkommen oder ein entsprechendes internationales Abkommen (Geheimschutzabkommen) voraus, welches die Bedingungen für die Weitergabe und weitere Handhabung regelt. Die Weitergabe von VS-NfD an Unternehmen mit Sitz im Ausland erfolgt auf der Grundlage vertraglicher Vereinbarungen und grundsätzlich unter der Voraussetzung, dass in einem Geheimschutzabkommen mit dem Empfängerland der Schutz deutscher VS-NfD vereinbart worden ist.2 Auf das Geheimschutzabkommen ist in der vertraglichen Vereinbarung zu verweisen. Liegt kein bilaterales Regierungs- oder Ressortgeheimschutzabkommen oder ein entsprechendes internationales Abkommen vor, legt der VS-Herausgeber entsprechend der VSA im Einzelfall die Modalitäten der Weitergabe an nichtdeutsche öffentliche Stellen oder Unternehmen mit Sitz im Ausland im Benehmen mit BMWE fest.
6.5 Weitergabe durch private Zustelldienste VS des Geheimhaltungsgrades VS-NfD können durch private Zustelldienste als gewöhnliche Brief- beziehungsweise Paketsendungen versandt werden. Der Umschlag beziehungsweise das Paket erhält keine VS-Kennzeichnung. Auch grenzüberschreitend können VS-NfD durch private Zustelldienste wie oben beschrieben weitergegeben werden, es sei denn, das spezifische bilaterale Geheimschutzabkommen lässt die Weitergabe auf diesem Weg nicht zu oder der VS-NfD-Auftraggeber oder der VS-NfD-Herausgeber hat einer solchen Weitergabe widersprochen.
1 siehe Teil 1a), Ziffer 1. 2 Ob mit dem jeweiligen Empfängerland ein Geheimschutzabkommen besteht und ob darin eine Vergleichbarkeit mit VS-NfD vereinbart wurde, ist beim BMWE zu erfragen.
Stand: 01.09.2023 Seite 7 von 17
VS-NfD-Merkblatt Allgemeine Hinweise Teil 2
7 Mitnahme und mobiles Arbeiten VS-NfD können außerhalb von Unternehmen nur auf Geschäftsreisen und zu Besprechungen mitgenommen werden, soweit dies zur Aufgabenerfüllung notwendig ist und sie angemessen gegen unbefugte Kenntnisnahme und unbefugten Zugriff gesichert werden. VS-NfD, u.a. Schriftstücke, können in diesem Fall in einem verschlossenen Umschlag unversiegelt mitgeführt werden. Ihre Mitnahme zur Verarbeitung in der Privatwohnung ist grundsätzlich unzulässig. Die ausschließliche elektronische Verarbeitung von VS-NfD ist unter den Voraussetzungen von Teil 3, Ziffer 3.5 auch in der Privatwohnung zulässig. Der öffentliche VS-NfD-Auftraggeber kann weitere Ausnahmen zulassen. VS-NfD-Unterauftragnehmer dürfen sich auf eine schriftliche Erklärung ihres VS-NfD-Auftraggebers, dass eine solche Ausnahme zugelassen wurde, verlassen. Sie bewahren die Erklärung als Nachweis auf. Zusätzlich zu der Ausnahmegenehmigung sind folgende Punkte einzuhalten: die Privatwohnung befindet sich innerhalb Deutschlands, die für VS-NfD verantwortliche Person erteilt die Zustimmung, der/die Mitarbeiter/in ist über spezifische Risiken des mobilen Arbeitens belehrt, Teil 6 dieses Merkblatts wurde von dem/der Mitarbeiter/in unterzeichnet und wird vom Unternehmen als Nachweis aufbewahrt.
8 Vernichtung Um größere Bestände von VS-NfD zu vermeiden, sind nicht mehr benötigte VS-NfD zu vernichten oder an den VS-NfD-Auftraggeber zurückzugeben. VS-NfD, auch VS-NfD-Zwischenmaterial, sind von den bearbeitenden Personen nur an den dafür vorgesehenen Orten so zu vernichten, dass der Inhalt weder erkennbar ist noch erkennbar gemacht werden kann. Für die Vernichtung dürfen grundsätzlich nur Produkte oder Verfahren eingesetzt oder Dienstleister beauftragt werden, die die Anforderungen des Bundesamtes für Sicherheit in der Informationstechnik (BSI) erfüllen.
