Sicherheitskonzept
nach § 166 TKG

Das Energiewirtschaftsgesetz fordert von Strom- und Gasnetz- bzw. Anlagenbetreibern den Aufbau bzw. Betrieb eines „Informationssicherheitsmanagement-Systems“ (ISMS). Die Basis hierfür bildet der „IT-Sicherheitskatalog gemäß § 11 Absatz 1a Energiewirtschaftsgesetz“ der Bundesnetzagentur (BNetzA) sowie die Norm DIN EN ISO 27001. Im Gegensatz zu anderen Branchen (z.B. Telekommunikation) ist hier eine externe Zertifizierung des ISMS Pflicht.

Neben dem Energiewirtschaftsgesetz ist es auch die Gesetzgebung zur Kritischen Infrastruktur, die entsprechenden Sicherheitskonzepte und Maßnahmen fordert. Unternehmen des Sektors „Energie“ können je nach Größe und Bedeutung als originäre Kritische Infrastruktur gelten und / oder nach NIS-2-Umsetzungsgesetz auch als „wichtige“ oder „besonders wichtige Einrichtung“ eingestuft sein. Weitere Anforderungen kann auch das KRITIS-Dachgesetz enthalten, wenn es für ein Energieunternehmen aufgrund der Anzahl der „zu versorgenden Einwohner“ relevant ist.

Die BNetzA kündigt bereits das Erschienen einer Neufassung des IT-Sicherheitskataloges an, womit künftig strengere Regeln zur IT-Sicherheit gelten werden. 

Sofern Sie Ihr Sicherheitskonzept neu erstellen, überarbeiten bzw. aktualisieren müssen, sind wir der geeignete Partner. Wir unterstützen Sie mit fachkundiger Beratung sowie Musterkonzepten und 
-unterlagen, um den Aufwand für Sie möglichst gering zu halten. Sprechen sie uns an. Als Beratungsunternehmen dürfen wir unsere eigene Arbeit allerdings nicht zertifizieren. Daher bieten wir nur den Beratungsteil zum Aufbau eines gesetzes- und ISO-konformen ISMS an. Die Zertifizierung muss durch entsprechend akkreditierte Zertifizierungs-Dienstleister erfolgen.

Gem IT-Sicherheitsgesetz sowie der KRITIS-Verordnung gehören Fernwärmenetzbetreiber zur kritischen Infrastruktur. Dementsprechend haben sie u.a. ein Informationssicherheitsmanagement-System (ISMS) zu erstellen. Der maßgebliche Standard für diese Branche ist der sogenannte „B3S Fernwärmenetze“, der entsprechende Vorgabe dazu macht. Dieses Werk ist ein Branchenstandard, der vom BSI (Bundesamt für Sicherheit in der Informationstechnik) geprüft und für den Zeitraum von drei Jahren freigegeben wird. Der aktuelle Standard ist noch bis Januar 2027 gültig. 

Im Rahmen des NIS-2-Umsetzungsgesetzes wurden die Fernwärmeversorgung bzw. Fernkälteversorgung als „Sektoren besonders wichtiger und wichtiger Einrichtungen“ definiert und damit in den gesetzlichen Geltungsbereich einbezogen. Ggf. sind also entsprechende weitergehende Anforderungen an das Sicherheitsmanagement zu beachten.

Das KRITIS-Dachgesetz (KRITISDachG) hat das Ziel, den Schutz kritischer Infrastrukturen weiter voranzutreiben und Standards zur physischen Sicherheit vorzugeben. Auch hier gilt der Sektor „Energie“ grundsätzlich als Adressat der entsprechenden Regulierung. In einer konkretisierenden Rechtsverordnung analog zur KRITS-Verordnung werden die kritischen Dienstleistungen sowie die Anlagen festgelegt, die auf Grund bestimmter Kriterien erheblich für die Erbringung kritischer Dienstleistungen nach dem KRITISDachG sind. Ggf. sind also auch gem. diesem Gesetz weitere Vorgaben an das Sicherheitsmanagement umzusetzen.

Sofern Sie Ihr Sicherheitskonzept neu erstellen, überarbeiten bzw. aktualisieren müssen, sind wir der geeignete Partner. Wir unterstützen Sie mit fachkundiger Beratung.

