Kurzdefinition: § 165 TKG verpflichtet Anbieter von Telekommunikationsdiensten zu angemessenen Schutzmaßnahmen. Wer ein öffentliches Telekommunikationsnetz betreibt oder öffentlich zugängliche Dienste erbringt, muss angemessene technische und organisatorische Vorkehrungen gegen Störungen und zur Beherrschung der Sicherheitsrisiken treffen. Für Betreiber, die besonders wichtige oder wichtige Einrichtungen nach § 28 BSIG sind, gilt ein gefahrenübergreifender Ansatz mit zehn Mindestmaßnahmen. [N-TKG-165]
Der Normwortlaut
§ 165 Abs. 2 TKG bestimmt: „Wer ein öffentliches Telekommunikationsnetz betreibt oder öffentlich zugängliche Telekommunikationsdienste erbringt, hat … angemessene technische und organisatorische Vorkehrungen und sonstige Maßnahmen zu treffen 1. zum Schutz gegen Störungen, die zu erheblichen Beeinträchtigungen von Telekommunikationsnetzen und ‑diensten führen … und 2. zur Beherrschung der Risiken für die Sicherheit von Telekommunikationsnetzen und -diensten.“ [N-TKG-165]
Wen trifft § 165 TKG?
Anbieter von Telekommunikation. § 165 Abs. 1 TKG erfasst jeden, der Telekommunikationsdienste erbringt oder daran mitwirkt — mit Blick auf das Fernmeldegeheimnis und den Datenschutz. § 165 Abs. 2 TKG richtet sich an Betreiber öffentlicher Telekommunikationsnetze und Anbieter öffentlich zugänglicher Dienste. [N-TKG-165]
Wovor müssen die Maßnahmen schützen?
Vor Störungen und Sicherheitsrisiken. Nach § 165 Abs. 2 TKG sind Maßnahmen gegen Störungen mit erheblichen Beeinträchtigungen — auch durch äußere Angriffe und Katastrophen — sowie zur Beherrschung der Sicherheitsrisiken zu treffen. Das Sicherheitsniveau muss dem bestehenden Risiko angemessen sein. [N-TKG-165]
Was gilt für besonders wichtige und wichtige Einrichtungen?
Ein gefahrenübergreifender Ansatz. Nach § 165 Abs. 2a TKG müssen Betreiber, die besonders wichtige oder wichtige Einrichtungen nach § 28 BSIG sind, mindestens zehn Maßnahmen umsetzen — darunter Risikoanalyse, Bewältigung von Sicherheitsvorfällen, Backup- und Krisenmanagement, Lieferkettensicherheit, Schwachstellenmanagement, Kryptografie, Zugriffskontrolle und Multi-Faktor-Authentifizierung. [N-TKG-165]
Wer ist für die Umsetzung verantwortlich?
Die Geschäftsleitung. Nach § 165 Abs. 2b TKG sind die Geschäftsleitungen der betroffenen Betreiber verpflichtet, die Maßnahmen nach Absatz 2 umzusetzen und ihre Umsetzung zu überwachen. Die Verantwortung liegt damit auf der Leitungsebene. [N-TKG-165]
Wie verhält sich § 165 TKG zum BSIG?
Als sektorspezifische Parallelnorm. § 165 TKG setzt die NIS-2-Anforderungen für den Telekommunikationssektor um und verschränkt sich ausdrücklich mit den Einrichtungskategorien des § 28 BSIG. Die zehn Maßnahmen des Absatzes 2a entsprechen dem Katalog der Risikomanagementmaßnahmen. [N-TKG-165]
Häufige Fehlannahmen
- „§ 165 TKG schützt nur das Fernmeldegeheimnis.“ Nein. Absatz 2 verlangt auch Maßnahmen gegen Störungen und zur Beherrschung der Sicherheitsrisiken. [N-TKG-165]
- „Die zehn Maßnahmen treffen jeden Anbieter.“ Nein. Sie gelten für Betreiber, die besonders wichtige oder wichtige Einrichtungen nach § 28 BSIG sind. [N-TKG-165]
- „Die Umsetzung ist Sache der Technik.“ Nein. Die Geschäftsleitung muss sie umsetzen und überwachen (§ 165 Abs. 2b TKG). [N-TKG-165]
- „Angriffe von außen sind nicht erfasst.“ Doch. Die Maßnahmen erfassen auch Störungen durch äußere Angriffe und Katastrophen. [N-TKG-165]
- „Ein beliebiges Sicherheitsniveau genügt.“ Nein. Es muss dem bestehenden Risiko angemessen sein. [N-TKG-165]
- „§ 165 TKG und das BSIG stehen unverbunden nebeneinander.“ Nein. § 165 TKG verschränkt sich ausdrücklich mit § 28 BSIG. [N-TKG-165]
Was die Geschäftsleitung tun sollte
- Betroffenheit klären. Prüfen, ob der Betrieb unter § 165 TKG fällt und Einrichtung nach § 28 BSIG ist.
- Zehn Maßnahmen umsetzen. Den gefahrenübergreifenden Ansatz nach § 165 Abs. 2a TKG etablieren.
- Verantwortung wahrnehmen. Umsetzung und Überwachung als Leitungsaufgabe organisieren.
- Risikoangemessen handeln. Das Sicherheitsniveau am bestehenden Risiko ausrichten.
Für die Geschäftsleitung
§ 165 TKG bringt die NIS-2-Logik in den Telekommunikationssektor: Schutz gegen Störungen, Beherrschung der Sicherheitsrisiken und — für erfasste Einrichtungen — zehn Mindestmaßnahmen unter Verantwortung der Geschäftsleitung. Wer Netze oder Dienste betreibt, sollte den Maßnahmenkatalog und die Verschränkung mit dem BSIG im Blick behalten.
Quellen
- [N-TKG-165] § 165 TKG (Technische und organisatorische Schutzmaßnahmen), Abs. 1, 2, 2a und 2b. Amtlich: https://www.gesetze-im-internet.de/tkg_2021/__165.html
