In diesem Beitrag

Fachlich geprüft am 8. Oktober 2026.

Wer Maschinen und Anlagen mit sicherheitsrelevanter Steuerungstechnik betreibt, muss Cyberbedrohungen in der Gefährdungsbeurteilung bewerten. Der Beitrag zeigt die Pflichten und den Prüfmaßstab der ZÜS und grenzt die TRBS gegen NIS2, MVO und CRA ab.

Greift jemand die Steuerung einer Presse, eines Kessels oder eines Aufzugs an, ist das kein reines IT-Problem. Eine Schutzfunktion kann ausfallen, und Menschen können zu Schaden kommen. Hier setzt die Technische Regel für Betriebssicherheit (TRBS) 1115 Teil 1 an. Sie konkretisiert, wie Betreiber Cyberbedrohungen in der Gefährdungsbeurteilung behandeln.

Seit dem 15. Januar 2026 gilt die Regel in geänderter Fassung. Für die Prüfung durch die Zugelassenen Überwachungsstellen (ZÜS) gilt spätestens seit dem 1. April 2026 ein überarbeiteter Beschluss. Der Beitrag ordnet beides aus Sicht der Produktion ein, behandelt Anwendungsbereich, Pflichten und Prüfmaßstab der ZÜS und endet mit der Abgrenzung zu NIS2, Maschinenverordnung und CRA.

Rechtsstand 8. Oktober 2026. Maßgeblich sind die TRBS 1115 Teil 1 in der Fassung der Änderung GMBl 2026 S. 5 und der Beschluss B-002 rev 5 des Erfahrungsaustauschkreises der ZÜS (EK ZÜS) vom 19. November 2025. Die Maschinenverordnung (EU) 2023/1230 ist ab dem 20. Januar 2027 anzuwenden. Die CRA-Meldepflichten greifen seit dem 11. September 2026.

Was die TRBS 1115 Teil 1 regelt

Unter dem Titel Cybersicherheit für sicherheitsrelevante Mess-, Steuer- und Regeleinrichtungen (MSR-Einrichtungen) erscheint die TRBS 1115 Teil 1. Sie konkretisiert die Betriebssicherheitsverordnung (BetrSichV) für ein enges Thema, nämlich den Weg von der Gefährdungsbeurteilung bis zur Prüfung der Cybersicherheitsmaßnahmen für sicherheitsrelevante MSR-Einrichtungen.

Rechtsgrundlage ist § 8 Absatz 2 BetrSichV. Danach stattet der Arbeitgeber Arbeitsmittel mit den sicherheitstechnisch erforderlichen MSR-Einrichtungen aus, damit sie sicher und zuverlässig verwendet werden können. Cyberbedrohungen muss die Gefährdungsbeurteilung nach § 3 BetrSichV dabei berücksichtigen (Abschnitt 3.1 Absatz 2). Die Funktionsfähigkeit der Einrichtungen sollen die Maßnahmen während der gesamten Verwendungsdauer des Arbeitsmittels erhalten (Abschnitt 3.1 Absatz 4).

Vermutungswirkung entfaltet die TRBS. Wer sie einhält, kann die Erfüllung der entsprechenden BetrSichV-Anforderungen annehmen. Eine abweichende Lösung muss mindestens die gleiche Sicherheit und den gleichen Gesundheitsschutz erreichen.

Die Regel umfasst acht Abschnitte und drei Anhänge. Der erste beschreibt das Management der Cybersicherheit, der zweite liefert Erläuterungen und Beispiele, der dritte nennt Regelwerke und Normen. Die Ausgabe vom November 2022 erschien am 22. März 2023 im Gemeinsamen Ministerialblatt (GMBl 2023 S. 522), und die Änderung vom 17. November 2025 wurde am 15. Januar 2026 bekanntgegeben (GMBl 2026 S. 5).

Die Regel schützt die Funktionsfähigkeit sicherheitsrelevanter Einrichtungen und damit Menschen im Gefahrenbereich, während wirtschaftliche Schäden und Datenschutz außerhalb ihres Anwendungsbereichs liegen (Abschnitt 1 Absatz 6).

