Sicherheitsfreigaben und der Security Aspects Letter in einem EDF-Projekt

Sicherheitsüberprüfungen in einem Projekt des Europäischen Verteidigungsfonds werden meist als Formsache behandelt, die man nach dem Zuschlag abhakt. Treffender ist es, sie als Terminplan zu verstehen. Mehrere davon laufen nach nationalen Fristen ab, auf die Sie keinen Einfluss haben, und eine davon steht zwischen einer erfolgreichen Bewertung und einer unterschriebenen Vereinbarung.

Die Regeln stehen nicht im Model Grant Agreement, wo die meisten zuerst nachsehen. Sie stehen im Beschluss (EU, Euratom) 2021/259 der Kommission, den Durchführungsbestimmungen zur industriellen Sicherheit bei klassifizierten Finanzhilfen. Und sie erreichen Sie über ein Instrument, dessen Namen viele Antragsteller nie zu Gesicht bekommen.

Das Dokument, das alles trägt

Nach Artikel 5 Absatz 1 des Beschlusses (EU, Euratom) 2021/259 der Kommission nehmen die finanzhilfespezifischen Sicherheitsanforderungen die Form eines Security Aspects Letter an, für den dem Beschluss eine Vorlage beigefügt ist. Artikel 27 Absatz 4 der EDF-Verordnung verlangt zudem, dass der Sicherheitsrahmen vor der Unterzeichnung der Vereinbarung steht.

Das ist der Mechanismus. Alles Folgende ist keine allgemeine Pflicht, die irgendwo im Programm schwebt. Es ist etwas, das ein SAL auf Ihre konkrete Maßnahme anwendet, auf einer bestimmten Geheimhaltungsstufe und mit bestimmten Folgen. Wenn Sie herausfinden wollen, was Ihr Projekt tatsächlich leisten muss, ist der SAL das Dokument, nach dem Sie fragen sollten. Und wer früh danach fragt, zeigt, dass er das schon einmal gemacht hat.

Facility Security Clearances

Ein Facility Security Clearance ist die Zusicherung einer nationalen Behörde, dass die Räumlichkeiten und Verfahren einer Organisation geeignet sind, Verschlusssachen einer bestimmten Stufe zu verarbeiten.

Ausschlaggebend ist nicht die Vorliebe der Bewilligungsbehörde. Nach Artikel 3 Absatz 6 des Beschlusses ist ein FSC erforderlich für den Umgang mit Informationen der Stufe CONFIDENTIEL UE/EU CONFIDENTIAL und SECRET UE/EU SECRET. Das hängt von der Geheimhaltungsstufe der Arbeit und vom nationalen Recht ab, nicht davon, was eine Aufforderung gerade verlangt.

Daraus folgen zwei Dinge, und das zweite hat es in sich.

Artikel 3 Absatz 3 verlangt, dass die Ausschreibungsunterlagen Klarstellungen zum zeitlichen Rahmen enthalten, in dem die Begünstigten die erforderlichen FSC erlangen müssen. Der Zeitplan ist also im Voraus bekannt, und zwar aus der Aufforderung selbst.

Artikel 5 Absatz 4 ist deutlicher: Die klassifizierte Finanzhilfevereinbarung darf nicht unterzeichnet werden, bevor die Nationale Sicherheitsbehörde oder die Beauftragte Sicherheitsbehörde des Antragstellers dessen FSC bestätigt hat.

Lesen Sie das noch einmal, wenn Sie einen Projektzeitplan aufstellen. Eine Überprüfung, die Sie erst nach dem Zuschlag anstoßen, ist keine Verwaltungsaufgabe, die nebenher zum Projekt läuft. Sie ist eine Schranke vor der Unterschrift, bedient von einer nationalen Behörde, die nach ihrem eigenen Zeitplan arbeitet.

Personenüberprüfungen folgen derselben Regel

Hier weicht ein guter Teil der veröffentlichten Ratschläge vom Beschluss ab, indem er Personenüberprüfungen als eigenes Regime mit eigener Logik behandelt.

Artikel 3 Absatz 7 erfasst beide in einem Satz: Grundsätzlich ist weder ein FSC noch ein PSC erforderlich für den Zugang zu Informationen der Stufe RESTREINT UE/EU RESTRICTED.

