TRBS 1115 1: Cybersicherheit für MSR-Einrichtungen

Die unangenehme Wahrheit zu TRBS 1115 Teil 1 ist: Wer nur technische Schutzmaßnahmen einführt, ist im Audit trotzdem noch nicht sauber aufgestellt. Prüfstellen werten fehlende Dokumentation bereits als Mangel, und genau das zeigt, dass es hier nicht mehr um freiwillige Cyberhygiene geht, sondern um prüfrelevante Betreiberpflichten im Betriebssicherheitsrahmen TÜV-Nord zur Prüf­relevanz fehlender TRBS-1115-1-Dokumentation. Für technische Entscheider im Maschinenbau zählt deshalb nicht die Maßnahme allein, sondern der prüffähige Nachweisweg.

Die Regel ist nicht neu im Sinne einer bloßen Empfehlung, sondern als technische Konkretisierung der BetrSichV verankert und wird von der BAuA mit Ausgabe November 2022 sowie späteren Fortschreibungen geführt BAuA zur TRBS 1115 Teil 1. Genau an dieser Stelle trennt sich saubere Compliance von gut gemeinter Technik: Was nicht dokumentiert, bewertet und in die Prüfung überführt ist, hält im Zweifel weder der wiederkehrenden Prüfung noch einer Haftungsprüfung stand.

Inhaltsverzeichnis

• Warum TRBS 1115 Teil 1 jetzt prüfrelevant ist
• Anwendungsbereich und Abgrenzung zur allgemeinen IT-Sicherheit
• Systematische Vorgehensweise nach TRBS 1115 Teil 1
  • Was zuerst erfasst werden muss
  • Wo die Bewertung ansetzt
• Prüffähiger Nachweis statt bloßer Maßnahmenliste
• Typische Maschinengefährdungen und Cybersecurity Maßnahmen
• Checkliste für die Umsetzung in KMU
• Einbindung in den CE-Prozess und die Risikobeurteilung
• Häufige Fragen zur TRBS 1115 Teil 1 in der Praxis

<a id="warum-trbs-1115-teil-1-jetzt-prufrelevant-ist"></a>

Warum TRBS 1115 Teil 1 jetzt prüfrelevant ist

TRBS 1115 Teil 1 ist kein Randthema mehr, sondern ein Prüfpunkt mit klaren Folgen für Betreiber. Wer sicherheitsrelevante Mess-, Steuer- und Regeleinrichtungen im Betrieb hat, muss heute damit rechnen, dass fehlende oder unvollständige Dokumentation nicht nur intern auffällt, sondern im Audit als Mangel erscheint. Genau daran zeigt sich, ob Cybersicherheit im Unternehmen noch als reines IT-Thema behandelt wird oder bereits als Bestandteil der Betreiberpflichten im Betriebssicherheitsrahmen verstanden ist.

Der rechtliche Übergang von der Empfehlung zur konkretisierten Regel ist dafür der entscheidende Hintergrund. Die BAuA führt die TRBS 1115 Teil 1 als technische Konkretisierung im Regelwerk, und TÜV Hessen beschreibt die Überführung der früheren EmpfBS 1115 in diese TRBS. Aus einer fachlichen Orientierung wurde damit ein prüfrelevanter Maßstab für sicherheitsrelevante Anlagen, bei dem nicht die bloße Absicht zählt, sondern die nachvollziehbare Umsetzung BAuA zur TRBS 1115 Teil 1, TÜV Hessen zur Überführung von EmpfBS 1115 in TRBS 1115 Teil 1.

In der Praxis prüft die Stelle nicht nur, ob Maßnahmen vorhanden sind, sondern ob die Sicherheitsfunktion der Anlage belastbar belegt ist. Ein internes IT-Konzept reicht dafür nicht. Entscheidend ist, ob die sicherheitsrelevanten Komponenten so beschrieben, bewertet und dokumentiert sind, dass ihre Funktion auch unter Cyberrisiken nachvollziehbar abgesichert bleibt.

