Sicherheitsbevollmächtigter: Bestellpflicht nach dem SÜG

Der Geheimschutz beginnt nicht mit einer Entscheidung Ihres Unternehmens. Er beginnt mit einem VS-Auftrag. Sobald ein Bundesministerium, eine Bundeswehrstelle oder ein zwischenstaatlicher Auftraggeber Ihrem Unternehmen Verschlusssachen übergeben will, zum Beispiel im Wehrtechnik-Bereich oder in der sicherheitstechnischen Lieferkette, wird die zuständige Stelle aktiv. Für die Wirtschaft ist das das zuständige Bundeswirtschaftsministerium, das nach § 25 SÜG für den Geheimschutz in der Wirtschaft zuständig ist. Das Unternehmen selbst kann die Aufnahme in die Geheimschutzbetreuung nicht beantragen. Sie wird initiiert, wenn Mitarbeitende Zugang zu Verschlusssachen oder sicherheitsempfindlichen Bereichen erhalten sollen.

Relevant wird es ab der Einstufung VS-VERTRAULICH oder höher. Dann schließt die zuständige Stelle mit Ihrem Unternehmen einen öffentlich-rechtlichen Vertrag ab, in dem Sie die Einhaltung des Geheimschutzhandbuchs (GHB) zusichern. Dieser Vertrag ist der rechtliche Rahmen für alles Folgende: Bestellungen, Überprüfungen, Nachweise.

Beide Bereiche greifen ineinander. Ein Sicherheitsbevollmächtigter, der nur Akten verwaltet, aber keine baulichen Anforderungen umsetzt, erfüllt den Auftrag nicht. Die zuständige Stelle kontrolliert beides.

Planen Sie die Vorlaufzeit realistisch ein. Die Dauer des Aufnahmeverfahrens hängt von der Komplexität der Sicherheitsüberprüfungen ab und erstreckt sich erfahrungsgemäß über mehrere Monate, bevor der erste Mitarbeitende überhaupt auf eine VS-Akte zugreifen darf. Wer den VS-Auftrag termingerecht bedienen will, bestellt den Sicherheitsbevollmächtigten nicht, wenn der erste Auftrag kommt, sondern bevor er kommt. Der Geheimschutz ist damit eine von vielen bestellpflichtigen Rollen, die ein Unternehmen lückenlos und belegbar besetzen muss.

Die beiden Titel klingen austauschbar. Sie sind es nicht. Der Sicherheitsbevollmächtigte (SiBe) wird in Wirtschaftsunternehmen bestellt und übernimmt dort die Aufgaben der nichtöffentlichen Stelle nach § 25 Abs. 3 SÜG. Der Geheimschutzbeauftragte (GSB) wird in Behörden und sonstigen öffentlichen Stellen des Bundes nach § 3a SÜG bestellt. Wer im Aufnahmeverfahren für staatliche Aufträge Verschlusssachen bearbeiten will, braucht den SiBe. Wer als Bundesdienststelle den Geheimschutz betreibt, braucht den GSB. Beide Rollen sitzen in unterschiedlichen Rechtskreisen, mit unterschiedlichen Pflichten und unterschiedlichen Adressaten.

Für Unternehmen ist die Bestellung des SiBe kein organisatorischer Akt, sondern Vertragspflicht: Sie wird im Aufnahmeverfahren als vertragliche Bedingung vereinbart, bevor Verschlusssachen fließen. Der SiBe braucht einen zwingend zu bestellenden Vertreter, damit die Funktion bei Urlaub, Krankheit oder Wechsel nicht bricht. Beide Bestellungen sind schriftlich, namentlich und gegenüber der zuständigen Stelle, in der Regel dem Bundesministerium für Wirtschaft und Energie nach § 25 Abs. 1 SÜG, belegbar.

Zweitens: Der SiBe gehört nicht in die Personalabteilung. Die Unterlagen der Sicherheitsüberprüfung liegen in einer eigenen Sicherheitsakte, getrennt von der Personalakte. Nach § 25 Abs. 5 SÜG gilt § 3 Abs. 1a für die nichtöffentliche Stelle entsprechend, und der SiBe ist in personellen Geheimschutzangelegenheiten gegenüber der Geschäftsführung zur Verschwiegenheit verpflichtet. Die Geschäftsführung trägt zwar die Aufsichtspflicht, erhält aber keinen Einblick in die Einzelheiten der Überprüfungen. Ausnahmen kann die zuständige Stelle nur zulassen, wenn sich das Unternehmen verpflichtet, diese Informationen ausschließlich für Zwecke der Sicherheitsüberprüfung zu verwenden. Wer diese Trennung dokumentiert, hat im Audit eine saubere Spur. Wer sie ignoriert, liefert der zuständigen Stelle einen Befund.

