ISMS nach ISO 27001 und Sicherheitskonzept nach § 166 TKG: was passt, was fehlt

Rechtsstand: TKG in der Fassung vom 22.10.2026. Katalog von Sicherheitsanforderungen nach § 167 TKG: gültig ist Version 2.0 vom 29.04.2020, der Entwurf Version 2025-10 ist nicht erlassen. Normen: ISO/IEC 27001:2022, ISO/IEC 27011:2024. Geprüft am 06.11.2026. Diese Seite gibt allgemeine Informationen und ist keine Rechtsberatung. Ob Ihr Konzept im Einzelfall den Anforderungen genügt, klärt im Zweifel eine Rechtsanwältin oder ein Rechtsanwalt.

Diese Seite richtet sich an TK-Anbieter, die schon ein Informationssicherheits-Managementsystem nach ISO/IEC 27001 haben oder eines aufbauen, und ihr Sicherheitskonzept nach § 166 TKG darauf stützen wollen. Wie das Konzept insgesamt aufgebaut, erklärt und vorgelegt wird, steht auf der Seite Sicherheitskonzept nach § 166 TKG, was der Katalog je Kapitel verlangt, unter Katalog von Sicherheitsanforderungen nach § 167 TKG.

Ersetzt ein ISO-27001-Zertifikat das Sicherheitskonzept?

Nein. Weder der Katalog 2.0 noch der Entwurf 2025-10 sehen vor, dass ein Zertifikat nach ISO/IEC 27001 das Sicherheitskonzept, die Umsetzungserklärung oder die Überprüfung durch die Bundesnetzagentur ersetzt. Wir haben beide Dokumente vollständig nach „Zertifikat“, „27001“, „ISMS“ und „anerkannt“ durchsucht und keine solche Regel gefunden. Nach unserer Lesart bleiben damit drei Pflichten eigenständig:

• das Konzept nach § 166 Abs. 1 Nr. 3 TKG mit Netz und Diensten, Gefährdungen und Schutzmaßnahmen, als zusammenhängendes Dokument,
• die Vorlage bei der Bundesnetzagentur: für Netzbetreiber unverzüglich nach Aufnahme des Netzbetriebs, für Diensteanbieter auf Anforderung (§ 166 Abs. 2), bei geänderten Gegebenheiten erneut (Abs. 4 Satz 2),
• die Erklärung, dass die Maßnahmen umgesetzt sind oder unverzüglich umgesetzt werden (§ 166 Abs. 3), nach dem Katalog in Schriftform.

Im Energiesektor ist die Norm enger eingebunden: Dort bilden ISO/IEC 27001, 27002 und 27019 die Grundlage der IT-Sicherheitskataloge. Eine Anrechnung zwischen beiden Regelwerken sehen weder § 5c EnWG noch §§ 165 bis 167 TKG vor. Was das für ein Stadtwerk mit TK-Sparte bedeutet, behandelt die Seite Stadtwerke mit TK-Sparte.

Was sagt der Katalog zu Normen wie ISO 27001?

Der Katalog 2.0 lässt Normen als Grundlage der Maßnahmen ausdrücklich zu. In Kap. 5.1.6 heißt es, das Unternehmen sei grundsätzlich nicht gezwungen, die Schutzmaßnahmen auf der Grundlage seiner eigenen Analyse festzulegen. Eine Festlegung könne auch auf der Grundlage geeigneter Standards und Normen erfolgen, genannt sind BSI-Standards, die IT-Grundschutz-Methodik und DIN ISO/IEC-Normen. Im Literaturverzeichnis stehen ISO/IEC 27001 und 27002, jeweils in der deutschen Fassung von 2017.

Der Entwurf 2025-10 geht weiter: Seine Sicherheitsziele und Maßnahmen seien aus bestehenden Normen abgeleitet, die man zur Umsetzung verwenden könne. Die Übersicht nennt unter anderem ISO 27001/27002 und ISO 22301. Zugleich soll dort der IT-Grundschutz des BSI die Basis bilden und bei allen Sicherheitszielen mit berücksichtigt werden. Der Entwurf ist nicht erlassen.

