Umsetzungskonzept § 109 (5) TKG: Mitteilung Sicherheitsverletzung ...

EINLEITUNG
Im folgenden Umsetzungskonzept wird das Verfahren zur Mitteilung von Sicherheitsverletzungen zwischen
den zur Mitteilung Verpflichteten und der Bundesnetzagentur beschrieben. Grundlage hierzu ist das Telekommunikationsgesetz
(TKG) vom 3. Mai 2012.
1 Verfahren
Das Verfahren zur Mitteilung einer Sicherheitsverletzung zwischen den Verpflichteten und der Bundesnetzagentur
ist offen und diskriminierungsfrei.
1.1 Verfahrensgrundsatz
Im Sinne des § 109 Absatz 5 TKG ist eine Sicherheitsverletzung einschließlich Störungen von Telekommunikationsnetzen
oder –diensten (nachfolgend als Sicherheitsverletzung bezeichnet) unverzüglich mitzuteilen,
sofern hierdurch beträchtliche Auswirkungen auf den Betrieb der öffentlichen Telekommunikationsnetze oder
das Erbringen von öffentlich zugänglichen Telekommunikationsdiensten entstehen.
Die Bestimmung des § 115 Absatz 1 Satz 2 TKG bleibt davon unberührt.
1.2 Verfahrensablauf
Nach dem Erkennen eines sicherheits- oder störungsrelevanten Vorfalls stellt der Verpflichtete mit einer Bewertung
in eigener Verantwortung fest, ob
es sich um eine Sicherheitsverletzung im Sinne von § 109 Absatz 5 TKG handelt, durch die
beträchtliche Auswirkungen auf den Betrieb der Telekommunikationsnetze oder das Erbringen
von Telekommunikationsdiensten entstehen.
Nach Ansicht der Bundesnetzagentur hat eine Sicherheitsverletzung eindeutig beträchtliche Auswirkungen,
wenn bei dem Kriterium „Betroffene Nutzerstunden“ der Grenzwert von 3 Millionen überschritten
wird.
Unabhängig von diesem Kriterium, das die Zeit der sicherheitsrelevanten Beeinflussung und die Zahl beeinträchtigter
Anschlüsse und/oder Teilnehmer multiplikativ verknüpft, gibt es weitere Kriterien, nach denen
jeweils exklusiv eine Sicherheitsverletzung nach § 109 Absatz 5 TKG vorliegen kann. Nähere Ausführungen
hierzu finden sich im Abschnitt 3.
Beim Vorliegen der genannten Voraussetzungen teilt der Verpflichtete der Bundesnetzagentur die Sicherheitsverletzung
unverzüglich mit. Es ist ausreichend, wenn die Mitteilung ohne schuldhaftes Verzögern des
mitteilenden Unternehmens, unter Berücksichtigung der subjektiven Zumutbarkeit für den Mitteilenden, während
der üblichen Geschäftszeiten erfolgt.
Auf Basis der oben und in Abschnitt 3.1 genannten Kriterien behält sich die Bundesnetzagentur vor, jederzeit
bei Anhaltspunkten zu sicherheits- oder störungsrelevanten Vorfällen Auskünfte einzuholen und in eigenem
Ermessen eine Einstufung nach § 109 Absatz 5 TKG vorzunehmen. Das betroffene Unternehmen wird darüber
in Kenntnis gesetzt.
2 Definition der Sicherheitsverletzung
Eine Sicherheitsverletzung im Sinne von § 109 Absatz 5 TKG ist eine Beeinträchtigung der Vertraulichkeit,
Integrität und Verfügbarkeit von Telekommunikationsnetzen oder Telekommunikationsdiensten.
Die nachfolgenden Abschnitte enthalten hierzu Einzelheiten.
Seite 2 von 12