Der Bundesverband IT-Sicherheit e.V. (TeleTrusT) ist ein deutsches Kompetenznetzwerk für die Informationssicherheit im IT-Bereich, das in- und ausländische Mitglieder aus Industrie, Beratung, Verwaltung und Wissenschaft sowie thematisch verwandte Partnerorganisationen umfasst. Ziel des Verbandes ist insbesondere die Förderung der Vertrauenswürdigkeit von Informations- und Kommunikationstechnik. In einem offenen Brief, den die GDD mitunterzeichnet hat, fordert TeleTrusT den IT-Planungsrat auf, seinen Beschluss zur Nichtumsetzung der NIS-2-Richtlinie zurückzunehmen. Der IT-Planungsrat ist ein politisches Steuerungsgremium von Bund und Ländern in Deutschland, welches die Zusammenarbeit im Bereich der Informationstechnik koordiniert. Im
Beschluss 2023/39 hat der IT-Planungsrat Bund und Länder gebeten, den Anwendungsbereich der NIS-2-Richtlinie nicht auf Einrichtungen der öffentlichen Verwaltung auf lokaler Ebene sowie Bildungseinrichtungen zu erstrecken.
Die sog. NIS-2-Richtlinie der EU sieht rechtliche Maßnahmen vor, um das Gesamtniveau der Cybersicherheit in der EU zu erhöhen. Durch Ausweitung des Anwendungsbereichs der Cybersicherheitsvorschriften auf neue Sektoren und Einrichtungen sollen die Resilienz- und Reaktionskapazitäten öffentlicher und privater Stellen, der zuständigen Behörden und der EU verbessert werden.
An der Umsetzung der NIS-2-Richtlinie wird derzeit intensiv gearbeitet. Der Bund darf mit einem NIS2UmsuCG die Umsetzung der EU-Richtlinie jedoch nur im Rahmen seiner Kompetenzen regeln. Die europäischen Vorgaben gehen darüber allerdings hinaus und umfassen zum einen auch "Einrichtungen der öffentlichen Verwaltung auf regionaler Ebene". Die Bundesländer haben also eigene IT-Sicherheitsgesetze zu schaffen respektive anzupassen. Zum anderen bestimmt die NIS-2-Richtlinie, dass die Mitgliedstaaten die Anwendbarkeit für "Einrichtungen der öffentlichen Verwaltung auf lokaler Ebene" sowie "Bildungseinrichtungen" vorsehen können. Die lokale Ebene sind in Deutschland die Kommunen. Ob die Kommunen und Bildungseinrichtungen gesetzlich auf IT-Sicherheit verpflichtet werden, liegt also im Ermessen der Bundesländer.
TeleTrust und die Mitunterzeichner des offenen Briefes kritisieren die Bitte des
IT-Planungsrates, den Anwendungsbereich der NIS-2-Richtlinie nicht auf Einrichtungen der öffentlichen Verwaltung auf lokaler Ebene sowie Bildungseinrichtungen zu erstrecken. Das Gegenteil sei notwendig. Zur Herstellung eines angemessenen
IT-Sicherheitsniveaus in Deutschland sei es erforderlich und dringend geboten, insbesondere die Kommunen, aber auch die Bildungseinrichtungen gesetzlich auf
IT-Sicherheit zu verpflichten und diese nicht pauschal aus dem Anwendungsbereich herauszulassen. Der Beschluss 2023/39 negiere eine konstruktive Beteiligung an den Aufgaben und enthalte zudem auch keinerlei Vorschläge, wie auf anderem Weg für
IT-Sicherheit gesorgt werden solle.
Es sei wichtig, so die Unterzeichner des offenen Briefs, die offensichtlichen Handlungsnotwendigkeiten für eine gute IT-Sicherheit allseits zu erkennen und konsequent zu handeln. Wer eine Regulierung ablehne, womöglich auch aus Gründen praktischer Umsetzungsschwierigkeiten, dem werde man schwerlich zutrauen, die
IT-Sicherheit auch ohne eine solche Regulierung freiwillig umzusetzen.