Bedeutung für den Arbeits- und Umweltschutz |
Durch den steigenden Vernetzungsgrad können sicherheitsrelevante MSR-Einrichtungen zunehmend zum Ziel von Cyberbedrohungen werden. Dies hat der Arbeitgeber bei seiner Gefährdungsbeurteilung zu berücksichtigen. Mögliche Auswirkungen von Cyberbedrohungen können sein:
- Beeinflussung der Verfügbarkeit (z. B. Deaktivieren oder Blockieren der Funktion von sicherheitsrelevanten MSR-Einrichtungen),
- Verletzung der Integrität (z. B. unberechtigte Änderung von Daten),
- Verletzung der Vertraulichkeit (z. B. Abfluss von Daten einschließlich Passwörtern und Signaturen).
Sicherheitsrelevante MSR-Einrichtungen, ihre Integration in das Arbeitsmittel und ihre Anwendung müssen nach dem Stand der Technik vor Cyberbedrohungen derart geschützt sein, dass Gefährdungen für Beschäftigte und bei überwachungsbedürftigen Anlagen auch andere Personen in deren Gefahrenbereich vermieden werden. Cybersicherheitsmaßnahmen dienen dazu, die Funktionsfähigkeit von sicherheitsrelevanten MSR-Einrichtungen während der gesamten Verwendungsdauer des Arbeitsmittels auch bei Cyberbedrohungen aufrechtzuerhalten. Verfahren müssen etabliert werden, um die Eignung und Funktionsfähigkeit der Cybersicherheitsmaßnahmen zu überprüfen, dies sollte nach folgenden Kriterien erfolgen:
- regelmäßig in geeigneten Zeitabständen,
- bei Änderungen am Arbeitsmittel (8.3),
- bei neuen Erkenntnissen zu Cyberbedrohungen z. B. aus veröffentlichten oder firmeninternen Cybersicherheitsvorfällen und Schwachstellenmeldungen oder aus einschlägigen Veröffentlichungen,
- bei Änderungen des Stands der Technik der Cybersicherheit.
Cybersicherheit muss während des gesamten Sicherheitslebenszyklus der sicherheitsrelevanten MSR-Einrichtung gewährleistet sein. Betroffen sind folgende Elemente: Hardware, Software, Daten/Informationen, Schnittstellen sowie die mit ihrer Verwendung verbundenen Prozesse, Richtlinien, Organisationen sowie Personen, IT/OT-Umgebung. Die Wirksamkeit der Cybersicherheitsmaßnahmen muss dauerhaft sichergestellt werden. Dafür ist es erforderlich, Zugriffsrechte, Fachkunde (Qualifikation), Tätigkeiten, Verantwortlichkeiten, Zuständigkeiten und Aufgaben beteiligter Personen eindeutig festzulegen. Gefährdungsbeurteilungen müssen durch MSR-fachkundige Personen durchgeführt werden. Maßnahmen sind beschrieben, die der Arbeitgeber im Zuge der Planung und Realisierung sicherheitsrelevanter MSR-Einrichtungen zu treffen hat, sofern diese nicht als Bestandteil eines verwendungsfertigen Arbeitsmittels mit bestätigtem Schutz vor Cyberbedrohungen geliefert werden. Erforderliche Prüfungen der MSR-Einrichtungen und Unterweisungen sind beschrieben. Anhang 1 gilt für die erforderlichen Maßnahmen des Arbeitgebers, der ein Management der Cybersicherheit im Betrieb einführen und aufrechterhalten will. |