"Bundesverwaltung, in der Gefahren für eine Einrichtung sich auf andere auswirken können, ist eine solche Beschränkung mit Risiken behaftet. Sie konterkariert das Ziel eines kohärenten Sicherheitsniveaus in der gesamten Bundesverwaltung und schwächt die Cyberresilienz in einem Kernbereich staatlichen Handelns.

Der Bundesrechnungshof hält es für dringend geboten, den IT-Grundschutz sowie die Maßnahmen des Risikomanagements für die gesamte Bundesverwaltung gesetzlich verbindlich festzulegen."