Aus Sicht von TeleTrusT bedarf es neben der Benennung der Kritischen Infrastrukturen im Sinne des Gesetzes vor allem konkreter Bewertungskriterien für IT-sicherheitsrelevante technische und organisatorische Vorkehrungen. Ebenso muss die Verfahrensweise bei den Meldepflichten von IT-Sicherheitsvorfällen an das Bundesamt für Sicherheit in der Informationstechnik – BSI sowie die reaktiven Befugnisse des BSI rechtlich und praktisch ausgestaltet werden. Die diesbezügliche Rechtsunsicherheit bei den Unternehmen muss beseitigt werden.
Von den großen Betreibern Kritischer Infrastrukturen bis hin zu Betreibern von Internet-Plattformen und kleiner Webseiten ist eine ganz erhebliche Anzahl von Unternehmen unmittelbar durch das Gesetz betroffen. Das Gesetz lässt aber beispielsweise offen, nach welchen Maßstäben Telemediendiensteanbieter technische und organisatorische Vorkehrungen zu treffen haben und in welchem Verhältnis diese zum hergebrachten technischen Datenschutz stehen. Dazu erklärt RA Karsten U. Bartels LL.M., TeleTrusT-Vorstandsmitglied und Leiter der TeleTrusT-AG „Recht“: „TeleTrusT wird sich dafür einsetzen, die bestehenden Unklarheiten des IT-Sicherheitsgesetzes gemeinsam mit allen Akteuren anzugehen – gleichzeitig gestalten wir für Unternehmen transparente und handhabbare Lösungen zur Umsetzung des neuen Gesetzes.“
Diesen Prozess begleitet TeleTrusT mit der Kompetenz der organisierten IT-Sicherheitswirtschaft in Deutschland technisch, organisatorisch und rechtlich. Das gilt insbesondere auch hinsichtlich der Anforderungen des ITSiG zu Maßnahmen nach dem Stand der Technik. Das Gesetz trifft jedoch keinerlei materielle Aussagen zum Inhalt des Standes der Technik.
Bartels: „TeleTrusT hat jüngst einen verbandsinternen Arbeitskreis ‚Stand der Technik‘ innerhalb der TeleTrusT-AG ‚Recht‘ initiiert, um aus Sicht der IT-Sicherheitslösungsanbieter und -berater, den betroffenen Wirtschaftskreisen Handlungsempfehlungen und Orientierung zu geben. Dieser Arbeitskreis wird die Frage beantworten, wie sich der jeweilige Stand der Technik im Sinne des Gesetzes in Bezug auf IT-Sicherheit bestimmen lässt und welche rechtlichen Maßgaben wie umzusetzen sind.“