Regionaler Glasfaser-ISP: welche TKG-Pflichten in welcher Reihenfolge anstehen

Rechtsstand: TKG und BSI-Gesetz in der Fassung vom 22.10.2026, Telekommunikations-Überwachungsverordnung (TKÜV) in der Fassung vom 22.10.2026, geprüft am 06.11.2026. Diese Seite ordnet allgemein ein und ist keine Rechtsberatung. Welche Pflichten Ihr Unternehmen im Einzelfall treffen, klärt eine Rechtsanwältin oder ein Rechtsanwalt. Ob Ihr Netz öffentlich ist und Sie Dienste erbringen, prüfen Sie vorab mit der Seite Bin ich TK-Anbieter?.

Welche Pflichten hat ein Glasfaser-ISP, und in welcher Reihenfolge?

Zuerst die, an denen Fristen hängen oder auf denen alles andere aufbaut. Die Fristen in der Tabelle stehen im Gesetz, die Reihenfolge ist unsere Empfehlung. Einzelheiten zu jeder Pflicht stehen auf der verlinkten Seite.

Zwei Pflichten betreffen kleine ISP meist nicht. Kundendateien für das automatisierte Auskunftsverfahren nach § 173 braucht nur, wer Rufnummern vergibt, und nach der zugehörigen Verordnung (KDAV) erst ab mehr als 10.000 Teilnehmern. Die Sicherstellungspflichten der Notfallvorsorge nach § 185 Abs. 1 TKG treffen Diensteanbieter mit mehr als 100.000 Vertragspartnern und Netzbetreiber nur, soweit ihr Netz für deren Dienste erforderlich ist. Wer sein Netz im Open Access an einen solchen Anbieter vermietet, sollte das nach unserer Lesart prüfen.

Überwachung und Auskünfte in Kürze

Nach § 3 Abs. 2 Satz 1 Nr. 5 TKÜV muss ein Betreiber keine Überwachungseinrichtungen vorhalten, solange an seine Anlage nicht mehr als 10.000 Nutzer angeschlossen sind. Auskünfte über Verkehrsdaten nach Teil 4 TKÜV und über Bestandsdaten nach § 174 TKG bleiben unabhängig davon, und ob die Mitteilung nach § 170 Abs. 1 Nr. 3 TKG unter der Schwelle entfällt, ist offen (wir empfehlen die schriftliche Klärung bei Referat 218 der BNetzA). Schwellen, Organisation und eine Checkliste stehen auf der Seite § 170 TKG und TKÜV.

Wie kann das Netz eines regionalen Glasfaser-ISP aufgebaut sein?

Zum Beispiel aus einem oder zwei zentralen Netzknoten, einem passiven Glasfasernetz bis ins Gebäude und einer Reihe von Dienstleistern. Die Tabelle beschreibt einen möglichen Aufbau als fachliches Beispiel und ist keine Rechtsaussage, Ihr Netz kann anders aufgebaut sein. Die rechte Spalte zeigt, wo der jeweilige Teil im Sicherheitskonzept und bei den Schutzmaßnahmen auftaucht (unsere Zuordnung).

Kooperiert der ISP mit anderen Unternehmen an gemeinsam genutzten Standorten, etwa einem Netzknoten im Gebäude eines Partners, hat nach § 165 Abs. 7 jeder Beteiligte die Pflichten, soweit bestimmte Verpflichtungen nicht einem bestimmten Beteiligten zugeordnet werden können. Nach unserer Lesart sollte die Zuordnung deshalb im Vertrag stehen. Die Zertifizierungspflicht für kritische Komponenten nach § 165 Abs. 4 trifft heute nur Netzbetreiber mit erhöhtem Gefährdungspotenzial, also 5G-Mobilfunknetze.

Gibt es einen kleineren Weg für kleine Netze?

Bei der Pflicht nicht, beim Aufwand ja. § 166 kennt keine Größenschwelle, auch ein kleines Netz braucht ein Sicherheitskonzept. Das Gesetz verlangt aber angemessene Maßnahmen: Bei der Angemessenheit zählen auch die Größe des Anbieters und seine Risikoexposition (§ 165 Abs. 2), und der Aufwand darf nicht außer Verhältnis zur Bedeutung der Netze und Dienste stehen (§ 165 Abs. 6). Der Entwurf eines neuen Katalogs von Sicherheitsanforderungen (Version 2025-10, nicht erlassen) würde die Maßnahmen nach Gefährdungspotenzial abstufen, für die kleinsten Unternehmen mit den Grundmaßnahmen der Stufe a). Was der Entwurf sonst ändern würde, steht auf der Seite Katalog von Sicherheitsanforderungen.

Für bestehende kleine Netze gibt es die Kompakt-Überarbeitung, Bedingungen und Festpreis stehen auf der Seite Sicherheitskonzept nach § 166 TKG.

Beispiel: Fahrplan für die ersten 90 Tage

Fiktives Beispiel, kein Kunde. Ein Glasfaser-ISP mit 8 Beschäftigten betreibt seit 2021 ein Netz in einer Kleinstadt und zwei Ortsteilen mit rund 2.400 Anschlüssen. Er verkauft Internetzugang als eigenes Produkt, Telefonie mit eigenen Rufnummern über einen Vorleister. Das Sicherheitskonzept stammt von 2021 und ist noch nach § 109 TKG alter Fassung geschrieben, Beanstandungen der BNetzA gibt es nicht. Die neue Geschäftsführerin will die Pflichten in einem Quartal ordnen.

Der Plan ist unsere Empfehlung für dieses Beispiel. Die Spalte „Pflicht“ nennt die Fundstelle, die Spalte „Ergebnis“ das Dokument, das am Ende vorliegen soll. Für Ihr Unternehmen ersetzen Sie die Wochen durch Daten und tragen Verantwortliche ein.

Ein neu startender ISP geht ähnlich vor, nur früher: Meldung nach § 5 und Bestandsdaten vor dem ersten Anschluss, Konzept vor dem Netzstart fertig, damit es unverzüglich vorgelegt werden kann.

Drei typische Lücken

Wie wir unterstützen

Wir bringen Sicherheitskonzepte kleiner und mittlerer Netze auf den geltenden Rechtsstand, für kleine Netze im Kompakt-Weg, und helfen bei Meldeablauf und Nachweisen. Wo Sie heute stehen, zeigt die Statusprüfung Stufe 1. Wir waren als Sicherheitsbeauftragte nach § 166 TKG tätig, haben Sicherheitskonzepte erstellt, aktualisiert und mit der Bundesnetzagentur abgestimmt.