VS-NfD: Merkblatt, Pflichten und Beratung für Unternehmen
VS-NfD steht für „Verschlusssache – Nur für den Dienstgebrauch“. Liegt das VS-NfD-Merkblatt Ihrem Auftrag bei, gelten seine Pflichten ab der Unterschrift unter die Verpflichtungserklärung – für Rollen, Mitarbeitende, Unterlagen und IT. Wir sorgen dafür, dass Ihr Unternehmen diese Pflichten erfüllt: mit einem ISMS nach ISO 27001 oder TISAX® beginnen wir bei der Differenz, ohne ISMS bauen wir gezielt auf, was das Merkblatt verlangt.
Was bedeutet VS-NfD?
VS-NfD ist die niedrigste von vier Geheimhaltungsstufen staatlicher Verschlusssachen – und in der Wirtschaft die mit Abstand häufigste. Darüber liegen VS-VERTRAULICH, GEHEIM und STRENG GEHEIM. Anders als bei den höheren Stufen erreicht VS-NfD Unternehmen nicht über ein förmliches Verfahren, sondern über den Vertrag: Der Auftraggeber legt das Merkblatt bei, Sie unterschreiben die Verpflichtungserklärung, und ab da gelten die Vorgaben für Ihr Unternehmen.
Grundlage ist das VS-NfD-Merkblatt des Bundesministeriums für Wirtschaft und Energie (BMWE), Anlage 4 zum Geheimschutzhandbuch, in Kraft seit 01.09.2023. Eine Sicherheitsüberprüfung Ihrer Mitarbeitenden oder ein Geheimschutzverfahren des Ministeriums sind für VS-NfD ausdrücklich nicht erforderlich – die Pflichten liegen bei Ihnen als Unternehmen.
Wann Sie betroffen sind
Ein Auftrag mit Verpflichtungserklärung
Der Auftraggeber legt das VS-NfD-Merkblatt bei und verlangt die Unterzeichnung der Verpflichtungserklärung. Ab da gelten alle Vorgaben des Merkblatts für Ihr Unternehmen – ohne Übergangsfrist.
Zulieferer eines Verteidigungs- oder Behördenprojekts
Bauzeichnungen, technische Unterlagen, Projektpläne oder Ausschreibungsunterlagen tragen den Vermerk. Wer sie erhält, behandelt sie nach denselben Regeln wie der Hauptauftragnehmer – die Pflichten werden in der Lieferkette weitergegeben.
Einstieg aus der Automobilzulieferung
TISAX® schützt Geschäftsgeheimnisse zwischen privaten Partnern. VS-NfD ist staatlicher Geheimschutz mit eigener Rechtsgrundlage – ein anderer Katalog, andere Rollen, andere Konsequenzen bei Verstößen.
Was das VS-NfD-Merkblatt konkret verlangt
| Pflicht | Was das bedeutet | Fundstelle |
|---|---|---|
| Verantwortliche Person | Sie benennen eine für VS-NfD verantwortliche Person und gegebenenfalls eine Vertretung. Sie belehrt und verpflichtet die Mitarbeitenden, gibt IT-Systeme, Arbeitsbereiche und Homeoffice-Arbeitsplätze frei, holt Einwilligungen für Weitergaben ein und überwacht die Einhaltung – auch bei Unterauftragnehmern. | Teil 1a, Ziffer 4.4 |
| Belehrung und Verpflichtung | Bevor eine Person Zugang zu VS-NfD erhält, wird sie über Teil 2 des Merkblatts belehrt und auf dessen Einhaltung verpflichtet – bei Zugang über IT zusätzlich über Teil 3. Den unterschriebenen Nachweis bewahren Sie auf und legen ihn auf Nachfrage vor; spätestens fünf Jahre nach dem Ausscheiden der Person ist er zu vernichten. | Teil 1a, Ziffer 4.2 |
| Kenntnis nur, wenn nötig | Zugang erhält nur, wer ihn zur Aufgabenerfüllung braucht. An Dritte gehen VS-NfD nur, wenn vorher die Einwilligung des Herausgebers nachweislich vorliegt – eingeholt über Ihren Auftraggeber. Das gilt auch, wenn sich Dritte bei Wartung oder Reparatur Zugang verschaffen könnten. | Teil 2, Ziffern 1.2 und 6.3 |
| Kennzeichnung und Aufbewahrung | Der voll ausgeschriebene Geheimhaltungsgrad steht am oberen Rand jeder Unterlage. Bei Nichtgebrauch liegen VS-NfD in verschlossenen Behältnissen oder Räumen – nicht auf dem Schreibtisch, nicht im offenen Drucker. | Teil 4, Ziffer 1; Teil 2, Ziffer 5 |
