Das Onlinezugangsgesetz regelt mit §5, dass für "die im Portalverbund und für die zur Anbindung an den Portalverbund genutzten IT-Komponenten [...] die zur Gewährleistung der IT-Sicherheit erforderlichen Standards durch Rechtsverordnung des Bundesministeriums des Innern ohne Zustimmung des Bundesrates festgelegt" werden müssen. Bisher fehlt diese Verordnung und - entsprechend der Antwort des BMI - ist eine solche gegenwärtig auch nicht in Planung (Stand Februar 2019). Zudem wird in der Antwort auch auf Abhängigkeiten zur Architektur des Portalverbundes und Aktivitäten des IT-Planungsrates verwiesen.

Diese Begründungen sind leider nicht nachvollziehbar. Die Umsetzung/Entwicklung des Portalverbundes ist bereits weit fortgeschritten. Planung und Konzeption demnach weitestgehend abgeschlossen, die Gesamtarchitektur sollte demnach ebenfalls feststehen. Ähnliches gilt auch für die von Bund und Ländern bereitzustellenden Onlinedienste. In einigen Ländern sind entsprechende Onlinedienste sogar schon in Produktion.

Die Planung und Konzeption von IT- bzw. Softwarearchitekturen erfolgt typischerweise unter Einbeziehung der Datenschutz- und Sicherheitsanforderungen. Die Festlegung der entsprechenden IT-Sicherheitsanforderungen ist somit wesentlichen Voraussetzung für die Umsetzungsplanung. Fehlen diese Anforderungen, fehlen wesentliche Vorgaben den Betrieb und die vorherige Entwicklung von Software durch die Verwaltung selbst oder die Vergabe von Entwicklungsleistungen. Behörden von Bund und Ländern bleibt es erstmal selbst überlassen, sich dem Thema Sicherheit anzunehmen - mit knappem Budget, fehlendem Know How im Bereich IT und insbesondere IT-Sicherheit und fehlenden Fachkräften.
In Anbetracht der im Gesetz festgelegten Umsetzungsfrist zur "Onlinesetzung" aller Verwaltungsleistungen (bis Mitte 2022) bleibt zudem unklar, wie ein einheitliches Sicherheitsniveau für den Portalverbund und dessen Onlinedienste erreicht werden soll. Es bleibt auch offen, wie für dann bereits bestehende Dienste IT-Sicherheit nachträglich und und flächendeckend etabliert werden kann.