Unternehmensservice

Geheimnisschutz in der Wirtschaft

Unternehmen, die in sicherheitsempfindlichen Bereichen tätig sind oder im Rahmen von Aufträgen Zugang zu Verschlusssachen erhalten, tragen eine besondere Verantwortung für den Schutz staatlich bedeutsamer Informationen und kritischer Infrastrukturen. <Sicherheitsüberprüfungsgesetz Nordrhein-Westfalen (SÜG NRW) und das Sicherheitsüberprüfungsgesetz des Bundes (SÜG) bilden hierfür die rechtliche Grundlage und stellen sicher, dass nur Personen in sicherheitsrelevanten Bereichen eingesetzt werden, bei denen kein Sicherheitsrisiko besteht. Für die Wirtschaft ist dies insbesondere dann relevant, wenn Unternehmen Verteidigungs- oder sicherheitstechnische Aufträge bearbeiten oder ihre Mitarbeitenden in behördlichen Sicherheitsbereichen eingesetzt werden.

Zweck der Sicherheitsüberprüfung

Der Zweck der Sicherheitsüberprüfung ergibt sich aus dem gesetzlichen Auftrag, den Zugang zu geheimhaltungsbedürftigen Vorgängen zu schützen und Sabotagehandlungen zu verhindern. Unternehmen sollen in die Lage versetzt werden, geheime oder vertrauliche Informationen sicher zu verarbeiten. Ebenso sollen potenzielle Innentäterinnen und Innentäter von lebens- oder verteidigungswichtigen Einrichtungen ferngehalten werden. Das betrifft Unternehmensbereiche, in denen der Ausfall oder die Beeinträchtigung der betrieblichen Abläufe erhebliche Folgen für staatliche Schutzgüter, die Versorgungssicherheit oder die Verteidigungsfähigkeit haben könnte.

Personeller Geheim- und Sabotageschutz

Der personelle Geheimschutz zielt darauf ab, den Zugang zu Verschlusssachen nur solchen Personen zu ermöglichen, die zuverlässig sind und bei denen keine Anhaltspunkte für Erpressbarkeit, extremistische Bezüge oder besondere Gefährdung durch ausländische Nachrichtendienste bestehen, §§ 1 II, 7 SÜG NRW. Der personelle Sabotageschutz wiederum dient dazu, kritische Einrichtungen vor Angriffen von innen zu sichern. Beide Bereiche greifen ineinander und bilden gemeinsam die Grundlage dafür, dass Unternehmen ihre sicherheitsrelevanten Aufträge rechtskonform und risikobewusst erfüllen können.

Exkurs: Materieller Geheimschutz

Neben der zuverlässigen Personalauswahl müssen Unternehmen auch technische, organisatorische und bauliche Maßnahmen ergreifen, um geheime Informationen zu schützen. Während der personelle Geheimschutz im SÜG NRW bzw. im SÜG selbst geregelt ist, haben Bund und Länder den materiellen Geheimnisschutz in Verschlusssachenanweisungen geregelt. Diese Geheimschutzbestimmungen werden durch Abschluss eines öffentlich-rechtlichen Vertrags vom Unternehmen anerkannt.
Inhaltlich werden die Anforderungen im Wesentlichen im Handbuch für den Geheimschutz in der Wirtschaft (GHB) behandelt. Dieses wird vom BMWK herausgegeben und gilt – auf landesspezifische Gegebenheiten angepasst – auch in NRW.
Weitere Informationen zum materiellen Geheimnisschutz in NRW erhalten Sie auf den Seiten des Innenministeriums. Informationen zur Bundesebene gibt es auf den Seiten des Innenministeriums und des BSI.

Ablauf der Sicherheitsüberprüfung

Das Verfahren der Sicherheitsüberprüfung folgt einem klar strukturierten Ablauf. Die zuständige Stelle beantragt die Aufnahme eines Unternehmens in die Geheimschutzbetreuung. Das Unternehmen selbst kann die Aufnahme nicht beantragen.
Die zuständige Stelle schließt mit dem Unternehmen einen öffentlich-rechtlichen Vertrag ab, in dem sich das Unternehmen zur Einhaltung der Vorgaben des Geheimschutzhandbuchs verpflichtet. Das Unternehmen muss eine/n Sicherheitsbeauftragte/n sowie dessen/deren Stellvertretung bestellen.
Sicherheitsbeauftragte (einschließlich Stellvertreter) müssen organisatorisch und personell getrennt sein von der Personalabteilung sowie dem/der Datenschutzbeauftragten.
Einzelheiten finden Sie im Geheimschutzhandbuch.
Der/die Sicherheitsbeauftragte stellt den Antrag für die Sicherheitsüberprüfung von Mitarbeitern und leitet Dokumente an die zuständige Behörde weiter. Er ist selbst jedoch nicht am Überprüfungsverfahren beteiligt.

