Bin ich Telekommunikationsanbieter nach NIS 2?
NIS 2 listet Telekommunikation in Anhang I Sektor 8 (Digitale Infrastruktur). Art. 2 Abs. 2 Buchst. a hebt die Größenschwelle auf, sodass die Pflichten für jeden öffentlich tätigen Anbieter gelten, ob klein oder groß. Die Begriffe stammen aus dem EU-Kodex für die elektronische Kommunikation, nicht aus dem Alltagsverständnis.
Die Kurzfassung
Wer ein öffentliches elektronisches Kommunikationsnetz betreibt oder einen öffentlich zugänglichen elektronischen Kommunikationsdienst anbietet, fällt unter NIS 2. Anhang I Sektor 8 nennt diese Anbieter direkt unter Digitale Infrastruktur.
Art. 2 Abs. 2 Buchst. a der Richtlinie hebt für die Telekommunikation die übliche Größenschwelle auf. Ob fünf oder fünfhundert Mitarbeitende, spielt keine Rolle. Auslöser ist die öffentliche Rolle, nicht die Mitarbeitendenzahl. Ein kleiner regionaler ISP, ein kleiner VoIP-Reseller und ein nationaler Mobilfunkbetreiber liegen auf derselben Rechtsgrundlage im Anwendungsbereich.
Deutschland setzt das in §28 BSIG zusammen mit dem Telekommunikationsgesetz (TKG) um. Einzelne operative Pflichten laufen über die Bundesnetzagentur (BNetzA), nicht direkt über das BSI. Diese Seite geht die Richtlinie, die EU-Sektordefinitionen und die deutsche Umsetzung in dieser Reihenfolge durch.
NIS 2-Richtlinie (2022/2555), Anhang I Sektor 8 und Art. 2 Abs. 2 Buchst. a
Sektor 8 Digitale Infrastruktur: Anbieter öffentlicher elektronischer Kommunikationsnetze; Anbieter öffentlich zugänglicher elektronischer Kommunikationsdienste. Diese Richtlinie gilt zudem unabhängig von ihrer Größe für Einrichtungen, die unter eines der folgenden Kriterien fallen: a) Anbieter öffentlicher elektronischer Kommunikationsnetze oder Anbieter öffentlich zugänglicher elektronischer Kommunikationsdienste.
Beide Stellen gehören zusammen gelesen. Anhang I Sektor 8 nennt die Telekommunikation als wesentliche Infrastruktur. Art. 2 Abs. 2 Buchst. a macht für genau diese Anbieter eine Größenausnahme nach oben offen. Die übliche Schwelle für mittlere Unternehmen (50 Beschäftigte oder 10 Mio. EUR Umsatz) gilt hier nicht.
Richtlinie (EU) 2018/1972 (Europäischer Kodex für die elektronische Kommunikation), Art. 2
'Öffentliches elektronisches Kommunikationsnetz' bezeichnet ein elektronisches Kommunikationsnetz, das ganz oder überwiegend zur Bereitstellung öffentlich zugänglicher elektronischer Kommunikationsdienste genutzt wird. 'Öffentlich zugänglicher elektronischer Kommunikationsdienst' bezeichnet einen gewöhnlich gegen Entgelt über elektronische Kommunikationsnetze erbrachten Dienst, der Internetzugangsdienste, interpersonelle Kommunikationsdienste und Dienste umfasst, die ganz oder überwiegend in der Übertragung von Signalen bestehen.
NIS 2 definiert diese Begriffe nicht neu. Sie stammen aus dem EU-Kodex für die elektronische Kommunikation (EECC). 'Öffentlich zugänglich' ist das entscheidende Wort. Ein Dienst, den man an die Allgemeinheit verkauft, fällt darunter. Ein internes Corporate-VoIP nur für die eigene Belegschaft fällt nicht darunter.
§28 BSIG und Telekommunikationsgesetz (TKG), Deutschland
Anbieter öffentlicher Telekommunikationsnetze und Anbieter öffentlich zugänglicher Telekommunikationsdienste gelten als besonders wichtige Einrichtungen im Sinne dieses Gesetzes.
Deutschland setzt die Telekommunikationspflichten über §28 BSIG zusammen mit dem TKG um. Das BSI ist zentrale NIS 2-Behörde. Die Bundesnetzagentur (BNetzA) regelt aber die operative Sektoraufsicht für Telekommunikationsanbieter (Sicherheitsmaßnahmen aus dem früheren §109 TKG, Meldepflichten, Registrierung von Diensten). Man hat es in der Regel mit beiden Behörden zu tun.
Betreibt man ein öffentliches Netz?
Ein öffentliches elektronisches Kommunikationsnetz ist ein Netz, das ganz oder überwiegend zur Bereitstellung öffentlicher Dienste genutzt wird: Glasfaser, Kabel, Mobilfunk, Satellit, Festnetz-Funk. Wer den Transport für die Kundinnen und Kunden eines Dritten betreibt, liegt auf der Netzbetreiber-Seite im Anwendungsbereich.
