NIS2 für Telekommunikation und TK-Anbieter: Anforderungen nach NIS2 und TKG

Telekommunikationsunternehmen und Anbieter öffentlicher elektronischer Kommunikationsnetze nehmen unter der NIS-2-Richtlinie eine besondere Stellung ein: Sie fallen unabhängig von Mitarbeiterzahl oder Jahresumsatz in den Anwendungsbereich – die Größe entscheidet nur darüber, ob sie als besonders wichtige oder als wichtige Einrichtung gelten. Gleichzeitig hat der deutsche Gesetzgeber die NIS2-Pflichten für diese Anbieter nicht im BSI-Gesetz, sondern im Telekommunikationsgesetz (TKG 2021) verankert: Risikomanagement, Geschäftsleitungspflichten und Vorfallmeldungen ergeben sich für sie aus den §§ 165 ff. TKG, während das BSIG vor allem die Einstufung und die Registrierung beim BSI regelt. TK-Anbieter haben es daher mit zwei Gesetzen und zwei Behörden zu tun, die sie in eine kohärente Compliance-Strategie integrieren sollten. Die übergeordneten technischen und organisatorischen Mindestanforderungen beschreiben die NIS2-Sicherheitsanforderungen nach Artikel 21 im Detail.

TK-Anbieter unter NIS2 – erfasst unabhängig von der Größe

Die NIS-2-Richtlinie (EU) 2022/2555 legt in Anhang I fest, welche Sektoren als besonders kritisch gelten. Anbieter öffentlicher elektronischer Kommunikationsnetze oder öffentlich zugänglicher elektronischer Kommunikationsdienste sind dort unter dem Sektor Digitale Infrastruktur ausdrücklich aufgeführt. Die Besonderheit: Während die meisten anderen Einrichtungsarten erst ab der Größe eines mittleren Unternehmens erfasst werden, gilt die Richtlinie nach Artikel 2 Absatz 2 Buchstabe a für TK-Anbieter „unabhängig von der Größe der Einrichtungen“. Die Größe bleibt dennoch relevant: Nach Artikel 3 Absatz 1 Buchstabe c sind nur TK-Anbieter, die mindestens als mittlere Unternehmen gelten, wesentliche Einrichtungen; kleinere Anbieter gelten nach Artikel 3 Absatz 2 als wichtige Einrichtungen.

Im deutschen Recht übernimmt § 28 BSIG in der Fassung des NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetzes (NIS2UmsuCG, in Kraft seit 6. Dezember 2025) diese Logik mit eigenen Schwellenwerten: Anbieter öffentlich zugänglicher Telekommunikationsdienste oder Betreiber öffentlicher Telekommunikationsnetze gelten als besonders wichtige Einrichtung, wenn sie mindestens 50 Mitarbeiter beschäftigen oder einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Mio. Euro aufweisen (§ 28 Abs. 1 Nr. 3 BSIG). Kleinere Anbieter gelten als wichtige Einrichtung (§ 28 Abs. 2 Nr. 2 BSIG). Daten von Partner- und verbundenen Unternehmen sind nach § 28 Abs. 4 BSIG grundsätzlich hinzuzurechnen. Wer zusätzlich eine kritische Anlage betreibt, gilt unabhängig von der Größe als besonders wichtige Einrichtung (§ 28 Abs. 1 Nr. 1 BSIG).

Die Einstufung wirkt sich unter anderem auf die Intensität der Aufsicht aus. Für die Bußgeldhöhe gilt bei TK-Anbietern eine Besonderheit: Weil die materiellen Pflichten im TKG geregelt sind, richten sich Bußgelder für Melde- und Vorlageverstöße nach § 228 TKG und werden von der Bundesnetzagentur verhängt; die BSIG-Bußgeldrahmen für Risikomanagement- und Meldeverstöße greifen insoweit nicht. Nach dem BSIG bußgeldbewehrt bleibt dagegen die Registrierungspflicht (bis zu 500.000 Euro, § 65 BSIG).

