TRBS 1115 und Teil 1 richtig anwenden

Was TRBS 1115 und Teil 1 voneinander trennt

Die TRBS 1115 behandelt sicherheitsrelevante Mess-, Steuer- und Regeleinrichtungen, kurz MSR-Einrichtungen. Diese Einrichtungen sind technische Schutzmaßnahmen: Ihre korrekte Funktion verhindert oder vermindert eine Gefährdung, die sich nicht ausreichend durch inhärent sichere Konstruktion oder trennende Schutzeinrichtungen beherrschen lässt.

Die Grundregel und ihr Teil 1 bearbeiten zwei verbundene, aber nicht identische Fehlerwelten:

Regel	Schwerpunkt	Aktueller BAuA-Stand am 12. August 2026
TRBS 1115	Funktionale Sicherheit, Sicherheitslebenszyklus, Planung, Inbetriebnahme, Wirksamkeit, Prüfung, Instandhaltung und Änderungen	Ausgabe März 2021, zuletzt geändert November 2024
TRBS 1115 Teil 1	Cyberbedrohungen, kompromittierbare Schnittstellen, IT/OT-Umgebung, Cybersicherheitsmaßnahmen und Notfallmanagement	Ausgabe November 2022, geändert GMBl 2026, S. 5

Funktionale Sicherheit berücksichtigt zufällige Ausfälle und systematische Fehler. TRBS 1115 Teil 1 ergänzt vorsätzliche oder durch Fehlanwendung ermöglichte Cyberangriffe. Eine sicherheitsbezogene Steuerung mit Netzwerkschnittstelle kann deshalb in beide Betrachtungen fallen. Eine reine Bürosoftware ohne Einfluss auf die sichere Verwendung eines Arbeitsmittels gehört dagegen nicht allein wegen eines IT-Risikos in diesen Regelungsbereich.

Woran eine sicherheitsrelevante MSR-Einrichtung zu erkennen ist

Nicht jedes Messgerät, Display oder jede Steuerung ist automatisch sicherheitsrelevant. Entscheidend ist die Schutzfunktion: Würde eine Gefährdung entstehen oder wesentlich zunehmen, wenn die Einrichtung falsch misst, nicht schaltet, ungewollt schaltet oder nicht verfügbar ist?

Leitfrage	Mögliches Praxisbeispiel
Erkennt ein Sensor einen gefährlichen Zustand?	Temperatur- oder Druckgrenzwert überwacht einen Prozess.
Verarbeitet eine Logik das Sicherheitssignal?	Sicherheitssteuerung wertet Schutztür, Lichtgitter oder Grenzwert aus.
Bringt ein Aktor das Arbeitsmittel in einen sicheren Zustand?	Abschaltung stoppt eine Gefahrbewegung oder schließt eine Zufuhr.
Wird eine Schutzfunktion überwacht oder verriegelt?	Wiederanlauf wird verhindert, solange eine Schutzeinrichtung offen ist.
Kann ein anderes digitales System die Funktion beeinflussen?	Engineering-Laptop, Fernwartung, Gateway oder Bedienstation verändert Parameter oder Befehle.

Die Bezeichnung kann je nach Branche abweichen. In Dokumentationen stehen etwa „sicherheitsbezogene Steuerung“ oder „PLT-Sicherheitseinrichtung“. Die Gefährdungsbeurteilung muss die Schutzfunktion, den sicheren Zustand und die beteiligten Sensoren, Logikkomponenten, Aktoren, Verbindungen und Schnittstellen eindeutig benennen.

Die Grundregel enthält besondere Anhänge für Druckanlagen, Ex-Anlagen und seit der Änderung 2024 auch Aufzugsanlagen. Der separate Artikel zur Gefährdungsbeurteilung Cybersicherheit bei Aufzügen bleibt deshalb beim konkreten Anlagen- und Vorlagenintent; diese Seite erklärt den branchenübergreifenden Regelwerksprozess.