Für wen die Regel gilt und wann nicht

Adressat ist der Arbeitgeber als Betreiber, der Arbeitsmittel inklusive überwachungsbedürftiger Anlagen mit sicherheitsrelevanten MSR-Einrichtungen verwendet (Abschnitt 1 Absatz 1). Dazu zählen nach der Systematik der TRBS 1115 unter anderem diese Bereiche.

  • Sicherheitsbezogene Steuerungen an Maschinen
  • Mess- und regeltechnische Sicherheitseinrichtungen an Druckanlagen
  • Sicherheitseinrichtungen in Ex-Anlagen
  • Steuerungen von Aufzugsanlagen

Auf die Schnittstellen kommt es an. Besitzt ein Arbeitsmittel keinerlei kabelgebundene oder kabellose Schnittstellen, behandelt die TRBS es nicht (Abschnitt 1 Absatz 5). Ein einzelner USB-Port zur Parametrierung ändert das Ergebnis, denn Anhang 2 ordnet ein solches Arbeitsmittel dem Anwendungsbereich zu (Abschnitt A2.2.2).

Für alle Arbeitsmittel mit sicherheitsrelevanten MSR-Einrichtungen und Schnittstellen gilt die TRBS. Der Beschluss der ZÜS betrifft dagegen ausschließlich überwachungsbedürftige Anlagen, und er verankert die Prüfung bei Aufzugsanlagen, Explosionssicherheit und Druckanlagen sowie im Erlaubnisverfahren nach § 18 BetrSichV (Abschnitt 1 Absatz 7). Bei allen übrigen Arbeitsmitteln bleibt die Gefährdungsbeurteilung Pflicht. Prüfpflichten ergeben sich dort aus § 14 BetrSichV, während die §§ 15 und 16 ausschließlich überwachungsbedürftige Anlagen betreffen (§ 14 Absatz 8).

Welche Einrichtungen in die Betrachtung gehören

Anhang 2 nennt in Abschnitt A2.1 Absatz 3 die schutzbedürftigen Einrichtungen. Dazu zählen vier Gruppen.

Gruppe Beispiele aus der TRBS
Sicherheitsrelevante MSR-Einrichtungen Kernbestand der Regel
Sicherheitsrelevante Einrichtungen ohne MSR-Charakter Notrufeinrichtungen und Notbefehlseinrichtungen soweit kompromittierbar
IT/OT-Umgebung dieser Systeme Service- und Programmiergeräte oder Gateways
Nicht sicherheitsrelevante MSR-Einrichtungen Betriebseinrichtungen der Prozessleittechnik mit relevanter Gefährdung über Wechselwirkungen

Wer den Betrachtungsumfang auf die Sicherheits-SPS beschränkt, erfasst nicht alle schutzbedürftigen Einrichtungen. Für die Prüfung übernimmt der Beschluss der ZÜS diese Abgrenzung (Abschnitt 3 Absatz 2).

Was sich 2026 geändert hat

Neu ist Anhang 2, der bisherige zweite wurde zum dritten. Den Maßnahmenumfang ordnet der neue Anhang nicht nach Anlagentypen wie Druck, Ex oder Aufzug, sondern nach den kompromittierbaren Schnittstellen und dem Grad der Vernetzung (Abschnitt 1 Absatz 4).

Sechs Beispiele und ein Fragenkatalog für Eignung und Funktionsfähigkeit (Abschnitt A2.3) machen die Anforderungen prüfbar. Cyberbedrohungen behandelt der Arbeitgeber als Teil der Gefährdungsbeurteilung, und ein Verweis auf eine unterlagerte Dokumentation genügt dafür (Abschnitt A2.1 Absatz 4). Als Bewertungsgrundlage reichen Statistiken über bekannt gewordene Vorfälle laut Hinweis nicht aus.

Anhang 2 benennt zwei Akteursgruppen, die der Arbeitgeber berücksichtigen muss (Abschnitt A2.1 Absatz 5).

