Katalog von Sicherheitsanforderungen nach § 167 TKG: Version 2.0 und Entwurf 2025-10

Rechtsstand: TKG in der Fassung vom 22.10.2026, geprüft am 06.11.2026. Katalog von Sicherheitsanforderungen: gültig ist Version 2.0 vom 29.04.2020, der Entwurf Version 2025-10 ist nicht erlassen. Welche Schutzmaßnahmen das Gesetz verlangt, steht auf der Seite Schutzmaßnahmen nach § 165 TKG, wie die Maßnahmen ins Konzept kommen, auf der Seite Sicherheitskonzept nach § 166 TKG. Die Darstellung ist allgemeine Information und keine Rechtsberatung. Welche Anforderungen Ihr Unternehmen im Einzelfall treffen, klärt eine Rechtsanwältin oder ein Rechtsanwalt.

Was regelt der Katalog nach § 167 TKG?

Der Katalog übersetzt die allgemein formulierten Pflichten aus § 165 Abs. 1 bis 7 TKG in konkrete Anforderungen. Die Bundesnetzagentur (BNetzA) legt ihn nach § 167 Abs. 1 im Einvernehmen mit dem BSI und der oder dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI) durch Allgemeinverfügung fest. Er regelt die Einzelheiten der Maßnahmen nach § 165 Abs. 1 bis 7, abgestuft nach dem Gefährdungspotenzial der Netze und Dienste, welche Funktionen kritisch sind und wer erhöhtes Gefährdungspotenzial hat.

Vor dem Erlass erhalten Hersteller und die Verbände der Netzbetreiber und Diensteanbieter Gelegenheit zur Stellungnahme. § 167 selbst verweist an zwei Stellen auf Vorschriften des BSI-Gesetzes, die es so nicht mehr gibt (Abs. 1 Nr. 2 und Abs. 2). Der Entwurf des TKG-Änderungsgesetzes 2026 würde nur den Verweis in Abs. 2 korrigieren.

Welcher Katalog gilt heute?

• Gültig: der Katalog Version 2.0 mit Stand 29.04.2020. Die BNetzA führt ihn und die Allgemeinverfügung dazu als „aktuell noch gültig“. Erlassen wurde er mit Allgemeinverfügung Nr. 63/2021 vom 25.08.2021, zuletzt geändert durch Allgemeinverfügung Nr. 57/2022 vom 29.06.2022.
• Dazu: die Liste der kritischen Funktionen mit Stand 18.08.2021 und die Allgemeinverfügung zu den Umsetzungsfristen für kritische Komponenten.
• Entwurf: Version 2025-10, am 19.11.2025 im Amtsblatt 22/2025 veröffentlicht, Stellungnahmen bis 16.01.2026 (verlängerte Frist). Erlassen ist er nicht, ein Datum nennt die BNetzA nicht (Stand 06.11.2026).

Warum der Katalog 2.0 noch das alte TKG zitiert

Der Katalog 2.0 ist nach § 109 TKG in der Fassung vor dem 01.12.2021 erstellt und zitiert durchgehend diese Vorschrift und Begriffe des TKG 2004, etwa „Diensteanbieter“ mit Verweis auf § 3 Nr. 6 TKG, wo heute der Begriff Bestandsdaten steht. Die Pflichten selbst folgen heute aus §§ 165 bis 169 TKG, die Datenschutzvorschriften für die Telekommunikation aus dem Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG). Beim Lesen hilft diese Übersetzung (unsere Zuordnung nach dem Inhalt der Vorschriften):

Wie ist der Katalog 2.0 aufgebaut?

Der Katalog hat sieben Kapitel und zwei Anlagen. Für alle Netzbetreiber und Diensteanbieter zwingend ist Kapitel 3, die Anlagen gelten nur für bestimmte Anbieter:

Was verlangt Kapitel 3 in jedem Abschnitt?

Kapitel 3 ist der Kern. Die Angemessenheit einer Maßnahme beurteilt zunächst das Unternehmen selbst, die Anforderungen sind ausdrücklich weder abschließend noch unveränderlich. Die Tabelle nennt je Abschnitt die wichtigsten, den Wortlaut enthält das PDF der BNetzA:

Kapitel 5 ergänzt die Maßnahmengrundsätze nach Kritikalität. Der Katalog 2.0 kennt drei Stufen: Standard für alle öffentlichen Netze und Dienste, gehoben bei größerer Bedeutung für das Gemeinwohl (Anhaltspunkt: mehr als 100.000 Teilnehmer) und erhöht, derzeit nur 5G. Bei gehobener Kritikalität kommen Maßnahmen gegen Naturkatastrophen, schwere Unfälle, Sabotage und Terroranschläge hinzu. Den Ausschlag gibt aber die konkrete Gefährdungsanalyse des Unternehmens. Wie das im Konzept aussieht, zeigt die Seite Sicherheitskonzept nach § 166 TKG, wie Sie Nachweise nach den Abschnitten des Katalogs für eine Überprüfung ordnen, die Seite Überprüfung durch die Bundesnetzagentur.

Was steht in Anlage 1 und Anlage 2?

Anlage 1 gilt zusätzlich für Anbieter mit eigener IP-Infrastruktur, nach unserer Einschätzung also für die meisten Glasfaser-, Kabel- und Funknetzbetreiber, die Internetzugang über ein eigenes IP-Netz anbieten. Sie behandelt Infrastruktur (DDoS-Schutz, Inter-Domain-Routing), Monitoring und Endnutzerdienste: Internetzugang, VoIP mit erreichbaren Notrufnummern und Schutz vor TDoS, DNS mit DNSSEC. Passwörter sind mindestens gehasht und mit Salt zu speichern.