Sicherheitslebenszyklus statt einmaliger Abnahme

TRBS 1115 beschreibt den Sicherheitslebenszyklus als Aufgaben des Arbeitgebers über die gesamte Verwendungsdauer. Das verhindert, dass eine Schutzfunktion nur bei der Inbetriebnahme betrachtet und danach durch Umbau, Alterung oder falsche Ersatzteile schleichend verändert wird.

1. Gefährdung und Schutzfunktion bestimmen: Gefährdungsszenario, erforderliche Risikominderung, sicheren Zustand und Reaktion bei Fehler festlegen.
2. Verantwortung klären: Unterscheiden, ob das Arbeitsmittel verwendungsfertig mit Schutzfunktion geliefert oder die MSR-Einrichtung in eigener Verantwortung ausgewählt, integriert oder zusammengestellt wird.
3. Anforderungen spezifizieren: Funktion, Zuverlässigkeit, Umgebungsbedingungen, Diagnose, Reaktionszeit, Schnittstellen und Prüfungen nachvollziehbar beschreiben.
4. Auswählen und realisieren: Geeignete Komponenten einsetzen, fachgerecht integrieren und Rückwirkungen auf andere Schutzmaßnahmen vermeiden.
5. In Betrieb nehmen: Sensoren, Aktoren, Anschlüsse, Energieversorgung, Parameter, Ein- und Ausgänge sowie Datenverbindungen gegen die Planung prüfen.
6. Wirksamkeit erhalten: Kontrollen, Prüfungen von Arbeitsmitteln, Instandhaltung, Ersatzmaßnahmen und Fehlerauswertung organisieren.
7. Änderungen beherrschen: Software, Parameter, Ersatzteile, Schnittstellen und Nutzungsbedingungen vor Freigabe auf ihre Sicherheitsauswirkung prüfen; danach geordnet außer Betrieb nehmen.

Bei einem verwendungsfertigen Arbeitsmittel bleiben Herstellerangaben, Instandhaltung, Kontrollen und Prüfungen zentral. Stellt der Arbeitgeber eine Schutzfunktion selbst bereit oder integriert Komponenten, muss er eigene fachkundige Verfahren, Werkzeuge und Methoden für Planung und dauerhafte Funktionsfähigkeit festlegen. Dabei können zusätzlich Herstellerpflichten und eine prüfpflichtige Änderung zu bewerten sein.

Wann die Cybersicherheit arbeitsschutzrelevant wird

TRBS 1115 Teil 1 beginnt nicht erst am Internetanschluss. Sie fragt, ob eine sicherheitsrelevante MSR-Einrichtung oder eine andere für den sicheren Betrieb benötigte Einrichtung über eine externe drahtgebundene oder drahtlose Schnittstelle kompromittiert werden kann.

Der 2026 eingefügte Anhang 2 ordnet Beispiele nach Art der Schnittstelle und Vernetzungsgrad:

Systembild	Einordnung und erste Konsequenz
Keine externe Schnittstelle	Ohne USB, Ethernet, Bluetooth oder andere erreichbare externe Schnittstelle fällt das Beispiel nicht in Teil 1. Die funktionale Sicherheit nach der Grundregel bleibt relevant.
Lokale drahtgebundene Schnittstelle	Auch ohne Netzwerk relevant. Konfigurationsgerät, Zugriffsregeln, deaktivierte ungenutzte Ports, Integritätskontrolle und Wiederanlauf nach Kompromittierung mitbetrachten.
Drahtlose Bedienung im Inselbetrieb	Bedienstation und Funkverbindung gehören in die Bewertung; Verbindung beschränken, Kommunikation schützen und Gerät gegen unbefugten Zugriff sichern.
Arbeitsmittelbezogenes Inselnetz	Arbeitsmittel, Bedienstation, Konfigurationsgerät und Netzwerk gemeinsam erfassen, segmentieren, härten und überwachen.
Überwachung über ein OT-Netz	Informationsfluss und Kommunikationspartner begrenzen; unerlaubte Kommunikation erkennen und eine kompromittierbare Not-Befehlseinrichtung einbeziehen.
Steuerung über ein OT-Netz	Detaillierte systemspezifische Cyberrisikobeurteilung nach einem etablierten Verfahren ist erforderlich.

