CUI-Register

Controlled Unclassified Information (CUI) sind Informationen, die die US-Regierung wegen ihrer Sensibilität schützen lässt. Sie erreichen aber nicht die Einstufungsschwelle der Regeln zur nationalen Sicherheit. Vor 2010 war dieses Material auf über hundert widersprüchliche Behördenkennzeichnungen verteilt, etwa For Official Use Only, Sensitive But Unclassified und Law Enforcement Sensitive. Die Executive Order 13556 ersetzte dieses Flickwerk durch ein einziges regierungsweites Programm und beauftragte die US-Nationalarchive (NARA) mit dessen Leitung.

Das CUI-Register ist das öffentliche Nachschlagewerk des CUI-Programms. Die NARA führt es über ihr Information Security Oversight Office (ISOO). Es ist die verbindliche Liste jeder genehmigten CUI-Kategorie und Unterkategorie mit den jeweiligen Kennzeichnungen, Schutzmaßnahmen und Rechtsgrundlagen. Die operative Vorgabe des Programms für Behörden und Auftragnehmer ist 32 CFR Part 2002. Im Register stehen die konkreten Entscheidungen, die sich aus diesem Rahmen ergeben.

Das Register ordnet CUI in rund zwanzig Oberkategorien. Jede Oberkategorie gliedert sich in Unterkategorien, die die eigentlichen Markierungen tragen. Jeder Eintrag hat dieselben Bestandteile:

Das Register unterscheidet zwei Schutzarten. CUI Basic umfasst Informationen, deren Behandlungsregeln aus dem CUI-Programm selbst stammen. Autorisierte Inhaber wenden die einheitlichen Basiskontrollen aus 32 CFR Part 2002 an, ohne behördenspezifische Zusätze. Die meisten Registereinträge sind Basic.

CUI Specified umfasst Informationen, für die ein Gesetz oder eine Verordnung außerhalb des CUI-Programms die Behandlung bereits festlegt, etwa längere Aufbewahrung, strengeren Zugriff oder eine andere Aufhebung. Bei diesen Einträgen nennt das Register die zuständige Autorität, und die Inhaber folgen deren spezifischen Kontrollen, wo sie von der Basis abweichen. Das ist für alle wichtig, die Behandlungsverfahren schreiben, denn Specified-Kategorien lassen sich nicht mit einer Einheitspolitik behandeln.

Das Register ist die einzige rechtmäßige Quelle für CUI-Kennzeichnungen, und Kennzeichnen ist eine Form der Datenkennzeichnung. Nur so bleiben die Kennzeichnungen in der gesamten Verwaltung einheitlich. In der Praxis greifen die Regeln in dieser Reihenfolge:

1. 1

   Kennzeichnung

   Der autorisierte Inhaber, der die Information erstellt oder erhält, bringt die Banner-Markierung CUI oder CUI mit Kategorie- und Unterkategorie-Kennzeichen an, exakt wie im Register geschrieben.

2. 2

   Abschnittsmarkierungen

   Jeder Abschnitt eines Dokuments mit CUI trägt eine eigene Markierung. So lässt sich ein gemischtes Dokument Abschnitt für Abschnitt behandeln.

3. 3

   Verbreitungskontrollen

   Optionale Einschränkungen wie FED ONLY oder NOFORN werden ergänzt, wenn der Registereintrag oder die kennzeichnende Behörde sie verlangt.

4. 4

   Altkennzeichen

   Ausgemusterte Etiketten wie For Official Use Only und Sensitive But Unclassified mussten den Registerkategorien zugeordnet und in der Übergangszeit neu markiert werden.

5. 5

   Aufhebung

   CUI-Kontrollen werden aufgehoben, wenn die Schutzgrundlage entfällt, etwa mit dem Ende eines Vertrags. Das Register verzeichnet, welche Kategorien verpflichtende Aufhebungsereignisse haben.

Für eine Bundesbehörde sowie für Auftragnehmer und Zuwendungsempfänger, die CUI in ihrem Namen halten, ist das Register der Ausgangspunkt des Klassifizierungsprozesses. Bevor eine Information markiert wird, ermittelt die Organisation das Gesetz, die Verordnung oder die Politik dahinter. Genau dafür gibt es das Feld Grundlage in jedem Eintrag.

Das Register legt außerdem die Arbeitsregeln fest. Die Beschäftigten wählen die engste passende Unterkategorie, und passt keine, handelt es sich nicht um CUI, denn Behörden dürfen keine eigenen Kategorien erfinden. Kennzeichnungen werden wortgetreu in Dokumente, Vorlagen und Systeme übernommen, und die Beschäftigten werden zu den Kategorien geschult, mit denen sie arbeiten. Datenklassifizierung und DLP-Werkzeuge werden mit den Kategorien des Registers hinterlegt. Prüfer, auch solche, die nichtbundesliche Systeme nach NIST SP 800-171 kontrollieren, testen, ob CUI registergemäß gekennzeichnet ist.

Das Register erfasst nur unklassifizierte Informationen. Was die Schwellen für die nationale Sicherheit erreicht, folgt dem getrennten Verschlusssachensystem, nicht dem CUI-Register. Auch nicht jedes sensible Dokument fällt darunter. Ist kein Gesetz, keine Verordnung und keine staatliche Richtlinie als Schutzpflicht vorgesehen, liegt die Information außerhalb des Programms, selbst wenn die Behörde sie lieber schützen würde.

Die häufigen Fehler folgen aus diesen Regeln. Weil das Register öffentlich und versioniert ist, hilft gegen alle dasselbe: die Unterkategorie nachschlagen.

• Eine lokale Kategorie erfinden: Eine Registerunterkategorie nutzen; passt keine, ist es keine CUI
• Alles als CUI markieren: Zuerst die tatsächliche Sensibilität beurteilen
• Die Aufhebung auslassen: Kontrollen aufheben, wenn die Schutzgrundlage erlischt
• Markierungen ungeprüft kopieren: Vor der Wiederverwendung den Registereintrag prüfen

Beginnen Sie mit den Informationen, die Ihre Organisation tatsächlich verarbeitet, und ordnen Sie danach jede Gruppe einer Unterkategorie des Registers zu. Kennzeichnungsregeln, die vorher geschrieben werden, lassen sich nicht am Register prüfen.