Das SÜG kennt drei Überprüfungsarten: die einfache Sicherheitsüberprüfung (Ü1) nach § 8 SÜG, die erweiterte Sicherheitsüberprüfung (Ü2) nach § 9 SÜG und die erweiterte Sicherheitsüberprüfung mit Sicherheitsermittlungen (Ü3) nach § 10 SÜG. Die Zuordnung regelt § 7 SÜG. Sie folgt einer einzigen Logik: Je empfindlicher die Verschlusssache, desto tiefer die Prüfung. Die Stufen bauen aufeinander auf: Bei der Überprüfung nach § 9 trifft die mitwirkende Behörde die Maßnahmen des § 12 Abs. 1 und zusätzlich die des § 12 Abs. 2, bei der Überprüfung nach § 10 kommen die Befragungen nach § 12 Abs. 3 hinzu.

Zwei Punkte entscheiden in der Praxis über den Ablauf. Erstens die Zustimmung: Grundlage jeder Überprüfung ist die Sicherheitserklärung der betroffenen Person, und die Durchführung erfolgt nur mit ihrer Zustimmung. Verweigert sie diese, ist die Überprüfung nicht durchführbar und die Person darf keine sicherheitsempfindliche Tätigkeit übertragen bekommen. Bei der Ü2 muss zusätzlich der einbezogene Ehe- oder Lebenspartner zustimmen; ohne diese Zustimmung stockt das Verfahren. Zweitens die Fristen: Nach fünf Jahren erfolgt in der Regel eine Aktualisierung, nach zehn Jahren eine Wiederholung der Überprüfung.

Für Unternehmen mit staatlichen Aufträgen heißt das: Die Stufe folgt dem Geheimhaltungsgrad der Tätigkeit, nicht der Hierarchie im Unternehmen. Ein Monteur mit Zugang zu GEHEIM eingestuften Unterlagen braucht die Ü2, ein Vorstand ohne VS-Zugang braucht keine. Wer eine Tätigkeit im vorbeugenden personellen Sabotageschutz nach § 1 Abs. 4 SÜG wahrnimmt, fällt grundsätzlich unter die erweiterte Sicherheitsüberprüfung, unabhängig vom Geheimhaltungsgrad. Diese Zuordnung gehört dokumentiert, denn die zuständige Stelle prüft bei jeder Erweiterung des Aufgabenkreises nach. Wer Bestellurkunden, Sicherheitsermächtigungen und Fristen in verteilten Excel-Listen pflegt, verliert hier den Überblick.

Das Sicherheitsüberprüfungsgesetz kennt vier Geheimhaltungsgrade. Sie sind in § 4 SÜG verankert und in der Verschlusssachenanweisung (VSA) operativ ausgestaltet. Der Grad entscheidet über alles Weitere: wer eine Verschlusssache bearbeiten darf, welche Sicherheitsüberprüfung die Person durchlaufen haben muss, in welchen Räumen sie liegt und welche Technik zulässig ist. Wer die Grade verwechselt, bestellt die falsche Überprüfungsart und baut VS-Bereiche nach falschen Anforderungen.

Drei Grundsätze aus § 4 SÜG gelten für alle vier Grade. Erstens: Die Einstufung erfolgt ausschließlich durch eine amtliche Stelle des Bundes oder auf deren Veranlassung. Ein Unternehmen stuft nie selbst ein; es erhält die Einstufung mit dem Auftrag. Zweitens: Kenntnis nur, wenn die Aufgabenerfüllung es erfordert, und niemand umfassender oder früher als nötig. Der Need-to-know-Grundsatz ist kein Softwaresetting, sondern Gesetz. Drittens: Die herausgebende Stelle kann weitere Vorgaben zum Schutz einer Verschlusssache treffen; eine Verschlusssache wird bei höherem Schutzbedarf neu eingestuft und neu herausgegeben, nicht im laufenden Umlauf hochgestuft.

Eine Frist betrifft den niedrigsten Grad direkt: Die Einstufung einer Verschlusssache des Geheimhaltungsgrades VS-NUR FÜR DEN DIENSTGEBRAUCH ist auf 30 Jahre befristet, wobei der Herausgeber unter Berücksichtigung der Einstufungsbegründung eine kürzere Frist bestimmen kann. Für die Einstufungspraxis heißt das: VS-NfD-Altfälle in Projekten mit staatlichen Auftraggebern müssen auf Ablauf der Frist geprüft werden, bevor sie weiter im Umlauf bleiben.

Für Ihr Unternehmen zählt die Konsequenz: Der Grad bestimmt die Überprüfungsart, die Zugangsregelung und die Dokumentationspflicht gegenüber der zuständigen Stelle. Die vier Stufen sind die Referenz für jede Bestell- und Nachweisfrage im Geheimschutz.

