TK-Anbieter unter NIS2: was im TKG gilt und was im BSI-Gesetz

Rechtsstand: TKG und BSI-Gesetz jeweils in der Fassung vom 22.10.2026, geprüft am 06.11.2026. Die NIS-2-Umsetzung gilt für TK-Anbieter seit dem 06.12.2025 ohne Übergangsfrist. Diese Seite ordnet allgemein ein und ist keine Rechtsberatung. Die rechtliche Einordnung Ihres Unternehmens klärt im Einzelfall eine Rechtsanwältin oder ein Rechtsanwalt.

Rolle und Meldung nach § 5 TKG in Kürze

TK-Anbieter im Sinne der Sicherheitspflichten ist, wer ein öffentliches TK-Netz betreibt oder öffentlich zugängliche TK-Dienste erbringt, so wie § 3 TKG die Begriffe definiert. Wer das gewerblich tut, muss Aufnahme, Änderung und Beendigung der Tätigkeit nach § 5 TKG unverzüglich bei der Bundesnetzagentur (BNetzA) melden, ausgenommen sind nummernunabhängige Dienste wie Messenger oder E-Mail. Begriffe, belegte Grenzfälle wie Gäste-WLAN und M2M und eine Rollenprüfung mit Begründungsfeldern stehen auf der Seite Bin ich TK-Anbieter? Meldepflicht nach § 5 TKG.

Wie stuft § 28 BSIG TK-Anbieter ein?

Ohne Größenschwelle nach unten. § 28 BSIG nennt Betreiber öffentlicher TK-Netze und Anbieter öffentlich zugänglicher TK-Dienste in beiden Gruppen, die sich lückenlos ergänzen:

Gezählt wird nach der KMU-Empfehlung der EU-Kommission 2003/361/EG. Daten von Partner- oder verbundenen Unternehmen werden nicht hinzugerechnet, wenn Ihr Unternehmen bei seiner IT unabhängig von ihnen ist (§ 28 Abs. 4). Die Ausnahme für vernachlässigbare Geschäftstätigkeiten nach § 28 Abs. 3 gilt laut BSI für TK-Anbieter nicht.

Für die Pflichten nach dem TKG macht die Unterscheidung heute nach unserer Lesart wenig aus, § 165 Abs. 2a-2d gilt für beide Gruppen gleich. Wichtig würde sie, wenn der Katalogentwurf 2025-10 oder der Entwurf des TKG-Änderungsgesetzes 2026 so kommen: Der Gesetzentwurf würde die Pflicht zur Angriffserkennung an die besonders wichtige Einrichtung knüpfen, und nach dem Katalogentwurf hätten diese Anbieter erhöhtes Gefährdungspotenzial und damit nach heutigem § 165 Abs. 3 Satz 2 dieselbe Pflicht (unsere Ableitung). Einzelheiten stehen auf der Seite Schutzmaßnahmen nach § 165 TKG.

Welche BSIG-Pflichten gelten für TK-Anbieter nicht?

Nach § 28 Abs. 5 Satz 1 Nr. 1 BSIG gelten die §§ 30, 31, 32, 35, 36, 38, 39, 61 und 62 BSIG nicht für Einrichtungen, die ein öffentliches TK-Netz betreiben oder öffentlich zugängliche TK-Dienste erbringen. Die Gegenstücke stehen im TKG:

Nicht ausgenommen ist § 33 BSIG, die Registrierung beim BSI. Rückausnahme: Die Ausnahme gilt nicht, soweit das Unternehmen daneben weitere kritische Anlagen betreibt oder durch weitere Tätigkeiten unter eine Einrichtungsart der Anlagen 1 oder 2 des BSI-Gesetzes fällt (§ 28 Abs. 5 Satz 2). Für diese Tätigkeiten gelten die BSIG-Pflichten wieder. Ein TK-Anbieter, der zusätzlich Cloud- oder Managed Services anbietet, sollte das also gesondert prüfen.

Müssen TK-Anbieter sich beim BSI registrieren?

Ja. Die Registrierungspflicht nach § 33 Abs. 1 BSIG gilt auch für TK-Anbieter. Die Frist beträgt drei Monate, nachdem ein Unternehmen erstmals oder erneut als besonders wichtige oder wichtige Einrichtung gilt. Für Anbieter, die am 06.12.2025 schon tätig waren, endete sie damit nach unserer Berechnung am 06.03.2026. Anzugeben sind unter anderem Anschrift, Kontaktdaten und die öffentlichen IP-Adressbereiche.