Für Betreiber von Aufzugsanlagen ist das besonders gut greifbar. TÜV-Nord weist darauf hin, dass fehlende TRBS-1115-1-Dokumentation seit 2023 prüfseitig als geringer Mangel behandelt wird TÜV-Nord zur Prüf­relevanz fehlender TRBS-1115-1-Dokumentation. Genau deshalb lohnt sich der nüchterne Blick auf den Nachweisweg. Im Audit zählt nicht die Behauptung, dass die Anlage sicher ist, sondern die Dokumentation, mit der sich diese Aussage tragen lässt.

<a id="anwendungsbereich-und-abgrenzung-zur-allgemeinen-it-sicherheit"></a>

Anwendungsbereich und Abgrenzung zur allgemeinen IT-Sicherheit

TRBS 1115 Teil 1 konkretisiert die BetrSichV für sicherheitsrelevante Mess-, Steuer- und Regeleinrichtungen, die als technische Schutzmaßnahme für die sichere Verwendung von Arbeitsmitteln eingesetzt werden, einschließlich überwachungsbedürftiger Anlagen. Die Einordnung der Gewerbeaufsicht Baden-Württemberg zeigt den Rahmen dafür klar auf Gewerbeaufsicht Baden-Württemberg zur Einordnung der TRBS 1115 Teil 1. Wer Office-Netze, ERP oder allgemeine Büro-IT prüfen will, ist mit dieser Regel nicht am richtigen Gegenstand.

In der Praxis liegt der Denkfehler oft darin, vorhandene Firewall-Regeln, Passwortvorgaben und Patchprozesse schon als ausreichende Antwort zu sehen. Für die TRBS zählt jedoch die dauerhafte Funktionsfähigkeit der sicherheitsrelevanten MSR-Einrichtungen, nicht die allgemeine IT-Hygiene. Maßgeblich ist, ob die Sicherheitsfunktion der Anlage trotz Cyberrisiken verlässlich bleibt. Genau dort trennt sich betriebliche Ordnung von prüffähigem Schutz.

Wer den Anwendungsbereich sauber ziehen will, grenzt zuerst die betroffene Anlage technisch ab, benennt dann die Sicherheitsfunktion und prüft erst danach die Cybermaßnahmen. In der OT-Umgebung braucht es dafür einen klaren Blick auf Zuständigkeiten, Schnittstellen und Abhängigkeiten. Eine brauchbare Übersicht zu IT-Sicherheitsmaßnahmen findet sich auf browse our security page, wenn Rollen und Verantwortlichkeiten intern noch nicht sauber getrennt sind.

Nicht jede Absicherung im Netzwerk ist automatisch eine TRBS-Maßnahme. Entscheidend ist, ob sie die sicherheitsrelevante Funktion der MSR-Einrichtung schützt und prüfbar macht.

<a id="systematische-vorgehensweise-nach-trbs-1115-teil-1"></a>

Systematische Vorgehensweise nach TRBS 1115 Teil 1

Die TRBS verlangt keinen freien Stilexperimentierkurs, sondern ein belastbares Vorgehen. Zuerst sind alle Elemente der sicherheitsrelevanten MSR-Einrichtungen und die zugehörige IT/OT-Umgebung zu erfassen, dann die Bedrohungen für Integrität und Verfügbarkeit zu bewerten, danach passende Cybersicherheitsmaßnahmen auszuwählen und umzusetzen VDRI zur systematischen Vorgehensweise nach TRBS 1115 Teil 1. Für die Praxis heißt das, dass ein Betreiber nicht mit generischen Standardtexten durchkommt, sondern eine nachvollziehbare Kette aus Bestand, Bewertung und Maßnahme braucht.

<a id="was-zuerst-erfasst-werden-muss"></a>

Was zuerst erfasst werden muss

Die Erfassung beginnt bei den Komponenten, Schnittstellen, Kommunikationswegen und externen Zugängen. Wer das System nicht vollständig kennt, kann die Bedrohungslage nicht seriös bewerten. In der Praxis scheitern viele Projekte genau hier, weil Engineering, Instandhaltung und IT jeweils nur ihren Teil sehen.

