Was seit dem 6. Dezember 2025 gilt
Neue und geänderte Pflichten für TK-Anbieter, auch für kleine Betriebe
Wer ein öffentliches TK-Netz betreibt oder öffentlich zugängliche TK-Dienste erbringt, fällt ohne Größenuntergrenze unter die NIS2-Regeln. Prüfen Sie mit zehn Fragen, welche Punkte bei Ihnen noch offen sind.
Was für Sie gilt
Anbieter öffentlicher Telekommunikationsnetze und öffentlich zugänglicher Telekommunikationsdienste sind seit dem Inkrafttreten der deutschen NIS2-Umsetzung besonders wichtige oder wichtige Einrichtungen, ohne Untergrenze bei Mitarbeiterzahl oder Umsatz (§ 28 Abs. 1 Nr. 3 und Abs. 2 Nr. 2 BSIG). Für ihre TK-Tätigkeit gelten statt der Maßnahmen- und Leitungspflichten des BSI-Gesetzes die des Telekommunikationsgesetzes (§ 28 Abs. 5 BSIG, § 165 TKG). Vor allem drei Punkte sind neu oder geändert:
Registrierung beim BSI
Spätestens drei Monate, nachdem ein Unternehmen unter die Regeln fällt, muss es sich beim BSI registrieren (§ 33 BSI-Gesetz). Für seit dem 6. Dezember 2025 erfasste Anbieter endete die Registrierungsfrist am 6. März 2026. Änderungen sind unverzüglich, spätestens binnen zwei Wochen nachzumelden.
Meldung erheblicher Sicherheitsvorfälle
An Bundesnetzagentur und BSI: Erstmeldung unverzüglich, spätestens 24 Stunden nach Kenntnis; Meldung mit erster Bewertung spätestens 72 Stunden nach Kenntnis; Abschlussmeldung spätestens einen Monat nach der zweiten Meldung (§ 168 TKG).
Aufgaben der Geschäftsleitung
Sie muss die Sicherheitsmaßnahmen umsetzen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen (§ 165 Abs. 2b und 2d TKG).
Ein vorhandenes Sicherheitskonzept nach § 166 TKG bleibt die Grundlage und lässt sich um die neuen Mindestmaßnahmen ergänzen. Den Katalog von Sicherheitsanforderungen überarbeitet die Bundesnetzagentur gerade: Der veröffentlichte Entwurf sieht drei Stufen vor (normales, gehobenes und erhöhtes Gefährdungspotenzial) und ist noch nicht verbindlich. Nach Inkrafttreten bleibt in der Regel spätestens ein Jahr zur Umsetzung.
Selbstcheck: zehn Fragen, fünf Minuten
Beantworten Sie die Fragen für Ihr Unternehmen. Ihre Antworten bleiben in Ihrem Browser und werden nicht übertragen.
1.Ist Ihr Unternehmen beim BSI registriert?
2.Haben Sie einen Sicherheitsbeauftragten bestimmt?
3.Haben Sie einen in der EU ansässigen Ansprechpartner benannt?
4.Liegt ein Sicherheitskonzept vor, das Ihr heutiges Netz und Ihre heutigen Dienste beschreibt?
5.Deckt Ihr Sicherheitskonzept die zehn Mindestmaßnahmen ab?
6.Können Sie einen erheblichen Sicherheitsvorfall binnen 24 Stunden an Bundesnetzagentur und BSI melden?
7.Ist festgelegt, wer nachts und am Wochenende über eine Meldung entscheidet?
8.Nimmt die Geschäftsleitung regelmäßig an Schulungen zur Cybersicherheit teil?
9.Überwacht die Geschäftsleitung die Umsetzung der Maßnahmen nachvollziehbar, etwa über einen regelmäßigen Bericht?
10.Kennen Sie Ihre voraussichtliche Stufe nach dem Entwurf des neuen BNetzA-Sicherheitskatalogs?
