Überprüfung durch die Bundesnetzagentur: Ablauf, Mängel, Nachweisordner

Diese Seite behandelt die Überprüfung, nachdem das Konzept vorgelegt ist: was die Bundesnetzagentur prüfen darf, was über den Ablauf bekannt ist, was bei Mängeln geschieht und wie Sie Nachweise ordnen. Wie Sie das Konzept selbst erstellen und vorlegen, steht auf der Seite Sicherheitskonzept nach § 166 TKG, die Schutzmaßnahmen im Einzelnen unter Schutzmaßnahmen nach § 165 TKG.

Rechtsstand: TKG in der Fassung vom 22.10.2026. Katalog von Sicherheitsanforderungen nach § 167 TKG: gültig ist Version 2.0 vom 29.04.2020, der Entwurf Version 2025-10 ist nicht erlassen. Geprüft am 06.11.2026. Diese Seite gibt allgemeine Informationen und ist keine Rechtsberatung. Wie Sie auf ein Schreiben der Bundesnetzagentur rechtlich reagieren, klärt im Einzelfall eine Rechtsanwältin oder ein Rechtsanwalt.

Was regelt § 166 Abs. 4 und 5 TKG?

Drei Sätze bestimmen die Überprüfung:

• Abs. 5: Die Bundesnetzagentur überprüft regelmäßig die Umsetzung des Sicherheitskonzepts. Die Überprüfung soll mindestens alle zwei Jahre erfolgen. Das ist eine Aufgabe der Behörde, nach unserer Lesart folgt daraus keine eigene Prüfpflicht des Unternehmens.
• Abs. 4 Satz 1: Stellt die Bundesnetzagentur im Konzept oder bei seiner Umsetzung Sicherheitsmängel fest, kann sie deren unverzügliche Beseitigung verlangen.
• Abs. 4 Satz 2: Ändern sich die Gegebenheiten, die dem Konzept zugrunde liegen, passt der nach Abs. 2 Verpflichtete es unverzüglich an und legt es unter Hinweis auf die Änderungen erneut vor. Das sind Netzbetreiber und Diensteanbieter, von denen die Bundesnetzagentur die Vorlage verlangt hat.

Maßstab der Prüfung ist der Katalog von Sicherheitsanforderungen. Nach dem Katalog 2.0 prüft die Bundesnetzagentur die Vorlage und regelmäßig auch die Umsetzung des Konzepts, dazu die Einhaltung der Vorgaben des Katalogs. Der Katalog bezeichnet sich deshalb als „sowohl Handlungs-, als auch Prüfungsgrundlage“. Was der Katalog je Kapitel verlangt, erklärt die Seite Katalog von Sicherheitsanforderungen nach § 167 TKG.

Für die Prüfung hat die Bundesnetzagentur die Befugnisse aus § 183 TKG: Sie kann Anordnungen treffen, Auskünfte verlangen und Geschäfts- und Betriebsräume während der üblichen Betriebs- oder Geschäftszeiten betreten und besichtigen. Dazu kommen die allgemeinen Auskunfts- und Einsichtsrechte nach §§ 203, 204 TKG.

Zwei Überprüfungen, die man nicht verwechseln sollte

Neben der Überprüfung nach § 166 Abs. 5 kennt das TKG eine Überprüfung durch eine qualifizierte unabhängige Stelle oder eine zuständige nationale Behörde nach § 165 Abs. 9. Der Katalog 2.0 trennt beide ausdrücklich: Die unabhängige Überprüfung gilt der Einhaltung der Sicherheitspflichten selbst, das Sicherheitskonzept und seine Umsetzung stehen dort nicht im Fokus.

Der Entwurf des TKG-Änderungsgesetzes 2026 würde § 165 Abs. 9 ändern, § 166 dagegen nicht. Er ist nicht verabschiedet. Einzelheiten zur Pflichtprüfung stehen auf der Seite Schutzmaßnahmen nach § 165 TKG.

Wie läuft eine Überprüfung ab?

Eine aktuelle Beschreibung des Ablaufs haben wir auf den Seiten der Bundesnetzagentur zur öffentlichen Sicherheit und zum Katalog nicht gefunden (Stand 06.11.2026). Belegt sind nur zwei Unterlagen aus dem Jahr 2017 zur damaligen Rechtslage, beide von Referat 217:

• Nach den FAQ zur Verkehrsdatenspeicherung von 2017 (dort zum Sicherheitskonzept für die damalige Speicherpflicht) fand die Prüfung der Umsetzung in der Regel vor Ort statt, Termin und Umfang wurden vorher mit dem Unternehmen abgestimmt. Festgestellte Mängel waren auf Aufforderung unverzüglich zu beseitigen. Danach konnte die Behörde ein Bußgeld verhängen oder ein Zwangsgeld festsetzen, als letztes Mittel die Tätigkeit untersagen.
• Nach den Hinweisen zur Erstellung und Vorlage des Sicherheitskonzepts von 2017 darf ein Dritter das Konzept erstellen, die Verantwortung bleibt beim Unternehmen. Legt der Dritte vor, braucht er eine Vollmacht. Ein einmal vorgelegtes Musterkonzept, auf das sich viele Unternehmen beziehen, ist unzulässig.

