Die konkreten Sicherheitsanforderungen richten sich nach der jeweiligen Einstufung der Projektinhalte und nehmen mit zunehmendem Geheimhaltungsgrad deutlich zu.

Bereits bei der Einstufung VS-NUR FÜR DEN DIENSTGEBRAUCH (VS-NfD/EU RESTRICTED) sind grundlegende Maßnahmen umzusetzen. Sie finden sich in der Verschlusssachenanweisung (VSA) des Bundes (Bundeseinrichtungen) bzw. in der VSA ihres Bundeslandes (Landeseinrichtungen).²   Hervorzuheben sind hier vor allem die Regelungen des VS-NfD-Merkblatts (Anhang der VSA). Zu den umzusetzenden technischen und organisatorischen Maßnahmen zählt insbesondere der Einsatz geeigneter IT-Systeme (VS-IT), etwa Rechner ohne Drahtlosschnittstellen und mit klar geregelten Benutzerprofilen. Die Verarbeitung und Weitergabe entsprechender Informationen darf nur unter Einhaltung geeigneter Schutzmaßnahmen erfolgen, vor allem durch Verschlüsselung. Maßgeblich sind hierbei in erster Linie die Vorgaben des Bundesamts für Sicherheit in der Informationstechnik (BSI). Darüber hinaus sind Aufbewahrungsorte für entsprechende Unterlagen oder Datenträger physisch zu sichern und vor unbefugtem Zugriff zu schützen.

Mit höheren Geheimhaltungsgraden (VS-VERTRAULICH und darüber hinaus) steigen die Anforderungen deutlich an. Dies betrifft insbesondere strengere Zugangsbeschränkungen auf einen klar definierten und sicherheitsüberprüften Personenkreis. Zudem ist die Nutzung speziell zugelassener und entsprechend abgesicherter IT-Systeme (VS-IT) erforderlich, und zwar einschließlich erhöhter Anforderungen an Verschlüsselung, Nutzerverwaltung und die konsequente Trennung von IT-Systemen, die nicht amtlich eingestufte Dokumenten verarbeiten. Darüber hinaus sind geeignete, kontrollierte Räumlichkeiten für die Verarbeitung und Aufbewahrung vorzusehen. Ergänzend bestehen erweiterte organisatorische Vorgaben, vor allem hinsichtlich der eindeutigen Kennzeichnung von Verschlusssachen, der lückenlosen Dokumentation von Zugriff, Weitergabe und Aufbewahrung sowie der kontrollierten Weitergabe und des gesicherten Transports von Informationen.

² Hier finden Sie exemplarisch die VSA Bund: https://www.verwaltungsvorschriften-im-internet.de/bsvwvbund_13032023_SII554001405.htm. 
Für jedes Bundesland gibt es eine eigene VSA, die sich aber nur marginal unterscheiden.

ie Anforderungen an die Speicherung von Forschungsdaten ergeben sich nicht aus der Sicherheitsrelevanz eines Projekts als solcher, sondern maßgeblich aus einer etwaigen amtlichen Einstufung der verarbeiteten Informationen. Bei nicht amtlich eingestuften Projekten gelten grundsätzlich die üblichen Anforderungen an Datenschutz, IT-Sicherheit und gute wissenschaftliche Praxis.

Bereits bei der Einstufung VS-NfD (EU RESTRICTED) sind jedoch spezifische Schutzmaßnahmen umzusetzen. Dazu zählen insbesondere die Verarbeitung und Speicherung der Daten in geeigneten, abgesicherten IT-Umgebungen (VS-IT), der Verzicht auf Drahtlosschnittstellen, die Nutzung von Verschlüsselungsverfahren sowie klare Zugriffsregelungen. Darüber hinaus müssen entsprechende Systeme und Datenbestände vor unbefugtem Zugriff geschützt und organisatorisch abgesichert werden. Maßgeblich sind hierbei in erster Linie die Vorgaben des Bundesamts für Sicherheit in der Informationstechnik (BSI).

Mit höheren Geheimhaltungsgraden (VS-VERTRAULICH und darüber hinaus) (EU CONFIDENTIAL und höher) steigen die Anforderungen weiter an. Dies betrifft insbesondere die Nutzung speziell zugelassener IT-Infrastrukturen, streng kontrollierte Zugriffs- und Berechtigungskonzepte, die Einbindung sicherheitsüberprüften Personals sowie weitergehende Anforderungen an Dokumentation, Protokollierung und physische Sicherung der Systeme (Anforderungen des materiellen Geheimschutzes).

Für Rechenzentren an Universitäten bedeutet dies, dass je nach Einstufung entsprechende technische und organisatorische Voraussetzungen geschaffen werden müssen. Dies kann den Aufbau separater, besonders gesicherter IT-Umgebungen, die Anpassung bestehender Sicherheitskonzepte sowie die Abstimmung mit den zuständigen Sicherheits- und Geheimschutzstellen erfordern.