§ 66 BSIG ändert daran nichts. Er regelt nur, dass für § 33 Abs. 2 (Registrierung von Betreibern kritischer Anlagen) und Abs. 5 (Mitteilung von Änderungen) vorerst ältere Fassungen weiter gelten, bis eine Rechtsverordnung nach dem KRITIS-Dachgesetz in Kraft ist. Die Pflicht nach Abs. 1 ist davon nicht berührt. Registriert sich ein Unternehmen nicht, kann das BSI die Registrierung selbst vornehmen (§ 33 Abs. 3). Registriert wird im BSI-Portal, dort stehen auch die Anleitungen des BSI.

Geschäftsleitung: drei Pflichten in Kürze

Die Geschäftsleitung muss die Schutzmaßnahmen nach § 165 Abs. 2 TKG umsetzen und ihre Umsetzung überwachen, haftet bei einer Pflichtverletzung der eigenen Einrichtung nach dem Gesellschaftsrecht und muss regelmäßig an Schulungen teilnehmen. § 38 BSIG gilt für TK-Anbieter nicht, § 165 Abs. 2b-2d TKG entspricht ihm inhaltlich. Was das praktisch heißt, mit einer Vorlage für den Bericht an die Geschäftsleitung und unserem Briefing für das Leitungsorgan, steht auf der Seite Pflichten der Geschäftsleitung nach § 165 TKG.

Bußgelder in Kürze

Bußgelder hängen am einzelnen Tatbestand, für die Registrierung beim BSI sind es bis zu 500.000 € (§ 65 BSIG), für die Vorlage des Sicherheitskonzepts bis zu 300.000 € und für die Meldung nach § 168 bis zu 10.000 € (§ 228 TKG). Für § 165 einschließlich der Mindestmaßnahmen und der Pflichten der Geschäftsleitung enthält § 228 keinen Tatbestand, und die hohen Rahmen des BSI-Gesetzes knüpfen an Vorschriften an, die nach § 28 Abs. 5 BSIG für TK-Anbieter nicht gelten. Alle Tatbestände mit Höchstbeträgen und die Anordnungen der BNetzA stehen auf der Seite Bußgelder nach § 228 TKG.

Stadtwerke in Kürze

Betreibt ein Stadtwerk ein Glasfasernetz und bietet darüber Internetzugang oder Telefonie an, ist es für diese Sparte TK-Anbieter mit allen Pflichten dieser Seite. Energieversorgungsnetze und Energieanlagen, die den §§ 5c bis 5e EnWG unterliegen, sind nach § 28 Abs. 5 Satz 1 Nr. 2 BSIG ebenfalls ausgenommen. Für Trinkwasser, Fernwärme, Stromvertrieb oder Ladepunkte gelten nach unserer Lesart über die Rückausnahme in Satz 2 die BSIG-Pflichten wieder. Welche Pflicht zu welcher Sparte gehört, mit einer Pflichtenzuordnung zum Übernehmen, steht auf der Seite Stadtwerke mit TK-Sparte.

Ausländische Anbieter

Wer mit Sitz im Ausland in Deutschland öffentliche TK-Netze betreibt oder Dienste erbringt, unterliegt nach unserer Lesart dem TKG (§ 1 Abs. 2) und braucht wie jeder Verpflichtete einen in der EU ansässigen Ansprechpartner nach § 166 Abs. 1 Nr. 2. Was für Anbieter mit Sitz im Ausland im Einzelnen gilt, von der Meldung nach § 5 TKG bis zur offenen Frage der BSI-Registrierung, steht mit Checkliste auf TK-Anbieter mit Sitz im Ausland.

Beispiel: Rollenmatrix für drei Anbieter

Fiktive Beispiele, keine Kunden. Die Matrix zeigt, wie sich die Pflichten nach Rolle und Größe unterscheiden. Sie ist unsere Einordnung nach dem Gesetzeswortlaut und ersetzt keine Prüfung im Einzelfall.

In welcher Reihenfolge die Pflichten für einzelne Anbietergruppen anstehen, zeigen die Seiten Pflichten als Glasfaser-Netzbetreiber, VoIP und Cloud-Telefonie, WLAN und Hotspots und Stadtwerke mit TK-Sparte.

Drei typische Lücken

Selbstcheck und Beratung

Mit zehn Fragen können Sie prüfen, welche Punkte bei Ihnen noch offen sind. Der Selbstcheck für TK-Anbieter liegt bis zum Umzug noch auf www.blackfort-tec.de. Für eine fachliche Einordnung mit Konzeptabgleich siehe die Statusprüfung Stufe 1. Wir waren als Sicherheitsbeauftragte nach § 166 TKG tätig, haben Sicherheitskonzepte erstellt, aktualisiert und mit der Bundesnetzagentur abgestimmt.