Laut aktuellem Entwurf sollen Anbieter bei öffentlichen Ausschreibungen des Bundes erklären, dass sie "rechtlich und tatsächlich in der Lage sind, vertrauliche Informationen vertraulich zu behandeln und vor Einblicken Dritter zu schützen". Damit sollen die Unternehmen nicht nur verpflichtet werden, für hundertprozentige Sicherheit in puncto Technologie und Organisation zu sorgen. Es soll gleichermaßen erreicht werden, dass ein Zugriff von Nachrichtendiensten auf die IT- und Kommunikationssysteme der Unternehmen auch im Einzelfall vollständig ausgeschlossen ist. Für die Ablehnung eines Bieters bzw. für die Kündigung eines bestehenden Vertrages soll künftig der Nachweis ausreichen, dass das bietende Unternehmen zur Datenweitergabe rechtlich verpflichtet ist. Dabei lässt der Erlass offen, welche Art von rechtlicher Verpflichtung gemeint ist. "Reicht dafür ein Gesetz, das den Behörden im Grundsatz entsprechende Möglichkeiten einräumt? Oder sind konkrete rechtliche Anordnungen im Sinne einer durchsetzbaren behördlichen Einzelmaßnahme gemeint?", fragt Kempf.
Der Erlass umfasst alle Ausschreibungen des Bundes mit "möglicher Sicherheitsrelevanz". "Schon der Begriff der ,Sicherheitsrelevanz' ist unbestimmt", sagt Kempf. "Unter ,mögliche Sicherheitsrelevanz' lässt sich alles und nichts fassen. Der Anwendungsbereich des Erlasses sollte unmissverständlich beschrieben werden." Auch wissen die Bieter derzeit nicht, inwieweit sie für ihre eigenen Zulieferer und weitere Unternehmen in der Zuliefererkette haften sollen. "Die global einzigartig vernetzte IT-Wirtschaft stellt dieses Haftungsrisiko vor besondere Herausforderungen", sagt Kempf.
BITKOM begrüßt in seiner Stellungnahme zum Erlass ausdrücklich, dass die Bundesregierung für ihre IT- und Kommunikationssysteme die höchste Sicherheit erreichen will. Dazu gehöre auch, die Beschaffungsbedingungen zu überprüfen. "Eine ordnungsgemäße Angebotserstellung erfordert dabei unmissverständliche Vorgaben", so Kempf. Die Eigenerklärung enthalte derzeit noch zu viele Unklarheiten. Kempf: "Der Staat braucht ein Höchstmaß an technologischer Sicherheit, die Unternehmen brauchen ein Mindestmaß an Rechtssicherheit. Wir appellieren an das Bundesinnenministerium, diese Rechtssicherheit möglichst umgehend herzustellen."
Das Positionspapier des BITKOM ist unter http://www.bitkom.org/... verfügbar.