Kritische Komponenten im TK-Netz: § 165 Abs. 4 TKG, Liste kritischer Funktionen und § 41 BSIG

Rechtsstand: TKG und BSI-Gesetz in der Fassung vom 22.10.2026, Katalog von Sicherheitsanforderungen Version 2.0 vom 29.04.2020 mit der Liste der kritischen Funktionen vom 18.08.2021 (gültig), Entwurf des Katalogs Version 2025-10 (nicht erlassen), Entwurf des TKG-Änderungsgesetzes 2026 (nicht verabschiedet), geprüft am 06.11.2026. Die Darstellung ist allgemeine Information und keine Rechtsberatung. Ob eine Pflicht Ihr Unternehmen trifft, klärt im Einzelfall eine Rechtsanwältin oder ein Rechtsanwalt.

Wen trifft die Zertifizierungspflicht nach § 165 Abs. 4 TKG?

Heute nur Betreiber öffentlicher 5G-Mobilfunknetze mit Frequenzzuteilung. § 165 Abs. 4 TKG lautet: Kritische Komponenten „dürfen von einem Betreiber öffentlicher Telekommunikationsnetze mit erhöhtem Gefährdungspotenzial nur eingesetzt werden, wenn sie vor dem erstmaligen Einsatz von einer anerkannten Zertifizierungsstelle überprüft und zertifiziert wurden“. Wer erhöhtes Gefährdungspotenzial hat, legt die Allgemeinverfügung zum Katalog von Sicherheitsanforderungen fest, und dort stehen derzeit nur die 5G-Netzbetreiber mit Frequenzzuteilung. Der Katalog 2.0 sagt dasselbe.

Daraus folgen zwei Grenzen. Die Pflicht trifft nur Netzbetreiber, ein VoIP-Anbieter ohne eigenes Netz ist nach dem Wortlaut nicht erfasst. Und ein regionaler Glasfaser-ISP, die TK-Sparte eines Stadtwerks oder ein Kabelnetzbetreiber ohne 5G-Mobilfunk haben heute kein erhöhtes Gefährdungspotenzial. Für sie gelten die übrigen Schutzmaßnahmen nach § 165 TKG, die Seite Schutzmaßnahmen nach § 165 TKG gibt die Übersicht.

Was ist eine kritische Komponente im TK-Netz?

Eine Komponente, die eine kritische Funktion ganz oder teilweise realisiert. Welche Funktionen kritisch sind, legt die Bundesnetzagentur (BNetzA) nach § 167 Abs. 1 Nr. 2 TKG im Katalog von Sicherheitsanforderungen fest. Gültig ist die Liste der kritischen Funktionen mit Stand 18.08.2021. Sie gilt für Netze und Dienste mit erhöhtem Gefährdungspotenzial und listet Funktionen des 5G-Netzes in sechs Kategorien:

Bei den Kategorien c) bis f) kann der Netzbetreiber im Einzelfall von der Einstufung abweichen, wenn er plausibel und begründet darlegt, dass von der Funktion keine Kritikalität ausgeht. Die Begründung gehört nach der Liste ins Sicherheitskonzept. Eine Komponente bleibt kritisch, sobald sie zusätzlich eine Funktion nach a) oder b) oder eine weitere, nicht ausgenommene Funktion nach c) bis f) erfüllt.

Die Verweise in diesem Bereich sind brüchig. § 167 Abs. 1 Nr. 2 TKG nennt eine Fundstelle im BSI-Gesetz („§ 2 Nummer 23 Buchstabe c Doppelbuchstabe bb“), die es im BSI-Gesetz von 2025 nicht mehr gibt, und die Liste selbst stützt sich noch auf § 109 TKG und § 2 Abs. 13 BSIG in alter Fassung. Nach unserer Lesart sollte man sich deshalb an § 165 Abs. 4 TKG und an die Liste halten und nicht an die Verweiskette.

Was verlangen Katalog und Liste von betroffenen Netzbetreibern?

Ein festes Verfahren in drei Schritten. Die Liste beschreibt es in Kapitel 4, Anlage 2 des Katalogs ergänzt die Anzeige:

1. Alle Komponenten ermitteln. Der Netzbetreiber erstellt eine detaillierte Beschreibung aller identifizierten Komponenten seines Netzes und fügt sie dem Sicherheitskonzept bei, unabhängig davon, ob sie kritische Funktionen realisieren.
2. Kritische Komponenten bestimmen. Jede Komponente, die eine Funktion der Liste ganz oder teilweise realisiert, ist grundsätzlich kritisch. Ausnahmen bei c) bis f) werden im Sicherheitskonzept begründet.
3. Dokumentieren, anzeigen, zertifizieren. Kritische Komponenten werden identifiziert und dokumentiert, der Netzbetreiber zeigt den geplanten Einbau bei BSI und BNetzA an (Anlage 2 des Katalogs, Kap. 2.3). Eingesetzt werden dürfen sie ab dem Stichtag nur mit Zertifikat.