Auf der Stufe RESTRICTED gilt also standardmäßig, dass keines von beiden nötig ist. Darüber kommen beide ins Spiel.

Die Einschränkung wiegt so schwer wie die Regel selbst. Mitgliedstaaten können nach nationalem Recht Anforderungen stellen, und diese nationalen Ausnahmen sind veröffentlicht. Sie stehen in Anhang IV des Beschlusses und im entsprechenden Anhang der EDF Programme Security Instruction. Die zutreffende Antwort auf die Frage „Brauchen wir Überprüfungen auf Stufe RESTRICTED?" lautet also: grundsätzlich nein, und dann prüfen Sie, ob der Mitgliedstaat, in dem Sie niedergelassen sind, zu den Ausnahmen zählt. Nicht: nein.

Das ist eine zweistufige Antwort statt einer einstufigen, und genau deshalb wird sie in Zusammenfassungen platt gebügelt.

Was Sie vor einem Zuschlag tun sollten

Wenn klassifizierte Arbeit zum Anwendungsbereich gehört, lohnt es sich, drei Fragen zu beantworten, solange der Antrag noch geschrieben wird, und nicht erst nach dessen Erfolg.

Auf welcher Stufe wird diese Maßnahme tatsächlich klassifiziert? Das entscheidet, ob Artikel 3 Absatz 6 überhaupt greift, und es sollte aus den Ausschreibungsunterlagen hervorgehen.

Welche Partner halten bereits ein FSC, auf welcher Stufe, und wann läuft es ab? Eine Überprüfung, die ein Konsortialmitglied hält, deckt kein anderes ab, und ein Ablauf mitten im Projekt ist genau das Terminproblem, das Artikel 5 Absatz 4 teuer macht.

Zählt unser Mitgliedstaat zu den Ausnahmen in Anhang IV? Falls ja, gilt der Standard für die Stufe RESTRICTED nicht für Sie, und Ihre Personalplanung ändert sich.

Keine dieser Fragen ist schwierig. Sie sind im März nur leichter zu beantworten als in der Woche vor der Unterschrift, und die Antworten muss man später nachweisen, nicht erinnern: welche Überprüfung, auf welcher Stufe, gültig zwischen welchen Daten, bestätigt von welcher Behörde.

Das ist eine Frage der dokumentierten Information, und sie gehört zum Rest Ihrer Nachweisbasis. In die Lenkung dokumentierter Information, mit Datumsangaben und einer Freigabehistorie, statt in ein Postfach.

So prüfen Sie das selbst

• Beschluss (EU, Euratom) 2021/259 der Kommission, Artikel 3 Absatz 3, Artikel 3 Absatz 6, Artikel 3 Absatz 7, Artikel 5 Absatz 4 und Anhang IV
• Verordnung (EU) 2021/697, Artikel 27 Absatz 4, für die Anforderung, dass der Sicherheitsrahmen vor der Unterzeichnung steht, und Beschluss (EU, Euratom) 2021/259 der Kommission, Artikel 5 Absatz 1, für den Security Aspects Letter selbst
• Die EDF Programme Security Instruction, die die Sicherheitsvorkehrungen auf Programmebene festlegt
• Ihre Ausschreibungsunterlagen, die den FSC-Zeitplan angeben müssen

Die verwandte Pflicht, einen Notfallplan für EU-Verschlusssachen vorzuhalten, ist eine eigene Anforderung im selben Beschluss, in Artikel 16, und wir behandeln sie in einem eigenen Artikel. Den größeren Kreis der Anforderungen behandeln wir unter dem, was eine EDF-Finanzhilfe tatsächlich nachzuweisen verlangt.

Überprüfungen, Bestätigungen und die daran hängenden Daten sind Nachweise mit Ablaufdatum. Sehen Sie, wie ComplyTrain sie verfolgt.

Dies beschreibt den Stand der veröffentlichten Regeln zum 8. September 2026. Es ist keine Rechtsberatung, und gerade die Anforderungen an Sicherheitsüberprüfungen hängen vom nationalen Recht des Mitgliedstaats ab, in dem eine Einheit niedergelassen ist.