| Vernichtung und Verlust | Vernichtet wird so, dass der Inhalt weder erkennbar ist noch erkennbar gemacht werden kann – mit Produkten, Verfahren oder Dienstleistern, die die Anforderungen des BSI erfüllen. Verlust und Verstöße werden unverzüglich der verantwortlichen Person gemeldet, von dort dem Auftraggeber. | Teil 2, Ziffern 8 und 1.4 |
| IT-Verarbeitung | Zwei Ausprägungen: ein technisch isoliertes IT-System (Einzelplatz-PC oder abgeschotteter Verbund) oder ein VS-NfD-Netz mit physischer oder zugelassener Segmenttrennung. Elektronische Übertragung nur verschlüsselt mit IT-Sicherheitsprodukten mit Zulassungsaussage des BSI, auch auf mobilen Geräten. Freigabe vor der ersten Nutzung, keine private IT, Administration grundsätzlich durch eigenes Personal. | Teil 3, Ziffern 2, 3.1, 3.4 und 3.7 |
| Selbstakkreditierung | Die verantwortliche Person bestätigt der Geschäftsleitung spätestens alle drei Jahre schriftlich, dass die IT-Anforderungen umgesetzt sind – inklusive der Erklärung zum ISMS: über IT-Grundschutz, über ISO 27001 auf Basis IT-Grundschutz oder über ein ISO-27001-Zertifikat mit Differenzanalyse zum IT-Grundschutz. Die erste Selbstakkreditierung war bis zum 01.09.2025 fällig; auf Anforderung legen Sie sie dem Auftraggeber oder dem BMWE vor. | Teil 3, Ziffer 5 |
| Mobiles Arbeiten | Ausschließlich elektronische Bearbeitung in der Privatwohnung ist zulässig – mit freigegebener IT, Zustimmung der verantwortlichen Person, Wohnung in Deutschland, Belehrung über die Risiken und unterschriebener Vereinbarung nach Teil 6. Papierunterlagen gehören grundsätzlich nicht nach Hause. | Teil 3, Ziffer 3.5; Teil 2, Ziffer 7 |
| Konsequenzen | Verstöße können nach §§ 93 bis 99, 203 Abs. 2 und 353b StGB strafrechtlich verfolgt werden – auch nach dem Ende des Beschäftigungsverhältnisses. Für das Unternehmen steht daneben der Auftrag selbst auf dem Spiel. | Teil 2, Ziffer 1.3 |
Für IT-Grundschutz-Anwender beschreibt der BSI-Baustein CON.11.1 „Geheimschutz VS-NfD“ die technische Seite. Zugelassene Produkte führt das BSI in seiner Liste zugelassener IT-Sicherheitsprodukte.
Was Ihr ISMS schon abdeckt
Ein gelebtes ISO-27001- oder TISAX®-System ist die richtige Basis. Es ersetzt das Merkblatt nicht – deshalb beginnen wir bei der Differenz.
- Zugangs- und Berechtigungskonzept, Need-to-know als Prinzip
- Verschlüsselung, Umgang mit mobilen Geräten, Löschkonzept
- Awareness und Schulungsprozess
- Lieferantensteuerung und Vertraulichkeitsvereinbarungen
- Vorfallmanagement und Meldewege
- Dokumentenlenkung, interne Audits, Managementbewertung
Was für VS-NfD hinzukommt
Ohne ISMS gilt diese Liste vollständig – dazu, je nach IT-Ausprägung, IT-Grundschutz für den VS-NfD-Bereich.
- Die verantwortliche Person, gegebenenfalls mit Vertretung, und Zeit für die Rolle
- Belehrung und Verpflichtung jeder einzelnen Person, mit Nachweis
- Kennzeichnung, verschlossene Aufbewahrung, geregelte Vernichtung
- Weitergabeprozess mit Einwilligung des Herausgebers, Weitergabe der Pflichten an Unterauftragnehmer
- Eine freigegebene IT-Umgebung mit BSI-zugelassenen Produkten, administriert durch eigenes Personal – marktübliche Cloud- und Kollaborationsplattformen sind in der Standardkonfiguration nicht dafür vorgesehen
- Homeoffice-Vereinbarung nach Teil 6 und Freigabe der Geräte
- Die Selbstakkreditierung: schriftliche Bestätigung an die Geschäftsleitung, spätestens alle drei Jahre
Der häufigste Fehler: das Merkblatt unterschreiben, den Auftrag starten und die Umsetzung nachholen. Die Verpflichtung gilt ab Unterschrift, und Ihr Auftraggeber kann jederzeit prüfen. Unsere Empfehlung, keine Vorgabe des Merkblatts: ein einfaches Verzeichnis darüber, welche Unterlagen wo und bei wem liegen. Eine förmliche VS-Registratur ist erst ab VS-VERTRAULICH vorgeschrieben.