Wer ist betroffen? Anbieter öffentlicher Kommunikationsnetze und -dienste

Der Begriff „Anbieter öffentlicher elektronischer Kommunikationsnetze“ ist weit gefasst. Das TKG 2021 definiert ein öffentliches Telekommunikationsnetz als Telekommunikationsnetz, das ganz oder überwiegend der Erbringung öffentlich zugänglicher Telekommunikationsdienste dient (§ 3 Nr. 42 TKG). Telekommunikationsdienste umfassen nach § 3 Nr. 61 TKG Internetzugangsdienste, interpersonelle Telekommunikationsdienste sowie Dienste, die ganz oder überwiegend in der Übertragung von Signalen bestehen. Darunter fallen in der Praxis verschiedene Gruppen:

Unternehmenstyp	Typische Anbieter	NIS2-Einstufung
Mobilfunknetzbetreiber	Betreiber von 4G/5G-Mobilfunknetzen (MNO)	Größenunabhängig erfasst; ab 50 Mitarbeitern oder über 10 Mio. Euro Umsatz und Bilanzsumme besonders wichtig, sonst wichtig
Festnetzanbieter	Betreiber öffentlicher Telefonnetze, DSL, Glasfaser	Größenunabhängig erfasst; Kategorie nach § 28 BSIG
Internet-Zugangsanbieter (ISP)	Anbieter von Breitband-Internetzugängen für Endkunden	Größenunabhängig erfasst; Kategorie nach § 28 BSIG
Virtuelle Netzbetreiber (MVNO)	Nutzen fremde Netzinfrastruktur, bieten eigene TK-Dienste an	Als Anbieter öffentlich zugänglicher TK-Dienste in der Regel erfasst; Kategorie nach § 28 BSIG
Interpersonelle Kommunikationsdienste	Anbieter öffentlicher Sprach- und Kurznachrichtendienste (nummerngebunden, z. B. Telefonie/SMS)	Größenunabhängig erfasst; Kategorie nach § 28 BSIG

Nicht unter diese Kategorie fallen hingegen private Unternehmensnetze, die ausschließlich der internen Kommunikation dienen. Bei Over-the-top-Diensten (OTT) wie Messenger-Anwendungen ist Vorsicht geboten: Das TKG zählt auch nummernunabhängige interpersonelle Telekommunikationsdienste zu den Telekommunikationsdiensten (§ 3 Nr. 24, 40 und 61 TKG). Ob und in welchem Umfang ein konkreter Dienst erfasst ist, sollte im Einzelfall geprüft werden.

NIS2 und TKG § 165: Zwei Regelwerke, eine Infrastruktur

Vor der NIS2-Umsetzung war das Sicherheitsregime für TK-Anbieter in Deutschland primär durch § 109 TKG (alt) geregelt, der mit dem TKG 2021 als § 165 neu nummeriert und inhaltlich aktualisiert wurde. § 165 Abs. 2 TKG verpflichtet Betreiber öffentlicher Telekommunikationsnetze und Anbieter öffentlich zugänglicher Telekommunikationsdienste, angemessene technische und organisatorische Vorkehrungen zum Schutz gegen erhebliche Störungen und zur Beherrschung der Sicherheitsrisiken zu treffen. Mit dem NIS2UmsuCG wurde § 165 TKG um die Absätze 2a bis 2d ergänzt, die die NIS2-Vorgaben für TK-Anbieter umsetzen.

Das Verhältnis beider Regelwerke lässt sich folgendermaßen zusammenfassen:

• BSIG regelt für TK-Anbieter vor allem die Einstufung als besonders wichtige oder wichtige Einrichtung (§ 28 BSIG) und die Registrierungspflicht beim BSI (§ 33 BSIG). Die BSIG-Vorschriften zu Risikomanagement (§ 30), Meldepflichten (§ 32), Geschäftsleitungspflichten (§ 38) und Aufsicht (§§ 61, 62) gelten nach § 28 Abs. 5 BSIG für TK-Anbieter nicht.
• TKG §§ 165 ff. enthalten stattdessen die materiellen Pflichten: den gefahrenübergreifenden Maßnahmenkatalog mit zehn Mindestbereichen (§ 165 Abs. 2a), Umsetzungs-, Überwachungs- und Schulungspflichten der Geschäftsleitung (§ 165 Abs. 2b bis 2d), Sicherheitsbeauftragten und Sicherheitskonzept (§ 166), den Katalog von Sicherheitsanforderungen der BNetzA (§ 167) und die Meldung erheblicher Sicherheitsvorfälle (§ 168).
• Ausnahme: Betreibt ein TK-Anbieter darüber hinaus weitere kritische Anlagen oder ist er mit weiteren Tätigkeiten einer anderen Einrichtungsart nach Anlage 1 oder 2 BSIG zuzuordnen (etwa als Rechenzentrums- oder Cloud-Anbieter), gelten für diese Bereiche die BSIG-Pflichten (§ 28 Abs. 5 Satz 2 BSIG).

