Brauche ich VS-NfD für erste Tests mit Bundeswehr-Bezug?

Für rein technische Erprobung auf zivilem Standort oft nicht. Sobald Bundeswehr-Personal, -Zielsysteme oder -Doktrin involviert sind, ja - und der Vorlauf beträgt 3-6 Monate.

Wie viel kostet die VS-NfD-Ermächtigung?

Externe Beratung, Audit und IT-Setup zusammen typischerweise 15.000-40.000 EUR für ein Startup unter 20 Personen. Dazu kommen laufende Kosten für Registratur und Endgeräte.

Kann ich als Nicht-EU-Bürger im Team eine Ü2 bekommen?

Grundsätzlich ja, aber die Bearbeitungszeit steigt deutlich (12+ Monate), und Auflagen wie Aufgabenbegrenzung sind möglich. Vor der Rekrutierung mit dem BfV klären.

Wie lange dauert SÜG-Ü2?

Standardfall 4-9 Monate. Mit Auslandsbezug, komplexer Familienstruktur oder besonderen Umständen bis zu 15 Monate.

VS-NfD und SÜG-Ü2 für Defence-Startups: Was Sie brauchen, bevor Sie mit der Bundeswehr testen

TL;DR – Ohne VS-NfD-Ermächtigung des Unternehmens und Ü2-Überprüfung mindestens eines handelnden Kopfes kommt kein Defence-Startup an ernsthafte Bundeswehr-Aufträge. Beides dauert - VS-NfD 3-6 Monate, SÜG-Ü2 4-9 Monate. Wer erst nach dem ersten BAAINBw-Kontakt anfängt, ist zu spät.

Was ist VS-NfD überhaupt?

VS-NfD steht für 'Verschlusssache - Nur für den Dienstgebrauch'. Es ist die niedrigste Verschlusssachen-Einstufung in Deutschland, aber die entscheidende Schwelle: Ab hier braucht ein Unternehmen eine formale Ermächtigung, um überhaupt Dokumente entgegennehmen, verarbeiten und lagern zu dürfen.

Rechtsgrundlage ist das Sicherheitsüberprüfungsgesetz (SÜG) und die Verschlusssachenanweisung (VSA) des BMI. Zuständig für die Erteilung ist das Bundesamt für Verfassungsschutz (BfV) in Zusammenarbeit mit dem BMWK/BAFA für den Wirtschaftsbereich.

Was gehört zur VS-NfD-Ermächtigung?

Vier Komponenten: (1) Räumliche Absicherung - abschließbarer Raum, kein Publikumsverkehr, definierte Zugangskontrolle. (2) Personelle Absicherung - benannter VS-Beauftragter, unterschriebene Verpflichtungserklärungen der Mitarbeiter. (3) IT-Absicherung - BSI-konforme Endgeräte, VS-NfD-fähige Netzwerksegmentierung, keine Cloud-Verarbeitung ohne C5-Testat. (4) Prozessuale Absicherung - Registratur, Vernichtungsnachweise, Vorfallmeldung.

Für ein Startup mit 5-15 Personen ist das ein 4-6-monatiges Projekt inklusive Audit. Kosten: 15.000-40.000 EUR extern + interner Aufwand. Wer das mit den ersten Tests parallelisiert (statt seriell), spart Monate.

Wann wird SÜG-Ü2 zwingend?

Ü1 (einfache Sicherheitsüberprüfung) reicht für Zugang zu VS-VERTRAULICH und regelmäßige VS-NfD-Verarbeitung. Ü2 (erweiterte Sicherheitsüberprüfung) ist Pflicht ab GEHEIM sowie für 'sicherheitsempfindliche Tätigkeiten' in bestimmten Beschaffungsvorhaben.

Für Defence-Startups relevant: Testleiter auf Bundeswehr-Truppenübungsplätzen benötigen häufig Ü2. Auch für Präsenz in Kommandostrukturen (Kommando Luftwaffe, CIR) und für Waffenintegrationsprojekte wird Ü2 verlangt. Bearbeitungszeit BfV: 4-9 Monate, in Einzelfällen 12+ Monate bei Auslandsbezug.

Typische Fehler von Startups

Erster Fehler: Zu spät starten. Viele Gründer denken 'wenn wir den Vertrag haben, holen wir das nach'. Dann verzögert sich der Vertrag um 6+ Monate oder scheitert am Compliance-Gate. Richtig ist: VS-NfD und Ü2 parallel zur ersten seriösen BAAINBw-Konversation starten - nicht danach.

Zweiter Fehler: Foreign-Ownership-Struktur unterschätzen. Cap-Table-Anteile > 25 Prozent bei Non-EU-Investoren machen VS-NfD-Ermächtigung praktisch unmöglich. Wer bei US-VCs schon Term Sheets liegen hat, sollte die Struktur vor Signing prüfen.

Dritter Fehler: 'Wir nutzen Google Workspace / Notion / GitHub' - alles nicht VS-NfD-konform. Es braucht ein zweites, isoliertes IT-Setup. Corridor kann hier Referenzen für BSI-C5-konforme Hoster und VS-NfD-Endgeräte-Anbieter geben.

Wie Corridor unterstützt

Corridor selbst besitzt die VS-NfD-Ermächtigung und arbeitet mit Ü2-freigegebenen Testleitern. Für Kampagnen mit Bundeswehr-Bezug bedeutet das: Startups können auf Corridor-Infrastruktur testen, ohne selbst schon vollständig ermächtigt zu sein - sofern das Vorhaben unter den Corridor-Rahmen fällt und keine unternehmenseigene VS-Verarbeitung nötig ist. Für den eigenen Aufbau der Compliance vermittelt Corridor spezialisierte Berater und Prüfstellen.