Sicherheitsüberprüfungen (SÜ) von Projektmitarbeitenden sind erst ab der Einstufung VS-VERTRAULICH (EU CONFIDENTIAL) und höher erforderlich und richten sich nach den Vorgaben des Sicherheitsüberprüfungsgesetzes (SÜG). Hierfür muss die Universität eine bzw. einen Geheimschutzbeauftragte(n) benennen. Er gibt dann die SÜ der Projektmitarbeitenden mit Zugriff zu VS-VERTRAULICH bei den zuständigen Verfassungsschutzbehörden in Auftrag. In der Regel ist jeweils das Landesamt für Verfassungsschutz zuständig, aber in bestimmten Fällen kann auch das Bundesamt für Verfassungsschutz eingebunden sein. 

Je nach Projekt und Zugang zu Verschlusssachen können unterschiedliche Stufen der Sicherheitsüberprüfung (z. B. einfache oder erweiterte SÜ) erforderlich sein. Es sollte genug Zeit eingeplant werden (Dauer der SÜ 3-24 Monate je nach Komplexität des Falles und Auslastung der Behörden). Es entstehen für die SÜ keine direkten Kosten. Grundlage für die SÜ ist die Sicherheitserklärung der zu überprüfenden Person (Selbstauskunft) mit Angaben zur Person, gegebenenfalls Lebenspartner, Wohnorte sowie Anfragen bei Verfassungsschutzbehörden und dem Bundeszentralregister (Führungszeugnis).

Die einfache Sicherheitsüberprüfung (Ü1) umfasst die Prüfung grundlegender personenbezogener Angaben sowie behördliche Abfragen, insbesondere bei Verfassungsschutzbehörden und dem Bundeszentralregister.

Die erweiterte Sicherheitsüberprüfung (Ü2) geht darüber hinaus und bezieht zusätzliche Aspekte ein, etwa Angaben zu Lebenspartnern bzw. Ehepartnern sowie längere Auslandsaufenthalte. Sie wird insbesondere dann erforderlich, wenn der Zugang zu GEHEIM (EU SECRET) oder zu einer hohen Anzahl von VS-VERTRAULICH (EU CONFIDENTIAL) bestehen wird.
 
Darüber hinaus gibt es noch die erweiterte Sicherheitsüberprüfung mit Sicherheitsermittlungen (Ü3), die für die deutsche Hochschulforschungspraxis allerdings wenig relevant ist.

Die Entscheidung darüber, welche Art der Sicherheitsüberprüfung durchgeführt wird, treffen die zuständigen Behörden für Verfassungsschutz, sie kann nicht durch die Hochschule selbst bestimmt werden.

Die konkreten Rollen und Zuständigkeiten im Bereich Sicherheit hängen maßgeblich von der Art des Projekts sowie von dessen sicherheitsbezogenen Anforderungen ab.

In EU-geförderten Projekten, in denen mit amtlich eingestuften Informationen gearbeitet wird, ist in der Regel die Benennung eines Project Security Officers (PSO) erforderlich. Diese bzw. dieser ist für die Umsetzung und Überwachung der projektspezifischen Sicherheitsanforderungen verantwortlich und fungiert als zentrale Ansprechperson gegenüber den zuständigen Stellen. Voraussetzung für die Ausübung dieser Funktion ist in der Regel eine entsprechende Sicherheitsüberprüfung.

Darüber hinaus können, je nach Projekt und Sensibilität der Inhalte, weitere Strukturen vorgesehen werden, etwa beratende Gremien im Bereich Sicherheit (z. B. ein Security Advisory Board). Solche Gremien sind jedoch nicht grundsätzlich verpflichtend, sondern werden bei Bedarf eingerichtet, insbesondere, wenn mit sensiblen oder potenziell amtlich  einzustufenden Informationen gearbeitet wird. Unabhängig von formalen Rollen ist sicherzustellen, dass die Zuständigkeiten für Sicherheitsfragen im Projekt klar geregelt und institutionell verankert sind.

Weitere Informationen finden sich im EU-Leitfaden für den Umgang mit sicherheitsrelevanten Projekten und in den Allgemeine Sicherheitsvorgaben für Programme des Europäischen Verteidigungsfonds (EVF).

Die Sicherheitsrelevanz eines Projektes an sich begründet keine besonderen Vorgaben für Dienst- und Privatreisen. Für Projektmitarbeitende, die Zugang zu Informationen des Geheimhaltungsgrades VS-NfD (EU RESTRICTED) haben, gilt keine Anzeige- oder Genehmigungspflicht von Dienst- oder Privatreisen. Für Projektmitarbeitende, die mit amtlich eingestuften Informationen des Geheimhaltungsgrades VS-Vertr. oder höher (EU CONFIDENTIAL oder höher) arbeiten, gelten die Regelungen des Sicherheitsüberprüfungsgesetzes (SÜG) des entsprechenden Bundeslandes. Als allgemeine Orientierung kann hier § 32 SÜG des Bundes dienen, da sich die SÜG der Bundesländer nur marginal unterscheiden. Genehmigungspflichtig sind in diesem Fall Dienst- und Privatreisen in Staaten mit erhöhtem Sicherheitsrisiko gemäß der Staatenliste des BMI (derzeit u. a. China, Hongkong, Macau, Russland). Für das EU-Ausland gibt es keinerlei einschränkende Vorgaben. Es wird nicht zwischen Dienst- und Privatreisen unterschieden.

Bei nicht amtlich eingestuften EU-Forschungsprojekten und Forschungsprojekten mit Klassifzierung „EU sensitive“ gibt es keine gesetzlichen Reisebeschränkungen. Möglicherweise sind aber im Security Framework (Programme Security Instruction, Security Aspects Letter, Zuwendungsvertrag) Regelungen vereinbart (z. B. Anzeigepflicht für Dienstreisen innerhalb der EU, Genehmigungspflicht für Dienstreise außerhalb der EU).