Ihr Einstieg zum Festpreis
NIS2-Pflichtenstatus TK
- fachliche Einordnung Ihres Unternehmens und Begleitung der Registrierung beim BSI
- Prüfung Ihres Sicherheitskonzepts gegen die neuen Mindestmaßnahmen (§ 165 Abs. 2a TKG)
- Vorlage für den Meldeablauf nach § 168 TKG
- priorisierte Liste der offenen Punkte
Festpreis je Gesellschaft: 2.400 € bis 49 Beschäftigte, 3.400 € ab 50 Beschäftigten, jeweils zzgl. USt. Ohne Konzeptüberarbeitung.
Maßgeblich sind die Beschäftigten der beauftragenden Gesellschaft nach Köpfen am Tag der Beauftragung. Leistung für eine juristische Person, remote. Beauftragen Sie binnen 60 Tagen nach Übergabe der Ergebnisse eine Überarbeitung Ihres Sicherheitskonzepts, rechnen wir den Preis einmal voll darauf an. Nicht enthalten: mehrere Gesellschaften, Vor-Ort- oder technische Prüfungen, die Überarbeitung des Sicherheitskonzepts (Festpreise unten) oder seine Neuerstellung (nach Angebot), laufende Behördenkorrespondenz, Rechtsberatung.
Das erste Gespräch von 30 Minuten ist unverbindlich und kostenfrei.
Seit 2019 haben wir für TK-Anbieter Sicherheitskonzepte nach § 109 und § 166 TKG erstellt und mit der Bundesnetzagentur abgestimmt; zudem waren wir als Sicherheitsbeauftragte nach § 166 TKG tätig. Bestehende Konzepte bringen wir zum Festpreis auf den geltenden Stand. Mehr zum Sicherheitskonzept selbst lesen Sie auf der Seite Sicherheitskonzept nach § 166 TKG.
Ihr Sicherheitskonzept zum Festpreis
Je Gesellschaft und Konzept, remote, zzgl. USt. Neuerstellung, ab 250 Beschäftigten und 5G-Netze nach Angebot.
- Überarbeitung nach § 166 TKG auf geltendem Rechtsstand (einschließlich § 165 Abs. 2a, 2b und 2d und § 168 TKG), mit vorbereiteter Umsetzungserklärung und einer Rückfragerunde der Bundesnetzagentur
- bis 49 Beschäftigte7.900 €
- 50 bis 249 Beschäftigte12.900 €
- Kompakt-Überarbeitung: unter 10 Beschäftigte, ein Netz, Konzept vorhanden, keine offenen Beanstandungen der Bundesnetzagentur
- bis 49 Beschäftigte4.900 €
- NIS2-Umsetzungspaket, optional: Meldeablauf, Nachweise und Schulung der Geschäftsleitung, Begleitung der BSI-Registrierung; zu Überarbeitung und Kompakt-Überarbeitung buchbar
- bis 49 Beschäftigte+ 3.900 €
- 50 bis 249 Beschäftigte+ 4.900 €
- NIS2-Umsetzungspaket einzeln für ein Konzept, das schon den geltenden Rechtsstand abbildet
- bis 49 Beschäftigte4.900 €
- 50 bis 249 Beschäftigte5.900 €
Maßgeblich sind die Beschäftigten der beauftragenden Gesellschaft nach Köpfen am Tag der Beauftragung. Ob sich Ihr Konzept überarbeiten lässt, sehen wir vor der Beauftragung kostenfrei durch.
Die Überarbeitung bildet immer den geltenden Rechtsstand ab, denn das Konzept muss die Maßnahmen zur Erfüllung von § 165 Abs. 1 bis 7 TKG beschreiben (§ 166 Abs. 1 Nr. 3 TKG). Das NIS2-Umsetzungspaket arbeitet die Verfahren dazu aus, wenn Sie sie noch nicht haben. Grundlage sind Gesetz und Katalog von Sicherheitsanforderungen am vereinbarten Stichtag; die Anpassung an einen später erlassenen Katalog ist ein eigener Auftrag.