Anlage 2 gilt nur bei erhöhtem Gefährdungspotenzial, das nach der geltenden Allgemeinverfügung nur Betreiber öffentlicher 5G-Mobilfunknetze haben. Sie verlangt unter anderem die Zertifizierung kritischer Komponenten, vertrauenswürdige Hersteller und Lieferanten, Produktintegrität, Sicherheitsmonitoring und Diversität.

Die Liste der kritischen Funktionen mit Stand 18.08.2021 gilt ebenfalls nur bei erhöhtem Gefährdungspotenzial, heute also für 5G. Aus ihr ergeben sich die kritischen Komponenten, die nach § 165 Abs. 4 TKG vor dem ersten Einsatz zertifiziert sein müssen.

Was ändert der Entwurf 2025-10?

Alles in diesem Abschnitt ist Entwurf und keine geltende Rechtslage. Die BNetzA nennt als wesentliche Änderungen die Abstufung der Maßnahmen nach drei Gefährdungspotenzialen, neue Maßnahmen für 5G mit einer neuen Liste kritischer Funktionen und eine Verhältnismäßigkeitsprüfung beim Erlass als Verwaltungsakt. Der Entwurf hat drei Teile: Teil A ist die Allgemeinverfügung mit Begründung, Teil B der Katalog mit den Kapiteln 1 bis 6, Teil C eine Technische Spezifikation für paketvermittelte Netze (unter anderem DDoS, Inter-Domain-Routing, DNS und E-Mail-Sicherheit).

Gefährdungspotenziale und Maßnahmenkategorien laut Entwurf

Die Stufen sind im Entwurf nicht trennscharf: Nach dem Wortlaut des Tenors schließt die Gruppe „gehoben“ die Gruppe „normal“ ein, und die Aufzählung zum erhöhten Potenzial endet mit einem offenen „oder“. Der Entwurf spricht teils von „Personen“, teils von „Mitarbeitern“, wir schreiben einheitlich Beschäftigte. Belastbar sind die Kriterien erst in der erlassenen Fassung.

Neue Gliederung der Maßnahmen

Kapitel 4 des Entwurfs fasst die Maßnahmen in zehn Bereichen 4.1 bis 4.10 mit Sicherheitszielen und Maßnahmen der Kategorien a), b) und c) zusammen. Was gegenüber dem Katalog 2.0 neu hinzukäme, zeigt die rechte Spalte der Vergleichstabelle unten. Kapitel 5 gilt nur für 5G und regelt unter anderem kritische Komponenten, Zertifizierung und Diversität.

Vergleichstabelle: Katalog 2.0 und Entwurf 2025-10

Die folgende Tabelle ist unser Arbeitsprodukt aus den beiden PDF-Fassungen der BNetzA. Der erste Teil vergleicht die Struktur, der zweite ordnet jeden Abschnitt aus Kapitel 3 des Katalogs 2.0 dem Bereich des Entwurfs zu, in dem dasselbe Thema künftig stehen würde. Die Zuordnung folgt den Überschriften, nicht einem Abgleich jeder Einzelmaßnahme.

Offen bleibt bis zum Erlass, welche Einzelmaßnahmen in den Kategorien a), b) und c) stehen werden.

Welche Fristen gelten?

Nach § 167 Abs. 3 TKG müssen die Verpflichteten die Vorgaben eines Katalogs spätestens ein Jahr nach dessen Inkrafttreten erfüllen, wenn der Katalog keine abweichende Frist festlegt. Für den Katalog 2.0 lief diese Frist schon ab. Der Entwurf 2025-10 soll mit Bekanntgabe in Kraft treten. Während des folgenden Jahres gilt der Katalog 2.0 weiter, soweit die neuen Vorgaben noch nicht erfüllt sind, danach wird er widerrufen.

Abweichung im Entwurf: Der Entwurf nennt als Grundlage der Jahresfrist an zwei Stellen „§ 167 Abs. 2 TKG“, in den Hinweisen und im Tenor Ziffer 2. Die Jahresfrist steht im Gesetz in Abs. 3, Abs. 2 regelt die Befugnis zu den kritischen Funktionen. Es gilt der Gesetzestext.

Weil die BNetzA den Erlass nicht datiert, lässt sich heute kein Enddatum nennen.

Beispiel: Was der Vergleich für einen Kabelnetzbetreiber bedeutet

Fiktives Beispiel, kein Kunde. Ein regionaler Kabelnetzbetreiber mit 35 Beschäftigten und 7 Mio. € Jahresumsatz versorgt rund 18.000 Anschlüsse mit Internetzugang und Telefonie. Er betreibt ein eigenes IP-Kernnetz mit BGP-Anbindung an zwei Upstream-Anbieter, eigene DNS-Resolver und E-Mail-Postfächer für seine Kunden. Die Einordnung folgt dem Wortlaut der Unterlagen und ist unsere Lesart:

Wächst der Betreiber auf 50 Beschäftigte, hätte er nach dem Entwurf erhöhtes Gefährdungspotenzial, mit den Folgen nach § 165, die die Seite Schutzmaßnahmen nach § 165 TKG beschreibt.

Drei typische Lücken

Wenn Sie wissen wollen, wo Ihr Unternehmen bei den Anforderungen des Katalogs steht, beginnen Sie mit der Statusprüfung Stufe 1. Wir waren als Sicherheitsbeauftragte nach § 166 TKG tätig, haben Sicherheitskonzepte erstellt, aktualisiert und mit der Bundesnetzagentur abgestimmt.