Der Notfallplan für EU-Verschlusssachen, den Ihre Finanzhilfevereinbarung verlangt
Ein als Verschlusssache eingestuftes EDF-Grant-Agreement verpflichtet die Begünstigten dazu, Notfallpläne zum Schutz von EU-Verschlusssachen vorzuhalten und der bewilligenden Behörde zu bestätigen, dass diese Pläne existieren.
Zu den Pflichten aus einer als Verschlusssache eingestuften Förderung des European Defence Fund gehört eine, über die kaum eine der veröffentlichten Hilfestellungen etwas sagt. Sie steht in einem Dokument, das die meisten Antragsteller nie öffnen, und die Bewilligungsbehörde kann sie ohne Weiteres nachprüfen.
Zuwendungsempfänger müssen betriebliche Notfallpläne zum Schutz von EU-Verschlusssachen vorhalten und der Bewilligungsbehörde bestätigen, dass diese Pläne bestehen.
Wo die Pflicht tatsächlich steht
Nicht im Model Grant Agreement. Wenn Sie dieses Dokument nach "contingency" oder "business continuity" durchsuchen, finden Sie nichts. Das ist einer der Gründe, warum so selten über diese Anforderung geschrieben wird.
Sie steht im Beschluss (EU, Euratom) 2021/259 der Kommission, den Durchführungsbestimmungen zur Geheimschutzbetreuung der Industrie bei als Verschlusssache eingestuften Förderungen. Artikel 16 mit der Überschrift "Notfallpläne und Wiederherstellungsmaßnahmen" verpflichtet die Bewilligungsbehörde, dafür zu sorgen, dass die als Verschlusssache eingestufte Finanzhilfevereinbarung von den Zuwendungsempfängern Folgendes verlangt:
"betriebliche Notfallpläne ('BCP') zum Schutz von EU-VS aufzustellen, die im Rahmen der als Verschlusssache eingestuften Finanzhilfe in Notsituationen gehandhabt werden, und präventive Maßnahmen sowie Wiederherstellungsmaßnahmen zu treffen … um die Auswirkungen von Vorfällen im Zusammenhang mit der Handhabung und Aufbewahrung von EU-VS möglichst gering zu halten. Die Zuwendungsempfänger bestätigen der Bewilligungsbehörde, dass ihre BCP bestehen."
Die Klausel, die Sie unmittelbar bindet, steht im Geheimschutzbegleitdokument, das Ihrer Finanzhilfevereinbarung beigefügt ist, in Anhang III, Anlage A. Sie verpflichtet den Zuwendungsempfänger oder Unterauftragnehmer, alle bei der Durchführung der Vereinbarung gehandhabten EU-VS zu schützen und die Bewilligungsbehörde über seinen BCP zu unterrichten.
Aus dem Wortlaut ergeben sich zwei Punkte, bei denen sich Genauigkeit lohnt.
Er erfasst EU-VS insgesamt. Nicht nur als RESTREINT UE/EU RESTRICTED eingestuftes Material und nicht nur die höchsten Geheimhaltungsgrade. Jede EU-Verschlusssache, die im Rahmen der Förderung gehandhabt wird, fällt darunter.
Er hat zwei Teile. Präventive Maßnahmen und Wiederherstellungsmaßnahmen. Ein Plan, der nur beschreibt, was Sie nach einem Vorfall tun würden, erfüllt die Anforderung nur zur Hälfte.
Was er nicht ist
Im selben Rahmen gibt es eine zweite, ähnlich benannte Pflicht. Wer beide verwechselt, erfüllt am Ende meist keine von beiden.
Die Anforderung aus Anlage E desselben Anhangs ist die engere. Sie gilt für EU-Verschlusssachen des Geheimhaltungsgrads RESTREINT UE/EU RESTRICTED in den eigenen Kommunikations- und Informationssystemen des Zuwendungsempfängers und verlangt Sicherungsverfahren, die Häufigkeit, Aufbewahrung vor Ort oder außerhalb sowie die Zugangskontrolle zu den Sicherungskopien abdecken. Das ist ein Dokument zur IT-Kontinuität.