<a id="wo-die-bewertung-ansetzt"></a>

Wo die Bewertung ansetzt

Nach der Erfassung folgt die Bewertung der Risiken für den Betrieb der Sicherheitsfunktion. Gemeint ist nicht nur „kann gehackt werden“, sondern konkret, was die Integrität verfälscht, was Verfügbarkeit unterbricht und was die Sicherheitsfunktion in einen unsicheren Zustand bringt. Genau an diesem Punkt passt die TRBS in einen sauberen CE-Prozess und die Gefährdungsbeurteilung nach Maschinenrecht, wenn die Anlage gleichzeitig Teil des Konformitätsnachweises ist. Ein strukturierter Einstieg dazu ist die Gefährdungsbeurteilung für Maschinen.

Praxisregel: Ohne vollständige Asset-Erfassung gibt es keine belastbare Bewertung, und ohne Bewertung gibt es keine prüffähige Maßnahmeauswahl.

Zusätzlich verlangt die TRBS, Fristen oder Anlässe für Aktualisierungen festzulegen und ein Verfahren zur regelmäßigen Schwachstellenermittlung zu definieren VDRI zur systematischen Vorgehensweise nach TRBS 1115 Teil 1. Das ist der Punkt, an dem aus einmaliger Projektarbeit ein belastbarer Betriebsprozess wird.

<a id="pruffahiger-nachweis-statt-bloer-manahmenliste"></a>

Prüffähiger Nachweis statt bloßer Maßnahmenliste

Die stärkste technische Härtung nützt wenig, wenn der Nachweisweg fehlt. Genau hier scheitern viele Ratgeber und leider auch viele interne Projektunterlagen. Die TRBS verlangt ausdrücklich, dass die Bewertung dokumentiert wird und der Nachweis der Wirksamkeit in die Prüfunterlagen beziehungsweise Prüfbücher der Anlage aufgenommen wird AMEV zur Dokumentationspflicht und Prüffähigkeit nach TRBS 1115 Teil 1.

In der Praxis genügt eine bloße Maßnahmenliste mit Stichworten wie „Passwort ändern“, „Fernzugriff sperren“ oder „Firmware aktuell halten“ nicht. Der Prüfer erwartet eine lückenlose Kette aus Gefährdung, Eignung der Maßnahme, Wirksamkeitsprüfung und Ablageort. Ohne diesen Zusammenhang bleibt die Schutzmaßnahme intern plausibel, aber extern angreifbar.

Für Betreiber ist das auch eine Haftungsfrage. Wenn eine Maßnahme technisch korrekt umgesetzt wurde, ihre Wirksamkeit aber nicht nachvollziehbar dokumentiert ist, verbessert das die Prüf- und Haftungslage oft weniger als erwartet. Deshalb braucht jede TRBS-Umsetzung einen sauberen Audit-Trail. Ein nützlicher Anknüpfungspunkt ist der Beitrag zu den Audit-Trail-Anforderungen.

Prüffähigkeit entsteht erst durch die nachvollziehbare Kombination aus Bewertung, Umsetzung, Wirksamkeitsprüfung und Ablage.

Gerade bei überwachungsbedürftigen Anlagen ist das keine Kür. Die festgelegten Maßnahmen und die zugehörige Dokumentation müssen prüffähig vorliegen, statt nur intern als Empfehlung zu existieren. Wer das früh sauber aufsetzt, spart sich spätere Nachforderungen und Diskussionen mit Prüforganisationen.

<a id="typische-maschinengefahrdungen-und-cybersecurity-manahmen"></a>

Typische Maschinengefährdungen und Cybersecurity Maßnahmen

Ein typisches Problem beginnt oft unspektakulär, etwa mit einem unklaren Service-Zugang oder einem zu weit offenen Fernzugriff. Dann reicht eine kleine Schwachstelle, und aus einer Wartungssituation wird eine Betriebsgefahr. In den Unterlagen zur TRBS werden deshalb ganz pragmatisch Asset-Erfassung, Schnittstellenermittlung, Härtung von Komponenten, Regeln zu Zugang und Zugriff, Fernzugriffskontrollen, Überwachung und Notfallmanagement genannt DGUV-Handout zu Maßnahmen für TRBS 1115 Teil 1.