Schutzbedürftig können neben der MSR-Einrichtung auch Notruf- oder Notbefehlseinrichtungen, Engineering- und Servicegeräte, Gateways, Bedienstationen oder zunächst nicht sicherheitsrelevante Steuerungen sein. Maßgeblich ist, ob ihre Kompromittierung eine relevante Gefährdung von Beschäftigten oder anderen Personen im Gefahrenbereich verursachen kann.

Cyberrisiken in acht Schritten bearbeiten

Die Behandlung von Cyberbedrohungen ist Teil der Gefährdungsbeurteilung nach TRBS 1111. Eine umfangreiche Cyberdokumentation darf unterlagert geführt und eindeutig referenziert werden. Für die praktische Bearbeitung eignet sich dieser Ablauf:

1. Schutzfunktionen inventarisieren: Arbeitsmittel, sichere Zustände und alle sicherheitsrelevanten MSR-Einrichtungen erfassen.
2. Schutzbedürftige Umgebung abgrenzen: Schnittstellen, Konfigurationsgeräte, Fernzugänge, Netzkomponenten, Bedienstationen, externe Dienste und Wartungszugänge einzeichnen.
3. Cyberbedrohungen annehmen: Nicht nur externe Angreifer, sondern auch vorhersehbare Fehlanwendung durch Zugangsberechtigte berücksichtigen, etwa einen unzulässigen USB-Stick.
4. Auswirkungen ohne Schutzmaßnahmen bewerten: Ermitteln, was Verlust von Verfügbarkeit oder Integrität für Menschen im Gefahrenbereich auslösen kann. Statistiken bisheriger Vorfälle allein reichen dafür nicht.
5. Sollzustand festlegen: Segmentierung, Zugang und Zugriff, sichere Authentifizierung, Härtung, Unabhängigkeit, Überwachung, Updates und Notfallmanagement systemspezifisch bestimmen.
6. Rückwirkungsfreiheit prüfen: Eine Firewall, ein Update oder eine Überwachungsfunktion darf die benötigte Sicherheitsfunktion nicht selbst unzulässig beeinträchtigen.
7. Wirksamkeit nachweisen: Eignung des Schutzkonzepts und tatsächliche Funktionsfähigkeit vor Verwendung und nach Änderungen prüfen; Kontrollen für den Betrieb festlegen.
8. Erkenntnisse fortschreiben: Sicherheitslücken, Herstellerhinweise, neue Angriffsmöglichkeiten, Dienstleisterwechsel und Vorfälle als Anlässe behandeln.

Eine allgemeine Passwortliste ist damit noch keine Gefährdungsbeurteilung. Der Nachweis muss eine Kette bilden: kompromittierbarer Weg, mögliche Auswirkung auf die Schutzfunktion, Gefährdung für Personen, festgelegte Maßnahme, Sollzustand, Prüfmethode und Reaktion bei Abweichung.

Maßnahmen über Technik und Organisation verbinden

Geeignete Maßnahmen hängen vom System ab. Der neue Anhang nennt als wiederkehrende Bausteine Segmentierung, geregelten Zugang und Zugriff, Härtung von Komponenten, Unabhängigkeit der Sicherheitsfunktion, Überwachung und Notfallmanagement.

• Segmentierung: Kommunikationswege auf notwendige Teilnehmer und Richtungen beschränken; Inselnetze tatsächlich getrennt halten.
• Zugriffsschutz: Rollen, Berechtigungen und sichere Authentifizierung für Beschäftigte und Dienstleister festlegen; Standardzugänge vermeiden.
• Härtung: Nicht benötigte Schnittstellen und Dienste deaktivieren oder physisch blockieren; sichere Konfiguration dokumentieren.
• Integrität und Updates: Freigegebene Softwarestände, Parameter und Prüfsummen überwachen; Herstellerhinweise und Sicherheitsupdates in einem kontrollierten Änderungsprozess behandeln.
• Überwachung: Ungewöhnliche Kommunikation, unzulässige Aktivitäten und Abweichungen vom Sollzustand erkennen und auswerten.
• Notfallmanagement: sicheren Zustand, Kommunikationsabschaltung, Verantwortliche, Wiederherstellung, Prüfung und Wiederinbetriebnahme vorab festlegen.