  • Personen ohne Zutritt oder Zugang, die über Datenverbindungen aus der Ferne agieren
  • Berechtigte, die durch vorhersehbare Fehlanwendung einen Angriff ermöglichen

Als Beispiel nennt die Regel den unzulässig verwendeten USB-Stick. Kriminelle Handlungen Berechtigter bewertet der Arbeitgeber nach den möglichen Auswirkungen.

Die Pflichten im Überblick

Welche Pflicht in welchem Abschnitt der TRBS steht, zeigt die Tabelle.

Pflicht Fundstelle Inhalt
Cyberbedrohungen in der Gefährdungsbeurteilung 3.1 Verfügbarkeit, Integrität und Vertraulichkeit betrachten
Fachkunde 3.3.2 Qualifikation festlegen und dokumentieren
Dokumentation 3.4 Maßnahmen und Prüffristen nach § 3 Absatz 8 BetrSichV festhalten
Schutzkonzept und Spezifikation 4.2 und 4.4.3 Maßnahmen ermitteln und schriftlich festlegen
Standardmaßnahmen 4.5.2 sechs Maßnahmenfelder im erforderlichen Umfang
Wirksamkeitsüberprüfung 5 vor der ersten Verwendung bestätigen
Prüfung 6 und 7 Eignung und Funktionsfähigkeit vor Inbetriebnahme und wiederkehrend
Unterweisung 8.1 Beschäftigte zu Maßnahmen und Notfallverhalten unterweisen
Kontrolle und Instandhaltung 8.2 Funktionsfähigkeit regelmäßig kontrollieren
Änderungsmanagement 8.3 Auswirkungen auf die Cybersicherheit bewerten
Außerbetriebnahme 8.4 rückwirkungsfrei durchführen und dokumentieren

Einmalig ist der Prozess nicht. In vier Fällen ist die Eignung der Maßnahmen zu überprüfen (Abschnitt 3.1 Absatz 5).

  • regelmäßig in geeigneten Zeitabständen
  • bei Änderungen am Arbeitsmittel
  • bei neuen Erkenntnissen aus Vorfällen oder Schwachstellenmeldungen
  • bei Änderungen des Standes der Technik

Zwei Ausgangslagen unterscheidet die TRBS (Abschnitt 3.3.1 Absatz 2). Liefert der Hersteller ein verwendungsfertiges Arbeitsmittel mit bestätigtem Schutz nach dem Stand der Technik, hält der Arbeitgeber dessen Maßnahmen aufrecht. Fehlt dieser Schutz, legt der Arbeitgeber eigene Verfahren fest, und dasselbe gilt für ein Arbeitsmittel, das abweichend von den Herstellervorgaben betrieben wird. Wer Herstellervorgaben nicht einhält, wechselt damit von der ersten in die zweite Lage und trägt Schutzkonzept und Spezifikation selbst (Abschnitt 4.4.3). Dort liegt die erforderliche Fachkunde höher (Abschnitt 3.3.2 Absatz 3).

Die sechs Standardmaßnahmen aus Sicht der OT

Abschnitt 4.5.2 Absatz 2 nennt sechs Standardmaßnahmen. Die dritte Spalte der Tabelle ist meine Einordnung, denn die TRBS schreibt kein Rahmenwerk vor (Anhang 3).

Standardmaßnahme Kernanforderung der TRBS Anschlussfähig an
Segmentierung und Fernzugriff Zonen nach Schutzbedarf, Verbindungen nur bei sicherheitstechnischer Notwendigkeit IEC 62443-3-2 (Zonen und Conduits)
Zugang und Zugriff rollenbezogene Rechte, wirksame Authentifizierung, physische Barrieren IEC 62443-3-3 (Identifikation, Authentifizierung, Nutzungskontrolle)
Härtung von Komponenten Schnittstellen und Funktionen auf das Notwendige reduzieren, Whitelisting IEC 62443-4-2 (Komponentenanforderungen)
Unabhängigkeit keine unzulässige Beeinflussung durch die IT/OT-Umgebung, inklusive Denial of Service IEC 62443-3-3 (Verfügbarkeit von Ressourcen)
Überwachung Ereigniserkennung etwa an der Segmentgrenze, Schutz der Protokolldaten IEC 62443-3-3 (zeitnahe Reaktion auf Ereignisse)
Notfallmanagement Szenarien, Abschaltplan, Wiederinbetriebnahme erst nach Beseitigung der Lücke IEC 62443-2-1 (Betreiberprozesse)

