Überwachungsbedürftige Anlagen

Anforderungen an Cybersecurity konkretisiert

Die Anforderungen an die Cybersecurity von überwachungsbedürften Anlagen werden deutlich konkretisiert. Betreiber müssen mögliche Gefährdungen ihrer Anlagen durch Cyberangriffe ermitteln und wirksame Gegenmaßnahmen entwickeln. Die zugelassenen Überwachungsstellen (ZÜS) werden zukünftig überprüfen, ob Cyberbedrohungen im Zusammenhang mit dem sicheren Betrieb der Anlagen ausreichend behandelt wurden.

Bei überwachungsbedürftigen Anlagen handelt es sich um Arbeitsmittel, von denen besondere Gefährdungen ausgehen. Dazu zählen Aufzugsanlagen, Anlagen in explosionsgefährdeten Bereichen und Druckanlagen. Die Anforderungen an überwachungsbedürftige Anlagen sind im Gesetz über überwachungsbedürftige Anlagen (ÜAnlG) und in der Betriebssicherheitsverordnung (BetrSichV) geregelt. Dazu gehört u.a., dass Arbeitgeber oder Betreiber vor der ersten Inbetriebnahme einer Anlage eine Gefährdungsbeurteilung erstellen, notwendige Maßnahmen umsetzen und dokumentieren müssen. Um die Anforderungen der BetrSichV – die sichere Verwendung der Anlagen – zu erfüllen, ist die Gefährdungsbeurteilung während des gesamten Lebenszyklus aktuell zu halten.

Aufgrund der zunehmenden Digitalisierung und Vernetzung von überwachungsbedürftigen Anlagen hat der Gesetzgeber die Anforderungen an die Cybersecurity mit der Verabschiedung einer neuen Technischen Regel Betriebssicherheit (TRBS) konkretisiert. „In Zukunft müssen Anlagenbetreiber im Rahmen ihrer Gefährdungsbeurteilung auch Cybergefährdungen ermitteln und entsprechende Gegenmaßnahmen festlegen, wenn Arbeitnehmer oder Personen im Gefahrenbereich (Dritte) durch einen Cyberangriff auf die Anlage gefährdet werden könnten“, sagt Jörg Becker, Leiter des Kompetenzzentrums Cybersecurity bei TÜV Süd Industrie Service. Die entsprechende Vorgehensweise wird in der TRBS 1115-1 beschrieben. Nicht betroffen von dieser Regelung sind Anlagen, deren Sicherheitsfunktionen rein mechanisch oder analog aufgebaut sind und deren sicherer Betrieb deshalb nicht durch einen Cyberangriff gefährdet werden kann. Jörg Becker empfiehlt Betreibern von überwachungsbedürftigen Anlagen, sich möglichst schnell mit den neuen Regelungen vertraut zu machen und die Gefährdungsbeurteilungen entsprechend zu aktualisieren. Die Zugelassenen Überwachungsstellen (ZÜS) werden zukünftig im Rahmen ihrer Prüfungen auch überprüfen, ob die Anforderungen der TRBS 1115-1 ausreichend berücksichtigt und umgesetzt wurden. Sollte das nicht der Fall sein, wird dies in der Prüfbescheinigung dokumentiert.