Der materielle Geheimschutz ist kein Ermessensspielraum, sondern vertraglich geschuldete Pflicht. Sobald VS-VERTRAULICH oder höher eingestufte Verschlusssachen in Ihr Unternehmen gelangen, greift die Verschlusssachenanweisung (VSA) des Bundes, im nichtöffentlichen Bereich eingebunden über die Geheimschutzregelung des Auftrags. Der Grundsatz lautet: Kenntnis nur, wenn nötig. Alles daraus Folgende ist Organisation, keine Interpretation.

Zwei Fristen entscheiden über Ihre Auditfähigkeit. Die Geheimschutzdokumentation ist bei jeder geheimschutzrelevanten Änderung zu aktualisieren, mindestens aber alle drei Jahre auf Aktualität, Vollständigkeit und Erforderlichkeit zu überprüfen (§ 12 Abs. 2 VSA). VS-Nachweise, also Empfangsscheine, Begleitzettel, Übergabe- und Vernichtungsprotokolle, sind mindestens fünf Jahre aufzubewahren (§ 21 Abs. 7 VSA). Wer diese Fristen in einem Excel-Blatt führt, hat sie nicht geführt. Sie brauchen eine Nachweisführung, die bei jeder Auftraggeberkontrolle belegbar ist.

VS-IT ist ein eigener Fall: Systeme, die Verschlusssachen ab VS-VERTRAULICH verarbeiten, dürfen nur mit Freigabe des BMWE betrieben werden. Und Vorsicht bei der umgekehrten Fehlsteuerung: Wer für reine VS-NfD-Aufträge Stahlschränke und Sicherheitsüberprüfungen anordnet, bindet Ressourcen ohne Mehrwert und signalisiert dem Auftraggeber Unkenntnis des Regelwerks. Die Stufe richtig handhaben heißt: genau so streng wie verlangt, genau so leicht wie zulässig.

Im nichtöffentlichen Bereich ist das Bundesministerium für Wirtschaft und Energie (BMWE) die zuständige Stelle für den Geheimschutz in der Wirtschaft, gestützt auf § 25 Absatz 1 SÜG. Die Aufgaben des Unternehmens nach dem SÜG übernimmt dabei nicht die Geschäftsführung selbst, sondern die oder der Sicherheitsbevollmächtigte, § 25 Absatz 3 Nummer 1 SÜG. Der SiBe ist damit die einzige Schnittstelle zwischen Ihrem Unternehmen und dem BMWE. Er prüft die Sicherheitserklärung neuer Mitarbeitender auf Richtigkeit und Vollständigkeit, leitet die Unterlagen an die zuständige Stelle weiter und betreibt das Verfahren bis zum Abschluss. Das Bundesamt für Verfassungsschutz gibt als mitwirkende Behörde sein Votum ab, die Entscheidung über die Sicherheitsüberprüfung trifft allein die zuständige Stelle. Der SiBe steuert dieses Verfahren, er entscheidet es nicht.

Der Sicherheitsbescheid verdient besondere Aufmerksamkeit. Bevor Ihr Unternehmen Verschlusssachen der Einstufung VS-VERTRAULICH oder höher an eine nichtöffentliche Stelle weitergibt, etwa einen Subunternehmer in der Lieferkette eines Rüstungsauftrags, muss dessen Facility Security Clearance vorliegen. Der SiBe prüft diesen Nachweis vor der Weitergabe und dokumentiert die Prüfung. Versäumt er das, haftet nicht das BMWE, sondern die Unternehmensführung. Die Aufsichtsbehörde liest keine Ausreden, sondern Bestellurkunden und Nachweise.

Nach innen berichtet der SiBe regelmäßig an die Geschäftsführung: über laufende Überprüfungen, offene Vorkommnisse und anstehende Fortbildungen. Diese Berichtslinie ist kein Formalismus. Sie entlastet die Führungsebene bei der Erfüllung ihrer Aufsichtspflicht nach § 130 OWiG, weil sie belegt, dass das Unternehmen seine Geheimschutzpflichten aktiv gesteuert hat. Entscheidend ist die Nachweiskette: Bestellurkunde, Fortbildungsnachweis, Vorkommnisdokumentation, jeweils datiert und auffindbar.

Die Benennung des Sicherheitsbevollmächtigten und seines Vertreters ist kein Formalakt. Das Unternehmen verpflichtet sich vertraglich gegenüber dem zuständigen Bundeswirtschaftsministerium, vor Ort konkrete Aufgaben zu erfüllen: Aushändigung und Entgegennahme der Sicherheitserklärung, Prüfung der Vollständigkeit anhand der Personalunterlagen, Aufbewahrung der Ermächtigung sowie Einleitung der Aktualisierung oder Wiederholungsüberprüfung. Diese Aufgaben liegen nicht beim Ministerium und nicht beim Auftraggeber. Sie liegen bei Ihnen. Wer sie nicht belegbar einer namentlich genannten Person zuweist, trägt sie selbst. Die Aufsichtsbehörde liest keine Ausreden, sondern Bestellurkunden.