Sieben Punkte entscheiden in der Praxis über die Qualität der Umsetzung.

Rückwirkungsfreiheit. Cybersicherheitsmaßnahmen dürfen die Sicherheitsfunktion nicht beeinträchtigen (Abschnitt 4.4.3 Absatz 2 Nummer 3). Bei jeder Änderung ist das erneut zu bewerten (Abschnitt 8.3 Absatz 4), denn eine einzelne Firewall-Regel kann einen sicherheitsgerichteten Meldeweg verzögern.

Fernzugriff. Der Zugriff aus dem Internet ist technisch zu unterbinden oder besonders zu schützen. Als Beispiel nennt die Regel die zwingende Freigabe durch den Arbeitgeber (Abschnitt 4.5.2 Absatz 2 Nummer 1). Für die Zeit eingeschränkter Schutzwirkung sind Ersatzmaßnahmen festzulegen (Abschnitt 4.2 Absatz 3 und Abschnitt 8.2 Absatz 1).

Notfallmanagement. Zwei Szenarien verlangt die Regel. Das erste ist die Kompromittierung der MSR-Einrichtung selbst. Das zweite betrifft ihre Kommunikationspartner, etwa eine Engineering-Station mit Schadsoftware. Zu prüfen ist ein Notfallplan zur Abschaltung über nicht-digitale Infrastruktur, etwa über die Hilfsenergie von Ventilen oder unabhängige Not-Aus-Systeme. Vor der Wiederinbetriebnahme muss feststehen, dass die Sicherheitslücke behoben ist und keine Angriffsspuren im System verblieben sind.

Vertraulichkeit. Zu schützen sind weitere Unterlagen, die Angreifern bei der Planung helfen. Die Regel nennt Grenzwertlisten in Office-Dokumenten (Abschnitt 4.5.2 Absatz 1 Nummer 3).

Akzeptanz. Maßnahmen dürfen unsichere Verhaltensweisen nicht begünstigen. Als Beispiel nennt die Regel längere Wechselintervalle bei starken Passwörtern oder den Einsatz von Token (Abschnitt 4.5.1 Absatz 3).

Instandhaltung und Entsorgung. Sicherheitsrelevante Software-Updates zählen zur Instandhaltung (Abschnitt 2.6). Ausgesonderte Geräte sind so zu entsorgen, dass gespeicherte Passwörter keinen Angriff ermöglichen (Abschnitt 8.4 Absatz 2).

Änderungen. Parameteränderungen oder Updates zur Aufrechterhaltung der Wirksamkeit sind keine prüfpflichtige Änderung, und Gleiches gilt für den funktionsidentischen Austausch von Komponenten. Voraussetzung sind fachkundige Personen und geeignete organisatorische Abläufe (Abschnitt 8.3 Absatz 2).

Die sechs Szenarien aus Anhang 2

Nach Schnittstellen und Vernetzung stuft Anhang 2 den Maßnahmenumfang ab (Abschnitt A2.2). Eine individuelle Betrachtung jedes Arbeitsmittels ersetzen die Beispiele nicht.