VS-NfD-Selbstcheck: 14 Fragen, eine Viertelstunde
Die Pflichten des Merkblatts als Checkliste, jede mit Fundstelle – zum Durchgehen mit der Person, die den Auftrag verantwortet, und Ihrer IT. Am Ende wissen Sie, ob Sie die Verpflichtungserklärung unterschreiben können oder was vorher zu tun ist. Wählen Sie im Formular „VS-NfD-Selbstcheck“ aus – den Download-Link erhalten Sie per E-Mail.
Unser Vorgehen bei der VS-NfD-Beratung
Vier Schritte, in dieser Reihenfolge. Am Ende steht ein Unternehmen, das die Verpflichtungserklärung unterschreiben kann, ohne etwas zu versprechen, das es nicht hält.
1. Einordnung und Scope
Welche Aufträge und Unterlagen tragen den Vermerk, welche Personen, Räume und Systeme sind beteiligt. Abgleich mit Ihrem bestehenden ISMS oder, wenn keines besteht, die Festlegung des Wegs dorthin – ein halber Tag, remote oder vor Ort.
2. Delta-Analyse gegen das Merkblatt
Teil für Teil, Ziffer für Ziffer: was erfüllt ist, was fehlt, was nur auf dem Papier erfüllt ist. Wir klären die passende IT-Ausprägung und erstellen die Differenzanalyse zum IT-Grundschutz, wenn Ihr ISMS über ein ISO-27001-Zertifikat nachgewiesen wird. Ergebnis ist eine priorisierte Maßnahmenliste mit Aufwand und Reihenfolge.
3. Umsetzung
Rolle und Mandat der verantwortlichen Person, Verpflichtungen und Nachweise, die Prozesse für Kennzeichnung, Aufbewahrung, Weitergabe, Vernichtung und Verlustmeldung, die Homeoffice-Regelung. Für die IT: Architekturentscheidung, Auswahl zugelassener Produkte und Freigabe – gemeinsam mit Ihrer IT oder Ihrem Dienstleister.
4. Schulung, Nachweise, Prüfbereitschaft
Schulung der verantwortlichen Person und ihrer Vertretung, Belehrung und Verpflichtung aller betroffenen Mitarbeitenden, Vorbereitung der Selbstakkreditierung für die Geschäftsleitung und ein Nachweispaket für den Auftraggeber. Auf Wunsch begleiten wir die erste Prüfung durch den Auftraggeber.
Was Sie erhalten
- Delta-Bericht mit Executive Summary für die Geschäftsführung
- Priorisierte Maßnahmenliste und Umsetzungsplan
- Dokumentensatz: Rollenbeschreibung, Verpflichtungs- und Belehrungsunterlagen, Prozessbeschreibungen, Homeoffice-Vereinbarung
- IT-Konzept mit Architekturentscheidung und Produktliste zur Freigabe
- Schulung der verantwortlichen Person und ihrer Vertretung – Ersttermin vor Ort, jährliche Auffrischung
- Belehrung der Mitarbeitenden – als Präsenztermin oder E-Learning
- Nachweispaket für den Auftraggeber, einschließlich der vorbereiteten Selbstakkreditierung
Optional: laufende Unterstützung der verantwortlichen Person durch unseren externen Informationssicherheitsbeauftragten – Vorbereitung der Selbstakkreditierung, Kontrollen, Begleitung bei Vorfällen –, jährliche interne Prüfung der VS-NfD-Pflichten, Awareness-Schulung und Phishing-Simulation für den betroffenen Personenkreis.