Hinzu kommt eine besondere Dimension für 5G-Netze: Der Katalog von Sicherheitsanforderungen, den die Bundesnetzagentur im Einvernehmen mit dem BSI und dem Bundesdatenschutzbeauftragten festlegt, enthält besondere Anforderungen für Betreiber mit erhöhtem Gefährdungspotenzial. Seit dem 1. Januar 2026 müssen kritische Komponenten nach Angaben des BSI vor ihrem erstmaligen Einsatz in 5G-Netzen zertifiziert sein (§ 165 Abs. 4 TKG, BSI TR-03163).

Duale Behördenzuständigkeit: BSI und BNetzA

Eine der prägenden Besonderheiten für TK-Anbieter im deutschen Regulierungsumfeld ist die Zusammenarbeit zweier Behörden. Anders als bei den meisten NIS2-Einrichtungen liegt die Aufsicht über die Sicherheitspflichten von TK-Anbietern im Wesentlichen bei der Bundesnetzagentur (BNetzA); das BSI ist eingebunden, ohne die BSIG-Aufsichtsbefugnisse der §§ 61 und 62 auszuüben.

In der Praxis bedeutet dies:

• BSI ist zuständig für die NIS2-Registrierung (§ 33 BSIG), ist neben der BNetzA Empfänger der Vorfallmeldungen nach § 168 TKG, wirkt am Katalog von Sicherheitsanforderungen mit (Einvernehmen nach § 167 TKG), bewertet Überprüfungsberichte gemeinsam mit der BNetzA (§ 165 Abs. 9 TKG) und ist für die Prüfung und Zertifizierung kritischer 5G-Komponenten zuständig.
• BNetzA ist zuständig für die TKG-Aufsicht einschließlich §§ 165 bis 168, die Prüfung der Sicherheitskonzepte (§ 166), Anordnungen bei Sicherheitsvorfällen (§ 165 Abs. 8), die Festlegung des Meldeverfahrens (§ 168 Abs. 4) und die Verfolgung von Ordnungswidrigkeiten nach § 228 TKG.

TK-Anbieter sollten daher ihre Compliance-Strukturen auf beide Behörden ausrichten: die Registrierung gegenüber dem BSI und die Sicherheits-, Melde- und Nachweispflichten gegenüber der BNetzA. In der Praxis empfiehlt sich eine integrierte Sicherheitsorganisation, die beide Anforderungsrahmen abdeckt, ohne redundante Parallelstrukturen zu schaffen. Die Anforderungen für Cloud- und digitale Dienstleister zeigen, wie digitale Infrastrukturanbieter mit ähnlichen Mehrfachverpflichtungen umgehen.

Öffentliche elektronische Kommunikationsnetze: Technische Scope-Abgrenzung

Für die konkrete Bestimmung des Anwendungsbereichs müssen TK-Anbieter verstehen, was unter „öffentlichen elektronischen Kommunikationsnetzen“ zu verstehen ist. Der Europäische Kodex für die elektronische Kommunikation (Richtlinie (EU) 2018/1972), auf den TKG 2021 und NIS2 gleichermaßen aufbauen, definiert elektronische Kommunikationsnetze als Übertragungssysteme, die die Übertragung von Signalen über Kabel, Funk, optische oder andere elektromagnetische Einrichtungen ermöglichen – einschließlich Satelliten-, Fest- und Mobilfunknetzen.