Beim BCP nach Artikel 16 geht es um den Schutz von Verschlusssachen im Notfall. Brand, Überschwemmung, erzwungene Evakuierung, ein Standort, der nicht mehr nutzbar ist, ein Vorfall, der die Verwahrung von Verschlusssachen infrage stellt. Er fragt, was mit dem eingestuften Material geschieht, wer verantwortlich ist, wie es gesichert oder vernichtet wird und wie es wiederhergestellt wird.
Eine Organisation mit einem soliden IT-Notfallwiederherstellungsplan und sonst nichts hat Artikel 16 nicht erfüllt. Die beiden Dokumente beantworten unterschiedliche Fragen, und die Bewilligungsbehörde darf nach dem fragen, das Sie nicht geschrieben haben.
Was ein Plan nachweisen können muss
Der Beschluss schreibt keine Vorlage vor, was Gnade und Falle zugleich ist. Die Gnade: Ein Plan, der zu Ihren tatsächlichen Beständen im Verhältnis steht, ist zulässig. Die Falle: "Wir haben einen Plan" ist nicht die Pflicht. Die Pflicht ist, dass der Plan besteht, dass Sie ihn der Bewilligungsbehörde bestätigt haben und, damit einhergehend, dass er aktuell ist.
Die Fragen, die Sie beantworten können müssen, sind also die gewöhnlichen, gestellt zu einem Dokument, das man leicht einmal schreibt und dann vergisst:
- Welche Version ist aktuell, wer hat sie freigegeben, und wann?
- Deckt er sowohl präventive Maßnahmen als auch Wiederherstellungsmaßnahmen ab?
- Deckt er alle EU-VS ab, die im Rahmen der Förderung tatsächlich gehandhabt werden, einschließlich dessen, was seit der Erstellung hinzugekommen ist?
- Wer ist darin namentlich genannt, und sind diese Personen noch im Haus?
- Wann wurde die Bestätigung an die Bewilligungsbehörde geschickt, und hat sich danach etwas Wesentliches geändert?
Die letzte Frage ist die heikle. Eine Bestätigung ist eine Aussage zu einem bestimmten Datum. Wenn sich der Plan danach wesentlich geändert hat oder die eingestuften Bestände, dann beschreibt die Bestätigung etwas, das es nicht mehr gibt.
Also ein Problem der Dokumentenlenkung
Nichts in den vorangehenden Absätzen ist exotisch. Es geht um ein gelenktes Dokument mit einem Verantwortlichen, einer Freigabe, einem Prüfrhythmus und einem Verteiler, dessen Aktualität Sie zu einem bestimmten Zeitpunkt nachweisen können müssen, unter Umständen Jahre später.
Genau diese Disziplin steckt hinter den Standards, die von einem Rüstungslieferanten ohnehin erwartet werden, und genau dafür gibt es die Dokumentenlenkung. Wenn Ihr Qualitätsmanagementsystem Verfahren bereits unter Versionskontrolle mit Freigabehistorie und Prüfplan führt, gehört der Plan nach Artikel 16 hinein, statt daneben in irgendeinen Ordner. Ist das nicht der Fall, ist die EDF-Pflicht ein guter Anlass, eine Lücke zu schließen, die ein Auditor ohnehin gefunden hätte.
Die damit verbundene Frage, wer überhaupt zum Umgang mit dem Material ermächtigt ist, ist eine eigene Pflicht. Sie wird unter Ermächtigungen und dem Security Aspects Letter behandelt.
So prüfen Sie das selbst
- Beschluss (EU, Euratom) 2021/259 der Kommission, Artikel 16, und Anhang III Anlage A
- Anlage E desselben Anhangs für die engere Sicherungsanforderung, die für Verschlusssachen in Ihren eigenen Systemen gilt, damit Sie den Unterschied sehen
- Ihr Security Aspects Letter, in dem diese Pflichten Ihren konkreten Fall erreichen
Der weitere Kreis der Anforderungen steht unter dem, was eine EDF-Förderung tatsächlich zu belegen verlangt.
Ein Notfallplan ist so viel wert wie das, was Sie über ihn nachweisen können: welche Version, freigegeben von wem, und was am Tag des Vorfalls darin stand. Sehen Sie, wie ComplyTrain die Dokumentenlenkung handhabt.
Dieser Text beschreibt den Stand der veröffentlichten Regeln zum 8. September 2026 und ist keine Rechtsberatung.