(zu § 49 Abs. 4 VSA)

1. Allgemeines

1.1
VS des Geheimhaltungsgrades VS-NUR FÜR DEN DIENSTGEBRAUCH dürfen nur Personen zugänglich gemacht werden, die im Zusammenhang mit der Auftragsdurchführung Kenntnis erhalten müssen (Grundsatz: "Kenntnis nur, wenn nötig"). Den zugangsberechtigten Personen ist dieses Merkblatt bekanntzugeben (z.B. durch Aufnahme in unternehmensinterne Anordnungen).

1.2
Über den Inhalt der VS ist Verschwiegenheit zu wahren. Sie sind unter Verschluß zu halten. Mitarbeiterinnen oder Mitarbeiter, die sich zur Einhaltung dieser Verpflichtung als ungeeignet erweisen, sind von der Bearbeitung der VS auszuschließen.

1.3
Vorgänge und Material des Geheimhaltungsgrades VS-NUR FÜR DEN DIENSTGEBRAUCH sind wie folgt zu behandeln:

1. a)

   Kennzeichnung von Unterlagen durch schwarzen oder blauen Stempelaufdruck, Druck oder Maschinenschrift "VS-NUR FÜR DEN DIENSTGEBRAUCH" am oberen Rand jeder beschriebenen Seite sowie aller entsprechend eingestuften Anlagen. Bei Büchern, Broschüren und ähnlichem genügt die Kennzeichnung auf dem Einband und dem Titelblatt.

2. b)

   Aufbewahrung in verschlossenen Räumen oder Behältern (Schränken, Schreibtischen usw.).

3. c)

   Weitergabe im Inland durch Boten oder Versand in einfachem verschlossenem Umschlag oder Behältnis. Der Umschlag oder das Behältnis erhält keine VS-Kennzeichnung. Die Modalitäten für den Auslandsversand und die Weitergabe ins Ausland sind vom Auftraggeber festzulegen.

   Bei Mitnahme ist sicherzustellen, daß die VS von unbefugten Personen nicht eingesehen werden können.

4. d)

   Zwischenmaterial (z.B. Vorentwürfe, Stenogramme, Tonträger, Folien oder Fehldrucke) ist gegen Einsichtnahme Unbefugter in derselben Weise zu schützen wie der Vorgang, auf den es sich bezieht. Zwischenmaterial, das nicht an Dritte weitergegeben und unverzüglich vernichtet wird, braucht nicht als VS gekennzeichnet zu werden.

5. e)

   Vernichtung (auch von Zwischenmaterial) so, daß der Inhalt nicht mehr erkennbar ist und nicht mehr erkennbar gemacht werden kann.

1.4
Ist beabsichtigt, Dienste oder Leistungen Dritter in Anspruch zu nehmen, denen hierzu VS des Geheimhaltungsgrades VS-NUR FÜR DEN DIENSTGEBRAUCH zugänglich gemacht werden müssen, so sind diese vertraglich zur Beachtung dieses Merkblattes zu verpflichten.

1.5
Ein Geheimschutzverfahren, wie es bei höher eingestuften VS vorgeschrieben ist, wird nicht durchgeführt.

1.6
Nach Auftragsdurchführung ist Vorsorge zu treffen, daß die VS bis zur Herabstufung durch die auftraggebende Stelle vorschriftsmäßig aufbewahrt, baldmöglichst vernichtet oder an die auftraggebende Stelle zurückgegeben werden.

1.7
Die auftraggebende Stelle kann sich bei der auftragnehmenden Stelle über die Einhaltung der Bestimmungen dieses Merkblattes unterrichten.

1.8
Die VS-Einstufung ist nach 30 Jahren aufgehoben, sofern durch die auftraggebende Stelle (1)) keine frühere Frist bestimmt ist. Die Frist beginnt am 1. Januar des auf die Einstufung folgenden Jahres.

2.
Nutzung von Informationstechnik (IT)

2.1
Wird Informationstechnik für die Verarbeitung oder Übertragung von VS-NUR FÜR DEN DIENSTGEBRAUCH eingestuften VS genutzt, so sind zur Wahrung der Vertraulichkeit der VS (siehe Nrn. 1.1 und 1.2) geeignete informationstechnische Maßnahmen und/oder materielle und organisatorische Maßnahmen zu treffen.

2.2
Bei der Verarbeitung von VS-NUR FÜR DEN DIENSTGEBRAUCH eingestuften VS kommen insbesondere folgende Maßnahmen in Betracht:

1. a)

   Übersicht über die Zugriffsberechtigungen,

2. b)

   Nutzung von Identifizierungs- und Authentisierungsmechanismen (z.B. Login, Paßwort),

3. c)

   geeignete IT-Sicherheitsanweisung.

2.3
Transportable Datenträger (z.B. Disketten), die VS-NUR FÜR DEN DIENSTGEBRAUCH eingestufte Daten unkryptiert (2))enthalten, sind gemäß Nr. 1.3 Buchst. a zu kennzeichnen und gemäß Nr. 1.3 Buchst. b aufzubewahren.

2.4
Auf fest installierten Datenträgern, die VS-NUR FÜR DEN DIENSTGEBRAUCH eingestufte Daten unkryptiert (2)) enthalten, sind die VS überschreibend zu löschen, bevor die Datenträger im Rahmen von Wartungs- oder Reparaturarbeiten an IT-Systemkomponenten den Bereich der zugriffsberechtigten Personen verlassen. Ist eine Löschung nicht möglich, so sind die Datenträger auszubauen und zurückzubehalten, oder das mit der Wartung oder Reparatur beauftragte Unternehmen ist vertraglich zur Beachtung dieses Merkblattes zu verpflichten (siehe Nr. 1.4).

2.5
Bei der Übertragung auf Telekommunikations- oder anderen technischen Kommunikationsverbindungen sind die VS mit einem vom BSI zugelassenen Kryptosystem zu kryptieren. Abweichend davon ist in folgenden Fällen eine unkryptierte Übertragung zulässig:

1. a)

   Bei Telefongesprächen.

2. b)

   Bei Dateien, Fernkopien, Fernschreiben usw., wenn zwischen der absendenden und der empfangenden Stelle für die erforderliche Übertragungsart keine Kryptiermöglichkeit besteht und die auftraggebende Stelle bei der Auftragsvergabe nicht ausdrücklich eine Kryptierung verlangt. Die absendende Stelle hat sich zu vergewissern, daß sie mit der gewünschten Empfangsstelle verbunden ist.