Stand: 01.09.2023 Seite 8 von 17
VS-NfD-Merkblatt Anforderungen zu VS auf IT Teil 3
Teil 3) Anforderungen an Informationstechnik zur Verarbeitung von
Verschlusssachen des Geheimhaltungsgrades VS-NUR FÜR DEN
DIENSTGEBRAUCH (VS-NfD)
1 Einleitung
1.1 Allgemeines Wird Informationstechnik (IT) für die Verarbeitung von Verschlusssachen (VS) des Geheimhaltungsgrades VS-NUR FÜR DEN DIENSTGEBRAUCH (VS-NfD) genutzt, sind neben den allgemeinen Schutzmaßnahmen der Teile 1 und 2 dieses Merkblatts zum Schutz der VS-NfD geeignete technische sowie organisatorische Maßnahmen zu treffen und deren Einhaltung regelmäßig zu kontrollieren. Zu den geeigneten technischen Maßnahmen zählen unter anderem IT- Sicherheitsprodukte, die über eine Zulassungsaussage (Zulassung oder Einsatzerlaubnis) des BSI verfügen und im vorgesehenen Einsatzkontext verwendet werden. Sofern nicht durch den VS-NfD-Auftraggeber oder das BSI andere Vorgaben existieren, sind die technischen und organisatorischen Maßnahmen zum Schutz der VS-NfD auf IT-Systemen in Ziffer 2 geregelt. Unabhängig von dem eingesetzten IT-System sind die Anforderungen an die Verarbeitung von VS-NfD gem. Ziffer 3 einzuhalten.
1.2 VS internationaler Organisationen (NATO, EU, und andere) Bei der Verarbeitung von VS über- oder zwischenstaatlicher Einrichtungen und Stellen eines mit VS-NfD vergleichbaren Geheimhaltungsgrades gelten die jeweiligen Vorschriften dieser Einrichtungen/Stellen.
2 IT-System Die technischen und organisatorischen Maßnahmen zum Schutz der VS-NfD auf IT-Systemen hängen von der Ausprägung des IT-Systems ab. Es gibt zwei Ausprägungen:
- ein IT-System, das technisch isoliert („air-gapped“) betrieben wird (Ziffer 2.1) oder
- ein IT-System, das mit anderen Netzwerken verbunden wird, die ein niedrigeres Sicherheitsniveau als VS-NfD haben (Ziffer 2.2). Ein technisch isoliertes IT-System („air-gapped“) kann ein Einzelplatz-PC (Ziffer 2.1.1) oder ein Verbund eines IT-Systems (2.1.2) sein. Letzteres kann auch standortübergreifend vorliegen. Hierbei ist für die Übertragung ein IT-Sicherheitsprodukt mit Zulassungsaussage des BSI einzusetzen.
Die Verarbeitung von VS-NfD auf einem eigenen IT-System im Unternehmen ist unter Einhaltung folgender Voraussetzungen zulässig:
2.1 VS-NfD auf einem technisch isolierten IT-System („air-gapped“)
2.1.1 Einzelplatz-PC
Folgende technischen und organisatorischen Sicherheitsmaßnahmen sind umzusetzen: Zugangs-/Zugriffskontrolle: o Benutzung der Geräte erfolgt nur durch zugriffsberechtigte, auf das VS-NfD Merkblatt verpflichtete Personen, o Einrichtung von Benutzerprofil / restriktiven1 Zugriffrechten sowie Login / Passwort um den Grundsatz „Kenntnis nur, wenn nötig“ umzusetzen.