Die Bestellurkunde ist der erste Nachweis bei jeder Prüfung, jeder Auditierung und jeder behördlichen Anfrage. Sie muss vier Punkte belegen:

Fehlt eine dieser Angaben, ist die Bestellung angreifbar. Und eine angreifbare Bestellung ist im Haftungsfall keine Bestellung. § 130 OWiG verlangt von der Geschäftsführung die Aufsicht über Pflichten im Betrieb, und dazu gehört der Nachweis, dass jede bestellpflichtige Rolle besetzt und dokumentiert ist. Das gilt für den Sicherheitsbevollmächtigten nach § 25 SÜG genauso wie für SiFa, DSB, Brandschutzbeauftragten und Compliance-Beauftragten.

Intern oder extern ist eine Besetzungsfrage, keine Rechtsfrage. Beide Wege sind zulässig, wenn die Nachweiskette stimmt: unterschriebene Urkunde, abgelegt, auffindbar, jede Maßnahme mit Zeitstempel. Die Fristen sind hart. Wiederholungsüberprüfungen finden regelmäßig alle zehn Jahre statt, die einfache Sicherheitsüberprüfung wird nach fünf Jahren aktualisiert. Wer diese Termine in verteilten Excel-Listen und Ordnerschränken sucht, verliert sie. Der CIVAC Workspace führt alle bestellpflichtigen Rollen, Bestellurkunden und Fristen in einem System, jede Maßnahme mit Zeitstempel, jederzeit auditfest. Sie bestellen intern und lizenzieren den Workspace, oder Sie lassen sich unsere Beauftragten stellen. In beiden Fällen liegt der Nachweis bereit, wenn der Prüfer anruft.

Sobald ein Unternehmen einen VS-Auftrag erhält und in die Geheimschutzbetreuung aufgenommen wird, gehört die Bestellung eines Sicherheitsbevollmächtigten und eines Vertreters zu den vertraglich zugesicherten Maßnahmen. Der SiBe übernimmt nach § 25 Abs. 3 SÜG die Aufgaben der nichtöffentlichen Stelle, also die Betreuung des personellen Geheimschutzes im Unternehmen.

Der Sicherheitsbevollmächtigte wird in Wirtschaftsunternehmen bestellt und ist Ansprechpartner für das zuständige Bundeswirtschaftsministerium. Der Geheimschutzbeauftragte wird nach § 3a SÜG in Behörden und öffentlichen Stellen des Bundes bestellt. Beide Rollen sind organisatorisch von der Personalabteilung getrennt: Der SiBe darf die Personalakte einsehen, die Personalabteilung nicht die Sicherheitsakte.

Drei: die einfache Sicherheitsüberprüfung (Ü1) mit Registerabfragen, die erweiterte Sicherheitsüberprüfung (Ü2) mit zusätzlichen Anfragen an die Polizeidienststellen der letzten Wohnsitze und der Einbeziehung der mitbetroffenen Person, und die erweiterte Sicherheitsüberprüfung mit Sicherheitsermittlungen (Ü3) mit Befragungen von Referenz- und Auskunftspersonen. Im vorbeugenden personellen Sabotageschutz ist grundsätzlich eine Ü2 durchzuführen.

Die Sicherheitsüberprüfung darf nach § 2 Abs. 1 SÜG nicht gegen den Willen der betroffenen Person durchgeführt werden. Ohne Zustimmung ist keine sicherheitsempfindliche Tätigkeit übertragbar. Das Gleiche gilt, wenn der Lebenspartner als mitbetroffene Person nicht zustimmt.

Vier: STRENG GEHEIM, GEHEIM, VS-VERTRAULICH und VS-NUR FÜR DEN DIENSTGEBRAUCH. Die Einstufung nimmt ausschließlich eine amtliche Stelle des Bundes oder eine Stelle auf deren Veranlassung vor, abgestuft nach dem potenziellen Schaden für die Interessen der Bundesrepublik.

Erfahrungsgemäß mehrere Monate, weil die Dauer der erforderlichen Sicherheitsüberprüfungen nicht genau einzuschätzen ist. Das Unternehmen kann das Verfahren nicht selbst anstoßen: Der Auftraggeber muss die Aufnahme beim zuständigen Ministerium beantragen.

VS-VERTRAULICH und höher eingestufte Verschlusssachen sind in der VS-Registratur zu verwalten und bei Nichtgebrauch im VS-Verwahrgelass einzuschließen. VS-NUR FÜR DEN DIENSTGEBRAUCH genügt die Aufbewahrung in einem abgeschlossenen Zimmer oder Schrank, der Versand im Inland kann als gewöhnlicher Brief erfolgen.