Konkret bedeutet das für die Praxis:

• Mobilfunknetze (4G/5G/LTE): Betreiber von Mobilfunk-Kernnetz und Zugangsnetz (RAN) sind erfasst. Bei 5G gelten zusätzlich die Anforderungen des Katalogs von Sicherheitsanforderungen an kritische Komponenten.
• Festnetz (PSTN, VoIP-Gateways): Öffentliche Vermittlungsnetze und die dazugehörigen Gateways fallen unter den Begriff.
• Breitband-Internetzugang (DSL, Glasfaser, Kabel): ISPs, die Endkunden oder Unternehmen öffentlich zugänglichen Internetzugang bereitstellen, sind erfasst.
• Satellitendienste: Auch Satellitennetze und satellitengestützte, öffentlich zugängliche Kommunikationsdienste können unter die Definition fallen; maßgeblich ist, ob der Dienst in Deutschland öffentlich angeboten wird.

Nicht unmittelbar unter den Begriff des öffentlichen Kommunikationsnetzes im NIS2-Sinne fallen hingegen private Unternehmensnetze (auch wenn diese VPN-Technologie nutzen), campusnetzartige Infrastrukturen (sofern nicht öffentlich zugänglich) und rein interne Systeme zur Netzwerkverwaltung ohne externen Dienstleistungscharakter.

Sicherheitsanforderungen nach Artikel 21 im TK-Kontext

Die Risikomanagementmaßnahmen nach Artikel 21 NIS2 sind für TK-Anbieter in § 165 Abs. 2a TKG umgesetzt, der für besonders wichtige und wichtige TK-Einrichtungen einen gefahrenübergreifenden Ansatz mit zehn Mindestbereichen vorschreibt. Jeder Bereich hat im TK-Sektor einen spezifischen operativen Ausdruck:

Maßnahme (§ 165 Abs. 2a TKG / Art. 21 NIS2)	TK-spezifische Umsetzung
Risikoanalyse und Sicherheitspolitik	Bewertung von Netzinfrastrukturrisiken, Zuliefererrisiken (u. a. Abhängigkeit von einzelnen Herstellern kritischer Netzkomponenten, Anforderungen des Katalogs von Sicherheitsanforderungen)
Bewältigung von Sicherheitsvorfällen	NOC/SOC-Integration, Krisenkommunikationsplan für Netzausfälle, Eskalationspfade für Meldungen an BNetzA und BSI
Aufrechterhaltung des Betriebs / Krisenmanagement	Redundanzkonzepte für Kernnetz und Zugangsnetz, geografische Diversität von Netzknoten, Backup-Übertragungswege
Lieferkettensicherheit	Zuliefererprüfung für Netzausrüstungshersteller, vertragliche Sicherheitsanforderungen an Hardware-Zulieferer, Zertifizierung kritischer Komponenten
Sicherheit bei Erwerb, Entwicklung und Wartung	Secure-by-Design für Netzfunktionen (VNF/CNF), Software-Signaturprüfung bei Netzgeräte-Updates, Schwachstellenmanagement und koordinierte Offenlegung
Bewertung der Wirksamkeit	Regelmäßige Penetrationstests der Kernnetzinfrastruktur, interne Audits, Überprüfungen nach § 165 Abs. 9 TKG
Grundlegende Verfahren und Schulungen	Schulungen für NOC-Personal, IT-Security-Training mit TK-spezifischen Bedrohungsszenarien (SS7-Angriffe, DNS-Spoofing)
Kryptografie und Verschlüsselung	Verschlüsselung des Signaling-Traffics, Absicherung von Managementschnittstellen, TLS-Standards für Kundendaten
Personal, Zugriffskontrolle und Management von Anlagen	Privileged Access Management für Netzwerkmanagement-Systeme, Inventarisierung von Netzkomponenten, CVE-Monitoring für eingesetzte Netzwerkgeräte
Multi-Faktor-Authentifizierung und gesicherte Kommunikation	MFA für den Zugang zur Netzwerkinfrastruktur, gesicherte Sprach-, Video- und Textkommunikation sowie Notfallkommunikation innerhalb der Einrichtung

Meldepflichten im TK-Sektor: eine Meldung an BNetzA und BSI

Für TK-Anbieter gilt nicht die Meldepflicht des § 32 BSIG (§ 28 Abs. 5 BSIG), sondern § 168 TKG. Diese Vorschrift wurde mit dem NIS2UmsuCG an das dreistufige NIS2-Meldemodell angepasst und richtet sich zugleich an die BNetzA und das BSI. Daneben besteht bei Verletzungen des Schutzes personenbezogener Daten eine eigene Benachrichtigungspflicht nach § 169 TKG. Die vollständigen Anforderungen zum Ablauf der NIS2-Vorfallmeldung erklären die NIS2-Meldepflichten im Überblick.

