KRITIS-Dachgesetz: Neue Pflichten für Betreiber und Eigentümer von Rechenzentren, Verwaltungsgebäuden und anderer kritischer Infrastruktur

1. Welche Pflichten treffen den Betreiber – und wie betrifft dies den Eigentümer?

Registrierung beim BBK

Betreiber kritischer Anlagen müssen sich spätestens drei Monate nachdem sie die Voraussetzungen einer kritischen Anlage erfüllen, beim Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) registrieren; frühestens jedoch am 17. Juli 2026.

Mit der Registrierung beginnen Fristen für die Erfüllung weiterer Betreiberpflichten:

Mindestens alle vier Jahre (oder anlassbezogen) ist eine Risikoanalyse und ‑bewertung durchzuführen.

Berücksichtigt werden müssen dabei insbesondere:

• naturbedingte, technische und menschliche Risiken (inkl. Sabotage, Terror),
• Abhängigkeiten von anderen Sektoren und Drittdienstleistern,
• Auswirkungen von Ausfällen auf Versorgung und öffentliche Sicherheit.

Die Ergebnisse definieren direkt, welche baulichen und organisatorischen Maßnahmen der Betreiber (sofern nicht identisch: letztlich mithilfe des Eigentümers) ergreifen muss.

Resilienzpflichten und Resilienzplan

Kern der Compliance sind die Resilienzpflichten des Betreibers nach § 13 KRITISDachG:

• Verhinderung von Vorfällen,
• „angemessener physischer Schutz“ von Liegenschaften und Anlagen,
• Reaktion, Abwehr und Begrenzung der Folgen von Vorfällen,
• zügige Wiederherstellung der kritischen Dienstleistung.

Hierbei sind in den nächsten Monaten weitere sektorspezifische Konkretisierungen der Resilienzpflichten durch Rechtsverordnungen zu erwarten.

Dazu sind durch den Betreiber technische, sicherheitsbezogene und organisatorische Maßnahmen zu treffen.

Beispielhafte Maßnahmen sind etwa (nicht abschließend):

• baulicher und technischer Objektschutz (Zäune, Fassaden, Barrieren),
• Überwachung der Umgebung, Detektionsgeräte, Zugangskontrollen,
• Krisen- und Notfallmanagement, Alarmabläufe,
• Notstromversorgung, alternative Lieferketten,
• Personalsicherheitskonzepte und Schulungen.

Alle Maßnahmen sind in einem Resilienzplan zu dokumentieren, der regelmäßig aktualisiert werden muss.

Aus Sicht eines Vermieters gilt: Gebäude‑Layout, technische Gebäudeausrüstung und Flächenzuschnitt werden so faktisch Teil dieses Resilienzplans – dadurch entsteht eine starke Einbindung des Vermieters in die KRITIS-Pflichten.

2. Auswirkungen auf Vermieter und Eigentümer

Auch wenn das KRITIS‑DachG formal an den Betreiber anknüpft, ergeben sich bei vermieteten Immobilien mit KRITIS-Bezug für Vermieter wesentliche Mitwirkungs-, Kosten- und Haftungsthemen.

Immobilie als Bestandteil der Resilienzstrategie

Viele Maßnahmen nach § 13 KRITISDachG lassen sich nur umsetzen, wenn der Vermieter mitwirkt; insbesondere im Hinblick auf:

• Einfriedung, Perimeterschutz, Tor‑/Zugangsanlagen, Schleusen,
• bauliche Verstärkungen, redundante Energieversorgung, Notstrom,
• besondere Flächen für Leitstellen, Sicherheitszentralen etc.

Betreiber werden diese Anforderungen in der Risikoanalyse identifizieren und im Resilienzplan abbilden müssen – im Ergebnis entsteht dadurch jedoch auch Druck auf bauliche Anpassungen und klare Zusagen des Vermieters, ob und inwieweit diese im jeweiligen Objekt umsetzbar sind.

Mietvertragliche Rollenverteilung

Zentrale Fragen, die sich in KRITIS‑Konstellationen künftig in vielen Gewerbemietverträgen stellen werden, sind:

• Kostenverteilung: Wer trägt Investitionen in Sicherheits- und Resilienzmaßnahmen (Zaunanlagen, Videoüberwachung, Zutrittskontrollen, Notstromanlagen, bauliche Ertüchtigung)? Sind Umlagefähigkeit und Betriebskostenbegriff ausreichend klar geregelt?
• Duldungs- und Mitwirkungspflichten: Muss der Vermieter bauliche Maßnahmen, Tests, Übungen und behördliche Kontrollen dulden – und zu welchen Zeiten, mit welchen Ankündigungsfristen, etc.?
• Behördliche Auflagen: Wie wird es vertraglich erfasst, wenn das BBK oder eine anderweitige Aufsichtsbehörde Maßnahmen gegenüber dem Betreiber anordnet, die faktisch jedoch den Eigentümer treffen (z. B. Verstärkung des Perimeters)?
• Rückbaupflichten: Was gilt nach einem etwaigen Auszug eines KRITIS-Mieters?