Szenario Konstellation Kernaussage der TRBS
A2.2.1 keine externen Schnittstellen außerhalb des Anwendungsbereichs
A2.2.2 kabelgebundene Schnittstelle ohne Vernetzung Konfigurationsgerät mitbetrachten, keine Dauerverbindung, nicht kompromittierbare Not-Befehlseinrichtung
A2.2.3 drahtlose Verbindung zur Bedienstation im Inselbetrieb Bedienstation und Funkstrecke mitbetrachten, verschlüsselte Kommunikation
A2.2.4 kabelgebunden mit Vernetzung im Inselbetrieb im Netzwerk nur Arbeitsmittel, Konfigurationsgerät und Bedienstation
A2.2.5 Überwachung über das OT-Netz Statusdaten dürfen hinaus, Befehle weiterer Dienste nicht hinein (etwa über eine Datendiode)
A2.2.6 Steuerung über das OT-Netz systemspezifische Betrachtung nach etablierten Verfahren

Je höher der Vernetzungsgrad, desto weniger Pauschalvorgaben liefert die Regel. Bei Szenario A2.2.6 verweist sie auf die Normen ISO/IEC 27001 und ISO/IEC 27002 sowie IEC 62443-2-1 und auf den IT-Grundschutz des Bundesamts für Sicherheit in der Informationstechnik (BSI). Gleichwertige Vorgehensweisen sind zulässig. Interne Schnittstellen zwischen Sensor, Logik und Aktor betrachten die Beispiele nicht. Diese Schnittstellen muss der Arbeitgeber separat behandeln, sofern der Hersteller sie nicht betrachtet hat.

Wie die ZÜS prüft

Für überwachungsbedürftige Anlagen legt der Beschluss B-002 rev 5 des EK ZÜS (2025) Mindestanforderungen fest. Seit 2022 wurde er mehrfach fortgeschrieben. Anzuwenden ist die Revision 5 spätestens ab dem 1. April 2026 (Abschnitt 4.5).

Prüfumfang und Prüfweg

Bei jeder überwachungsbedürftigen Anlage klärt die ZÜS zuerst, ob die TRBS 1115 Teil 1 anzuwenden ist. Geprüft werden drei Inhalte (Abschnitt 4.2 Absatz 1).

  • Eignung und Funktionsfähigkeit der Maßnahmen
  • Plausibilität von Dokumentation und Festlegung
  • Vorhandensein eines Verfahrens zur Aufrechterhaltung des Cybersicherheitsniveaus

Die ZÜS arbeitet mit einer Plausibilitätsprüfung der Unterlagen und einer Stichprobe zur Umsetzung und Funktion (Abschnitt 4.2 Absatz 3). Die Wirksamkeitsüberprüfung nach Abschnitt 5 der TRBS gehört nicht zur ZÜS-Prüfung. Gleiches gilt für die Kontrollen nach Abschnitt 8.2, und beide bleiben Aufgabe des Betreibers. Ergebnisse darf sich die ZÜS zu eigen machen, wenn sie nachvollziehbar dokumentiert und plausibel sind.

Zwischen Einzelfallbetrachtung je Anlage und Top-down-Betrachtung wählt der Betreiber. Letztere setzt ein Management der Cybersicherheit nach Anhang 1 für mehrere Anlagen voraus, und auf Managementebene prüft die ZÜS die Prozesse dann gebündelt. Bei vielen Anlagen sieht der Beschluss darin einen Effizienzvorteil.

Zertifikate und Managementsysteme

Ausschließlich mit einer Zertifizierung durch eine unabhängige Stelle kann die ZÜS ein Managementsystem berücksichtigen (Abschnitt 4.3.2). Genannt sind ISO/IEC 27001 und DIN EN IEC 62443. Das Zertifikat muss vier Bedingungen erfüllen.

  • Der Geltungsbereich umfasst die schutzbedürftigen Systeme.
  • Der Schutz von Beschäftigten und Personen im Gefahrenbereich ist ausreichend berücksichtigt.
  • Das Zertifikat ist gültig.
  • Die Prüftiefe umfasst die Funktionsfähigkeit der relevanten Maßnahmen.