Bietet man einen öffentlichen Dienst an?
Ein öffentlich zugänglicher elektronischer Kommunikationsdienst ist einer, den man an die Allgemeinheit verkauft: Internetzugang (ISP), interpersonelle Kommunikation (Telefon, SMS, E-Mail, VoIP, Messaging) oder reine Signalübertragung. Das Weiterverkaufen eines fremden Netzes unter eigener Marke zählt mit.
Die Größe spielt keine Rolle
Art. 2 Abs. 2 Buchst. a hebt die übliche Schwelle von 50 Beschäftigten oder 10 Mio. EUR Umsatz für die Telekommunikation auf. Ein regionaler Glasfaser-ISP mit fünf Beschäftigten und ein kleiner IP-Telefonie-Reseller liegen auf derselben Rechtsgrundlage im Anwendungsbereich wie die Deutsche Telekom. Eine Kleinbetriebs-Ausnahme gibt es in diesem Sektor nicht.
Größenunabhängige Aufnahme (Art. 2 Abs. 2 Buchst. a)
In den meisten NIS 2-Sektoren fällt man nur in den Anwendungsbereich, wenn man die Schwelle zum mittleren Unternehmen überschreitet. Die Telekommunikation ist eine der Ausnahmen. Die Richtlinie schreibt ausdrücklich 'unabhängig von ihrer Größe', weil die öffentliche Rolle eine gesellschaftliche Abhängigkeit erzeugt. Klein heißt hier nicht draußen.
Die Begriffe stammen aus dem EECC
Was als 'öffentlich zugänglicher' Dienst gilt, ergibt sich aus dem EU-Kodex für die elektronische Kommunikation, nicht aus dem Alltagsverständnis. Ein Dienst, der an die Allgemeinheit verkauft wird, ist drin. Ein Netz oder Dienst, das nur die eigene Organisation oder eine geschlossene Nutzergruppe verwendet, ist in der Regel draußen. Im Zweifel sind die EECC-Definitionen, die Erwägungsgründe und die Auslegungspraxis der nationalen Aufsicht die Referenz.
BSI / §28 BSIG
Das BSI ist die zentrale NIS 2-Behörde. Registrierung, Risikomanagement-Rahmenwerk und NIS 2-Meldepflichten laufen über das BSI. §28 BSIG benennt Anbieter öffentlicher Netze und Anbieter öffentlich zugänglicher Dienste direkt als besonders wichtige Einrichtungen, unabhängig von der Größe.
Bundesnetzagentur (BNetzA) / TKG
Die BNetzA ist die Sektoraufsicht für die Telekommunikation. Sie führt die operativen Pflichten aus dem TKG (Sicherheit von Netzen und Diensten, Meldung sicherheitsrelevanter Ereignisse auf der Telekommunikationsspur, Registrierung von Diensten). NIS 2 liegt auf dem bestehenden TKG-Regime oben drauf, sie ersetzt es nicht. Die meisten Anbieter melden über beide Kanäle.
ENISA
Die ENISA, die EU-Agentur für Cybersicherheit, koordiniert über die Mitgliedstaaten hinweg und veröffentlicht eine Technical Implementation Guidance zur Durchführungsverordnung (EU) 2024/2690. Anbieter öffentlicher Netze und Anbieter öffentlich zugänglicher Dienste sind im Anhang der Durchführungsverordnung gelistet, das heißt Teile der Verordnung binden Telekommunikationsanbieter unmittelbar, ohne weitere nationale Umsetzung.
Nationale Telekommunikationsaufsicht
Jeder Mitgliedstaat hat seine eigene Telekommunikationsaufsicht: ACM in den Niederlanden, ARCEP in Frankreich, RTR in Österreich, AGCOM in Italien. Die NIS 2-Pflicht ist EU-weit gleich, weil die Richtlinie einen gemeinsamen Boden setzt. Unterschiedlich sind: wo man sich registriert, welches Meldeformular man nutzt und wie die BSI-Entsprechung und die Telekommunikationsaufsicht die Aufgaben aufteilen.
Wir haben nur fünf Beschäftigte, also greift die Größenschwelle.
Nicht für die Telekommunikation. Art. 2 Abs. 2 Buchst. a NIS 2 listet Anbieter öffentlicher Netze und Anbieter öffentlich zugänglicher Dienste als größenunabhängige Kategorie. Die Schwelle von 50 Beschäftigten oder 10 Mio. EUR Umsatz, die die übrigen Sektoren filtert, gilt hier nicht. Ein regionaler ISP mit fünf Beschäftigten liegt auf derselben Stufe wie ein nationaler Carrier im Anwendungsbereich.
