VS-NfD und Geheimschutz in der Baubranche: Warum IT-Compliance künftig die Eintrittskarte für Großprojekte ist

Verteidigung, innere Sicherheit, Energieversorgung, Verwaltung, kritische Infrastruktur: In kaum einem Segment wächst das Bauvolumen derzeit so deutlich wie dort, wo die öffentliche Hand selbst Bauherrin ist. Der Gesetzgeber flankiert diese Entwicklung. Der Entwurf eines Bundeswehr-Infrastrukturbeschleunigungsgesetzes, den das Bundeskabinett im Juli 2026 beschlossen hat und der sich derzeit im parlamentarischen Verfahren befindet, stuft militärische Infrastrukturvorhaben als überragendes öffentliches Interesse ein und verkürzt Genehmigungs- und Beteiligungsverfahren erheblich.

Für Planungs- und Bauunternehmen ist das eine Chance. Sie ist allerdings an eine Bedingung geknüpft, die in Vergabeunterlagen lange eine Randnotiz war: den nachweisbaren Umgang mit Verschlusssachen, mit der richtigen IT-Infrastruktur.

Das deutsche Geheimschutzrecht kennt vier Einstufungsgrade: STRENG GEHEIM, GEHEIM, VS-VERTRAULICH und VS-NUR FÜR DEN DIENSTGEBRAUCH (VS-NfD). VS-NfD ist die unterste Stufe – und zugleich diejenige, die im Bauprojekt praktisch immer auftritt. Betroffen sind genau die Unterlagen, die in jedem Vorhaben ohnehin entstehen:

• Lage- und Geschosspläne sicherheitsrelevanter Liegenschaften

• Schemata der technischen Gebäudeausrüstung sowie Energie- und Netzstrukturen

• Sicherheits-, Zutritts- und Schließkonzepte

• Brandschutz-, Flucht- und Evakuierungsplanung

• Bestands- und Revisionsdokumentation

Anders als bei höheren Einstufungen löst VS-NfD in der Regel keine Sicherheitsüberprüfung von Personen aus. Verlangt werden Belehrung und schriftliche Verpflichtung aller Beteiligten, ein konsequent gelebtes Need-to-know-Prinzip, eine benannte verantwortliche Person mit Berichtsweg zur Geschäftsleitung sowie der materielle Schutz der Unterlagen selbst: Kennzeichnung, verschlossene Aufbewahrung, Weitergabe nur mit Zustimmung der herausgebenden Stelle und nachweisbare Vernichtung.

Für die elektronische Verarbeitung gelten eigene Regeln. Verschlusssachen gehören weder in das gewöhnliche E-Mail-Postfach noch in eine Standard-Cloud. Wo VS-NfD digital verarbeitet oder übertragen wird, sind freigegebene Verfahren und zugelassene Produkte erforderlich; die maßgeblichen Listen führt das BSI.

Hier entsteht die eigentliche Herausforderung. Die Bau- und Planungsbranche hat ihre Zusammenarbeit über Jahre konsequent auf Offenheit optimiert: gemeinsame Modelle, ein zentrales CDE, viele Beteiligte, mobile Endgeräte auf der Baustelle, kurze Wege über Messenger und Verteiler. Geheimschutz verlangt das Gegenteil – Abgrenzung, Nachvollziehbarkeit, dokumentierte Zugriffe.

Geheimschutz ist für die Baubranche kein Nebenschauplatz der IT-Abteilung mehr, sondern eine Voraussetzung für den Marktzugang. Die gute Nachricht: Die Anforderungen sind beherrschbar und weitgehend organisatorischer Natur. Entscheidend ist der Zeitpunkt. Unternehmen, die Klassifizierung, Verantwortlichkeiten und geschützte Arbeitsumgebungen jetzt aufbauen, können in Vergabeverfahren belegen, was andere erst versprechen – und verschaffen sich damit einen Vorsprung, der sich fachlich kaum aufholen lässt.