Ohne Zertifikat bleibt der Weg über Anhang 1 der TRBS, und die ZÜS plausibilisiert das Managementsystem dann anhand der Abschnitte A1.2.1 und A1.2.2 (Abschnitt 4.4 des Beschlusses). Als Hilfe nennt der Beschluss den Themenkatalog im VCI-Statuspapier zur Cybersicherheit in der Prozessindustrie. Eine Herstellerbestätigung auf Basis eines etablierten Verfahrens wie DIN EN IEC 62443 berücksichtigt die ZÜS bei plausiblem Inhalt (Abschnitt 4.3.1). Ergebnisse unabhängiger Prüfungen nach anderen Rechtsgebieten sind unter denselben vier Bedingungen verwertbar (Abschnitt 4.3.3).

Mängeleinstufung

Stufe Beispiel laut Beschluss (Abschnitt 5)
geringfügiger Mangel Dokumentation unvollständig oder fehlerhaft, oder Umsetzungsdefizite unterhalb der Erheblichkeit
erheblicher Mangel schutzbedürftige Systeme sind über ungeschützte Schnittstellen zugänglich und es sind unverzüglich Maßnahmen erforderlich
gefährlicher Mangel Kompromittierung schutzbedürftiger Einrichtungen mit möglicher Gefährdung ist eingetreten

Nachweispaket für die Prüfung

In Anhang 2 definiert der Beschluss einen Mindestumfang der Dokumentationsprüfung mit 14 Prüffragen. Daraus ergeben sich zwölf Nachweise.

  1. Gefährdungsbeurteilung mit Bezug auf Cyberbedrohungen und der Feststellung, dass bei überwachungsbedürftigen Anlagen von einem erheblichen Risiko auszugehen ist
  2. Liste der schutzbedürftigen Einrichtungen mit ihren Schnittstellen
  3. Bewertung der Auswirkungen einer Kompromittierung ohne Berücksichtigung bestehender oder geplanter Maßnahmen (Abschnitt A2.3.1)
  4. Liste der beteiligten fachkundigen Personen
  5. Angaben zu den zugrunde gelegten Normen und Standards
  6. Schutzkonzept und Spezifikation der Cybersicherheit mit den Standardmaßnahmen aus Abschnitt 4.5.2
  7. Herstellervorgaben und Nachweis ihrer Umsetzung
  8. Verfahren zur Aufrechterhaltung des Niveaus mit Updates und neuen Erkenntnissen
  9. Betriebsanweisungen und Unterweisungsnachweise
  10. Bewertung der Rückwirkungsfreiheit
  11. Festlegung von Art, Umfang und Fristen der Überprüfungen und Kontrollen samt Kontrollnachweisen
  12. Bewertung prüfpflichtiger Änderungen mit Einfluss auf die Cybersicherheit

Abgrenzung zu NIS2, MVO und CRA

Vier Regelwerke wirken hier auf unterschiedlichen Ebenen.

Regelwerk Adressat Schutzgut Anknüpfung
TRBS 1115 Teil 1 Arbeitgeber als Betreiber Beschäftigte und Personen im Gefahrenbereich Gefährdungsbeurteilung nach § 3 BetrSichV
NIS2 (Richtlinie (EU) 2022/2555) mit BSIG besonders wichtige und wichtige Einrichtungen Netz- und Informationssysteme der Einrichtung Risikomanagement nach Artikel 21 NIS2 und § 30 BSIG
Maschinenverordnung (EU) 2023/1230 Hersteller von Maschinen Sicherheit der Maschine Anhang III Abschnitte 1.1.9 und 1.2.1 ab 20. Januar 2027
Cyber Resilience Act (EU) 2024/2847 Hersteller von Produkten mit digitalen Elementen Cybersicherheit des Produkts Artikel 13 und 14 sowie Anhang I, Meldepflichten seit 11. September 2026, volle Anwendung ab 11. Dezember 2027

An den Betreiber richtet sich die TRBS. MVO und CRA binden den Hersteller, und NIS2 knüpft an Sektor und Größe der Einrichtung an. Die Schutzgüter unterscheiden sich. Die TRBS schützt Menschen im Gefahrenbereich und blendet wirtschaftliche Schäden aus, während NIS2 die Netz- und Informationssysteme der Einrichtung betrachtet.

