Title: § 165 Technische und organisatorische Schutzmaßnahmen

Description:
Telekommunikationsgesetz (TKG 2021)
Teil 10 - Öffentliche Sicherheit und Notfallvorsorge
Abschnitt 1 - Öffentliche Sicherheit
§ 165 Technische und organisatorische Schutzmaßnahmen

Paragraph: 165

Content:
Telekommunikationsgesetz (TKG 2021)
Teil 10 - Öffentliche Sicherheit und Notfallvorsorge
Abschnitt 1 - Öffentliche Sicherheit
§ 165 Technische und organisatorische Schutzmaßnahmen

(1) Wer Telekommunikationsdienste erbringt oder daran mitwirkt, hat
angemessene technische Vorkehrungen und sonstige Maßnahmen zu treffen

1.  zum Schutz des Fernmeldegeheimnisses und

2.  gegen die Verletzung des Schutzes personenbezogener Daten.

Dabei ist der Stand der Technik zu berücksichtigen.

(2) Wer ein öffentliches Telekommunikationsnetz betreibt oder
öffentlich zugängliche Telekommunikationsdienste erbringt, hat bei den
hierfür betriebenen Telekommunikations- und Datenverarbeitungssystemen
angemessene technische und organisatorische Vorkehrungen und sonstige
Maßnahmen zu treffen

1.  zum Schutz gegen Störungen, die zu erheblichen Beeinträchtigungen von
    Telekommunikationsnetzen und ‑diensten führen, auch, sofern diese
    Störungen durch äußere Angriffe und Einwirkungen von Katastrophen
    bedingt sein können, und

2.  zur Beherrschung der Risiken für die Sicherheit von
    Telekommunikationsnetzen und -diensten.

Insbesondere sind Maßnahmen, einschließlich gegebenenfalls Maßnahmen
in Form von Verschlüsselung, zu treffen, um Telekommunikations- und
Datenverarbeitungssysteme gegen unerlaubte Zugriffe zu sichern und
Auswirkungen von Sicherheitsverletzungen für Nutzer, andere
Telekommunikationsnetze und Dienste so gering wie möglich zu halten.
Bei diesen Maßnahmen ist der Stand der Technik zu berücksichtigen.

(3) Als eine angemessene Maßnahme im Sinne des Absatzes 2 können
Betreiber öffentlicher Telekommunikationsnetze und Anbieter öffentlich
zugänglicher Telekommunikationsdienste Systeme zur Angriffserkennung
im Sinne des § 2 Absatz 9b des BSI-Gesetzes einsetzen. Betreiber
öffentlicher Telekommunikationsnetze und Anbieter öffentlich
zugänglicher Telekommunikationsdienste mit erhöhtem
Gefährdungspotenzial haben entsprechende Systeme zur Angriffserkennung
einzusetzen. Die eingesetzten Systeme zur Angriffserkennung müssen in
der Lage sein, durch kontinuierliche und automatische Erfassung und
Auswertung Gefahren oder Bedrohungen zu erkennen. Sie sollen zudem in
der Lage sein, erkannte Gefahren oder Bedrohungen abzuwenden und für
eingetretene Störungen geeignete Beseitigungsmaßnahmen vorsehen.
Weitere Einzelheiten kann die Bundesnetzagentur im Katalog von
Sicherheitsanforderungen nach § 167 festlegen.

(4) Kritische Komponenten im Sinne von § 2 Absatz 13 des BSI-Gesetzes
dürfen von einem Betreiber öffentlicher Telekommunikationsnetze mit
erhöhtem Gefährdungspotenzial nur eingesetzt werden, wenn sie vor dem
erstmaligen Einsatz von einer anerkannten Zertifizierungsstelle
überprüft und zertifiziert wurden.

(5) Wer ein öffentliches Telekommunikationsnetz betreibt, hat
Maßnahmen zu treffen, um den ordnungsgemäßen Betrieb seiner Netze zu
gewährleisten und dadurch die fortlaufende Verfügbarkeit der über
diese Netze erbrachten Dienste sicherzustellen.