Aspekt	Erheblicher Sicherheitsvorfall (§ 168 TKG, Art. 23 NIS2)	Datenschutzverletzung (§ 169 TKG)
Empfänger	Bundesnetzagentur und BSI	Bundesnetzagentur und Bundesbeauftragte(r) für den Datenschutz und die Informationsfreiheit
Auslöser	Erheblicher Sicherheitsvorfall: schwerwiegende Betriebsstörungen oder finanzielle Verluste beim Anbieter oder erhebliche Schäden bei Dritten (§ 168 Abs. 3)	Verletzung des Schutzes personenbezogener Daten bei öffentlich zugänglichen TK-Diensten
Fristen	Frühe Erstmeldung: 24 Stunden; Meldung: 72 Stunden; Zwischenmeldung auf Ersuchen; Abschlussmeldung: ein Monat nach der Meldung	Unverzüglich
Inhalt der Erstmeldung	Verdacht auf rechtswidrige oder böswillige Handlungen, mögliche grenzüberschreitende Auswirkungen	Art der Verletzung, Kontaktstellen, empfohlene Maßnahmen, Folgen und ergriffene Maßnahmen
Pflicht zur Nutzerinformation	Bei besonderer und erheblicher Gefahr: Information potenziell betroffener Nutzer über Schutz- und Abhilfemaßnahmen (§ 168 Abs. 7)	Benachrichtigung Betroffener bei voraussichtlich schwerwiegender Beeinträchtigung (§ 169 Abs. 1)
Sanktionen bei Verstoß	Ordnungswidrigkeit nach § 228 TKG, Bußgeldbehörde ist die BNetzA	Ordnungswidrigkeit nach § 228 TKG, Bußgeldbehörde ist die BNetzA

Für die Praxis bedeutet dies: Die Bundesnetzagentur hat das Meldeverfahren in einem Meldekonzept nach § 168 TKG mit einem Meldeformular festgelegt; die Meldung geht an die BNetzA und das BSI. Ein Netzausfall, der etwa durch einen Cyberangriff ausgelöst wird und zugleich personenbezogene Daten betrifft, kann neben der Meldung nach § 168 TKG eine Benachrichtigung nach § 169 TKG erfordern. TK-Anbieter sollten daher interne Meldeworkflows etablieren, die frühzeitig prüfen, welche Meldepflichten ausgelöst werden, und die fristgerechte Abgabe koordinieren.

Wichtig: Eine gesonderte Meldung nach § 32 BSIG über das BSI-Portal ist für die TK-Tätigkeit nicht vorgesehen, weil § 168 TKG die NIS2-Meldepflicht umsetzt. Prüfen Sie aber, ob weitere Tätigkeiten (z. B. Rechenzentrums- oder Cloud-Dienste) eigene BSIG-Meldepflichten auslösen.

Besondere Pflichten: Netzintegrität, 5G-Sicherheit und Roaming

Neben den allgemeinen NIS2-Anforderungen gibt es für TK-Anbieter sektorspezifische Dimensionen, die besondere Aufmerksamkeit verdienen:

Netzintegrität und öffentliche Sicherheit: Wer ein öffentliches Telekommunikationsnetz betreibt, hat nach § 165 Abs. 5 TKG Maßnahmen zu treffen, um den ordnungsgemäßen Betrieb seiner Netze und die fortlaufende Verfügbarkeit der Dienste sicherzustellen. In der Praxis gehören dazu Maßnahmen gegen Routing-Angriffe (BGP-Hijacking), DNS-Manipulation und die Absicherung des Signaling System 7 (SS7). SS7-Schwachstellen ermöglichen es Angreifern, Standortdaten abzugreifen oder Telefongespräche umzuleiten – ein bekanntes Problem, das trotz seiner Öffentlichkeit in vielen Netzen noch nicht vollständig adressiert ist.

