[Seite 1]
Anlage 7 (zu § 49 Abs. 4 VSA)
Merkblatt über die Behandlung von Verschlusssachen (VS) des Geheimhaltungsgrades VS-NUR FÜR DEN DIENSTGEBRAUCH (VS-NfD-Merkblatt)
- Allgemeines
1.1 VS des Geheimhaltungsgrades VS-NUR FÜR DEN DIENSTGEBRAUCH dürfen nur Personen zugänglich gemacht werden, die im Zusammenhang mit der Auftragsdurchführung Kenntnis erhalten müssen (Grundsatz: "Kenntnis nur, wenn nötig"). Den zugangsberechtigten Personen ist dieses Merkblatt bekanntzugeben (z.B. durch Aufnahme in unternehmensinterne Anordnungen).
1.2 Über den Inhalt der VS ist Verschwiegenheit zu wahren. Sie sind unter Verschluss zu halten. Mitarbeiter, die sich zur Einhaltung dieser Verpflichtung als ungeeignet erweisen, sind von der Bearbeitung der VS auszuschließen.
1.3 Vorgänge und Material des Geheimhaltungsgrades VS-NUR FÜR DEN DIENSTGEBRAUCH sind wie folgt zu behandeln: a) Kennzeichnung von Unterlagen durch schwarzen oder blauen Stempelaufdruck, Druck oder Maschinenschrift "VS-NUR FÜR DEN DIENSTGEBRAUCH" am oberen Rand jeder beschriebenen Seite sowie aller entsprechend eingestuften Anlagen. Bei Büchern, Broschüren u.ä. genügt die Kennzeichnung auf dem Einband und dem Titelblatt.
b) Aufbewahrung in verschlossenen Räumen oder Behältern (Schränke, Schreibtische usw.).
c) Weitergabe im Inland durch Boten oder Versand in einfachem verschlossenem Umschlag bzw. Behältnis. Der Umschlag bzw. das Behältnis erhalten keine VS-Kennzeichnung. Die Modalitäten für den Auslandsversand und die Weitergabe ins Ausland sind vom Auftraggeber festzulegen. Bei Mitnahme ist sicherzustellen, dass die VS von unbefugten Personen nicht eingesehen werden können.
d) Zwischenmaterial (z.B. Vorentwürfe, Stenogramme, Tonträger, Folien oder Fehldrucke) ist gegen Einsichtnahme Unbefugter in derselben Weise zu schützen wie der Vorgang, auf den es sich bezieht. Zwischenmaterial, das nicht an Dritte weitergegeben und unverzüglich vernichtet wird, braucht nicht als VS gekennzeichnet zu werden.
e) Vernichtung (auch von Zwischenmaterial) so, dass der Inhalt nicht mehr erkennbar ist und nicht mehr erkennbar gemacht werden kann.
1.4 Ist beabsichtigt, Dienste oder Leistungen eines Dritten in Anspruch zu nehmen, dem hierzu VS des Geheimhaltungsgrades VS-NUR FÜR DEN DIENSTGEBRAUCH zugänglich gemacht werden müssen, so ist dieser vertraglich zur Beachtung dieses Merkblattes zu verpflichten.
1.5 Ein Geheimschutzverfahren, wie es bei höher eingestuften VS vorgeschrieben ist, wird nicht durchgeführt.
022 087 PDF 10.2021 Seite 1 von 2
[Seite 2]
1.6 Nach Auftragsdurchführungen ist Vorsorge zu treffen, dass die VS bis zur Herabstufung durch den Auftraggeber vorschriftsmäßig aufbewahrt, baldmöglichst vernichtet oder an den Auftraggeber zurückgegeben werden.
1.7 Der Auftraggeber kann sich beim Auftragnehmer über die Einhaltung der Bestimmungen dieses Merkblattes unterrichten.
1.8 Die VS-Einstufungsfrist ist nach 30 Jahren aufgehoben, sofern durch den Auftraggeber1 keine frühere Frist bestimmt ist. Die Frist beginnt am 01. Januar des auf die Einstufung folgenden Jahres.
- Nutzung von Informationstechnik
2.1 Wird Informationstechnik für die Verarbeitung oder Übertragung von VS-NUR FÜR DEN DIENSTGEBRAUCH eingestuften VS genutzt, so sind zur Wahrung der Vertraulichkeit der VS (s. Abschnitt 1.1 und 1.2) geeignete informationstechnische Maßnahmen und/oder materielle und organisatorische Maßnahmen zu treffen.
2.2 Bei der Verarbeitung von VS-NUR FÜR DEN DIENSTGEBRAUCH eingestuften VS kommen insbesondere folgende Maßnahmen in Betracht: a) Übersicht über die Zugriffsberechtigungen, b) Nutzung von Identifizierungs- und Authentisierungsmechanismen (z.B. Login, Passwort), c) geeignete IT-Sicherheitsanweisung
2.3 Transportable Datenträger (z.B. Disketten), die VS-NUR FÜR DEN DIENSTGEBRAUCH eingestuften Daten unkryptiert 2 enthalten, sind gemäß Abschnitt 1.3 Buchstabe a) zu kennzeichnen und gemäß Abschnitt 1.3 Buchstabe b) aufzubewahren.
2.4 Auf fest installierten Datenträgern, die VS-NUR FÜR DEN DIENSTGEBRAUCH eingestufte Daten unkryptiert 2 enthalten, sind die VS überschreibend zu löschen, bevor die Datenträger im Rahmen von Wartungs- oder Reparaturarbeiten an IT-Systemkomponenten den Bereich der zugriffsberechtigten Personen verlassen. Ist eine Löschung nicht möglich, sind die Datenträger auszubauen und zurückzubehalten oder das mit der Wartung/Reparatur beauftragte Unternehmen ist vertraglich zur Beachtung dieses Merkblattes zu verpflichten (siehe Abschnitt 1.4).
2.5 Bei der Übertragung auf Telekommunikations- oder anderen technischen Kommunikationsverbindungen sind die VS mit einem vom Bundesamt für Sicherheit in der Informationstechnik zugelassenen Kryptosystem zu kryptieren. Abweichend davon ist in folgenden Fällen eine unkryptierte Übertragung zulässig: a) Bei Telefongesprächen. b) Bei Dateien, Fernkopien, Fernschreiben usw., wenn zwischen Absender und Empfänger für die erforderliche Übertragungsart keine Kryptiermöglichkeit besteht und der Auftraggeber bei der Auftragsvergabe nicht ausdrücklich eine Kryptierung verlangt. Die absendende Stelle hat sich zu vergewissern, dass sie mit dem gewünschten Empfänger verbunden ist.
1 Sofern der Auftraggeber nicht zugleich auch Herausgeber der VS ist, entscheidet die herausgebende Stelle über die VS-Einstufung und deren Aufhebung. 2 Kryptieren = verschlüsseln oder codieren. Um auf materielle Sicherheitsmaßnahmen (VS-Kennzeichnung, sichere Aufbewahrung usw.) verzichten zu können, muss das für die Kryptierung genutzte Kryptosystem vom Bundesamt für Sicherheit in der Informationstechnik zugelassen sein. Seite 2 von 2