Worum geht es bei der TRBS 1115-1?

Mit zunehmender Vernetzung der operativen Technologie (OT) entstehen neue Herausforderungen für Anlagenbetreiber. Cyberangriffe gefährden nicht nur die Funktionssicherheit in der Produktion, sondern stellen auch potenzielle Risiken für die Gesundheit von Mitarbeitern dar – und sind damit ein kritischer Aspekt des Arbeitsschutzes. Genau hier nimmt die TRBS 1115-1 Betreiber sicherheitsrelevanter Mess-, Steuer- und Regeleinrichtungen in die Pflicht.

Inhalt

  • Die Gesetzeslage: BetrSichV und TRBS 1115-1
  • Wen betrifft die TRBS 1115-1?
  • Welche Pflichten haben Betreiber?
  • Welche Konsequenzen drohen bei Nichteinhaltung?
  • Normen und Standards als Orientierung
  • Herausforderungen bei der Umsetzung
  • Unterstützung durch NewTec

Die Gesetzeslage: BetrSichV und TRBS 1115-1

Die Betriebssicherheitsverordnung (BetrSichV) bildet das zentrale Regelwerk für Arbeitsschutz und Betriebssicherheit in Deutschland und regelt die Errichtung, Bereitstellung und den Betrieb von Arbeitsmitteln. Obwohl die aktuelle Version von 2015 Cybersicherheit nicht explizit adressiert, sind Gefahren aus Cyberangriffen im Schutzkonzept einbegriffen.

Am 22. März 2023 wurde die Technische Regel für Betriebssicherheit (TRBS) 1115 Teil 1 – Cybersicherheit für sicherheitsrelevante Mess-, Steuer- und Regeleinrichtungen veröffentlicht. Diese Regel definiert branchenunabhängig Anforderungen an Cybersecurity für alle Unternehmen, bei denen Cyberbedrohungen bewirken können, „dass eine sicherheitsrelevante MSR-Einrichtung ihre Sicherheitsfunktion nicht mehr ausüben kann".

Die TRBS nennt drei mögliche Auswirkungen erfolgreicher Cyberangriffe:

  • Beeinflussung der Verfügbarkeit (Deaktivierung oder Blockierung von Funktionen)
  • Verletzung der Integrität (unberechtigte Datenänderungen)
  • Verletzung der Vertraulichkeit (Datenverluste einschließlich Passwörter)

Wen betrifft die TRBS 1115-1?

Betreiber von sicherheitsrelevanten Mess-, Steuer- und Regeleinrichtungen (MSR-Einrichtungen) und überwachungsbedürftigen Anlagen müssen die TRBS 1115-1 einhalten. Laut TRBS 1201 handelt es sich dabei um „Mess-, Steuer- und Regeleinrichtungen an Arbeitsmitteln, die deren sicherer Verwendung dienen". Zu überwachungsbedürftigen Anlagen zählen Aufzugsanlagen, Anlagen in explosionsgefährdeten Umgebungen sowie Dampfkessel- oder Druckanlagen.

Welche Pflichten haben Betreiber?

Auf Basis einer Gefährdungsbeurteilung müssen Betreiber geeignete Cybersicherheitsmaßnahmen ermitteln, umsetzen und dokumentieren. Die TRBS 1115-1 fordert konkret:

  • Durchführung einer umfassenden Gefährdungsbeurteilung durch fachkundiges Personal zur Identifikation und Bewertung möglicher Cyberrisiken
  • Ermittlung und Implementierung erforderlicher Cybersicherheitsmaßnahmen basierend auf der Gefährdungsbeurteilung (Netzwerksegmentierung, Zugangskontrollen, Notfallmanagement)
  • Dokumentation der Cybersicherheitsmaßnahmen gemäß § 3 Abs. 8 BetrSichV
  • Umsetzung der Maßnahmen während des gesamten Sicherheitslebenszyklus von Hardware und Software
  • Regelmäßige Überprüfung der Cybersicherheitsmaßnahmen

Welche Konsequenzen drohen bei Nichteinhaltung?