Wenn ein Sensorwert manipuliert wird, steht nicht die IT-Verfügbarkeit im Vordergrund, sondern die Frage, ob die Sicherheitsfunktion noch korrekt reagiert. Wenn eine Steuerung über einen wartungsseitigen Fernzugang erreichbar ist, geht es nicht um Komfort, sondern um die Kontrolle über eine sicherheitsrelevante Komponente. Und wenn Schwachstellen nicht regelmäßig ermittelt werden, entsteht schnell ein Zustand, in dem die Dokumentation formal alt, aber operativ wirkungslos ist.

Für die Praxis hat sich eine einfache Denke bewährt, die auch im Audit funktioniert:

• Asset-Erfassung: Welche sicherheitsrelevanten Komponenten gibt es, und wo hängen sie technisch im Netzwerk oder in der Anlage?
• Schnittstellenklärung: Welche Verbindungen sind wirklich erforderlich, und welche sind historisch gewachsen?
• Härtung und Zugriff: Welche Rechte brauchen Instandhaltung, externe Serviceteams und Betreiber wirklich?
• Fernzugriffskontrolle: Wer darf wann remote arbeiten, und wie wird das protokolliert?
• Überwachung und Notfallmanagement: Wer erkennt Abweichungen, und wie läuft der definierte Reaktionsweg?

Die sauberste Praxis ist nicht die mit den meisten Tools, sondern die mit den klarsten Zuständigkeiten. In vielen Fällen hilft es, OT und Sicherheitsarchitektur gemeinsam zu denken, wie es auch bei Themen rund um ICS-Sicherheit im industriellen Umfeld notwendig ist, etwa in der Einordnung unter ICS-Sicherheit mit Deeken.Technology GmbH.

<iframe width="100%" style="aspect-ratio: 16 / 9;" src="https://www.youtube.com/embed/4LkRv1KDHDA" frameborder="0" allow="autoplay; encrypted-media" allowfullscreen></iframe>

<a id="checkliste-fur-die-umsetzung-in-kmu"></a>

Checkliste für die Umsetzung in KMU

Für KMU zählt vor allem, dass die Umsetzung nicht am Papier scheitert. Die folgenden Punkte bilden eine solide Arbeitsgrundlage für CE-Beauftragte, Sicherheitsverantwortliche und Projektleiter, die eine Anlage auditfest vorbereiten wollen:

• Initialerfassung aller MSR-Einrichtungen: Liste alle sicherheitsrelevanten Komponenten, Schnittstellen und externen Zugänge vollständig auf. Ohne diese Bestandsaufnahme fehlt die Basis für jede weitere Entscheidung.
• Gefährdungsbeurteilung: Beschreibe, welche Cyberrisiken die Integrität oder Verfügbarkeit der Sicherheitsfunktion beeinträchtigen können. Das gehört direkt in die technische Bewertung und nicht in lose Notizen.
• Festlegung von Schutzmaßnahmen: Definiere nur Maßnahmen, die zur konkreten Anlage passen, etwa Zugriffsbeschränkungen, Härtung oder Fernzugriffskontrollen. Standardtexte ohne Anlagenbezug sind im Audit schwach.
• Dokumentation: Lege Bewertung, Wirksamkeitsnachweis und Verantwortlichkeiten prüffähig ab. Genau daran scheitern viele Nachforderungen.
• Regelmäßige Überprüfung: Lege fest, wann Aktualisierungen nötig sind und wer Schwachstellen neu bewertet. Das macht aus einer einmaligen Aktion einen Betriebsprozess.

Wer diese fünf Punkte sauber aufsetzt, reduziert spätere Diskussionen mit Prüfern deutlich. Wichtig ist dabei nicht, alles maximal kompliziert zu machen, sondern die Unterlagen so zu führen, dass eine zugelassene Überwachungsstelle den Zusammenhang zwischen Risiko, Maßnahme und Nachweis schnell nachvollziehen kann.