Beschäftigte müssen die für ihren Zuständigkeitsbereich geltenden Cybersicherheitsmaßnahmen, die erkennbaren Bedrohungen und die Reaktion im Notfall kennen. Technische Details gehören nur so weit in die Unterweisung, wie sie für sicheres Verhalten nötig sind. Passwörter, Schlüssel und ausnutzbare Systemdetails sollten nicht in einer breit zugänglichen Arbeitsschutzakte stehen.

Prüfung, Kontrolle und Änderung sauber trennen

Die TRBS 1201 liefert den allgemeinen Prüfrahmen. TRBS 1115 und Teil 1 konkretisieren, was bei sicherheitsrelevanten MSR-Einrichtungen hinzukommt:

Vorgang	Leitfrage
Wirksamkeitsüberprüfung	Ist die Schutzfunktion vor erstmaliger Verwendung geeignet, korrekt realisiert und funktionsfähig?
Regelmäßige Kontrolle	Entsprechen Konfiguration, physische Barrieren, Zugriffsschutz, Firewall, Überwachung und organisatorische Regeln weiterhin dem Sollzustand?
Prüfung vor Inbetriebnahme oder nach prüfpflichtiger Änderung	Wurden funktionale und cybersicherheitsbezogene Auswirkungen fachkundig bewertet und erforderliche Teilprüfungen durchgeführt?
Wiederkehrende Prüfung	Sind Schutzfunktion und Cybersicherheitsmaßnahmen weiterhin geeignet und funktionsfähig; wurden Änderungen und neue Sicherheitslücken berücksichtigt?

Prüfungen dürfen nur durch die nach BetrSichV erforderliche befähigte Person nach TRBS 1203 oder bei überwachungsbedürftigen Anlagen durch die zuständige zugelassene Überwachungsstelle erfolgen. Diese Rolle ist von der fachkundigen Erstellung der Gefährdungsbeurteilung zu unterscheiden. IT, OT, Instandhaltung, Arbeitsschutz und Prüfstellen müssen ihre Ergebnisse daher koordiniert austauschen.

Dokumentation mit klaren Nachweisobjekten

Eine praxistaugliche Dokumentation führt mindestens folgende Objekte zusammen:

• Arbeitsmittel, Schutzfunktion, Gefährdung und sicherer Zustand
• Komponenten und Verantwortungsgrenze zwischen Hersteller, Betreiber und Dienstleister
• Schnittstellen- und Datenflussübersicht einschließlich temporärer Wartungszugänge
• IT/OT-Umgebung und weitere schutzbedürftige Einrichtungen
• Fachkunde, Zuständigkeiten, Berechtigungen und Freigabeverfahren
• Anforderungen, Sollkonfiguration und Maßnahmen gegen konkrete Cyberbedrohungen
• Prüf- und Kontrollplan mit Methode, Frist, Ergebnis und Abweichungsbehandlung
• Software-, Parameter-, Ersatzteil- und Änderungshistorie
• Herstellerinformationen, Schwachstellenbewertung, Notfallplan und Wiederanlaufkriterien

ArbeitsschutzPilot kann Verantwortliche, Maßnahmen, Fristen, Reviews und Nachweisverweise organisieren. Es ersetzt weder die technische Sicherheitsarchitektur noch einen Penetrationstest, die Auslegung einer Sicherheitsfunktion oder die vorgeschriebene Prüfung. Die allgemeine BetrSichV-Systematik steht bei der Betriebssicherheitsverordnung; diese Seite bleibt auf MSR-Funktion, Cyberbedrohung und Sicherheitslebenszyklus begrenzt, um Überschneidungen mit allgemeiner Dokumentation oder Softwareauswahl zu vermeiden.