5G-Sicherheitsarchitektur: Für 5G-Netzbetreiber legt die BNetzA nach § 167 TKG in einer Liste der kritischen Funktionen fest, welche Funktionen als „kritisch“ gelten; daraus leiten sich die kritischen Komponenten ab, die vor dem Einsatz zertifiziert werden müssen. Unabhängig davon kann das Bundesministerium des Innern gegenüber Betreibern kritischer Anlagen den Einsatz kritischer Komponenten eines Herstellers untersagen, wenn die öffentliche Ordnung oder Sicherheit voraussichtlich beeinträchtigt wird (§ 41 BSIG). Die Diskussion um Komponenten bestimmter Hersteller aus Drittstaaten (insbesondere aus der Volksrepublik China) ist hier unmittelbar relevant.

Roaming-Sicherheit: Grenzüberschreitende Roaming-Vereinbarungen schaffen besondere Sicherheitsrisiken, da Signaling-Verkehr zwischen Netzen ausgetauscht wird, die unterschiedlichen Sicherheitsstandards unterliegen. Die GSMA-Leitfäden (FS.11 zu SS7, FS.19 zu Diameter, FS.37 zu GTP-U) liefern einen technischen Rahmen für die Interconnect-Sicherheit und können als Best-Practice-Orientierung für die Umsetzung dienen.

Umsetzungsfahrplan für TK-Anbieter

TK-Anbieter, die ihren NIS2-Compliance-Status strukturiert aufbauen wollen, sollten folgende Schritte in zeitlicher Abfolge angehen:

1. Betroffenheitsprüfung und Registrierung: Prüfen Sie, ob das Unternehmen ein öffentliches Telekommunikationsnetz betreibt oder öffentlich zugängliche Telekommunikationsdienste erbringt, und ordnen Sie es anhand von § 28 BSIG als besonders wichtige oder wichtige Einrichtung ein. Die Registrierung beim BSI über das BSI-Portal war innerhalb von drei Monaten nach Inkrafttreten des NIS2UmsuCG fällig (bis 6. März 2026); noch nicht registrierte Einrichtungen sollten dies unverzüglich nachholen.
2. Gap-Analyse: Bewerten Sie den aktuellen Sicherheitsstatus gegenüber den zehn Mindestbereichen des § 165 Abs. 2a TKG, dem Katalog von Sicherheitsanforderungen und dem Sicherheitskonzept nach § 166 TKG. Identifizieren Sie Prioritätslücken, insbesondere in den Bereichen Lieferkettensicherheit (5G-Komponenten), Incident-Response-Prozesse und Meldeworkflows.
3. Meldeworkflow etablieren: Implementieren Sie eine interne Meldeprozedur, die auswertet, ob ein Vorfall eine Meldung nach § 168 TKG (an BNetzA und BSI) und/oder eine Benachrichtigung nach § 169 TKG auslöst, und sicherstellt, dass die 24-, 72-Stunden- und Monatsfristen eingehalten werden.
4. Technische Maßnahmen umsetzen: Priorisieren Sie Hochrisikobereiche wie SS7-Absicherung, BGP-Routingschutz, Netzwerksegmentierung und Zugangskontrolle für Netzwerkmanagement-Systeme. Integrieren Sie dabei die Anforderungen des Katalogs von Sicherheitsanforderungen, soweit zutreffend.
5. Dokumentation und Nachweisführung: Pflegen Sie das Sicherheitskonzept nach § 166 TKG, benennen Sie einen Sicherheitsbeauftragten und dokumentieren Sie die Maßnahmen nach § 165 TKG so, dass sie gegenüber der BNetzA – und bei Überprüfungen nach § 165 Abs. 9 TKG auch gegenüber dem BSI – nachvollziehbar sind.