Je nach Art der vorgesehenen Tätigkeit gibt es drei Stufen der Sicherheitsüberprüfung, die einfache Überprüfung, die erweiterte Überprüfung und die erweiterte Überprüfung mit Sicherheitsermittlungen, § 7 SÜG / § 9 SÜG NRW. Welche Stufe zur Anwendung kommt, bestimmt sich nach der Schutzbedürftigkeit der Informationen und der konkreten Funktion, für die die betroffene Person vorgesehen ist.
Unternehmen werden vom Wirtschaftsministerium als zuständiger Stelle begleitet, sobald Mitarbeitende Zugang zu Verschlusssachen oder sicherheitsempfindlichen Bereichen erhalten sollen.
Die Dauer des Aufnahmeverfahrens kann variieren, da sie von der Komplexität der Sicherheitsüberprüfung abhängt. Für die Dienstleistungen des Wirtschaftsministeriums entstehen keine Kosten; die Kosten für etwaige materielle Sicherungsmaßnahmen, wie spezielle Aufbewahrungsmöglichkeiten für Verschlusssachen, trägt das Unternehmen selbst.

Sicherheitserklärung und behördliche Prüfung

Zu Beginn steht die Sicherheitserklärung, § 13 SÜG / § 14 SÜG NRW. Die betroffene Person macht darin Angaben zu Identität, beruflichen Stationen, Wohnsitzen, möglichen Auslandskontakten, finanziellen Verhältnissen sowie zu etwaigen sicherheitsrelevanten Sachverhalten. Je nach Überprüfungsstufe kommen weitere Angaben hinzu, etwa zu Familienangehörigen oder Referenzpersonen.
Die Erklärung wird über das Unternehmen an die zuständige Stelle übermittelt, bei wirtschaftlichen Akteuren ist dies das Wirtschaftsministerium Nordrhein-Westfalen bzw. das Wirtschaftsministerium des Bundes. Die Verfassungsschutzbehörde prüft als mitwirkende Behörde die Angaben, zieht gesetzlich definierte Registerabfragen heran und befragt, sofern erforderlich, weitere Stellen oder Auskunftspersonen. Bei erweiterten Überprüfungen gehören Identitätsprüfungen, Anfragen an Polizeidienststellen sowie – bei der höchsten Überprüfungsstufe – auch Befragungen von Referenzpersonen zum regulären Verfahren.

Beteiligung und Ergebnis

Die Prüfung umfasst grundsätzlich die letzten fünf Jahre, bei bestimmten Personengruppen oder Tätigkeiten auch längere Zeiträume. Alle Verfahrensschritte folgen festen gesetzlichen Vorgaben. Die betroffene Person wird beteiligt und kann sich äußern, wenn sicherheitserhebliche Erkenntnisse auftreten. Erst wenn das Verfahren abgeschlossen ist und die zuständige Stelle feststellt, dass kein Sicherheitsrisiko vorliegt, darf die sicherheitsempfindliche Tätigkeit aufgenommen werden. Unternehmen erfahren ausschließlich, ob eine Person eingesetzt werden darf oder nicht; die zugrunde liegenden Erkenntnisse werden ihnen von gesetzlichen Ausnahmefällen abgesehen nicht offengelegt, § 27 SÜG, § 31 SÜG NRW.

Sicherheitsakte

Das Unternehmen muss für die betreffenden Personen eine Sicherheitsakte führen – diese ist keine Personalakte und muss gesondert geführt werden! Sie darf weder der Geschäftsleitung, noch der Personalabteilung, noch der betroffenen Person selbst zugänglich gemacht werden. Einzelheiten regelt das Geheimschutzhandbuch.

Pflichten der betroffenen Person

Die von einer Sicherheitsüberprüfung betroffene Person muss die zuständige Behörde über den Sicherheitsbeauftragten fortlaufend informieren, zum Beispiel über Kontakte zu ausländischen Nachrichtendiensten oder über Zwangsvollstreckungsmaßnahmen, über das Eingehen einer Ehe usw.
Personen, die einer Ü2- oder Ü3-Sicherheitsübeprüfung unterliegen, können weitergehende Pflichten treffen, zum Beispiel Anzeigepflichten für Auslandsreisen usw.

Bedeutung für Unternehmen und Compliance

Für Unternehmen ist das Verfahren damit ein zentraler Baustein für Compliance, Risikomanagement und Auftragsfähigkeit im sicherheitsempfindlichen Umfeld. Die Sicherheitsüberprüfung ermöglicht verlässliche Rahmenbedingungen für sensible Projekte und schafft Vertrauen in die Integrität der handelnden Personen. Unternehmen stellen damit sicher, dass sie gesetzlichen Vorgaben entsprechen und zugleich ihrer besonderen Verantwortung in sicherheitsrelevanten Bereichen gerecht werden.

Aktualisierung und Wiederholung der Sicherheitsüberprüfung

Die Sicherheitsüberprüfung ist kein einmaliger Vorgang. Sie wird regelmäßig aktualisiert und bei Bedarf wiederholt, etwa wenn neue sicherheitsempfindliche Tätigkeiten aufgenommen werden oder sich relevante persönliche Umstände ändern.

Datenschutz

Bei der Sicherheitsüberprüfung werden viele sensible Daten erhoben. Daher enthält das SÜG spezielle datenschutzrechtliche Regelungen zum Umgang mit den personenbezogenen Daten der sicherheitsüberprüften Personen und auch Löschfristen. Die DSGVO gilt hier nicht. Die Bundesbeauftragte für den Datenschutz hat auf ihrer Internetseite Informationen zu diesen Themen bereitgestellt.

Quellen und weiterführende Links

Mitgliedsunternehmen der IHK Köln und Personen, die in der Region Köln die Gründung eines Unternehmens planen, erhalten gerne weitere Informationen.