Cyber­sicherheit

Überwachungsbedürftige Anlagen und Cybersicherheit

Worum geht es?

Cyberkriminalität ist allgegenwärtig. Wirtschaftsunternehmen und Ver­waltungen sind häufige Ziele. Cyberkriminalität macht weder vor Landesgrenzen noch vor ver­schlossenen Türen halt und kann überall dort zuschlagen, wo Digitalisierung und Vernetzung stattfinden – also in nahezu allen Lebensbereichen und somit auch bei überwachungsbedürftigen Anlagen. Die Zahl der Cyberangriffe hat in der jüngeren Vergangenheit stark zu­genommen und wird weiter ansteigen. Die immer stärkere Vernetzung von Anlagen und deren Komponenten bietet Cyberangriffen eine immer größere Angriffsfläche.

Wie gefährden Cyber­angriffe Anlagen?

Ein Cyberangriff ist der Zugriff auf und die Manipulation von Mess-, Steuer- und Regeltechnik durch Unbefugte. Manipulierte Software kann das Verhalten der Anlage verändern.

Die Bandbreite der denkbaren Auswirkungen ist groß. Hier einige Beispiele:

• Ein Aufzug kann gestoppt oder seine Fahrgeschwindigkeit verändert werden.
• Messeinrichtungen wie Thermo­meter oder Manometer können falsche Werte liefern.
• Notrufeinrichtungen werden abgeschaltet.
• Die Anlage wird in einen kriti­schen Zustand versetzt oder Komponenten werden ab­geschaltet, ohne dass die Person im Leitstand es bemerkt.
• Es wird ein kritischer Zustand der Anlage angezeigt, der gar nicht vorhanden ist.

Wie ist der aktuelle Stand?

Cybersicherheit kann diesen Ge­fahren entgegenwirken und ist eine gesamtgesellschaftliche Aufgabe. Deshalb hat das Bundes­ministerium für Arbeit und Soziales eine Grund­lage erarbeiten lassen: die Technische Regel für Betriebssicherheit (TRBS) 1115-1 „Cybersicherheit für sicherheitsrelevante Mess-, Steuer- und Regeleinrichtungen“.

Sie richtet sich an Betreiberinnen und Betreiber und ist vor allem für die Arbeitssicherheit und den Gesund­heits­schutz der Beschäftigten bei der Verwendung von Arbeitsmitteln, einschließlich überwachungs­bedürftiger Anlagen relevant. Diese Anforderungen regelt die Betriebs­sicherheits­verordnung (BetrSichV) und das Gesetz über überwachungs­bedürftige Anlagen (ÜAnlG). Hierbei muss auch berücksichtigt werden, dass Gefährdungen durch Cyber­bedrohungen entstehen können.

Ausgearbeitet wurde die TRBS 1115-1 im Ausschuss für Betriebssicherheit gemeinsam von Unternehmen, Länderbehörden, Gewerkschaften, der gesetzlichen Unfallversicherung und den zugelassenen Über­wachungs­stellen (ZÜS). Sie wurde am 22. März 2023 von der Bundes­anstalt für Arbeitsschutz und Arbeitsmedizin (BAuA) veröffentlicht.

Für die Anlagenprüfung sind die ZÜS zuständig. Diese haben auf Basis der Technischen Regel in einem aktuellen Beschluss ihrerseits grundlegende Anforderungen an die Cyber­sicher­heit von Anlagen hinsichtlich ihrer Prüfungen formuliert.

Welche Auswirkungen hat die TRBS 1115-1?

Jede Betreiberin bzw. jeder Betreiber einer überwachungsbedürftigen Anlage (Aufzugsanlage, Anlage in explosionsgefährdeten Bereichen, Druckanlage) hat nun weitere Ver­pflichtungen. So muss sie bzw. er im Rahmen der Gefährdungs­beurteilung (GBU) auch Gefährdungen identi­fizieren und bei Bedarf Gegen­maß­nahmen festlegen und umsetzen, die durch potenzielle Cyberbedrohungen entstehen können, wenn ein Cyber­angriff Arbeitnehmende oder Dritte (Personen im Gefahrenbereich) gefährdet. Die TRBS 1115-1 beschreibt die Vorgehensweise, um das umzu­setzen. Es ist zu dokumentieren, dass Cyberbedrohungen entsprechend der TRBS 1115-1 behandelt werden.

