question: 4. Ist es zutreffend, dass im Rahmen der bisherigen OZG-Umsetzung nach Angaben der AG KRITIS (https://ag.kritis.info/2022/01/25/bmi-rettet-die-fristgemaesse-umsetzung-des-ozg-durch-schwaechstmoegliche-verordnun g-zur-it-sicherheit/,
  a) Verbände und die Zivilgesellschaft bei der Erarbeitung von Sicherheitsanforderungen nicht angemessen einbezogen wurden,
  b) die dabei entwickelte Software nicht verpflichtend zertifiziert wird,
  c) die dabei entwickelte Software nicht verpflichtend extern auditiert werden muss,
  d) und falls doch im Rahmen des OZG entwickelte Software auditiert wurde, welche Mindeststandards von welcher Qualitätsreferenz wurden dabei jeweils angesetzt, und welche Veröffentlichungspflichten galten für die Ergebnisse dieser Audits,
  e) ist für das OZG 2.0 geplant, eine verpflichtende Zertifizierung und Auditierung einzuführen?
answer: Die ITSiV-PV adressiert ausschließlich Stellen der öffentlichen Verwaltung. Dieser Adressatenkreis wurde auf Ebene Bund, Länder und Kommunen in die Erarbeitung der Verordnung umfassend einbezogen.
  Eine Verbändebeteiligung wurde ebenso durchgeführt. Eine zusätzliche Pflicht zur Zertifizierung oder externen Auditierung entwickelter Software besteht nicht und wird auch nicht erwogen, da die Berücksichtigung der Vorgaben des IT-Grundschutz des BSI zur sicheren Software-Entwicklung über den gesamten Entwicklungsprozess die Informationssicherheit nachhaltig gewährleistet.