1 In einem gewöhnlich konfigurierten Betriebssystem erhält jeder Nutzer automatisch Vollzugriff auf alle Inhalte des Datenträgers mit Ausnahme der persönlichen Ordner anderer Nutzer. Seine Berechtigung für einzelne Ordner muss explizit
Stand: 01.09.2023 Seite 9 von 17
VS-NfD-Merkblatt Anforderungen zu VS auf IT Teil 3
IT-Systeme, die nicht über eine Festplattenverschlüsselung mit Zulassungsaussage verfügen, sind vor Arbeitsende auszuschalten und im ausgeschalteten Zustand gemäß Teil 2, Ziffer 5 aufzubewahren; Es sind entsprechende Maßnahmen beim Patch- und Änderungsmanagement sowie zum Schutz vor Schadprogrammen zu treffen, wobei ein unbemerkter Abfluss von VS-NfD zu verhindern ist. Die Nutzung drahtloser Schnittstellen ist nicht gestattet; Deaktivierung nicht freigegebener drahtgebundener Schnittstelle; Einsatz einer geeigneten Festplattenverschlüsselung für mobile IT-Systeme und Einsatz eines IT-Sicherheitsproduktes mit Zulassungsaussage des BSI zum Ver-/Entschlüsseln von VS-NfD; Der bidirektionale Transfer mittels eines mobilen Datenträgers zwischen offenem Arbeitsplatz-PC und Einzelplatz-PC hat ausschließlich in verschlüsselter Form zu erfolgen. Es ist sicherzustellen, dass die Klartextdaten nicht auf dem mobilen Datenträger gespeichert werden, auch nicht temporär beispielsweise im Rahmen des Ver-/ Entschlüsselungsvorganges.
Eine Anwendung des IT-Grundschutzes des BSI ist hier nicht erforderlich.
2.1.2 Verbund eines IT-Systems
Neben den Sicherheitsmaßnahmen gemäß Ziffer 2.1.1 sind folgende Sicherheitsmaßnahmen zusätzlich umzusetzen: Mindestanforderung Datenablage: Daten unterschiedlicher VS-NfD-Aufträge müssen jeweils in separaten und ausschließlich für die jeweiligen zugriffsberechtigten Nutzer freigegebenen Projektordnern abgelegt werden; Seitens des VS-NfD-Auftraggebers können weitergehende Anforderungen, bspw. ausschließliche Verwendung des IT-Systems für das jeweilige Projekt gefordert werden. Zentrale VS-NfD Komponenten: Zentrale VS-NfD Komponenten müssen nach dem Grundsatz „Kenntnis nur, wenn nötig“ im Serverraum physisch abgesichert werden. Dies kann durch eine Abtrennung in Form eines Käfigs oder einer vergleichbaren Abkastung (abschließbare Serverracks mit Einzelschließung etc.) erfolgen und Kommunikationsbeziehungen: Sämtliche Kommunikationsbeziehungen, insbesondere standortübergreifende, werden in einem Informationssicherheitskonzept (siehe Ziffer 4.2) beschrieben und hinsichtlich einer erforderlichen Verschlüsselung der VS-NfD durch ein IT-Sicherheitsprodukt mit Zulassungsaussage bewertet (hierzu Ziffer 3.4.1). Ein auf das IT-System konzentriertes Informationssicherheitskonzept nach den gültigen Standards des IT-Grundschutzes des BSI ist hier nur dann erforderlich, wenn ein standortübergreifendes IT-Systems eingesetzt wird. In diesem Fall sind mindestens die Basisanforderungen umzusetzen (Ziffer 4.1). Der VS-NfD-Auftraggeber kann darüber hinausgehende Anforderungen vorgeben.
2.2 VS-NfD-Netzwerk verbunden mit Netzwerksegmenten, die nicht die VS-NfD Anforderungen erfüllen Neben den Sicherheitsmaßnahmen gem. Ziffer 2.1.2 sind folgende Sicherheitsmaßnahmen für das VS-NfD-Netzwerk zusätzlich umzusetzen:
ausgeschlossen werden (Opt-OUT). Der Grundsatz „Kenntnis nur, wenn nötig“ hingegen fordert eine explizite Zugriffserlaubnis für Nutzer, die nicht Ersteller sind (Opt-IN). Sonderregelungen bspw. für Projektgruppenordner, bei denen alle Nutzer automatisch Zugriff auf die gespeicherten Daten erhalten, sind im Informationssicherheitskonzept zu dokumentieren.