Ohne klare Regelung könnte die Gefahr bestehen, dass umfangreiche Verweise auf Resilienzanforderungen und -pläne letztlich als Beschaffenheitsvereinbarung der Mietsache qualifiziert werden. Bei Mietverträgen mit KRITIS-Relevanz ist daher darauf zu achten, dass eine sehr klare risiko- und kostenbezogene Zuweisung im Vertrag vorgenommen wird.

3. Handlungsempfehlungen für Vermieter und Investoren

Portfolio-Untersuchung auf KRITIS-Mieter

• Identifizieren Sie Mieter und Objekte in KRITIS‑nahen Sektoren (Energie, Verkehr, Gesundheit, IT/TK, Wasser, Ernährung, Entsorgung etc.).
• Beobachten Sie die noch ausstehende BMI‑Rechtsverordnung zu kritischen Dienstleistungen und Schwellenwerten – Betroffenheit kann sich dynamisch ändern.

Technisch-bauliche Gap-Analyse

• Prüfen Sie, sofern sich etwaige Mieter bzw. Objekte mit KRITIS-Relevanz im Bestand befinden, ob betroffene Grundstücke und Gebäude die typischen Maßnahmen nach § 13 KRITISDachG grundsätzlich zulassen (Perimeterschutz, Zugangskontrollen, redundante Energieversorgung, Notstrom, räumliche Trennung sicherheitsrelevanter Bereiche).
• Klären Sie frühzeitig, welche Maßnahmen baurechtlich genehmigungsfähig sind.

Mietvertrags-Check und ggf. -anpassung

Überarbeiten Sie Standardmietverträge in KRITIS‑Sektoren insbesondere zu:

• Kostentragung und Umlagefähigkeit von Resilienzmaßnahmen,
• Duldungs- und Zutrittsrechten (inkl. behördliche Kontrollen, Audits, Übungen),
• Informationspflichten des Mieters zu Registrierung, Risikoanalyse und Resilienzplan,
• vertraglichem Umgang mit behördlichen Auflagen (Kosten, Risiko, Mitwirkung),
• Haftungs- und Freistellungsklauseln bei Verstößen des Betreibers gegen KRITIS‑Pflichten.

Bewährt hat sich nach der Rechtsprechung die präzise vertragliche Zuweisung hoheitlicher Risiken, um Streit über Minderung, Anpassung oder Kündigung zu vermeiden.

Zusammenarbeit mit Betreibern und Behörden

• Suchen Sie frühzeitig das Gespräch mit potenziell KRITIS‑betroffenen Mietern zu deren Risikoanalysen und Resilienzplänen.
• Binden Sie bei komplexen baulichen Maßnahmen die zuständige Bauaufsichts‑ und ggf. Immissionsschutzbehörde ein, um baurechtliche Blockaden zu vermeiden.

Fazit

Das KRITIS‑DachG ist in erster Linie ein Betreiber‑Gesetz. Für die Immobilienwirtschaft bedeutet es dennoch einen Paradigmenwechsel, da betroffene Gebäude und Anlagen Teil eines regulierten Resilienz‑Regimes werden.

Dabei befindet sich dieses Resilienz-Regime noch am Anfang eines Konkretisierungs- und Optimierungsprozesses. Die noch zu erlassenen konkretisierenden Rechtsverordnungen sind im Blick zu behalten. Bereits nach zwei Jahren ist eine Evaluierung des KRITIS-DachG vorgesehen. In Anbetracht der deutlichen Kritik der Länder im Bundesrat ist in diesem Zuge eher mit einer deutlichen Verschärfung, denn mit einer Abmilderung der Reichweite und Pflichten im KRITIS-Bereich zu rechnen.

Wer als Vermieter oder Investor KRITIS‑nahe Mieter im Portfolio hat, sollte jetzt:

1. die Betroffenheit prüfen,
2. objektspezifische Resilienzanforderungen analysieren,
3. Mietverträge strukturiert anpassen und
4. die weitere Entwicklung durchgängig beobachten.

Gern unterstützen wir (1) Vermieter bei der Portfolioanalyse, der vertraglichen Gestaltung und Einordnung der neuen und noch zu erlassenen Regelungen und (2) Betreiber bei der Einordnung der künftig bestehenden Pflichten.