<a id="einbindung-in-den-ce-prozess-und-die-risikobeurteilung"></a>

Einbindung in den CE-Prozess und die Risikobeurteilung

TRBS 1115 Teil 1 steht nicht neben dem CE-Prozess, sie greift direkt in ihn hinein, sobald sicherheitsrelevante MSR-Einrichtungen Teil der Schutzfunktion sind. Für Maschinen nach Maschinenrichtlinie 2006/42/EG und für die ablösende Maschinenverordnung (EU) 2023/1230, die ab 20. Januar 2027 verbindlich wird, bleibt die technische Dokumentation der zentrale Ort, an dem die Bewertung greifbar werden muss. Die TRBS liefert dafür den Betriebsaspekt, die Maschinenkonformität den Herstelleraspekt.

In der Risikobeurteilung nach EN ISO 12100 gehört die Cyberperspektive dorthin, wo eine digitale Beeinflussung die Schutzfunktion verändert oder aushebeln kann. Wenn zusätzlich funktionale Sicherheit betroffen ist, muss der Abgleich mit den Anforderungen aus EN ISO 13849-1 sauber geführt werden, damit der Performance Level nicht nur rechnerisch, sondern auch betrieblich sinnvoll bleibt. Wer diese Ebenen trennt, dokumentiert sauberer und vermeidet Doppelarbeit.

Für die technische Dokumentation bedeutet das, dass Ergebnisse aus der TRBS-Bewertung in die Maschinendokumentation und in die risikobezogenen Nachweise einfließen müssen. Wer die Dokumentationsstruktur sauber aufbauen will, findet dafür eine gute Orientierung im Beitrag zu den Anforderungen an die technische Dokumentation. Der Mehrwert liegt nicht im Füllen von Ordnern, sondern in der nachvollziehbaren Verknüpfung von Sicherheitsfunktion, Risiko und Nachweis.

Am Ende zählt dieselbe Logik wie im restlichen CE-Prozess. Was die Konformität stützt, muss inhaltlich belastbar, fachlich aktuell und auditfest abgelegt sein. Alles andere sieht im Projekt gut aus, trägt aber im Nachweis nicht.

<a id="haufige-fragen-zur-trbs-1115-teil-1-in-der-praxis"></a>

Häufige Fragen zur TRBS 1115 Teil 1 in der Praxis

Wer ist verantwortlich, Hersteller oder Betreiber? Für die TRBS-Pflichten im Betrieb steht der Betreiber im Fokus. Der Hersteller muss seine Konformitätsdokumentation sauber führen, aber die laufende Bewertung und der prüffähige Nachweis im Betrieb hängen an der Betreiberorganisation.

Gilt das auch für Bestandsanlagen? Ja, wenn sicherheitsrelevante MSR-Einrichtungen betroffen sind. Gerade ältere Gefährdungsbeurteilungen haben Cybersicherheit oft nicht abgebildet, deshalb wird hier häufig nachgerüstet.

Darf ein externer Dienstleister die Bewertung machen? Ja, die fachliche Unterstützung ist sinnvoll und oft nötig. Die Verantwortung für die Konformität und die Qualität der Nachweise bleibt trotzdem bei der zuständigen Organisation.

Was ist mit der Maschinenverordnung? Sie wird die Maschinenrichtlinie ablösen und ab 20. Januar 2027 verbindlich gelten TÜV Hessen zur Überführung von EmpfBS 1115 in TRBS 1115 Teil 1. Die TRBS bleibt für den Betrieb und die Prüfpraxis relevant, solange sicherheitsrelevante MSR-Einrichtungen im Einsatz sind.

Die Inhalte hier sind allgemeine Information und ersetzen keine rechtsverbindliche Beratung im Einzelfall. Die Verantwortung für die Konformitätserklärung und die betriebliche Umsetzung bleibt beim Hersteller beziehungsweise Betreiber, je nach Rollenverteilung.

---

Wenn Sie TRBS 1115 Teil 1 sauber in Ihre CE-Dokumentation, Risikobeurteilung und Auditunterlagen bringen wollen, lohnt sich ein strukturierter Workflow mehr als jede lose Excel-Sammlung. CE-Copilot unterstützt genau dort, wo Nachweise zusammenlaufen, nämlich bei technischer Dokumentation, Risikobeurteilung und prüffähiger Ablage. Wer den nächsten Auditgang ohne Lücken vorbereiten will, sollte jetzt prüfen, ob die eigene Dokumentation die TRBS wirklich schon trägt.