Schulung der verantwortlichen Person
Die verantwortliche Person gibt Systeme frei, nimmt Verlustmeldungen entgegen und unterschreibt die Selbstakkreditierung. Eine formale Qualifikation schreibt das Merkblatt dafür nicht vor – die Rolle braucht trotzdem Sicherheit. Unsere Schulung behandelt Rolle und Befugnisse, Belehrung und Verpflichtung mit Nachweisführung, den Umgang mit Kennzeichnung, Aufbewahrung, Weitergabe, Vernichtung und Verlustmeldung, die IT-Seite der Rolle (Ausprägungen, zugelassene Produkte, Fremd-Administration, Freigaben) und die Selbstakkreditierung. Format: ein Tag vor Ort für verantwortliche Person und Vertretung gemeinsam, danach eine jährliche Auffrischung. Sie erhalten eine Teilnahmebestätigung von 360DT; eine amtliche Qualifikation für die Rolle gibt es nicht. Geschult wird ausschließlich mit dem öffentlichen Merkblatt und fiktiven Beispielen.
Warum 360DT
Wir bauen und betreuen Informationssicherheits-Managementsysteme nach ISO 27001 und TISAX® – als Berater, als externer Informationssicherheitsbeauftragter und als Auditoren, auch für Unternehmensgruppen mit mehreren Gesellschaften und Standorten. Für VS-NfD heißt das: Wir arbeiten die Differenz zwischen Ihrem System und dem Merkblatt ab, Ziffer für Ziffer, statt ein zweites Managementsystem danebenzustellen. Was am Ende steht, ist ein Nachweispaket, das Ihr Auftraggeber prüfen kann. Wir sind selbst nach ISO 27001 zertifiziert.
Häufige Fragen zu VS-NfD
Brauchen unsere Mitarbeitenden eine Sicherheitsüberprüfung?
Nein. Für VS-NfD sind weder ein Geheimschutzverfahren des Bundesministeriums für Wirtschaft und Energie noch Sicherheitsüberprüfungen erforderlich (Merkblatt Teil 1a, Ziffer 3.1). Erforderlich ist die Belehrung und Verpflichtung jeder Person, bevor sie Zugang erhält. Eine Sicherheitsüberprüfung wird erst ab der Stufe VS-VERTRAULICH verlangt.
Wir sind nach ISO 27001 zertifiziert. Reicht das für VS-NfD?
Als Basis ja, als Nachweis nicht allein. In der Selbstakkreditierung erklärt das Unternehmen die Etablierung eines ISMS auf einem von drei Wegen: IT-Grundschutz, ein ISO-27001-Zertifikat auf Basis IT-Grundschutz oder ein ISO-27001-Zertifikat auf anderer Grundlage mit Differenzanalyse zum IT-Grundschutz (Zuordnungstabelle), sofern mindestens ein gleichwertiges Sicherheitsniveau gewährleistet ist (Teil 3, Ziffer 5). Die meisten zertifizierten Unternehmen haben den dritten Fall – und damit eine Analyse, die noch zu erstellen ist. Dazu kommen die Punkte, die ISO 27001 nicht kennt: die benannte verantwortliche Person, die persönliche Verpflichtung jedes Mitarbeitenden mit Nachweis, Kennzeichnung und verschlossene Aufbewahrung, die Einwilligung des Herausgebers vor jeder Weitergabe an Dritte und eine IT mit BSI-zugelassenen Produkten.
Wir haben noch kein ISMS. Geht VS-NfD trotzdem?
Ja. Die organisatorischen Pflichten des Merkblatts – verantwortliche Person, Belehrung, Kennzeichnung, Aufbewahrung, Weitergabe, Vernichtung – gelten unabhängig davon und brauchen kein ISMS. Für die IT legt das Merkblatt den Umfang nach der Ausprägung fest: Für einen technisch isolierten Einzelplatz-PC ist die Anwendung des IT-Grundschutzes ausdrücklich nicht erforderlich (Teil 3, Ziffer 2.1.1), für einen abgeschotteten Verbund nur, wenn er standortübergreifend betrieben wird, und für ein mit dem übrigen Netz verbundenes VS-NfD-Netz mit Basis- und Standard-Anforderungen (Ziffer 2.2). Wer die Verarbeitung klein hält, hält auch den Aufbau klein; welche Tiefe die Selbstakkreditierung dann erfordert, stimmen wir mit Ihrem Auftraggeber ab. Wer ohnehin weitere öffentliche Aufträge oder NIS-2-Pflichten erwartet, nutzt den Anlass für ein vollständiges ISMS.
Kann 360DT die verantwortliche Person stellen?
