Betreiber kritischer Anlagen (§ 2 Nr. 1 KRITIS-DachG)

Kurzdefinition: Betreiber kritischer Anlagen ist, wer bestimmenden Einfluss auf eine oder mehrere kritische Anlagen ausübt. Die Rolle ist der Anknüpfungspunkt für die Resilienzpflichten des KRITIS-Dachgesetzes und macht die Einrichtung zugleich nach § 28 Absatz 1 Nummer 1 BSIG zur besonders wichtigen Einrichtung. [N-KRITISDachG-2] [N-BSIG-28]

Der Normwortlaut

§ 2 Nummer 1 KRITIS-Dachgesetz bestimmt: „Betreiber kritischer Anlagen“ ist „eine natürliche oder juristische Person oder eine rechtlich unselbständige Organisationseinheit einer Gebietskörperschaft, die unter Berücksichtigung der rechtlichen, wirtschaftlichen und tatsächlichen Umstände bestimmenden Einfluss auf eine oder mehrere kritische Anlagen ausübt; abweichend hiervon hat im Sektor Finanzwesen bestimmenden Einfluss auf eine kritische Anlage, wer die tatsächliche Sachherrschaft ausübt, wobei die rechtlichen und wirtschaftlichen Umstände insoweit unberücksichtigt bleiben“. [N-KRITISDachG-2]

Wer ist Betreiber kritischer Anlagen?

Wer bestimmenden Einfluss auf eine kritische Anlage ausübt. Das kann eine natürliche oder juristische Person sein, auch eine rechtlich unselbständige Organisationseinheit einer Gebietskörperschaft. Entscheidend ist nicht das Eigentum, sondern der bestimmende Einfluss unter Berücksichtigung der rechtlichen, wirtschaftlichen und tatsächlichen Umstände. [N-KRITISDachG-2]

Was gilt im Finanzwesen anders?

Dort zählt allein die tatsächliche Sachherrschaft. § 2 Nummer 1 KRITIS-Dachgesetz ordnet für den Sektor Finanzwesen ausdrücklich an, dass die rechtlichen und wirtschaftlichen Umstände insoweit unberücksichtigt bleiben. Wer die Anlage faktisch beherrscht, ist Betreiber. [N-KRITISDachG-2]

Was ist eine kritische Anlage?

Nach § 2 Nummer 3 KRITIS-Dachgesetz „eine Anlage, die für die Erbringung einer kritischen Dienstleistung erheblich ist“. Das BSIG übernimmt diesen Begriff: § 2 Nummer 22 BSIG verweist für die kritische Anlage auf § 2 Nummer 3 des KRITIS-Dachgesetzes. [N-KRITISDachG-2] [N-BSIG-2]

Welche Folgen hat die Betreibereigenschaft?

Zwei Regime greifen zugleich. Nach § 28 Absatz 1 Nummer 1 BSIG sind Betreiber kritischer Anlagen besonders wichtige Einrichtungen — mit den schärfsten NIS-2-Pflichten. Zusätzlich treffen sie die Resilienzpflichten des § 13 des KRITIS-Dachgesetzes und die Risikoanalyse nach § 12 des KRITIS-Dachgesetzes. [N-BSIG-28] [N-KRITISDachG-13]

Wer trägt die Verantwortung?

Die Geschäftsleitung des Betreibers. § 20 Absatz 1 KRITIS-Dachgesetz verpflichtet Geschäftsleitungen von Betreibern kritischer Anlagen, die Resilienzmaßnahmen nach § 13 Absatz 1 umzusetzen und ihre Umsetzung durch geeignete Organisationsmaßnahmen sicherzustellen. [N-KRITISDachG-20]

Häufige Fehlannahmen

• „Betreiber ist immer der Eigentümer.“ Nein. § 2 Nummer 1 KRITIS-Dachgesetz stellt auf den bestimmenden Einfluss ab, nicht auf das Eigentum. [N-KRITISDachG-2]
• „Im Finanzwesen gelten dieselben Kriterien.“ Nein. Dort entscheidet allein die tatsächliche Sachherrschaft; rechtliche und wirtschaftliche Umstände bleiben unberücksichtigt. [N-KRITISDachG-2]
• „Nur Unternehmen können Betreiber sein.“ Nein. Erfasst sind auch natürliche Personen und rechtlich unselbständige Organisationseinheiten einer Gebietskörperschaft. [N-KRITISDachG-2]
• „KRITIS-Betreiber und besonders wichtige Einrichtung sind getrennte Welten.“ Nein. Nach § 28 Absatz 1 Nummer 1 BSIG sind Betreiber kritischer Anlagen zugleich besonders wichtige Einrichtungen. [N-BSIG-28]

Was die Geschäftsleitung tun sollte

1. Betreibereigenschaft prüfen. Klären, ob bestimmender Einfluss auf eine kritische Anlage besteht — im Finanzwesen anhand der tatsächlichen Sachherrschaft.
2. Beide Regime zusammendenken. BSIG-Pflichten und KRITIS-Resilienzpflichten parallel aufsetzen.
3. Verantwortung verankern. Die Pflicht aus § 20 des KRITIS-Dachgesetzes in der Geschäftsleitung dokumentiert zuweisen.

Für die Geschäftsleitung

Die Betreibereigenschaft ist keine Formalie, sondern eine doppelte Weichenstellung: Sie öffnet gleichzeitig das schärfste NIS-2-Regime und die Resilienzpflichten des KRITIS-Dachgesetzes. Weil sie am bestimmenden Einfluss hängt, kann sie auch Konzerngesellschaften treffen, die die Anlage nicht besitzen.

Quellen

1. [N-KRITISDachG-2] § 2 Nummer 1 und Nummer 3 KRITIS-Dachgesetz (Begriffsbestimmungen). BGBl. 2026 I Nr. 66 vom 16.3.2026. Amtlich: https://www.gesetze-im-internet.de/kritisdachg/__2.html
2. [N-KRITISDachG-13] § 13 des KRITIS-Dachgesetzes (Resilienzpflichten der Betreiber kritischer Anlagen), Abs. 1. Amtlich: https://www.gesetze-im-internet.de/kritisdachg/__13.html
3. [N-KRITISDachG-20] § 20 des KRITIS-Dachgesetzes (Umsetzungs- und Überwachungspflicht für Geschäftsleitungen), Abs. 1. Amtlich: https://www.gesetze-im-internet.de/kritisdachg/__20.html
4. [N-BSIG-28] § 28 BSIG (Besonders wichtige Einrichtungen), Abs. 1 Nr. 1. Geltende Fassung, Stand 13. Juli 2026. Amtlich: https://www.gesetze-im-internet.de/bsig_2025/__28.html
5. [N-BSIG-2] § 2 Nummer 22 BSIG (Begriffsbestimmungen — kritische Anlage). Geltende Fassung, Stand 13. Juli 2026. Amtlich: https://www.gesetze-im-internet.de/bsig_2025/__2.html