Auf dem deutschen Telekommunikationsmarkt gibt es vier wichtige Pflichten für die Anbieter von Telekommunikationsleistungen. Es handelt sich um die:

• Meldepflicht gegenüber der Bundesnetzagentur (BNetzA)
• Pflicht zur Benennung eines Sicherheitsbeauftragten
• Pfllicht zum Aufbau und Betrieb eines Sicherheitskonzepts
• Pflicht zur Vorlage des Sicherheitskonzepts bei der BNetzA

Für Netzbetreiber lässt sich pauschal feststellen, dass alle diese Pflichten umzusetzen sind. Differenzierter sieht es aber bei den Diensterbringern aus. Durch das am 01.12.2021 in Kraft getretene neue Telekommunikationsgesetz ist eine Neudefinition von Telekommunikationsdiensten vorgenommen worden. Diensteanbieter, die als sogenannte „Over-the-Top-Anbieter“ eingestuft waren, unterlagen bislang nicht dem Regulierungsregime des TKG. In diesem Beitrag geht es zunächst um die Pflichten nach §166 TKG (ehemals §109 – Sicherheitsbeauftragter und Sicherheitskonzept) und § 165 (Technische und Organisatorische Schutzmaßnahmen) sowie die Meldepflicht gegenüber der Bundesnetzagentur (BNetzA).

Wie ist ein Telekommunikationsdienst definiert? Hierzu gibt es im neuen TKG einige wichtige Ausführungen:
Im §3 Begriffsbestimmungen heißt es:

61. "Telekommunikationsdienste" in der Regel gegen Entgelt über Telekommunikationsnetze erbrachte Dienste, die - mit der Ausnahme von Diensten, die Inhalte über Telekommunikationsnetze und -dienste anbieten oder eine redaktionelle Kontrolle über sie ausüben - folgende Dienste umfassen:

a) Internetzugangsdienste,
b) interpersonelle Telekommunikationsdienste und
c) Dienste, die ganz oder überwiegend in der Übertragung von Signalen bestehen, wie Übertragungsdienste, die für Maschine-Maschine-Kommunikation und für den Rundfunk genutzt werden;

Weiter sagt dieser § in Nummer 24 folgendes aus:
24.  "interpersoneller Telekommunikationsdienst" ein gewöhnlich gegen Entgelt erbrachter Dienst, der einen direkten interpersonellen und interaktiven Informationsaustausch über Telekommunikationsnetze zwischen einer endlichen Zahl von Personen ermöglicht, wobei die Empfänger von den Personen bestimmt werden, die die Telekommunikation veranlassen oder daran beteiligt sind; dazu zählen keine Dienste, die eine interpersonelle und interaktive Telekommunikation lediglich als untrennbar mit einem anderen Dienst verbundene untergeordnete Nebenfunktion ermöglichen;
Damit sind Telekommunikationsdienste nach unserem Verständnis alle Internetzugangsdienste, alle interpersonellen Telekommunikationsdienste, die keine untergeordnete Nebenfunktion darstellen, sowie bestimmte Signalübertragungsdienste.

Somit gibt es also keine Ausnahmeregelung mehr für die sog. „Over-the -Top-Dienste“ wie also z.B. E-Maildienste, die im Wesentlichen über das Netz von Netzbetreibern erbracht werden, die selbst aber nicht als Dienstanbieter auftreten (wie es z.B. beim google-Maildienst der Fall ist).

Als einzige Ausnahme ist nur noch der Fall vorgesehen, wenn der Telekommunikationsdienst „als untrennbar mit einem anderen Dienst verbundene untergeordnete Nebenfunktion“ einzuordnen wäre. Dies ist z.B. dann der Fall, wenn ein Chatdienst in einem Onlinespiel als Nebenfunktion angeboten wird und untrennbar mit der Hauptfunktion, dem Spiel, verbunden ist.
Welche Pflichten gelten nun für die Anbieter dieser Telekommunikationsdienste in Bezug auf die Themen Meldepflicht, Sicherheitskonzept/Sicherheitsbeauftragter und Vorlagepflicht des Sicherheitskonzepts bei der BNetzA?

Gem. §166 TKG hat der Betreiber eines Telekommunikationsnetzes sowie der Erbringer eines öffentlich zugänglichen Telekommunikationsdienstes (s.o.) u.a. einen Sicherheitsbeauftragten zu benennen sowie ein Sicherheitskonzept zu erstellen.

Diese Pflicht trifft gem. § 166 die Netzbetreiber. Diensteerbringer müssen ein Sicherheitskonzept vorhalten und können von der BNetzA verpflichtet werden, es vorzulegen.

Die Pflicht zur Meldung der „Aufnahme, Änderung und Beendigung seiner Tätigkeit sowie Änderungen seines Namens oder seiner Firma, seiner Rechtsform und seiner Adresse“ gem. §5 TKG trifft alle Netzbetreiber sowie Erbringer von Telekommunikationsdiensten, „bei denen es sich nicht um nummernunabhängige interpersonelle Telekommunikationsdienste handelt“. Hier sind also wieder ausnahmslos die Netzbetreiber angesprochen sowie bestimmte Diensteerbringer. Die Ausnahme für Diensteerbringer gilt demnach für nummernunabhängige interpersonelle Telekommunikationsdienste, also z.B. Messengerdienste, die unabhängig von nationalen/internationalen Rufnummernplänen agieren.