Technische und organisatorische Schutzmaßnahmen nach § 165 TKG

Rechtsstand: TKG in der Fassung vom 22.10.2026, BSI-Gesetz in der Fassung vom 22.10.2026, geprüft am 06.11.2026. Diese Seite erklärt, was § 165 und der Katalog nach § 167 verlangen. Wie Sie die Maßnahmen im Sicherheitskonzept darstellen und der Bundesnetzagentur (BNetzA) vorlegen, steht auf der Seite Sicherheitskonzept nach § 166 TKG. Die Darstellung ist allgemeine Information und keine Rechtsberatung. Ob und wie eine Pflicht Ihr Unternehmen trifft, klärt im Einzelfall eine Rechtsanwältin oder ein Rechtsanwalt.

Wer muss welche Absätze von § 165 TKG erfüllen?

Das hängt vom Absatz ab: § 165 hat unterschiedliche Adressaten, von allen, die an TK-Diensten mitwirken, bis zu 5G-Netzbetreibern. Die folgende Übersicht gibt den Wortlaut verkürzt wieder.

Abs. 2a bis 2d knüpfen an die Einstufung nach § 28 BSIG an. Nach § 28 Abs. 1 und 2 BSIG ist jeder Betreiber eines öffentlichen TK-Netzes und jeder Anbieter öffentlich zugänglicher TK-Dienste mindestens wichtige Einrichtung, eine Größenschwelle nach unten gibt es nicht. Nach unserer Lesart gelten die zehn Mindestmaßnahmen damit für praktisch alle Adressaten von Abs. 2. Wie die Einstufung im Einzelnen funktioniert und was die Geschäftsleitung nach Abs. 2b-2d tun muss, steht auf der Seite NIS2 für TK-Anbieter.

Was verlangen Abs. 1 und Abs. 2?

Abs. 1 verlangt angemessene Vorkehrungen zum Schutz des Fernmeldegeheimnisses und gegen die Verletzung des Schutzes personenbezogener Daten, unter Berücksichtigung des Stands der Technik. Er gilt auch für Unternehmen, die an der Erbringung nur mitwirken, nach unserer Lesart etwa Dienstleister im Netzbetrieb.

Abs. 2 ist die Grundnorm für Netzbetreiber und Diensteanbieter. Sie müssen ihre TK- und Datenverarbeitungssysteme gegen Störungen schützen, die zu erheblichen Beeinträchtigungen führen, auch durch Angriffe von außen und Katastrophen, und die Risiken für die Sicherheit von Netzen und Diensten beherrschen. Insbesondere sind die Systeme gegen unerlaubte Zugriffe zu sichern und die Auswirkungen von Sicherheitsverletzungen so gering wie möglich zu halten, gegebenenfalls auch durch Verschlüsselung.

Der Maßstab ist ein Sicherheitsniveau, das dem bestehenden Risiko angemessen ist. Zu berücksichtigen sind Stand der Technik, einschlägige europäische und internationale Normen, Umsetzungskosten, die Risikoexposition, die Größe des Anbieters sowie Eintrittswahrscheinlichkeit, Schwere und Auswirkungen von Sicherheitsvorfällen. Abs. 6 ergänzt: Maßnahmen sind angemessen, wenn der Aufwand nicht außer Verhältnis zur Bedeutung der Netze oder Dienste steht. Nach diesem Maßstab muss ein Glasfaser-ISP mit einigen tausend Anschlüssen nicht dasselbe leisten wie ein bundesweiter Mobilfunknetzbetreiber, aber er muss begründen können, warum seine Maßnahmen seinem Risiko entsprechen.

Welche zehn Mindestmaßnahmen schreibt § 165 Abs. 2a vor?

Abs. 2a verlangt, dass die Maßnahmen nach Abs. 2 auf einem gefahrenübergreifenden Ansatz beruhen, der die Netz- und Informationssysteme und ihre physische Umwelt vor Sicherheitsvorfällen schützt, und zumindest die zehn Punkte der Tabelle umfassen. Die Vorschrift gilt seit dem 06.12.2025 ohne Übergangsfrist.

Die Tabelle trennt drei Ebenen. Die zweite Spalte gibt die gesetzliche Pflicht verkürzt wieder. Die dritte Spalte ist unsere fachliche Empfehlung: Das Gesetz nennt keine Nachweisarten, die genannten Unterlagen sind übliche Belege, aber weder abschließend noch vorgeschrieben. Die vierte Spalte ordnet jede Maßnahme Abschnitten des geltenden Katalogs von Sicherheitsanforderungen zu. Auch diese Zuordnung ist unsere: Der Katalog stammt von 2020 und kennt Abs. 2a noch nicht. Ein ausgefülltes Beispiel folgt weiter unten.

Die Maßnahmen gehören in das Sicherheitskonzept: § 166 Abs. 1 Nr. 3 verlangt dort die Maßnahmen zur Erfüllung der Pflichten aus § 165 Abs. 1 bis 7, nach unserer Lesart seit dem 06.12.2025 also auch Abs. 2a.

Was regeln die übrigen Absätze von § 165?

Angriffserkennung (Abs. 3): Netzbetreiber und Diensteanbieter dürfen Systeme zur Angriffserkennung im Sinne des § 2 Nr. 41 BSIG einsetzen. Pflicht ist das nur bei erhöhtem Gefährdungspotenzial. Die Systeme müssen dann durch kontinuierliche und automatische Erfassung und Auswertung Gefahren erkennen.