Stand: 01.09.2023 Seite 10 von 17
VS-NfD-Merkblatt Anforderungen zu VS auf IT Teil 3
Segmenttrennung: Physische oder zugelassene Trennung des VS-NfD-Netzwerksegments von anderen Netzwerksegmenten beispielsweise durch ein mehrstufiges Firewall System entsprechend der PAP-Struktur nach IT-Grundschutz des BSI. Firewall: Für die Firewall (PAP-Struktur) ist ein Regelwerk zu erstellen und regelmäßig anzupassen und zu überprüfen. Gegenstand dieses Regelwerkes sind insb. auch nach außen gerichtete Kommunikationsverbindungen. Die Initiierung des Zugriffs darf nur aus dem VS-NfD-Netzwerk erfolgen. Weiterhin müssen Softwareaktualisierungen, Telemetriefunktionen oder Entsprechende Konfigurationsempfehlungen, die den Abfluss von oder die Einsichtnahme in VS-NfD verhindern, sind umzusetzen und regelmäßig, insbesondere nach jedem Update, auf Veränderung zu überprüfen. Bei Auffälligkeiten sind unverzüglich weitere Schutzmaßnahmen vorzunehmen. Externe Schnittstellen: Sämtliche Schnittstellen sind bezogen auf die Kommunikation mit dem VS-NfD Netzsegment zu definieren und im Informationssicherheitskonzept zu beschreiben sowie in die Risikoanalyse aufzunehmen (siehe Ziffer 4.2). Schutz vor Schadprogrammen: Die Inhaltsprüfung auf Schadcode muss für Datenverkehr, der aus externen Netzwerken kommt, auf dem ALG (Application Layer Gateway) durchgeführt werden. Weiterhin muss allen IT-Systemen eine Software zur Erkennung von Schadcode eingesetzt werden. Diese darf keine Schadcodeprüfung außerhalb des VS-NfD Netzes, beispielsweise in der Cloud, durchführen. Eine Anwendung des IT-Grundschutzes des BSI ist hier erforderlich. Es sind Basis- und Standardanforderungen (Ziffer 4.1) umzusetzen.
3 Anforderungen an die Verarbeitung von VS-NfD
Nachstehend werden die spezifischen Anforderungen zur elektronischen Verarbeitung von VS-NfD dargestellt. Die Verarbeitung beginnt bereits mit dem Lesen von VS-NfD auf IT.
3.1 Zulässige IT-Systeme und Freigabe IT-Systeme zur Verarbeitung von VS-NfD müssen vor der ersten Nutzung durch die VS-NfD- verantwortliche Person freigegeben werden. Gleiches gilt für räumliche Arbeitsbereiche, die für die Verarbeitung von VS-NfD vorgesehen sind. Private IT, Software oder Datenträger dürfen nicht für die Verarbeitung von VS eingesetzt werden.
3.2 Kennzeichnung von Datenträgern und Geräten Datenträger, auf denen VS-NfD unverschlüsselt gespeichert werden, sind gemäß Teil 2, Ziffer 4 dieses Merkblatts zu kennzeichnen. Gleiches gilt für Geräte, in denen sich diese Datenträger befinden.
3.3 Wartung und Instandhaltung Auf Datenträgern, die VS-NfD unverschlüsselt enthalten, sind die VS-NfD gemäß Ziffer 3.6 komplett zu löschen, bevor die Datenträger im Rahmen von Wartungs- oder Reparaturarbeiten am IT-System den persönlichen Gewahrsam der zugriffsberechtigten Personen verlassen. Ist eine Löschung nicht möglich, sind die Datenträger auszubauen und zurückzuhalten. Ist das nicht möglich, gilt Teil 2, Ziffer 6.3 dieses Merkblatts.