Mit einem Zertifikat ist nach Anlage 2 keine direkte Aussage über die Vertrauenswürdigkeit des Lieferanten verbunden. Die Bezugsquelle ist deshalb gesondert zu bewerten, wie es die Seite Lieferkette im TK-Netz für alle TK-Anbieter beschreibt.

Ab wann gilt die Zertifizierung, und warum widersprechen sich die Fristen?

Nach der Allgemeinverfügung zu den Umsetzungsfristen gilt je Komponente ein eigener Stichtag: spätestens der letzte Tag des 24. Monats, nachdem die Zertifizierung des Produkts nach BSI TR-03163 erstmals möglich ist, frühestens der 01.01.2026. Bis zum Stichtag dürfen nicht zertifizierte Komponenten erstmals eingesetzt werden, der Betreiber muss dann aber geeignete Vorkehrungen zur Gefahrenabwehr treffen. Bestandskomponenten, die schon im Einsatz sind, müssen nicht nachträglich zertifiziert werden. Die Pflicht bezieht sich auf jeden erstmaligen Einsatz einer einzelnen Komponente nach dem Stichtag, auch wenn sie baugleich mit einer Bestandskomponente ist.

Anlage 2 des Katalogs von Sicherheitsanforderungen in der veröffentlichten Fassung nennt ein anderes Datum: Für kritische Komponenten, die nach dem 31.12.2025 in Betrieb genommen werden, gelten dort die Anforderungen an zertifizierte Komponenten. Die Allgemeinverfügung ist die spätere Regelung und ersetzt nach ihrem eigenen Wortlaut das Kapitel 2.4 der Anlage 2. Die beiden Texte stehen trotzdem nebeneinander auf der Seite der BNetzA. Wir stellen beide Daten dar. Nach ihrem Wortlaut tritt die Allgemeinverfügung an die Stelle von Kap. 2.4, die Einordnung im Einzelfall bleibt zu prüfen. Den Stichtag für einen Produkttyp veröffentlicht nach der Allgemeinverfügung das BSI auf seiner Website.

Was regelt die BSI TR-03163?

Sie benennt die zulässigen Zertifizierungsschemata für kritische Komponenten in Netzen mit erhöhtem Gefährdungspotenzial und richtet sich nach Angabe des BSI hauptsächlich an die Hersteller. Aktuell sind die Version 1.4 der Richtlinie und die Version 1.6 ihres Anhangs A, der die zulässigen Anforderungsdokumente auflistet und fortlaufend aktualisiert wird. Für § 165 Abs. 4 zählt nur ein Zertifikat, das auf einem dieser Anforderungsdokumente beruht. Das BSI nennt dazu unter anderem NESAS, die Beschleunigte Sicherheitszertifizierung, Common Criteria und europäische Cybersicherheitszertifikate. Ob ein vorhandenes Zertifikat passt, steht im Zertifikat oder im Zertifizierungsreport, oder man fragt den Hersteller. Den Text der Richtlinie selbst stellen wir hier nicht dar. Ansprechpartner beim BSI ist das Referat S 32, tr-5g@bsi.bund.de.

Was der Entwurf an § 165 Abs. 4 ändern würde

Der Regierungsentwurf (BT-Drs. 21/8277) fasst § 165 Abs. 4 neu. Statt am erhöhten Gefährdungspotenzial hinge die Pflicht dann an zwei Merkmalen: Der Netzbetreiber ist eine besonders wichtige Einrichtung nach § 28 Abs. 1 Satz 1 Nr. 3 BSIG, und die kritische Komponente wird im Kernnetz eingesetzt. Dringende Sicherheitsupdates dürften nachträglich zertifiziert werden, und die BNetzA könnte im Einvernehmen mit dem BSI per Allgemeinverfügung weitere zertifizierungspflichtige Komponenten festlegen. Was zum Kernnetz gehört, bestimmt der Entwurf nach unserer Durchsicht nicht näher. Der Entwurf ist nicht verabschiedet, die Anhörung im Bundestag war am 04.11.2026 (Stand 06.11.2026). Den Stand des Verfahrens verfolgt die Seite TKG-Änderungsgesetz 2026.

