Maßnahmen gegen Cybergefährdung nötig

Die Anforderungen an die Cybersecurity von überwachungsbedürften Anlagen werden deutlich konkretisiert. Betreiber müssen mögliche Gefährdungen ihrer Anlagen durch Cyberangriffe ermitteln und wirksame Gegenmaßnahmen entwickeln. Die Zugelassenen Überwachungsstellen (ZÜS) werden zukünftig überprüfen, ob Cyberbedrohungen im Zusammenhang mit dem sicheren Betrieb der Anlagen ausreichend behandelt wurden.

Bei überwachungsbedürftigen Anlagen handelt es sich um Arbeitsmittel, von denen besondere Gefährdungen ausgehen. Dazu zählen Aufzugsanlagen, Anlagen in explosionsgefährdeten Bereichen und Druckanlagen. Die Anforderungen an überwachungsbedürftige Anlagen sind im Gesetz über überwachungsbedürftige Anlagen (ÜAnlG) und in der Betriebssicherheitsverordnung (BetrSichV) geregelt. Dazu gehört unter anderem, dass Arbeitgeber/Betreiber vor der ersten Inbetriebnahme einer Anlage eine Gefährdungsbeurteilung erstellen, notwendige Maßnahmen umsetzen und dokumentieren müssen. Um die Anforderungen der BetrSichV – die sichere Verwendung der Anlagen – zu erfüllen, ist die Gefährdungsbeurteilung während des gesamten Lebenszyklus aktuell zu halten.

Aufgrund der zunehmenden Digitalisierung und Vernetzung von überwachungsbedürftigen Anlagen hat der Gesetzgeber die Anforderungen an die Cybersecurity mit der Verabschiedung einer neuen Technischen Regel Betriebssicherheit (TRBS) konkretisiert. „In Zukunft müssen Anlagenbetreiber im Rahmen ihrer Gefährdungsbeurteilung auch Cybergefährdungen ermitteln und entsprechende Gegenmaßnahmen festlegen, wenn Arbeitnehmer oder Personen im Gefahrenbereich (Dritte) durch einen Cyberangriff auf die Anlage gefährdet werden könnten“, sagt Jörg Becker (Foto: TÜV SÜD), Leiter des Kompetenzzentrums Cybersecurity bei der TÜV SÜD Industrie Service GmbH. Die entsprechende Vorgehensweise wird in der TRBS 1115-1 beschrieben. Nicht betroffen von dieser Regelung sind Anlagen, deren Sicherheitsfunktionen rein mechanisch oder analog aufgebaut sind und deren sicherer Betrieb deshalb nicht durch einen Cyberangriff gefährdet werden kann.