Ob die Bundesnetzagentur heute genauso vorgeht, sagt keine aktuelle Quelle. Wir lesen beide Unterlagen als Hinweis auf die damalige Praxis. Zuständig für Katalog und Sicherheitskonzept ist Referat 217 in Saarbrücken, vertrauliche Unterlagen nimmt es per PGP-verschlüsselter E-Mail entgegen. Den Schlüssel veröffentlicht die Bundesnetzagentur auf ihrer Seite zum Katalog.

Was gilt, wenn die Bundesnetzagentur Mängel feststellt?

Die Bundesnetzagentur kann die unverzügliche Beseitigung verlangen (§ 166 Abs. 4 Satz 1). Ordnet sie das vollziehbar an und handelt das Unternehmen der Anordnung zuwider, ist das eine Ordnungswidrigkeit mit einer Geldbuße bis 100.000 € (§ 228 Abs. 2 Nr. 3 Buchst. c TKG). Wer ein angepasstes Konzept nach Abs. 4 Satz 2 nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig vorlegt, handelt ebenfalls ordnungswidrig, hier bis 300.000 € (Nr. 38). Wer eine Auskunft nach § 183 Abs. 1 Satz 2 nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig erteilt, handelt ordnungswidrig, bis 100.000 € (Nr. 61). Alle Tatbestände setzen Vorsatz oder Fahrlässigkeit voraus, bei Fahrlässigkeit halbiert sich der Höchstbetrag nach unserer Lesart (§ 17 Abs. 2 OWiG). Daneben kann die Bundesnetzagentur Anordnungen nach § 183 mit Zwangsgeld bis 1 Mio. € durchsetzen. Die übrigen Bußgelder stehen auf der Seite Bußgelder nach dem TKG.

Bei einer Mängelliste empfehlen wir dieses Vorgehen:

1. Jeden Mangel einzeln erfassen, mit Fundstelle im Schreiben und im Konzept.
2. Je Mangel eine Maßnahme, eine verantwortliche Person und ein Datum festlegen und der Geschäftsleitung vorlegen.
3. Bei der Frist, die die Behörde setzt, früh nachfragen, wenn eine Maßnahme länger dauert, und den Grund belegen.
4. Konzept und Nachweisordner anpassen. Ändern sich dabei die Gegebenheiten, auf denen das Konzept beruht, legen Sie die neue Fassung unter Hinweis auf die Änderungen vor (Abs. 4 Satz 2).
5. Die Beseitigung mit Nachweisen schriftlich mitteilen und den Stand im Ordner ablegen.

Bestehen offene Beanstandungen der Bundesnetzagentur, kommt für ein kleines Netz die Kompakt-Überarbeitung des Konzepts nicht in Frage, dann gilt die reguläre Überarbeitung (Bedingungen auf der Seite Sicherheitskonzept nach § 166 TKG).

Der Nachweisordner: Gliederung nach dem Katalog 2.0

Der Katalog 2.0 verlangt an vielen Stellen, dass etwas dokumentiert ist. Ordnet man diese Stellen, ergibt sich die Gliederung eines Nachweisordners, mit dem Sie eine Überprüfung vorbereiten. Die Register 1, 2 und 9 sind unsere Ergänzung, die übrigen folgen den Dokumentationspflichten des Katalogs.

Fiktives Beispiel, kein Kunde. Die TK-Sparte eines Stadtwerks betreibt ein FTTH-Netz im Stadtgebiet mit zwei Netzknoten und bietet Internetzugang und Telefonie an. Das Konzept wurde zuletzt im Frühjahr 2026 vorgelegt. Ein Schreiben der Bundesnetzagentur kündigt eine Überprüfung der Umsetzung an. So sieht der Ordner aus, alle Angaben erfunden:

Die Spalte „Stand“ zeigt im Beispiel drei Lücken, die vor dem Termin zu schließen sind. Nach unserer Einschätzung lohnt es, den Ordner nach den Kapiteln des eigenen Konzepts zu verweisen, damit zu jeder Maßnahme im Konzept ein Nachweis zu finden ist. Diese Gliederung ist eine Arbeitshilfe, die Bundesnetzagentur schreibt keine Form vor.

Drei typische Lücken vor einer Überprüfung

Wir waren als Sicherheitsbeauftragte nach § 166 TKG tätig, haben Sicherheitskonzepte erstellt, aktualisiert und mit der Bundesnetzagentur abgestimmt. Wo Ihr Konzept und Ihre Nachweise heute stehen, zeigt die Statusprüfung Stufe 1. Die Überarbeitung des Konzepts zum Festpreis enthält eine Rückfragerunde der Bundesnetzagentur, Einzelheiten unter Sicherheitskonzept nach § 166 TKG.