(1) Wer ein öffentliches Telekommunikationsnetz betreibt oder öffentlich zugängliche Telekommunikationsdienste erbringt, hat

1. 1. einen Sicherheitsbeauftragten zu bestimmen,
2. 2. einen in der Europäischen Union ansässigen Ansprechpartner zu benennen und
3. 3. ein Sicherheitskonzept zu erstellen, aus dem hervorgeht,
   1. a) welches öffentliche Telekommunikationsnetz betrieben wird und welche öffentlich zugänglichen Telekommunikationsdienste erbracht werden,
   2. b) von welchen Gefährdungen auszugehen ist und
   3. c) welche technischen Vorkehrungen oder sonstigen Schutzmaßnahmen zur Erfüllung der durch die Vorgaben des Katalogs von Sicherheitsanforderungen nach § 167 konkretisierten Verpflichtungen aus § 165 Absatz 1 bis 7 getroffen oder geplant sind; sofern der Katalog lediglich Sicherheitsziele vorgibt, ist darzulegen, dass mit den ergriffenen Maßnahmen das jeweilige Sicherheitsziel vollumfänglich erreicht wird.

(2) Wer ein öffentliches Telekommunikationsnetz betreibt, hat der Bundesnetzagentur das Sicherheitskonzept unverzüglich nach der Aufnahme des Netzbetriebs vorzulegen. Wer öffentlich zugängliche Telekommunikationsdienste erbringt, kann von der Bundesnetzagentur verpflichtet werden, das Sicherheitskonzept vorzulegen.

(3) Mit dem Sicherheitskonzept ist eine Erklärung vorzulegen, dass die in dem Sicherheitskonzept aufgezeigten technischen Vorkehrungen und sonstigen Schutzmaßnahmen umgesetzt sind oder unverzüglich umgesetzt werden.

(4) Stellt die Bundesnetzagentur im Sicherheitskonzept oder bei dessen Umsetzung Sicherheitsmängel fest, so kann sie die unverzügliche Beseitigung dieser Mängel verlangen. Sofern sich die dem Sicherheitskonzept zugrunde liegenden Gegebenheiten ändern, hat der nach Absatz 2 Verpflichtete das Sicherheitskonzept unverzüglich nach der Änderung anzupassen und der Bundesnetzagentur unverzüglich nach erfolgter Anpassung unter Hinweis auf die Änderungen erneut vorzulegen.

(5) Die Bundesnetzagentur überprüft regelmäßig die Umsetzung des Sicherheitskonzepts. Die Überprüfung soll mindestens alle zwei Jahre erfolgen.