Häufig gestellte Fragen

Gilt NIS2 auch für kleine Regionalanbieter von Internetzugang?
In der Regel ja. TK-Anbieter sind unabhängig von ihrer Größe erfasst. Ein regionaler ISP mit weniger als 50 Mitarbeitern und höchstens 10 Mio. Euro Jahresumsatz oder Bilanzsumme, der öffentlichen Internetzugang anbietet, gilt jedoch nicht als besonders wichtige, sondern als wichtige Einrichtung (§ 28 Abs. 2 Nr. 2 BSIG). Die Sicherheitspflichten nach § 165 Abs. 2a bis 2d TKG gelten für beide Kategorien.

Welche Behörde ist meine primäre Anlaufstelle bei einem Sicherheitsvorfall – BSI oder BNetzA?
Beide sind Empfänger: Nach § 168 TKG gehen die frühe Erstmeldung (24 Stunden), die Meldung (72 Stunden) und die Abschlussmeldung (ein Monat) an die Bundesnetzagentur und an das BSI. Das Verfahren legt die BNetzA in ihrem Meldekonzept fest. Betrifft der Vorfall personenbezogene Daten, kommt die Benachrichtigung nach § 169 TKG an BNetzA und Bundesdatenschutzbeauftragten hinzu.

Ist ein eigenständiger CISO Pflicht für TK-Anbieter?
Eine bestimmte Organisationsform wie ein CISO ist nicht vorgeschrieben. Betreiber öffentlicher Telekommunikationsnetze und Anbieter öffentlich zugänglicher Telekommunikationsdienste müssen nach § 166 Abs. 1 TKG aber einen Sicherheitsbeauftragten bestimmen. Zudem ist die Geschäftsleitung nach § 165 Abs. 2b TKG verpflichtet, die Maßnahmen umzusetzen und ihre Umsetzung zu überwachen, und muss nach § 165 Abs. 2d TKG regelmäßig an Schulungen teilnehmen. Für größere TK-Anbieter empfiehlt sich eine Position mit direktem Berichtsweg zur Unternehmensführung.

Was bedeutet der Katalog von Sicherheitsanforderungen für bestehende Verträge mit Netzausrüstern?
Bestehende Lieferantenverträge müssen möglicherweise angepasst werden, wenn eingesetzte Komponenten als kritisch gelten und zertifiziert sein müssen. Für die 5G-Kernnetze haben sich Telekom, Vodafone und Telefónica in öffentlich-rechtlichen Verträgen mit dem BMI verpflichtet, bis spätestens Ende 2026 keine kritischen Komponenten von Huawei und ZTE mehr einzusetzen; für kritische Funktionen der Netzwerkmanagementsysteme in Zugangs- und Transportnetzen gilt Ende 2029. Beachten Sie die aktuellen Vorgaben von BNetzA und BSI sowie laufende regulatorische Entwicklungen zu Hochrisikoanbietern.

Wie verhält sich NIS2 zum EU Cyber Resilience Act (CRA) für TK-Geräte?
Der CRA (EU 2024/2847) setzt Cybersicherheitsanforderungen für Produkte mit digitalen Elementen, einschließlich Netzwerkgeräte. Für TK-Anbieter, die selbst Netzwerkgeräte herstellen oder unter eigenem Namen oder eigener Marke vermarkten, können dadurch zusätzliche Pflichten als Hersteller entstehen. Für den Betrieb der Netze bleiben die NIS2-Umsetzung im TKG und BSIG die maßgeblichen Regelwerke.

Quellen

• NIS-2-Richtlinie (EU) 2022/2555 – EUR-Lex Volltext
• Telekommunikationsgesetz (TKG) 2021 – insbesondere §§ 165–169 – Gesetze-im-Internet
• BSI-Gesetz (BSIG) – insbesondere §§ 28, 33 – Gesetze-im-Internet
• BSI: Öffentliche 5G-Telekommunikationsnetze – BSI.bund.de
• BNetzA: Katalog von Sicherheitsanforderungen gemäß § 167 TKG
• BNetzA: Meldung eines Sicherheitsvorfalls nach § 168 TKG
• Deutscher Bundestag: BT-Drs. 21/4960 (Antwort der Bundesregierung zu Huawei-Komponenten, 24.03.2026)