Stand: 01.09.2023 Seite 11 von 17
VS-NfD-Merkblatt Anforderungen zu VS auf IT Teil 3
3.4 Weitergabe über technische Kommunikationsverbindungen
3.4.1 Notwendigkeit der Verschlüsselung bei elektronischer Übertragung
VS-NfD müssen bei der elektronischen Übertragung grundsätzlich verschlüsselt werden mit Ausnahme Ziffer 3.4.2. Dazu sind ausschließlich IT-Sicherheitsprodukte2 mit Zulassungsaussage einzusetzen.
3.4.2 Anforderungen zur unverschlüsselten Übertragung innerhalb von Liegenschaften
Wenn die Übertragung innerhalb einer Liegenschaft ausschließlich leitungsgebunden erfolgt und sämtliche Übertragungseinrichtungen, -leitungen, -verteiler und Trassen gegen unbefugten Zugriff geschützt sind, kann eine Verschlüsselung unterbleiben.
3.4.3 Telefonie / Fax
Telefonie und Fax-Übertragung sind nach Vornahme einer Risikobewertung Ende-zu-Ende verschlüsselt gestattet. Es gilt Ziffer 1.1.
3.4.4 Mobile IT-Systeme
Werden für die Verarbeitung oder Speicherung von VS-NfD tragbare IT-Systeme verwendet, so sind die Verschlusssachen durch IT-Sicherheitsprodukte mit Zulassungsaussage zu verschlüsseln. Von einer Verschlüsselung kann abgesehen werden, wenn die IT-Systeme innerhalb der Liegenschaft verbleiben, entweder im persönlichen Gewahrsam oder unter physischem Schutz (Teil 2, Ziffer 5).
3.4.5 Weitergabe in Notfallsituationen
Abweichend von Ziffer 3.4.1 ff. dürfen VS-NfD ausnahmsweise über nicht für VS-NfD zugelassene Kommunikationsverbindungen übermittelt werden, wenn die Übermittlung über eine BSI-zugelassene verschlüsselte Kommunikationsverbindung in einen vertretbaren Zeitrahmen nicht bereitgestellt werden kann. Die Details zu den abweichenden Rahmenbedingungen und Anforderungen werden für die jeweilige Notfallsituation vom VS-NfD-Auftraggeber gesondert festgelegt. Wenn die Einbeziehung des VS-NfD-Auftraggeberszu einer Verzögerung führen würde, bei welcher der entstehende Schaden den mit einer Preisgabe der VS-NfD verbundenen Schaden deutlich überwiegen würde, kann die für VS-NfD verantwortliche Personausnahmsweise die Festlegung selbst vornehmen. Der VS-NfD-Auftraggeberist dann unverzüglich zu informieren. Mitteilungspflichten geheimschutzbetreuter Unternehmen nach GHB bleiben unberührt. In jedem Einzelfall ist die Einwilligung der für VS-NfD verantwortlichen Person einzuholen und zu dokumentieren. In den Ausnahmefällen sind folgende Vorsichtsmaßnahmen zu beachten, damit das Risiko eines Informationsabflusses möglichst reduziert wird: Die Identität des Kommunikationspartners soll vor Beginn der Kommunikation festgestellt werden; Die Kommunikation ist so zu führen, dass der Sachverhalt Dritten nicht verständlich wird und ein unmittelbarer Rückschluss auf den VS-NfD-Charakter nicht möglich ist;
2 Die Liste aktuell zugelassener IT-Sicherheitsprodukte und Systeme (BSI-Schrift 7164) befindet sich auf der BSI Homepage unter https://www.bsi.bund.de. Die jeweiligen Einsatz- und Betriebsbedingungen (E&B) stehen im geschützten Bereich des BMWE-Sicherheitsforums zum Download zur Verfügung. Nicht geheimschutzbetreute Unternehmen erhalten diese von ihrem VS-NfD-Auftraggeber. Die in den E&B beschriebenen Vorgaben sind zwingend umzusetzen. Eine abweichende Installation beziehungsweise Konfiguration ist unzulässig. Wenn es keine IT-Sicherheitsprodukte mit Zulassungsaussagegibt, darf die Kommunikationsverbindung nicht verwendet werden.