Nach unserer Lesart erlaubt Kap. 5.1.6, die Auswahl der Maßnahmen auf eine Norm zu stützen. Die übrigen Inhalte des Konzepts bleiben: Beschreibung von Netz und Diensten, Gefährdungen und die Darlegung, wie die Maßnahmen die Pflichten aus § 165 TKG in der Ausprägung des Katalogs erfüllen. Gibt der Katalog nur ein Sicherheitsziel vor, verlangt § 166 Abs. 1 Nr. 3 Buchst. c die Darlegung, dass die Maßnahmen das Ziel vollumfänglich erreichen.

Was lässt sich aus dem ISMS übernehmen?

Nach unserer Einordnung lassen sich aus einem eingeführten ISMS vor allem diese Bausteine übernehmen, sofern der Geltungsbereich Netz und Dienste umfasst:

• Risikomethode und Risikoregister (ISO/IEC 27001 Abschnitte 6.1.2, 6.1.3, 8.2, 8.3) als Grundlage der konkreten Gefährdungsanalyse nach Katalog 2.0 Kap. 5.1.4.
• Inventar der Werte (Anhang A 5.9) als Ausgangspunkt für den Netzstrukturplan nach Kap. 5.1.1 und das Asset Management nach Kap. 3.4.3.
• Erklärung zur Anwendbarkeit (Abschnitt 6.1.3 d) als Liste der Maßnahmen mit Umsetzungsstand, die im Konzept den Kapiteln des Katalogs zugeordnet wird.
• Richtlinien und Nachweise zu Zugriff, Änderungen, Lieferanten, Personal, Protokollierung und Datensicherung.
• Vorfall- und Notfallprozesse (Anhang A 5.24 bis 5.30) als Grundlage für Kap. 3.5 und 3.6 des Katalogs.
• Interne Audits und Managementbewertung (Abschnitte 9.2, 9.3) für die regelmäßige Beurteilung der Maßnahmen nach Kap. 3.8 und die Überprüfung des Konzepts nach Kap. 5.1.10.

Was fehlt dem ISMS für das Konzept?

ISO/IEC 27001 kennt weder das TKG noch die Bundesnetzagentur. Für das Konzept kommt deshalb hinzu:

1. Netz- und Dienstbeschreibung nach § 166 Abs. 1 Nr. 3 Buchst. a. Der Katalog 2.0 erwartet regelmäßig einen Netzstrukturplan mit fünf Strukturelementen: Systeme, Verbindungen zwischen ihnen, Außenverbindungen, Größe und Art des Netzes, geografische Ausdehnung. Dazu jeder öffentlich zugängliche Dienst mit Teilnehmerkreis.
2. Einstufung der Kritikalität nach Kap. 5.1.3: Standard, gehoben (Anhaltspunkt mehr als 100.000 Teilnehmer) oder erhöht (heute nur 5G).
3. TK-spezifische Anforderungen, für die Anhang A keine eigene Maßnahme hat: Schutz des Fernmeldegeheimnisses und der Verkehrsdaten (Kap. 4 des Katalogs, dort noch nach den Paragrafen des TKG 2004 formuliert, heute vor allem § 3 TDDDG und §§ 165 bis 169 TKG), für Anbieter mit eigener IP-Infrastruktur Anlage 1 mit Schutz vor DoS- und DDoS-Angriffen, Inter-Domain-Routing, DNSSEC und Erreichbarkeit der Notrufnummern bei VoIP.
4. Zuordnung zum Katalog: jede Maßnahme mit Verweis auf das Kapitel des Katalogs, nicht nur auf die Nummer in Anhang A.
5. Meldewege: erhebliche Sicherheitsvorfälle nach § 168 TKG an Bundesnetzagentur und BSI, Datenschutzverletzungen nach § 169 TKG. Ein ISO-Vorfallprozess kennt diese Empfänger und Fristen nicht von selbst, Einzelheiten unter Meldung nach § 168 TKG.
6. Rollen nach § 166 Abs. 1: Sicherheitsbeauftragter und EU-Ansprechpartner. Ein Informationssicherheitsbeauftragter kann die Rolle nach unserer Lesart übernehmen, wenn er dafür bestimmt ist, die Abgrenzung steht unter Sicherheitsbeauftragter nach § 166 TKG.
7. Umsetzungserklärung und Vorlage: schriftlich, unterschrieben, mit dem Konzept bei der Bundesnetzagentur.

