Die Bestimmungen der Rechtsverordnung sollen die Verbraucher:innen in die Lage versetzen, den Aspekt der IT-Sicherheit bei der Auswahl von IT-Produkten in einfacher und verständlicher Form zu berücksichtigen. Die mit BSI-ITSiKV angestrebte Konkretisierung macht deutlich, dass für Verbraucher:innen der Informationswert des IT-Sicherheitskennzeichens aufgrund fehlender Tiefenprüfung allenfalls in den vom BSI zusätzlich zur Verfügung gestellten Informationen gemäß § 13 besteht.
Off
- Die Bezeichnung IT-Sicherheitskennzeichen darf weder allgemein im Gesetz bzw. der Verordnung, noch in Bezug auf das Etikett, und auch nicht in der Verbraucherkommunikation, der Applikation, der Webseite und der Werbung verwendet werden, da diese Bezeichnung in Zusammenhang mit der gesetzlichen Regelung den irrigen Eindruck vermittelt, die IT-Sicherheit des mit dem Etikett gekennzeichneten Produkts wäre durch eine staatliche Institution (hier das BSI) tiefenüberprüft und als gesichert anerkannt worden. Die vorgesehene Aufsicht wird diese Beschränkung nicht aufheben können, da von ihr nur ein geringer Teil der gekennzeichneten Produkte betroffen sein wird.
- Jeglicher Vermittlung des irrigen Eindrucks, das mit dem Etikett gekennzeichnete Produkt unterläge einer Prüfung der IT-Sicherheit beziehungsweise des Datenschutzes ist entgegenzutreten.
- Das Etikett darf nicht durch seine grafische Gestaltung suggerieren, dass eine Tiefenprüfung der IT-Sicherheit stattgefunden hätte (d.h. eine sicherheitsbezogene Ikonografie, wie bspw. Schutzschilder, ist auszuschließen).
- Um bei Ablauf der Freigabe oder deren Erlöschen sicherzustellen, dass Verbraucher:innen weiterhin das Etikett als Information ansehen können, die ihnen ermöglicht, den Aspekt der IT-Sicherheit bei der Auswahl ihrer IT-Produkte in einfacher und verständlicher Form zu berücksichtigen, sind die Hersteller darauf zu verpflichten, umgehend dafür sorgezutragen, dass das Etikett nicht mehr auf dem Produkt
beziehungsweise auf der Umverpackung, in der Werbung, der Applikation, der Verbraucherinformation verwendet wird. Zudem sind die Hersteller darauf zu verpflichten, die Verbraucher:innen über das Ende der Freigabe bzw. deren Erlöschen umgehend, leicht wahrnehmbar und verständlich zu informieren. - Um den Verbraucher:innen zu ermöglichen, überprüfen zu können, ob die von ihnen erworbene IT-Produkt bzw. dessen Hersteller aktuelle Sicherheitsstandards ausreichend berücksichtigen, ist das BSI zu verpflichten, auf seiner Webseite alle seine Aufsichtserkenntnisse produkt- und herstellerbezogen zu veröffentlichen.
Link zum Download der Stellungnahme hier.