Stand: 01.09.2023 Seite 12 von 17
VS-NfD-Merkblatt Anforderungen zu VS auf IT Teil 3
Die übermittelten VS-NfD dürfen keine Kennzeichnungen oder Hinweise aufweisen, die sie von einer nicht eingestuften Information unterscheiden. Die Kennzeichnungspflicht ist in diesem Fall aufgehoben und die Kommunikationspartner sind auf anderem Wege (zum Beispiel über andere technische Kommunikationsverbindungen, durch Post oder Kurier) unverzüglich über die Einstufung der VS-NfD zu unterrichten, außer, dies ist im Einzelfall nicht möglich oder nicht zweckmäßig. Der Kommunikationspartner muss die Kennzeichnung der VS-NfD, sofern möglich, nachholen.
3.5 Mitnahme und mobiles Arbeiten Die ausschließlich elektronische Verarbeitung von VS-NfD ist auch in der Privatwohnung zulässig, wenn die genutzte IT (z. B. Notebooks) hierfür von der für VS-NfD verantwortlichen Person freigegeben (Ziffer 3.1) ist, sich die Privatwohnung innerhalb Deutschlands befindet, die für VS-NfD verantwortliche Person ihre Zustimmung erteilt hat, der/die Mitarbeiter/in über spezifische Risiken des mobilen Arbeitens belehrt ist und Teil 6 dieses Merkblatts von dem/der Mitarbeiter/in unterzeichnet wurde und vom Unternehmen als Nachweis aufbewahrt wird.
3.6 Löschen und Vernichten von Speichermedien die VS-NfD enthalten Bevor Speichermedien den VS-NfD-Arbeitsbereich dauerhaft verlassen, müssen diese mittels BSI zugelassener beziehungsweise freigegebener IT-Sicherheitsprodukte gelöscht werden. Ist eine Löschung nicht möglich, sind die Speichermedien nach den jeweils gültigen BSI-Vorgaben physisch zu vernichten.
3.7 IT-Administration Die IT-Administration ist grundsätzlich durch eigenes Personal auszuführen. Es gilt Teil 2, Ziffer 6.3 dieses Merkblatts.
4 IT-Grundschutz des BSI Je nach gewählter Ausprägung des IT-Systems ist der IT-Grundschutz des BSI in der jeweils geltenden Fassung in verschiedenem Umfang anzuwenden (Ziffer 1.1 f.).
4.1 Sicherheitsanforderungen Der IT-Grundschutz des BSI in der jeweils geltenden Fassung basiert auf einer modularen Struktur, unterteilt in prozess- und systemorientierte Bausteine. In jedem Baustein werden die Sicherheitsanforderungen, die für den Schutz des betrachteten Gegenstands relevant sind, aufgeführt. Sie beschreiben, was zu dessen Schutz zu tun ist. Die Anforderungen sind in verschiedene Kategorien unterteilt, insbesondere in Basis-Anforderungen und Standard-Anforderungen, die auf den Basis-Anforderungen aufbauen. Der notwendige Umfang der Umsetzung für die jeweilige Ausprägung des IT-Systems ergibt sich aus Ziffer 2. Die Anforderungen aus Ziffer 3 stellen einen zusätzlichen Baustein bei der Anwendung des IT-Grundschutzes dar.
4.2 Informationssicherheitskonzept und Risikoanalyse Für das IT-System ist ein Informationssicherheitskonzept zu erstellen, welches die Anwendung des IT-Grundschutzes des BSI mit allen relevanten Sicherheitsanforderungen behandelt. Vom
Stand: 01.09.2023 Seite 13 von 17
VS-NfD-Merkblatt Anforderungen zu VS auf IT Teil 3
Unternehmen ist zu definieren, welche der Bausteine, in die der IT-Grundschutz des BSI unterteilt ist, für das IT-System zum Tragen kommen. Des Weiteren müssen die Auflagen nach VS-NfD- Merkblatt sowie eine Risikoanalyse mit einfließen. Bei Änderungen ist das Informationssicherheitskonzept inkl. der Risikoanalyse fortzuschreiben.
