CUI: Controlled Unclassified Information – US-Regierungs-Label für „sensibel, aber nicht geheim“

CUI (Controlled Unclassified Information) ist ein standardisiertes Kennzeichnungssystem der US-Bundesregierung für Informationen, die:

• Nicht klassifiziert sind (Vertraulich/Geheim/Streng geheim)
• Aber sensibel genug für Schutzmaßnahmen und kontrollierte Weitergabe
• Nach Gesetz, Verordnung oder gesamtstaatlicher Richtlinie geschützt werden müssen

Was zählt als CUI?

Über 125 Kategorien in 20+ Gruppen, u. a.:

• Datenschutz: PII (SSN, medizinisch, finanziell), FERPA, HIPAA-Daten
• Strafverfolgung: Ermittlungsakten, Informantenidentitäten, Methoden
• Kritische Infrastruktur: Schwachstellenanalysen, Netzpläne, SCADA-Daten
• Exportkontrolle: ITAR, EAR technische Daten (nicht klassifiziert, aber beschränkt)
• Finanzen: Bankenaufsicht, Beschaffungsintegrität, Förderdetails
• Geschäftsgeheimnisse: Trade Secrets, Bid/Proposal-Infos an Regierung
• Statistik: Zensus-Mikrodaten, BLS-Umfrageresponsen

Warum CUI existiert

Vor 2010 (EO 13556) nutzten Behörden 50+ inkonsistente Kennzeichnungen (FOUO, SBU, LES etc.). CUI schafft einen einheitlichen Rahmen für:

• Kennzeichnung (Bannerzeilen, Abschnittsmarkierungen: CUI//CAT//SP-CTRL)
• Handhabung (Zugriffskontrollen, Verschlüsselung, Need-to-Know)
• Entkontrollierung (autorisierte Freigabe, Vernichtung)
• Schulung & Audit

Wer muss Compliance beachten?

Alle Bundesbehörden, Auftragnehmer, Zuwendungsempfänger und Subunternehmer, die CUI verarbeiten – vorgeschrieben durch 32 CFR Part 2002 und NIST SP 800-171 (für nicht-bundesstaatliche Systeme). CMMC (Cybersecurity Maturity Model Certification) setzt es für Verteidigungsauftragnehmer durch.

CUI ist nicht „geheim“ – aber sein Verlust kann Privatsphäre, Sicherheit, Wettbewerbsfähigkeit oder öffentliches Vertrauen schädigen. Behandeln Sie es so, als ob es wichtig wäre. Weil es das ist.