Mapping: Katalog 2.0 und ISO/IEC 27001:2022 Anhang A

Eine Zuordnung zwischen dem Katalog von Sicherheitsanforderungen und ISO/IEC 27001 hat die Bundesnetzagentur nach unserer Recherche nicht veröffentlicht (Stand 06.11.2026). Die folgende Tabelle ist unsere eigene Zuordnung als Arbeitshilfe. Sie folgt Kap. 3 des Katalogs 2.0, der für alle Verpflichteten gilt, und nennt die Abschnitte und Maßnahmen der ISO/IEC 27001:2022 mit ihren Nummern (Anhang A umfasst 93 Maßnahmen in vier Themen; Bezeichnungen hier sinngemäß, Kapitelbezeichnungen des Katalogs verkürzt). Eine Übereinstimmung der Nummern heißt nicht, dass der Inhalt deckungsgleich ist. Was der Katalog im Einzelnen verlangt, prüfen Sie am Katalogtext.

Fiktives Beispiel, kein Kunde. Ein Stadtwerk betreibt neben dem Stromnetz ein FTTH-Netz mit zwei Netzknoten und bietet Internetzugang und Telefonie an. Sein ISMS nach ISO/IEC 27001 ist für das Stromnetz zertifiziert, das Glasfasernetz liegt außerhalb des Geltungsbereichs. Die letzte Spalte zeigt, was das Stadtwerk für das Konzept der TK-Sparte übernehmen kann und was fehlt, alle Angaben erfunden:

Im Beispiel kann das Stadtwerk Methode, Prozesse und Richtlinien weitgehend übernehmen. Neu zu schreiben sind Netz- und Dienstbeschreibung, Gefährdungsanalyse und Maßnahmen für das Glasfasernetz, die TK-Meldewege, die Bestimmung des Sicherheitsbeauftragten und die Umsetzungserklärung. Nach unserer Einschätzung lohnt es, den Geltungsbereich des ISMS bei der nächsten Überarbeitung auf das Glasfasernetz auszudehnen, dann pflegt das Stadtwerk Risiken und Nachweise an einer Stelle.

Und ISO/IEC 27011?

ISO/IEC 27011 ist ein Leitfaden zur Umsetzung von Informationssicherheitsmaßnahmen in TK-Organisationen auf Grundlage von ISO/IEC 27002. Gültig ist die Ausgabe 3 vom März 2024 (ISO/IEC 27011:2024). Die Ausgabe von 2016 ist zurückgezogen und sollte nicht mehr als aktuelle Norm zitiert werden. Ziel ist laut Abstract, dass TK-Organisationen grundlegende Anforderungen an Vertraulichkeit, Integrität und Verfügbarkeit erfüllen. Eine Aussage über eine Anerkennung durch Behörden enthält das Abstract nicht. Weder das TKG noch der Katalog 2.0 oder der Entwurf 2025-10 nennen ISO/IEC 27011. Nach unserer Lesart kann sie als Hilfe für die TK-spezifische Umsetzung dienen, verlangt wird sie nicht.

Drei typische Lücken

Vorgehen in vier Schritten

1. Geltungsbereich des ISMS gegen Netz und Dienste abgleichen, die das TKG erfasst.
2. Mit der Tabelle oben je Kapitel des Katalogs festhalten, was aus dem ISMS kommt und was fehlt.
3. Die Lücken schließen: Netz- und Dienstbeschreibung, TK-Gefährdungen, Maßnahmen, Meldewege, Rollen nach § 166 Abs. 1.
4. Konzept als zusammenhängendes Dokument erstellen, Umsetzungserklärung unterschreiben, vorlegen. Das Konzept künftig mit dem ISMS-Zyklus aus Audit und Managementbewertung prüfen und bei Änderungen anpassen.

Wer ein ISMS erst einführen will, findet dazu die ISO-27001-Beratung auf www.blackfort-tec.de. Wie sich ISO 27001 zu den NIS2-Pflichten nach dem BSIG verhält, behandelt unsere Schwesterseite nis2-readiness.de.

Wir waren als Sicherheitsbeauftragte nach § 166 TKG tätig, haben Sicherheitskonzepte erstellt, aktualisiert und mit der Bundesnetzagentur abgestimmt. Die Überarbeitung eines Konzepts zum Festpreis beschreibt die Seite Sicherheitskonzept nach § 166 TKG.