Maßnahmen wie Segmentierung, Zugriffssteuerung und Protokollierung dienen mehreren Regimen zugleich. Getrennt bleiben jedoch die Nachweise. Die TRBS verlangt den Bezug auf die Personensicherheit, und der Beschluss der ZÜS prüft ihn ausdrücklich (Abschnitte 4.3.2 und 4.3.3). Fällt ein Betreiber in den Anwendungsbereich von NIS2 und BSIG, treten Risikomanagementmaßnahmen nach Artikel 21 NIS2 und § 30 BSIG hinzu. Die Einordnung für den Industriesektor steht im Beitrag NIS2 Deutschland.

In Abschnitt 4.4.2 räumt die TRBS ein, dass die Vorschriften zum Inverkehrbringen Cyberbedrohungen zum Zeitpunkt ihrer Erarbeitung nicht ausreichend behandeln. Dasselbe sagt der Beschluss der ZÜS mit Redaktionsschluss August 2025 (Abschnitt 2 Absatz 3). Diese Lücke schließt sich schrittweise, nämlich mit der Maschinenverordnung ab dem 20. Januar 2027 und der vollen Anwendung des CRA ab dem 11. Dezember 2027. Die Herstellerseite behandelt der Beitrag Maschinenverordnung und Cybersicherheit.

Für Betreiber folgt daraus ein Beschaffungsthema. Eine bestätigte Cybersicherheit nach dem Stand der Technik verlagert die Aufgabe auf das Aufrechterhalten der Herstellervorgaben (Abschnitt 4.4.1). Als Beispiel nennt der Beschluss eine Bestätigung auf Basis der DIN EN IEC 62443 (Abschnitt 4.3.1), und Betreiber sollten solche Bestätigungen bei Neuanschaffungen einfordern. Für den sicheren Betrieb bestehender Arbeitsmittel gilt weiterhin die BetrSichV. Ab dem 20. Januar 2027 kann ein Umbau den Betreiber nach Artikel 18 MVO zum Hersteller machen. Wann das der Fall ist, behandelt der Beitrag Wesentliche Veränderung nach MVO und wesentliche Änderung nach CRA.

Sechs Lücken, die der Regeltext sofort offenlegt

Der Betrachtungsumfang endet an der Sicherheits-SPS. Schutzbedürftig sind ebenso Notbefehlseinrichtungen, Programmiergeräte und Gateways.

Die Begründung lautet, bisher sei nichts passiert. Statistiken über Vorfälle genügen nach Anhang 2 als Bewertungsgrundlage nicht.

Die Auswirkungsbewertung rechnet vorhandene Maßnahmen ein. Anhang 2 verlangt die Bewertung ohne bestehende oder geplante Maßnahmen.

Fernwartung läuft ohne Ersatzmaßnahmen. Für die Zeit eingeschränkter Schutzwirkung sind sie festzulegen.

Das ISO-27001-Zertifikat deckt die Anlage nicht ab. Der Beschluss verlangt einen passenden Geltungsbereich und die Berücksichtigung der Personensicherheit.

Herstellervorgaben sind dokumentiert und nicht umgesetzt. Damit wechselt der Betreiber in die Eigenverantwortung nach Abschnitt 4.4.3.

Vorgehen in sechs Schritten

Dem beispielhaften Ablauf im Anhang 1 des Beschlusses mit vier Stufen folgen die Schritte. Zwei Ergänzungen stammen von mir.

