Zahlreiche Gesetze und Verordnungen sorgen deutschlandweit dafür, dass Anlagen nicht nur verfügbar, sondern auch sicher sind. Um auch künftig die hohen Sicherheitsstandards zu gewährleisten, müssen die Regelwerke am Puls der Zeit bleiben.
Um den sicheren Betrieb auch bei zunehmender Digitalisierung und Vernetzung zu gewährleisten, müssen Sie ab sofort auch das Thema Cyber-Security (CS) berücksichtigen. Denn Software-Fehler oder Hacker-Angriffe könnten zu einer Gefährdung von Personen führen.
Als Betreiber einer kritischen Anlage (Druckanlage/Druckbehälter, Aufzugsanlagen, Explosionsgefährdete Anlagen, Tankstellen, Gasfüllanlagen....) sind Sie daher verpflichtet, mögliche Gefährdungen durch Cyberbedrohungen in der GBU zu dokumentieren und gegebenenfalls Maßnahmen zu ergreifen. Als zugelassene Überwachungsstelle müssen wir Ihre CS-Dokumentation ab jetzt im Rahmen unserer Prüfungen mit dem Regelwerk abgleichen.
Zu den überwachungsbedürftigen Anlagen gehören unter anderem Aufzüge, Druckbehälteranlagen sowie Anlagen in explosionsgefährdeten Bereichen, darunter Tankstellen und Gasfüllanlagen. Auf Basis einer aktuellen Gefährdungsbeurteilung müssen die Betreiber dieser Anlagen entsprechende technische und organisatorische Maßnahmen für den Schutz vor digitalen Angriffen umsetzen.
Was müssen Sie jetzt tun?
Bitte halten Sie Ihre Dokumentation möglicher Gefährdungen durch Cyberbedrohungen am Tag der Prüfung vor Ort bereit (nicht im Vorfeld zusenden).
Wenn Sie die Dokumentation noch nicht erstellt haben, nutzen Sie gerne den Vordruck auf dieser Seite.
Füllen Sie den Vordruck bitte auch aus, wenn Sie das Thema Cyber-Security noch nicht betrachten konnten (Antwort: „Nein, die Betrachtung steht noch aus“). Dies vermerken wir als Hinweis in der Prüfbescheinigung.
FAQ
Haben Sie Fragen zur Einordnung möglicher Cyber-Gefährdungen für Ihre Anlage?
Die Betriebssicherheitsverordnung (BetrSichV) regelt die Anforderungen an die Sicherheit und den Gesundheitsschutz von Beschäftigten bei der Verwendung von Arbeitsmitteln, wozu auch überwachungsbedürftigen Anlagen gehören. Hierbei muss auch berücksichtigt werden, dass Gefährdungen durch Cyberbedrohungen entstehen können.
Die Bundesanstalt für Arbeitsschutz und Arbeitsmedizin (BAUA) hat schon 2019 eine Empfehlung (EmpfBS 1115, "Umgang mit Risiken durch Angriffe auf die Cyber Security von sicherheitsrelevanten MSR -Einrichtungen") für Arbeitgeber und Anlagenbetreiber veröffentlicht. Mittlerweile ist daraus eine Technische Regel entstanden (TRBS 1115, Teil 1). Sie beschreibt Wege zur Ermittlung und Reduzierung von Gefährdungen durch Cyberangriffe im Rahmen der Erstellung einer Gefährdungsbeurteilung nach BetrSichV.
Jeder Betreiber steht somit in der Verantwortung mögliche Cyberbedrohungen innerhalb seiner Gefährdungsbeurteilung zu betrachten.
Jeder Betreiber/ Arbeitgeber ist verpflichtet, im Rahmen der Gefährdungsbeurteilung potenzielle Cyberbedrohungen zu identifizieren und Maßnahmen zu ergreifen und umzusetzen, wenn die Cyberbedrohungen zu Gefährdungen für Arbeitnehmer oder Personen führen können. Im Rahmen der Prüfungen nach BetrSichV (vor Inbetriebnahme, nach prüfpflichtiger Änderung und wiederkehrend) muss die ZÜS dies bei überwachungsbedürftigen Anlagen (Aufzugsanlagen, Anlagen in explosionsgefährdeten Bereichen, Druckanlagen) berücksichtigen.
Nicht betroffen vom Thema Cyber Security im Sinne der BetrSichV sind Betreiber mit Anlagen, bei denen die Sicherheitsfunktionen nur mechanisch oder analog aufgebaut sind und bei denen auch betriebliche Einrichtungen in Folge von Cyberbedrohungen nicht zu Gefährdungen führen können. Analog bedeutet in diesem Zusammenhang, dass es keine Bauteile gibt, die digital Daten verarbeiten und die umprogrammiert werden können. Ist dies der Fall, kann der sichere Betrieb der überwachungsbedürftigen Anlage nicht durch einen Cyberangriff in Frage gestellt werden.
Betreiber müssen prüfen, ob durch Cyberbedrohungen Gefährdungen für die Verwender/ Nutzer entstehen können. Ist das der Fall, müssen sie wirksame Maßnahmen identifizieren und umsetzen. Eine strukturierte Vorgehensweise wird in der TRBS 1115, Teil 1 beschrieben. Unsere Sachverständigen können Sie beim ersten Schritt, dem Ausfüllen eines entsprechenden Formblattes, unterstützen.
Das Nicht-Vorhandensein einer Dokumentation zur Behandlung von Cyberbedrohungen im Rahmen der Gefährdungsbeurteilung bedeutet nicht automatisch, dass eine Gefährdung von Personen als Folge eines Cyberangriffs besteht. Ob Cyberbedrohungen für die individuelle Anlage relevant sind und somit Nachholbedarf besteht, wird im Rahmen der Prüfung auch durch den ZÜS-Prüfer von TÜV Hessen festgestellt.
Verantwortlich für den sicheren Betrieb ist der Arbeitgeber oder Betreiber der Anlage. Im Rahmen der europäischen Richtlinien und des nationalen Produktsicherheitsrechts, welches von Herstellern zu beachten ist, sind aktuell noch keine verbindlichen Regelungen hinsichtlich Cybergefährdungen vorhanden. Jedoch ist es eine Grundpflicht, des Herstellers/ Montagebetriebs alle Vorkehrungen zu treffen, damit ein sicherer Betrieb (Beschaffenheitsanforderungen) unter Einhaltung der "bestimmungsgemäßen Verwendung" möglich ist.
Ja. Die Tatsache, dass gesetzliche Anforderungen an die Cyber Security für Hersteller noch nicht im Detail geregelt sind, Betreiber aber die Verantwortung bereits übernehmen müssen, kann dazu führen, dass entsprechende Hinweise erfolgen. Zur Bewertung der Cyber Security kann es deshalb hilfreich sein, dass der TÜV Hessen in prüfender Funktion zu den Prozessen im Lebenszyklus einer Anlage eingebunden wird. Dies kann auch schon im Vorfeld der Inbetriebnahme, d. h. in der Planungsphase möglich sein.