Übersicht Architekturen bei Betriebsmitteln/sicherheits­relevanten MSR-Einrichtungen hinsichtlich Cybersicherheit

Nicht betroffen sind Anlagen mit mechanisch oder analog auf­gebauten Sicherheitsfunktionen (nicht kompromittierbar). Wenn keine digitalen Daten verarbeitet werden, laufen Cyberangriffe ins Leere und können keinen Schaden anrichten.

Was müssen Betreiberinnen und Betreiber von überwachungs­bedürftigen Anlagen tun?

• Sich schnellstmöglich mit den Regelungen vertraut machen.
• Gefährdungsbeurteilungen aktualisieren.
• Falls erforderlich, Maßnahmen zur Cybersicherheit festlegen und umsetzen.
• Maßnahmen zur Cybersicherheit regelmäßig an die neueste Bedrohung bzw. die neuesten Entwicklungen anpassen (Management der Cybersicherheit).

Welche Aufgaben haben die ZÜS?

Die zugelassenen Überwachungs­stellen, beispielsweise die GTÜ Anlagensicherheit GmbH, sind im Rahmen ihrer Prüfungen nach Betriebssicherheitsverordnung (BetrSichV) vor Inbetriebnahme, nach prüfpflichtiger Änderung und wiederkehrend zu einer Prüfung verpflichtet, ob die Betreiberin bzw. der Betreiber einer überwachungs­bedürftigen Anlage Cyber­bedrohungen entsprechend der TRBS 1115-1 im Sinne eines sicheren Anlagenbetriebs ausreichend behandelt.

Hierzu prüft die ZÜS die Doku­mentation der Anlagenbetreiberin bzw. des Anlagenbetreibers.

Um die zur Prüfung notwendigen Mindestinformationen zu doku­mentieren, kann die Betreiberin bzw. der Betreiber eine durch die ZÜS abgestimmte Dokumentations­tabelle nutzen oder eine inhaltlich min­destens gleichwertige Doku­mentation vorlegen.

Sollte die Vorgehensweise nicht der TRBS 1115-1 entsprechen, vermerkt die ZÜS das in der Prüf­bescheinigung.

Liegt die Verpflichtung ausschließlich bei der Betreiberin bzw. beim Betreiber und nicht auch beim Anlagenhersteller?

Die Rechtslage ist eindeutig: Die Anlagenbetreiberin bzw. der Anlagenbetreiber oder die Arbeit­geberin bzw. der Arbeitgeber ist für den sicheren Betrieb einer Anlage verantwortlich.

Natürlich hat der Hersteller oder auch der Montagebetrieb die Grundpflicht, in allen Belangen sicherzustellen, dass die Anlage gemäß ihrer Bestimmung sicher betrieben werden kann. Derzeit berücksichtigen europäische Richt­linien und das nationale Produkt­sicherheitsrecht, die vom Hersteller zu beachten sind, allerdings keine Cybergefährdungen.

Ist der aktuelle Stand festgeschrieben?

Ja, die TRBS 1115-1 gilt in der beschriebenen Anwendung. Die Cybersicherheit ist jedoch ständig in Bewegung und muss auch mit der technischen Entwicklung digitaler Systeme Schritt halten. Die GTÜ Anlagensicherheit GmbH geht daher davon aus, dass weitere oder detailliertere Regelungen folgen werden. Cybersicherheit wird uns auch in Zukunft kontinuierlich begleiten.

Die GTÜ Anlagensicherheit GmbH wird Sie auf dieser Seite kontinuierlich über die weiteren Entwicklungen hinsichtlich der Prüfungen durch die ZÜS informieren und freut sich über eine gute Zusammenarbeit.