Wir empfehlen es nicht. Die verantwortliche Person gibt Systeme frei, nimmt Verlustmeldungen entgegen und unterschreibt die Selbstakkreditierung – dafür braucht es Befugnis im Unternehmen und Präsenz vor Ort. Zudem dürfen externe Berater nur mit Einwilligung des Herausgebers Kenntnis von VS-NfD erhalten (Teil 2, Ziffer 6.3). Wir schulen deshalb Ihre verantwortliche Person und deren Vertretung und unterstützen sie laufend: Die Rolle und die Unterschrift bleiben bei Ihnen, die Arbeit verteilt sich.
Dürfen wir VS-NfD in Microsoft 365 oder einer anderen Cloud bearbeiten?
In der Standardkonfiguration nicht. Das Merkblatt kennt nur technisch isolierte Systeme oder ein VS-NfD-Netz mit physischer oder zugelassener Segmenttrennung, und jede Übertragung braucht ein IT-Sicherheitsprodukt mit Zulassungsaussage des BSI (Teil 3, Ziffern 2 und 3.4.1). Ist das VS-NfD-Netz mit dem übrigen Netz verbunden, darf die Prüfung auf Schadcode ausdrücklich nicht außerhalb des VS-NfD-Netzes stattfinden, etwa in der Cloud (Ziffer 2.2). Die Administration liegt grundsätzlich bei eigenem Personal (Ziffer 3.7). In der Praxis heißt das: eine getrennte, freigegebene Umgebung für den VS-NfD-Anteil, der bei den meisten Unternehmen klein ist.
Ist Homeoffice mit VS-NfD möglich?
Für die ausschließlich elektronische Bearbeitung ja – wenn die genutzte IT freigegeben ist, die verantwortliche Person zugestimmt hat, die Wohnung in Deutschland liegt, die Person über die Risiken des mobilen Arbeitens belehrt ist und die Vereinbarung nach Teil 6 unterschrieben wurde (Teil 3, Ziffer 3.5). Papierunterlagen dürfen grundsätzlich nicht zur Bearbeitung mit nach Hause genommen werden; Ausnahmen kann der öffentliche Auftraggeber zulassen (Teil 2, Ziffer 7).
Wer muss belehrt werden – und wie lange bewahren wir den Nachweis auf?
Jede Person, bevor sie Zugang oder eine Zugangsmöglichkeit zu VS-NfD erhält (Teil 1a, Ziffer 4.2) – auch Vertretungen, Auszubildende und externe Kräfte. Den unterschriebenen Nachweis bewahren Sie auf und legen ihn auf Nachfrage vor; spätestens fünf Jahre nach dem Ausscheiden der Person ist er zu vernichten.
Was passiert bei einem Verstoß gegen das VS-NfD-Merkblatt?
Verstöße können nach §§ 93 bis 99, 203 Abs. 2 und 353b StGB strafrechtlich verfolgt werden (Teil 2, Ziffer 1.3) – für die handelnde Person auch nach dem Ende des Beschäftigungsverhältnisses. Für das Unternehmen kommen der Ausschluss vom Auftrag und der Verlust des Auftraggebers hinzu.
Wie lange dauert die Umsetzung?
Das hängt vom Ist-Stand ab. Mit einem gelebten ISMS liegt der Aufwand im Wesentlichen in den VS-NfD-spezifischen Punkten – Rolle, Verpflichtungen, Prozesse, Nachweise und die getrennte IT-Umgebung. Die Organisation ist erfahrungsgemäß in Wochen zu schaffen, die IT-Umgebung braucht länger. Wie lange das bei Ihnen dauert, sagen wir Ihnen nach dem Erstgespräch, nicht vorher.
Wo stehen Sie?
In einem kostenlosen 45-minütigen Erstgespräch klären wir, welche Ihrer Aufträge betroffen sind, was Ihr ISMS bereits abdeckt und welche Punkte des Merkblatts offen sind. Danach wissen Sie, ob Sie die Verpflichtungserklärung unterschreiben können – und was bis dahin zu tun ist.
Kostenloses Erstgespräch vereinbaren
Quellen: Merkblatt für die Behandlung von Verschlusssachen des Geheimhaltungsgrades VS-NUR FÜR DEN DIENSTGEBRAUCH (VS-NfD-Merkblatt), Bundesministerium für Wirtschaft und Energie, Anlage 4 zum Geheimschutzhandbuch, in Kraft seit 01.09.2023 · FAQ des BMWE zum VS-NfD-Merkblatt (Stand 05/2026) · BSI, Liste zugelassener IT-Sicherheitsprodukte · BSI IT-Grundschutz-Kompendium, Baustein CON.11.1.