5 Selbstakkreditierung Die für VS-NfD verantwortliche Person im Unternehmen bestätigt der Geschäftsleitung spätestens alle drei Jahre schriftlich die Umsetzung der Anforderungen aus Teil 3 (IT-Anforderungen) dieses Merkblatts (Selbstakkreditierung). Auf Anforderung ist dem VS-NfD-Auftraggeber beziehungsweise dem BMWE diese Bestätigung auszuhändigen.
In der Selbstakkreditierung erklärt das Unternehmen,
- die Umsetzung der IT-Anforderungen dieses Merkblatts in der jeweils gültigen Fassung,
- sofern erforderlich, die Umsetzung der Einsatz- und Betriebsbedingungen der IT-Sicherheitsprodukte mit Zulassungsaussage und
- die Etablierung eines ISMS durch: o die Anwendung der jeweils gültigen Standards des IT-Grundschutzes des BSI mit Erstellung eines Informationssicherheitskonzepts inkl. IT-Grundschutz-Check, Risikoanalyse und Umsetzungsplanung oder o eine ISO 27001 Zertifizierung auf Basis IT-Grundschutz oder o eine ISO 27001 Zertifizierung auf Basis einer anderen Grundlage mit Differenz- Analyse zum IT-Grundschutz (Zuordnungstabelle), wenn mindestens ein gleichwertiges Sicherheitsniveau zu den Anforderungen des IT-Grundschutzes gewährleistet ist.
Stand: 01.09.2023 Seite 14 von 17
VS-NfD-Merkblatt Teil 4
Teil 4) Hinweise zur Kennzeichnung einer Verschlusssache des
Geheimhaltungsgrades VS-NUR FÜR DEN DIENSTGEBRAUCH
-
Verschlusssachen des Geheimhaltungsgrades VS-NUR FÜR DEN DIENSTGEBRAUCH (VS-NfD) sind am oberen Rand mit dem voll ausgeschriebenen Geheimhaltungsgrad in schwarzer oder blauer Farbe zu kennzeichnen. Sollte eine VS-NfD aus mehreren Seiten bestehen, ist die Kennzeichnung am oberen Rand jeder beschriebenen Seite durchzuführen. Entsprechendes gilt auch für eingestufte Anlagen. Zusätzlich muss die Angabe enthalten sein, wer der Ersteller beziehungsweise der VS-NfD- Herausgeber der VS-NfD ist, und wann die Erstellung beziehungsweise Einstufung erfolgte. Lässt die Beschaffenheit einer VS-NfD die Kennzeichnung nicht zu, ist sinngemäß zu verfahren (z. B. Kennzeichnung in der zugehörigen Dokumentation).
-
Die Einstufungsfrist ist nur anzugeben, sofern diese die Regelfrist von 30 Jahren unterschreitet. In diesem Fall ist die Einstufungsfrist auf der ersten Seite der VS-NfD mit folgenden Vermerk anzugeben: „Die VS-Einstufung endet mit Ablauf des Jahres … .“ Die Einstufung von VS-NfD ist spätestens nach 30 Jahren aufgehoben und kann nicht verlängert werden. Die Frist endet mit Ablauf des Jahres, in welches das Fristende fällt.
Stand: 01.09.2023 Seite 15 von 17
VS-NfD-Merkblatt Teil 5
Teil 5) Nachweis über die Verpflichtung
Zutreffendes ist angekreuzt
Herr Frau
Name, Vorname, Geburtsdatum
wurde heute im Hinblick auf den beabsichtigten Zugang zu Verschlusssachen des Geheimhaltungsgrades
VS-NUR FÜR DEN DIENSTGEBRAUCH
über die Bestimmungen der §§ 93 bis 99, 203 Absatz 2 und 353b StGB unterrichtet, über die besonderen Bestimmungen des VS-NfD-Schutzes belehrt und auf deren gewissenhafte Erfüllung verpflichtet. Diese Verpflichtung gilt auch für die Zeit nach dem Ausscheiden aus dem Beschäftigungsverhältnis. Ihm/Ihr ist bekannt, dass ihm/ihr bei Verstößen gegen die oben genannten Bestimmungen vertrags- oder arbeitsrechtliche Maßnahmen und eine strafrechtliche Ahndung des Verstoßes nach den §§ 93 bis 99, 203 Absatz 2 und 353b StGB drohen können. Er/Sie hat eine Abschrift dieser Verpflichtung erhalten. Ihm/Ihr wurde ein Exemplar des VS-NfD-Merkblatts
Teil 2 (Allgemeine Hinweise) Teil 3 (Hinweise zur Nutzung von IT) Teil 4 (Hinweise zur Kennzeichnung) Teil 6 (Behandlung von VS-NfD in der Privatwohnung)
ausgehändigt.