Für einen regionalen Netzbetreiber mit mindestens 50 Beschäftigten oder mit Jahresumsatz und Jahresbilanzsumme über je 10 Mio. € heißt das nach unserer Lesart: Heute gilt die Pflicht nicht, mit dem Gesetz in der Entwurfsfassung käme sie für seine Kernnetzkomponenten. Ein Inventar, wie es das Beispiel unten zeigt, ist dafür die Vorbereitung.

Wann gilt § 41 BSIG für TK-Anbieter?

Nur wenn der TK-Anbieter Betreiber einer kritischen Anlage ist. § 41 BSIG erlaubt dem Bundesministerium des Innern, im Benehmen mit dem Bundesministerium für Digitales und Staatsmodernisierung einem Betreiber kritischer Anlagen den Einsatz kritischer Komponenten eines Herstellers zu untersagen oder Anordnungen dazu zu erlassen, wenn der Einsatz die öffentliche Ordnung oder Sicherheit voraussichtlich beeinträchtigt. Berücksichtigt werden kann unter anderem, ob ein Drittstaat den Hersteller kontrolliert. Die Untersagung kann auf weitere Komponenten desselben Herstellers und per Allgemeinverfügung auf alle Betreiber kritischer Anlagen erstreckt werden, Widerspruch und Klage haben keine aufschiebende Wirkung. Der Betreiber muss bei der Ermittlung mitwirken, ein Verstoß gegen diese Mitwirkungspflicht ist nach § 65 BSIG mit einer Geldbuße bis 5 Mio. € bewehrt.

Eine allgemeine Anzeige- oder Garantiepflicht vor dem Einsatz enthält § 41 BSIG in der geltenden Fassung nicht, auch wenn ältere Darstellungen sie noch beschreiben. Für TK-Anbieter gilt § 41 neben dem TKG, weil § 28 Abs. 5 BSIG ihn nicht von der Anwendung ausnimmt (unsere Ableitung aus der abschließenden Aufzählung). Ob ein Anbieter eine kritische Anlage betreibt, richtet sich nach § 2 Nr. 22 BSIG in Verbindung mit dem KRITIS-Dachgesetz. Die Schwellen dafür stellen wir auf dieser Seite nicht dar.

Eine Einschränkung gilt nach unserer Lesart: Kritische Komponenten im Sinne des BSI-Gesetzes sind nur IKT-Produkte, die eine Rechtsverordnung nach § 56 Abs. 6 BSIG als solche bestimmt. Eine solche Verordnung für den TK-Sektor haben wir nicht gefunden (Stand 06.11.2026). Welche Komponenten § 41 BSIG heute im TK-Netz erfasst, ist damit offen.

Beispiel: Inventar kritischer Funktionen und Komponenten

Fiktives Beispiel, kein Kunde. Ein regionaler Netzbetreiber mit 70 Beschäftigten betreibt ein FTTH- und Geschäftskundennetz mit eigenem IP-Kernnetz und einer Sprachplattform, ohne Mobilfunk. Als besonders wichtige Einrichtung wäre er vom Entwurf des TKG-Änderungsgesetzes erfasst. Heute hat er kein erhöhtes Gefährdungspotenzial und muss nichts zertifizieren. Er führt das Inventar trotzdem, um bei einer Gesetzesänderung oder einer Anordnung nach § 41 BSIG schnell zu wissen, welche Hersteller und Typen betroffen wären. Alle Angaben sind erfunden.

Die Liste der kritischen Funktionen gilt für 5G-Netze. Die Spalte „nächste Kategorie der Liste“ ist deshalb unsere Orientierung für ein Festnetz und keine Einstufung. Die Spalte „Kernnetz nach Entwurf“ ist unsere Einschätzung, weil der Entwurf den Begriff nicht bestimmt.

Je Zeile führt das Unternehmen den genauen Typ, die Softwareversion und den Standort. Das Inventar ist zugleich die Komponentenbeschreibung, die die Liste für das Sicherheitskonzept verlangen würde, wenn das Unternehmen einmal betroffen ist, und es ergänzt die Lieferantenbewertung. Wie ein Sicherheitskonzept gegliedert ist, beschreibt die Seite Sicherheitskonzept nach § 166 TKG.

Drei typische Lücken

Wenn Sie wissen wollen, wo Ihr Unternehmen bei den Pflichten nach TKG insgesamt steht, beginnen Sie mit der Statusprüfung Stufe 1. Wir waren als Sicherheitsbeauftragte nach § 166 TKG tätig, haben Sicherheitskonzepte erstellt, aktualisiert und mit der Bundesnetzagentur abgestimmt.