  1. Schnittstellen ermitteln. Alle für die Sicherheit relevanten Einrichtungen mit ihren Datenschnittstellen erfassen.
  2. Auswirkungen beurteilen. Eine Manipulation und ihre möglichen Gefährdungen beschreiben. Auf diese Stufe kann verzichtet werden, wenn pauschal ein anforderungsgerechter Schutzbedarf festgelegt wird.
  3. Maßnahmen festlegen. Die sechs Standardmaßnahmen im erforderlichen Umfang in Schutzkonzept und Spezifikation überführen.
  4. Umsetzen und Wirksamkeit prüfen. Konfiguration, Herstellervorgaben und Rückwirkungsfreiheit bestätigen (Abschnitt 5).
  5. Aufrechterhaltung etablieren. Update-Verfahren und Schwachstellenquellen festlegen. Kontrollplan und Unterweisung ergänzen (Abschnitte 3.1 Absatz 5 und 8).
  6. Nachweise bündeln. Bei mehreren Anlagen ein Management der Cybersicherheit nach Anhang 1 aufbauen und die Top-down-Prüfung vorbereiten.

Handelt es sich um ein verwendungsfertiges System mit vom Hersteller bestätigter Cybersicherheit, entfällt die Planung durch den Betreiber. Dann zählt die Einhaltung der Herstellervorgaben.

Fazit

Nach dem Weg zur Maßnahme fragt die TRBS 1115 Teil 1. Geprüft werden die Erfassung der Schnittstellen, die Bewertung der Auswirkungen und die nachvollziehbare Festlegung der Maßnahmen (Abschnitt A2.3.1 Absatz 2). Hinzu kommt der Nachweis der Wirksamkeit im laufenden Betrieb. Wer diese Kette dokumentiert, schafft die Grundlage für eine reibungslose Prüfung.

Ich würde mit der Schnittstellenliste beginnen. Sie bildet die Basis für alle weiteren Schritte und lässt sich meist passiv erheben.

OT-Security-Beratung. Für Betreiber biete ich eine Bestandsaufnahme und Maßnahmenplanung nach TRBS 1115 Teil 1 an. Den Umfang und die Abgrenzung zu gesetzlichen Prüfungen finden Sie unter TRBS 1115 Teil 1 – Beratung für Betreiber.

Häufige Fragen

Gilt die TRBS 1115 Teil 1 für Bestandsanlagen?

Cybersicherheit verlangt die Regel während der gesamten Verwendungsdauer des Arbeitsmittels (Abschnitt 3.1 Absatz 4). Damit gilt sie für laufende Anlagen. Die nächste wiederkehrende Prüfung fragt nach den Nachweisen (Abschnitt 7).

Ist die TRBS 1115 Teil 1 verbindlich?

Sie ist kein Gesetz. Wer sie einhält, kann die Erfüllung der BetrSichV-Anforderungen annehmen. Eine abweichende Lösung muss mindestens die gleiche Sicherheit und den gleichen Gesundheitsschutz erreichen.

Reicht ein ISO-27001-Zertifikat?

Ausschließlich unter vier Bedingungen berücksichtigt die ZÜS es. Das Zertifikat muss zum Geltungsbereich passen, die Personensicherheit abdecken, gültig sein und die Funktionsfähigkeit der Maßnahmen umfassen (Abschnitt 4.3.2 des Beschlusses). Fehlt es, bleibt der Weg über Anhang 1 der TRBS.

Muss ich IEC 62443 anwenden?

Ein Rahmenwerk schreibt die TRBS nicht vor. Anhang 3 nennt den IT-Grundschutz und das ICS-Security-Kompendium, dazu die BSI-Standards 200-1 bis 200-3 sowie die Reihen ISO/IEC 27000 und IEC 62443. Bei hoher Vernetzung lässt Anhang 2 gleichwertige Vorgehensweisen zu.

Wer darf die Gefährdungsbeurteilung zur Cybersicherheit erstellen?

Nach § 3 Absatz 3 BetrSichV erstellen fachkundige Personen die Gefährdungsbeurteilung, und die TRBS nennt dafür vier Kenntnisbereiche. Legt der Arbeitgeber die Maßnahmen selbst fest, verlangt sie tiefergehende Fachkunde (Abschnitt 3.3.2 Absatz 2 und 3).

Quellenstand

Hinweis. Der Beitrag ordnet den Rechtsstand allgemein ein und ersetzt keine rechtliche oder anlagenspezifische Prüfung im Einzelfall.