Die Rückfragerunde umfasst unsere Antwort auf eine Rückfrage der Bundesnetzagentur zu dieser Fassung, die binnen sechs Monaten nach Übergabe eingeht. Nicht enthalten: Vor-Ort-Termine, technische Prüfungen, die Umsetzung der Maßnahmen, weitere Behördenkorrespondenz, die Rolle des Sicherheitsbeauftragten, Rechtsberatung.
Selbst machen: TK-Pflichtenpaket
Sie möchten Ihre Unterlagen selbst erstellen? Für kleine TK-Anbieter gibt es ein Paket aus Vorlagen, Tabellen und Anleitungen zu Sicherheitskonzept, Meldeablauf und Nachweisen, zum Festpreis. Ohne Beratung zum Einzelfall, aber mit 30 Minuten Einführungsgespräch per Video.
Zum TK-PflichtenpaketPflichtenkarte TK-Sicherheit
Für Betreiber öffentlicher TK-Netze und Anbieter öffentlich zugänglicher TK-Dienste. Stand: Oktober 2026.
| Pflicht | Was vorliegen sollte | Frist | Grundlage |
|---|---|---|---|
| Meldung bei der BNetzA | Beabsichtigte Aufnahme, Änderung und Beendigung der Tätigkeit; neuer Name, Rechtsform, Anschrift. | unverzüglich | § 5 TKG |
| Registrierung beim BSI | Angaben zum Unternehmen an das BSI übermitteln; Änderungen nachmelden. | 3 Monate (für seit dem 6.12.2025 erfasste Anbieter: 6.3.2026); Änderungen unverzüglich, spätestens binnen 2 Wochen | § 33 BSIG |
| Sicherheitsbeauftragter und Sicherheitskonzept | Sicherheitsbeauftragten bestimmen, EU-Ansprechpartner benennen, Konzept erstellen. Vorlage mit Umsetzungserklärung: Netzbetreiber, Diensteanbieter auf Anforderung. Bei geänderten Gegebenheiten anpassen; Vorlagepflichtige legen es erneut vor. | Netzbetreiber: Erstvorlage unverzüglich nach Netzstart; Anpassung und erneute Vorlage jeweils unverzüglich | § 166 TKG |
| Mindestmaßnahmen | U. a. Risikoanalyse, Vorfallbewältigung, Backup und Notfall, Lieferkette, Schwachstellen, Wirksamkeit, Schulungen, Verschlüsselung, Zugriffskontrolle, MFA oder kontinuierliche Authentifizierung. | laufend | § 165 Abs. 2a TKG |
| Geschäftsleitung | Maßnahmen umsetzen und überwachen, regelmäßig an Schulungen teilnehmen; bei Verletzung der Umsetzungs- oder Überwachungspflicht: Innenhaftung für schuldhaft verursachte Schäden. | laufend | § 165 Abs. 2b-2d TKG |
| Meldung erheblicher Vorfälle | An BNetzA und BSI: Erstmeldung, Meldung mit Bewertung, Abschlussmeldung (bei andauerndem Vorfall zunächst Fortschrittsmeldung). | Erstmeldung unverzüglich, spätestens 24 h nach Kenntnis; Meldung mit erster Bewertung spätestens 72 h nach Kenntnis; Abschlussmeldung spätestens 1 Monat nach der zweiten Meldung | § 168 TKG |
| Katalogentwurf (Ausblick) | Drei Gefährdungsstufen vorgesehen, noch nicht verbindlich; voraussichtliche Stufe und Anpassungsbedarf prüfen. | in der Regel spätestens 1 Jahr nach Inkrafttreten | § 167 TKG |
Diese Übersicht fasst gesetzliche Pflichten zusammen und ersetzt keine Rechtsberatung. Anbieter mit Sitz im Ausland finden eine englische Fassung unter German security obligations for telecom providers.