Ort, Datum
.......................................................... Unterschrift des/der Verpflichteten
Stand: 01.09.2023 Seite 16 von 17
VS-NfD-Merkblatt Teil 6
Teil 6) Vereinbarung über die Behandlung von Verschlusssachen des
Geheimhaltungsgrades VS-NUR FÜR DEN DIENSTGEBRAUCH in der
Privatwohnung („Homeoffice“)
1 Aufrechterhaltung des Schutzniveaus Bei der Behandlung von VS-NfD in der Privatwohnung ist das durch das VS-NfD-Merkblatt vorgegebene Schutzniveau umzusetzen. Der/die Beschäftigte verpflichtet sich, die hierfür nötigen Maßnahmen in seiner/ihrer Privatwohnung zu treffen. Die Privatwohnung meint den in der Bundesrepublik Deutschland belegenen Wohnsitz des Beschäftigten.
2 Grundsatz „Kenntnis nur, wenn nötig“ Der Grundsatz „Kenntnis nur, wenn nötig“ ist einzuhalten. VS-NfD sind insbesondere vor der Einsicht durch andere, sich in der Privatwohnung befindliche Personen zu schützen. Dies ist durch geeignete organisatorische oder technische Maßnahmen sicherzustellen (z. B. Nutzung eines separaten Raumes, einfacher Verschluss bei Papieren und Material, Einhaltung von Teil 3 dieses Merkblatts bei IT-Verarbeitung), die den spezifischen Gefahren der Behandlung von VS in der Privatwohnung gerecht werden.
3 Nutzung von Informationstechnik (IT)
Für die Verarbeitung von VS-NfD auf IT ist Teil 3 des VS-NfD-Merkblatts einzuhalten. Insbesondere hält der/die Beschäftigte folgende Maßnahmen ein: Die IT-gestützte Verarbeitung von VS-NfD in der Privatwohnung darf nur auf von der für VS-NfD verantwortlichen Person freigegebenen IT-Systemen (Hardware und Software) erfolgen. IT-Systeme, die nicht über eine Festplattenverschlüsselung mit Zulassungsaussage verfügen, sind vor Arbeitsende auszuschalten und im ausgeschalteten Zustand gemäß Teil 2, Ziffer 5 aufzubewahren. Die eingesetzten IT-Systeme dürfen nicht mit IT-Geräten in der Privatwohnung oder außerhalb verbunden sein (Ausnahme: private Internetzugangsrouter, die für eine von der VS-NfD verantwortlichen Person freigegebene VS-NfD-Kommunikationsverbindung genutzt werden). Wartungs- oder Reparaturarbeiten an IT-Systemkomponenten dürfen nur auf Veranlassung der für den Schutz von VS-NfD im Unternehmen zuständigen Person durchgeführt werden. Die IT-Systeme dürfen nicht für private Zwecke verwendet werden. Einhaltung der von der VS-NfD verantwortlichen Person ausgehändigten Nutzungsanweisung für die IT-Systeme.
Der/die Beschäftigte ist über spezifische Risiken im „Homeoffice“ belehrt worden und bestätigt, diese Vorgaben des VS-NfD-Merkblatts und dieser Vereinbarung umzusetzen.
Ort, Datum
....................................................... ……................................................................... Unterschrift des/der Beschäftigten Unterschrift der für VS-NfD verantwortlichen Person
Stand: 01.09.2023 Seite 17 von 17