In Bezug auf die Meldepflicht von schwerwiegenden IT-Sicherheitsvorfällen sind die Hinweise der IT-Industrie weitgehend berücksichtigt worden. Sicherheitsrelevante Ereignisse sollen laut Gesetzentwurf weitgehend in anonymisierter Form übermittelt werden. Damit werden Reputationsverluste für die Unternehmen vermieden, indem Vorfälle an die Öffentlichkeit gelangen. „Meldungen von IT-Sicherheitsvorfällen sollten nicht direkt vom Staat, sondern von einer unabhängigen Stelle gesammelt und in anonymisierter Form an die Behörden weitergeleitet werden“, sagte Kempf. Darüber hinaus sollten vor allem kleine und mittelständische Unternehmen beim Aufspüren von Sicherheitslücken besser unterstützt werden. „Viele Cyberattacken bleiben unentdeckt“, sagte Kempf. „Erster und wichtigster Schritt zu mehr IT-Sicherheit sind bessere Erkennungs- und Abwehrsysteme.“
Größter Betreiber kritischer Infrastrukturen sei der Staat. „Die entsprechenden Meldepflichten und Sicherheitsstandards sollten daher auch für staatliche Stellen gelten“, betonte Kempf. Der BITKOM rechnet für die deutsche Wirtschaft aus der beabsichtigten Meldepflicht für schwere IT-Sicherheitsvorfälle mit Kosten in Höhe von bis zu 1,1 Milliarden Euro pro Jahr. Hinzu kommen Ausgaben für die Einhaltung höherer Sicherheitsstandards in dreistelliger Millionenhöhe.