Bei Verstößen gegen die TRBS 1115-1 drohen haftungsrechtliche und strafrechtliche Konsequenzen – insbesondere bei Personenschäden aufgrund von Cybersicherheitsvorfällen ohne Nachweis der Einhaltung. Dazu zählen:

  • Probleme mit Berufsgenossenschaften und Arbeitsschutzbehörden
  • Empfindliche haftungsrechtliche Folgen
  • Mögliche Bußgelder
  • Im schwerwiegenden Fall: Betriebsuntersagung
  • Strafrechtliche Verfahren mit möglichen Freiheitsstrafen für Verantwortliche

Normen und Standards als Orientierung

Die TRBS 1115-1 empfiehlt in Anhang 2 mehrere Normen und Standards als konkrete Orientierungshilfen:

  • IEC 62443: Anerkannter Standard für Cybersicherheit in industriellen Umgebungen mit Leitlinien zu Sicherheitsanalysen, Authentifizierung, Verschlüsselung und Netzwerksegmentierung
  • ISO/IEC 27000: Empfehlungen und Best Practices für Informationssicherheitsmanagementsysteme (ISMS)
  • ISO/IEC 27001: Kernstandard mit konkreten Anforderungen zu Gefährdungsbeurteilung, Maßnahmenplanung, Dokumentation und Sicherheitsprozessen
  • Standards des Bundesamts für Sicherheit in der Informationstechnik (BSI)

Die IEC 62443 basiert teilweise auf ISO/IEC 27001. Während sie konkrete Sicherheitsmaßnahmen abdeckt, befinden sich Aspekte wie Cybersecurity-Bewertungsmetriken und Beschreibungen des Sicherheitslebenszyklus noch im Entwurfsstadium.

Herausforderungen bei der Umsetzung

Trotz empfohlener Standards stellt die Komplexität der Anforderungen viele Unternehmen vor erhebliche Herausforderungen. Besondere Schwierigkeiten ergeben sich bei:

  • Integration von Cybersicherheitsmaßnahmen in bestehende MSR-Einrichtungen und überwachungsbedürftige Anlagen
  • den erforderlichen Fachkenntnissen zur Identifikation und Minderung von Cyberbedrohungen
  • der sorgfältigen Planung ohne Beeinträchtigung der Funktionalität und des laufenden Betriebs
  • den notwendigen Kenntnissen und Erfahrungen bei der Normenumsetzung
  • der Erstellung und Pflege umfassender Cybersicherheitsdokumentation
  • der regelmäßigen Überprüfung und Anpassung der Schutzmaßnahmen
  • fehlender interner Expertise und personeller Kapazitäten im Cybersicherheitsbereich

Unterstützung durch NewTec

Die vom TÜV Rheinland zertifizierten CySec Specialists der NewTec GmbH prüfen die Einhaltung der Anforderungen der TRBS 1115-1 und unterstützen Betreiber umfassend bei Umsetzung und Dokumentation – mit einem strukturierten, praxisorientierten Vorgehen.

Schritt 1 – Eintägiger Workshop

Im Workshop vermitteln wir umfassende Kenntnisse zum regulatorischen Umfeld, zu den Grundlagen der Gefährdungsbeurteilung und zu den Dokumentationsanforderungen gemäß TRBS 1115-1. Teilnehmende erhalten ein Zertifikat, das bei Audits als Nachweis von Cybersicherheitskenntnissen dient.

Schritt 2 – Umsetzungsbegleitung

Anschließend begleiten wir die fachgerechte Umsetzung und Dokumentation: Analyse des bestehenden Sicherheitskonzepts, Erstellung einer Gefährdungsbeurteilung sowie Erstellung und Umsetzung eines Maßnahmenkatalogs samt detaillierter Dokumentation.

Unser Leistungsüberblick umfasst:

  • Kick-Off-Workshop für ein umfassendes Verständnis des regulatorischen Umfelds, anwendbarer Methoden und erforderlicher Artefakte
  • Prüfung des Sicherheitskonzepts und Gefährdungsbeurteilung
  • Risikobewertung und Maßnahmenplanung
  • Erstellung eines Maßnahmenkatalogs
  • Begleitung und Unterstützung bei der Umsetzung der Schutzmaßnahmen
  • Erstellung der notwendigen Dokumentation

Sie möchten die Anforderungen der TRBS 1115-1 rechtssicher umsetzen? Nehmen Sie Kontakt mit unseren CySec Specialists auf.