Der Anlagensicherheitsreport wird vom TÜV-Verband unter Mitwirkung aller deutschen Zugelassenen Überwachungsstellen (ZÜS) erstellt. Die Expert:innen beobachten, dass mit der zunehmenden Zahl der Cyberangriffe auf deutsche Unternehmen auch das Bewusstsein für die damit verbundenen Gefahren und Risiken zugenommen hat. „Wir diskutieren nicht mehr darüber, ob man Cybersecurity braucht“, sagt Jörg Becker, Leiter des Kompetenzzentrums Cybersecurity des TÜV SÜD Industrie Service. „Wir diskutieren darüber, was zu tun ist.“ Für sinnvoll hält der Experte ein pragmatisches Vorgehen in drei Schritten: Im ersten Schritt müssen Unternehmen die Systeme identifizieren, die für Cybersicherheit relevant sind. Im zweiten Schritt geht es darum, die Folgen eines Angriffs auf diese Systeme zu bewerten und im dritten Schritt werden die konkreten Maßnahmen definiert, die für einen Schutz der Systeme erforderlich sind.
Die Betreiber von überwachungsbedürftigen Anlagen können sich bei der Suche nach geeigneten Schutzmaßnahmen an der Technischen Regel für Betriebssicherheit (TRBS) 1115–1 orientieren, die im vergangenen Jahr verabschiedet wurde. „Im Kern geht es darum, dass Anlagenbetreiber im Rahmen ihrer Gefährdungsbeurteilung auch Cyberbedrohungen berücksichtigen und entsprechende Gegenmaßnahmen festlegen müssen, wenn Arbeitnehmer oder Personen im Gefahrenbereich durch einen Cyberangriff gefährdet werden können“, erklärt Becker.
„Relevant sind hier vor allem die sicherheitsrelevanten Mess‑, Steuer- und Regeleinrichtungen. Manchmal kann ein gefährlicher Zustand aber auch durch Manipulationen an anderen Anlagenteilen hervorgerufen werden. Dann sind auch diese zu schützen.“ Nicht betroffen von dieser Regelung sind Anlagen, deren Sicherheitsfunktionen rein mechanisch oder analog aufgebaut sind und deren sicherer Betrieb nicht durch einen Cyberangriff gefährdet ist.
Die TRBS 1115–1 beschreibt die Vorgehensweise zur Auswahl von geeigneten Schutzmaßnahmen, die in sechs Bereiche untergliedert werden: Hardwarearchitektur und Segmentierung, Zugangs- und Zugriffskontrolle, sichere Installation und Änderungen von Schutzmaßnahmen, Funktionsreduktion und Härtung, Überwachung von Hardware und Software inklusive ihrer Kommunikation und Notfallmanagement. „Jedes Unternehmen muss sich für jeden dieser Bereiche überlegen, welche Maßnahmen für einen ausreichenden Schutz erforderlich sind“, erklärt Becker. „Die ‚Klassiker‘ sind Virenscanner oder Passwortschutz. Das Repertoire an Maßnahmen ist aber viel größer. Daher können Cybersicherheitskonzepte unterschiedlich ausfallen.“
In Zukunft prüfen die ZÜS im Rahmen der gesetzlich vorgeschriebenen Prüfungen von überwachungsbedürftigen Anlagen auch, ob die Mindestanforderungen der TRBS 1115–1 umgesetzt und ausreichende Schutzmaßnahmen festgelegt wurden. Um vor allem kleine und mittlere Unternehmen nicht zu überfordern, gibt es einen schrittweisen Übergang bzw. eine schrittweise Erweiterung des Prüfumfangs und der Prüftiefe. Bereits seit 2023 wird eine unzureichende Umsetzung der Vorgaben als Mangel bewertet. Seit dem 1. April 2024 sind die ZÜS zu einer umfangreicheren Prüfung verpflichtet, die sich erst einmal auf die Dokumentation und Plausibilität der Maßnahmen bezieht. In Zukunft soll auch die technische Umsetzung und die Funktionsfähigkeit der Schutzmaßnahmen an den Anlagen selbst geprüft werden.
Überwachungsbedürftige Anlagen und Anlagensicherheitsreport Überwachungsbedürftige Anlagen sind Arbeitsmittel, von denen besondere Gefährdungen ausgehen. Dazu zählen Anlagen in explosionsgefährdeten Bereichen, Druckanlagen und Aufzugsanlagen. Im Anlagensicherheitsreport veröffentlicht der TÜV-Verband jedes Jahr eine Auswertung der gesetzlich vorgeschriebenen Prüfungen von überwachungsbedürftigen Anlagen. Den aktuellen Anlagesicherheitsreport 2024 mit allen Statistiken und Fachbeiträgen zu aktuellen Themen gibt es auf den Seiten des TÜV-Verbandes als PDF zum Download.