(6) Technische Vorkehrungen und sonstige Schutzmaßnahmen sind
angemessen, wenn der dafür erforderliche technische und
wirtschaftliche Aufwand nicht außer Verhältnis zur Bedeutung der zu
schützenden Telekommunikationsnetze oder -dienste steht. § 62 Absatz 1
des Bundesdatenschutzgesetzes gilt entsprechend.

(7) Bei gemeinsamer Nutzung eines Standortes oder technischer
Einrichtungen hat jeder Beteiligte die Verpflichtungen nach den
Absätzen 1 bis 5 zu erfüllen, soweit bestimmte Verpflichtungen nicht
einem bestimmten Beteiligten zugeordnet werden können.

(8) Im Falle des Eintritts eines Sicherheitsvorfalls oder der
Feststellung einer erheblichen Gefahr kann die Bundesnetzagentur
Maßnahmen zur Behebung des Sicherheitsvorfalls oder zur Abwendung der
Gefahr und deren Umsetzungsfristen anordnen.

(9) Die Bundesnetzagentur kann anordnen, dass sich die Betreiber
öffentlicher Telekommunikationsnetze oder die Anbieter öffentlich
zugänglicher Telekommunikationsdienste einer Überprüfung durch eine
qualifizierte unabhängige Stelle oder eine zuständige nationale
Behörde unterziehen, in der festgestellt wird, ob die Anforderungen
nach den Absätzen 1 bis 7 erfüllt sind. Unbeschadet von Satz 1 haben
sich Betreiber öffentlicher Telekommunikationsnetze mit erhöhtem
Gefährdungspotenzial alle zwei Jahre einer Überprüfung durch eine
qualifizierte unabhängige Stelle oder eine zuständige nationale
Behörde zu unterziehen, in der festgestellt wird, ob die Anforderungen
nach den Absätzen 1 bis 7 erfüllt sind. Die Bundesnetzagentur legt den
Zeitpunkt der erstmaligen Überprüfung fest. Der nach den Sätzen 1 und
2 Verpflichtete hat eine Kopie des Überprüfungsberichts unverzüglich
an die Bundesnetzagentur und an das Bundesamt für Sicherheit in der
Informationstechnik, sofern dieses die Überprüfung nicht vorgenommen
hat, zu übermitteln. Er trägt die Kosten dieser Überprüfung. Die
Bewertung der Überprüfung sowie eine diesbezügliche Feststellung von
Sicherheitsmängeln im Sicherheitskonzept nach § 166 erfolgt durch die
Bundesnetzagentur im Einvernehmen mit dem Bundesamt für Sicherheit in
der Informationstechnik.

(10) Über aufgedeckte Mängel bei der Erfüllung der
Sicherheitsanforderungen in der Informationstechnik sowie die in
diesem Zusammenhang von der Bundesnetzagentur geforderten
Abhilfemaßnahmen unterrichtet die Bundesnetzagentur unverzüglich das
Bundesamt für Sicherheit in der Informationstechnik.

(11) Die Bundesnetzagentur kann zur Unterstützung ein Computer-
Notfallteam gemäß Artikel 9 der Richtlinie (EU) 2016/1148 des
Europäischen Parlaments und des Rates vom 6. Juli 2016 über Maßnahmen
zur Gewährleistung eines hohen gemeinsamen Sicherheitsniveaus von
Netz- und Informationssystemen in der Union (ABl. L 194 vom 19.7.2016,
S. 1; L 33 vom 7.2.2018, S. 5) im Rahmen der zugewiesenen Aufgaben in
Anspruch nehmen. Die Bundesnetzagentur kann ferner das Bundesamt für
Sicherheit in der Informationstechnik, die zuständigen nationalen
Strafverfolgungsbehörden und die Bundesbeauftragte oder den
Bundesbeauftragten für den Datenschutz und die Informationsfreiheit
konsultieren.

Source: https://www.gesetze-im-internet.de/tkg_2021/__165.html
Directory: tkg_2021
Level: 4.0