Wir sind kein MSP, also greift Sektor 8 nicht.
Anderer Sektor, andere Prüfung. Managed Service Provider liegen in Anhang I Sektor 8 unter dem Punkt 'Verwaltung von IKT-Diensten (B2B)' und unterliegen der Größenschwelle. Anbieter öffentlicher Netze und Anbieter öffentlich zugänglicher Dienste sind eine eigene Zeile im selben Sektor, mit eigenen Definitionen aus dem EECC und der größenunabhängigen Regel aus Art. 2 Abs. 2 Buchst. a. Man muss beide Zeilen lesen.
Wir betreiben ein Netz für unseren Konzern, also fallen wir als Telekommunikationsanbieter unter NIS 2.
Auf der Telekommunikationsspur in der Regel nicht. Der EECC-Test stellt auf 'öffentlich zugänglich' ab. Ein internes Konzernnetz, das nur die eigene Organisation oder eine geschlossene Nutzergruppe verwendet, liegt meist außerhalb der EECC-Definitionen und damit außerhalb von Anhang I Sektor 8 für die Telekommunikation. Man kann auf einem anderen Sektor oder als andere Einrichtungsart in NIS 2 fallen, aber nicht als Telekommunikationsanbieter.
Ein regionaler Glasfaser-ISP mit acht Beschäftigten liegt eindeutig im NIS 2-Anwendungsbereich. Anhang I Sektor 8 nennt Anbieter öffentlicher Netze und Anbieter öffentlich zugänglicher Dienste, Art. 2 Abs. 2 Buchst. a hebt die Größenschwelle auf, und der EECC-Test für 'öffentlich zugänglich' ist erfüllt, weil der Dienst an die Allgemeinheit verkauft wird. Dieselbe Logik trifft einen kleinen IP-Telefonie-Reseller mit öffentlichen Kundinnen und Kunden. Es gibt keine redliche Lesart, die einen von beiden herausholt.
Was Praktikerinnen und Praktiker tatsächlich tun: Sie schreiben ein Risikomanagement-Rahmenwerk nach §2.1 der Durchführungsverordnung um die öffentlich angebotenen Dienste und die unterstützende Infrastruktur (Transportnetz, Core-Routing, Access-Knoten, OSS/BSS, Kunden-Authentifizierung). Die Verhältnismäßigkeit aus Art. 21 Abs. 1 greift, also setzt ein ISP mit acht Beschäftigten nicht auf der Tiefe eines Tier-1-Carriers um. Die Stufung muss schriftlich begründet, am Risikobild ausgerichtet und vom Leitungsorgan unterzeichnet sein. Die BNetzA-TKG-Pflichten laufen parallel und speisen denselben Risikoregister.
Die Anwendbarkeitsprüfung läuft die EECC-Definitionen Schritt für Schritt durch. Sie fragt, was man betreibt, an wen verkauft wird und ob der Dienst im Sinne des EECC 'öffentlich zugänglich' ist. Das Ergebnis nennt die einschlägige Anhang-Zeile, sagt, ob Art. 2 Abs. 2 Buchst. a einen unabhängig von der Größe erfasst, und welche Behörde (BSI vs. BNetzA in Deutschland, BSI-Entsprechung vs. Telekommunikationsaufsicht in anderen Ländern) zuerst zuständig ist.
Das Asset-Modul deckt die Netzseite (Transport, Core, Access, OSS/BSS) und die dienstnahe Seite (Subscriber-Management, Authentifizierung, Sprach- und Messaging-Plattformen) in einer Inventarliste ab. Das Risikomanagement-Rahmenwerk nach §2 der Durchführungsverordnung läuft gegen dieses Inventar, sodass dieselbe Asset-Liste sowohl die BSIG- und NIS 2-Spur als auch die TKG-Spur ohne Doppelpflege speist.
- Richtlinie (EU) 2022/2555 (NIS 2), Anhang I Sektor 8 und Artikel 2 Abs. 2 Buchst. a: eur-lex.europa.eu/eli/dir/2022/2555/oj
- Richtlinie (EU) 2018/1972 (Europäischer Kodex für die elektronische Kommunikation), Artikel 2 Begriffsbestimmungen: eur-lex.europa.eu/eli/dir/2018/1972/oj
- BSI-Gesetz (BSIG), §28 in der Fassung des NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetzes
- Telekommunikationsgesetz (TKG), §165 ff. (Sicherheit von Netzen und Diensten)
- Bundesnetzagentur, Hinweise zu Sicherheits- und Meldepflichten nach TKG: bundesnetzagentur.de
- Durchführungsverordnung (EU) 2024/2690, Anhang (erfasst DNS, TLD, Cloud, Rechenzentren, MSP und weitere Kategorien aus Sektor 8): eur-lex.europa.eu/eli/reg_impl/2024/2690/oj