Kritische Komponenten (Abs. 4): Netzbetreiber mit erhöhtem Gefährdungspotenzial dürfen kritische Komponenten erst einsetzen, wenn eine anerkannte Zertifizierungsstelle sie vor dem ersten Einsatz geprüft und zertifiziert hat. Grundlage ist die Technische Richtlinie BSI TR-03163, der Stichtag je Komponente liegt frühestens am 01.01.2026, und Bestandskomponenten müssen nicht nachzertifiziert werden. Liste der kritischen Funktionen, Fristen und § 41 BSIG erklärt die Seite Kritische Komponenten in der Telekommunikation.

Gemeinsame Nutzung (Abs. 7): Bei gemeinsam genutzten Standorten oder technischen Einrichtungen hat jeder Beteiligte die Pflichten nach Abs. 1 bis 5, soweit sie nicht einem bestimmten Beteiligten zugeordnet werden können. Für Kooperationen, Open-Access-Modelle und Kollokation lohnt es sich, die Zuständigkeiten schriftlich zu verteilen.

Anordnungen und Überprüfung (Abs. 8 bis 11): Die BNetzA kann bei einem Sicherheitsvorfall oder einer erheblichen Gefahr Maßnahmen und Fristen anordnen. Sie kann von jedem Netzbetreiber oder Diensteanbieter eine Überprüfung durch eine qualifizierte unabhängige Stelle oder eine zuständige nationale Behörde verlangen. Netzbetreiber mit erhöhtem Gefährdungspotenzial müssen sich dieser Überprüfung alle zwei Jahre unterziehen und tragen die Kosten. Mängel im Sicherheitskonzept bewertet die BNetzA im Einvernehmen mit dem BSI.

Erhöhtes Gefährdungspotenzial haben nach der geltenden Allgemeinverfügung der BNetzA nur Betreiber öffentlicher 5G-Mobilfunknetze mit Frequenzzuteilung. Abs. 3 Satz 2, Abs. 4 und Abs. 9 Satz 2 treffen einen Glasfaser-ISP, die TK-Sparte eines Stadtwerks oder einen VoIP-Anbieter derzeit also nicht. Das kann sich ändern, wenn der neue Katalog oder das TKG-Änderungsgesetz in der Entwurfsfassung kommen (siehe unten).

Katalog nach § 167 in Kürze

Die Einzelheiten der Maßnahmen nach § 165 Abs. 1 bis 7 legt die BNetzA im Einvernehmen mit BSI und BfDI im Katalog von Sicherheitsanforderungen nach § 167 fest, gültig ist die Version 2.0 vom 29.04.2020, der Entwurf Version 2025-10 ist nicht erlassen (Stand 06.11.2026). Würde der Entwurf so erlassen, hätten nach unserer Ableitung TK-Anbieter ab 50 Beschäftigten oder mit Jahresumsatz und Jahresbilanzsumme über je 10 Mio. € erhöhtes Gefährdungspotenzial, mit den oben beschriebenen Folgen aus Abs. 3 Satz 2, Abs. 4 und Abs. 9 Satz 2. Aufbau und Anforderungen je Kapitel, den Vergleich beider Fassungen und die Umsetzungsfrist erklärt die Seite Katalog von Sicherheitsanforderungen nach § 167 TKG.

Entwurf des TKG-Änderungsgesetzes in Kürze

Der Entwurf des TKG-Änderungsgesetzes 2026 (BT-Drs. 21/8277) würde § 165 an vier Stellen ändern: Angriffserkennung nach Abs. 3 und Zertifizierung kritischer Komponenten im Kernnetz nach Abs. 4 knüpften an die besonders wichtige Einrichtung an, die Pflichtüberprüfung nach Abs. 9 gälte nur noch für 5G-Netzbetreiber, alle drei Jahre und durch das BSI oder eine von ihm benannte Stelle. Verabschiedet ist das Gesetz nicht (Stand 06.11.2026), verbindlich ist der geltende Gesetzestext. Den Stand des Verfahrens und eine Gegenüberstellung von geltendem Recht und Entwurf zeigt die Seite TKG-Änderungsgesetz 2026.

Beispiel: Nachweistabelle für einen Glasfaser-ISP

Fiktives Beispiel, kein Kunde. Ein regionaler Glasfaser-ISP mit 12 Beschäftigten und einem Jahresumsatz unter 10 Mio. € betreibt ein FTTH-Netz in mehreren Gemeinden und bietet Internetzugang und Telefonie an. Die nächtliche Rufbereitschaft für das Netz hat er an einen Dienstleister vergeben, das Rechenzentrum für Kernnetz und Kundensysteme ist angemietet. Er ist wichtige Einrichtung nach § 28 Abs. 2 BSIG, damit gilt Abs. 2a. Erhöhtes Gefährdungspotenzial hat er nicht.

So kann seine Nachweistabelle aussehen, je Maßnahme eine Zeile, alle Angaben erfunden:

Die Tabelle zeigt auf einen Blick, wo Nachweise fehlen, und ist die Grundlage für den Maßnahmenteil im Sicherheitskonzept nach § 166.

Eine leere Fassung mit allen Absätzen von § 165 und den Abschnitten des Katalogs 2.0 gibt es als Excel-Checkliste unter Vorlagen zum Download.

Drei typische Lücken

Wenn Sie wissen wollen, wo Ihr Unternehmen bei den Schutzmaßnahmen steht, beginnen Sie mit der Statusprüfung Stufe 1. Wir waren als Sicherheitsbeauftragte nach § 166 TKG tätig, haben Sicherheitskonzepte erstellt, aktualisiert und mit der Bundesnetzagentur abgestimmt.