Die zunehmende Digitalisierung und der Einsatz von künstlicher Intelligenz (KI) in der Industrie stellen Unternehmen vor neue Herausforderungen im Bereich der betrieblichen Sicherheit. Zwei wichtige Regelwerke, die in diesem Kontext eine zentrale Rolle spielen, sind die EU-KI-Verordnung und die TRBS 1115 Teil 1. Obwohl diese Regelwerke unterschiedliche Schwerpunkte haben, ergeben sich interessante Schnittstellen und potenzielle Synergien, die Unternehmen bei der Implementierung von KI-Systemen und der Gewährleistung der Cybersicherheit berücksichtigen sollten.
Grundlagen der TRBS 1115 Teil 1
Die TRBS 1115 Teil 1 konkretisiert die Anforderungen der Betriebssicherheitsverordnung im Hinblick auf die Cybersicherheit für sicherheitsrelevante Mess-, Steuer- und Regeleinrichtungen (MSR-Einrichtungen). Sie definiert Cybersicherheit als alle technischen und organisatorischen Maßnahmen, die notwendig sind, um Netz- und Informationssysteme, deren Nutzer und andere von Cyberbedrohungen betroffene Personen zu schützen [1][4].
Zentrale Aspekte der TRBS 1115 Teil 1 umfassen:
- Risikobasierter Ansatz zur Identifikation von Gefährdungen
- Festlegung von Schutzzielen und Sicherheitsanforderungen
- Implementierung von Cybersicherheitsmaßnahmen
- Regelmäßige Überprüfung der Wirksamkeit dieser Maßnahmen
- Schulung und Information der Beschäftigten
Die EU-KI-Verordnung im Überblick
Die EU-KI-Verordnung zielt darauf ab, den Einsatz von KI-Systemen zu regulieren und dabei Sicherheit, Transparenz und Nachhaltigkeit zu gewährleisten. Sie kategorisiert KI-Systeme nach Risikoklassen und legt entsprechende Anforderungen fest [5]. Für Arbeitgeber, die in der Regel als Nutzer/Betreiber von KI-Systemen gelten, ergeben sich daraus neue Pflichten und Verantwortlichkeiten.
Synergien und Herausforderungen
Bei genauerer Betrachtung lassen sich mehrere Bereiche identifizieren, in denen die KI-Verordnung und die TRBS 1115 Teil 1 Synergien aufweisen:
- Risikobasierter Ansatz: Beide Regelwerke setzen auf eine risikobasierte Herangehensweise. Unternehmen können ihre bestehenden Risikoanalysen nach TRBS 1115 Teil 1 erweitern, um auch KI-spezifische Risiken zu berücksichtigen.
- Transparenz und Nachvollziehbarkeit: Die KI-Verordnung fordert Transparenz bei KI-Systemen. Dies kann die Anforderungen der TRBS 1115 Teil 1 an die Dokumentation und Nachvollziehbarkeit von Sicherheitsmaßnahmen ergänzen.
- Sicherheit und Zuverlässigkeit: Beide Regelwerke zielen auf die Gewährleistung von Sicherheit und Zuverlässigkeit ab. Die Integration von KI in MSR-Einrichtungen erfordert eine ganzheitliche Betrachtung beider Aspekte.
- Schulung und Kompetenzentwicklung: Sowohl die TRBS 1115 Teil 1 als auch die KI-Verordnung betonen die Bedeutung von Schulungen. Unternehmen sollten integrierte Schulungskonzepte entwickeln, die beide Bereiche abdecken.
- Regelmäßige Überprüfungen: Die TRBS 1115 Teil 1 schreibt regelmäßige Kontrollen der Cybersicherheitsmaßnahmen vor [3]. Diese könnten um spezifische Prüfungen für KI-Systeme erweitert werden, um den Anforderungen der KI-Verordnung gerecht zu werden.
Praktische Implikationen für Unternehmen
Um den Anforderungen beider Regelwerke gerecht zu werden, sollten Unternehmen folgende Schritte in Betracht ziehen:
- Integrierte Risikoanalyse: Entwicklung eines ganzheitlichen Ansatzes, der sowohl Cybersicherheitsrisiken als auch KI-spezifische Risiken berücksichtigt.
- Erweiterung des Sicherheitskonzepts: Integration von KI-spezifischen Sicherheitsmaßnahmen in bestehende Cybersicherheitskonzepte für MSR-Einrichtungen.
- Kompetenzaufbau: Schulung von Mitarbeitern sowohl in Cybersicherheit als auch im Umgang mit KI-Systemen.
- Dokumentation und Nachvollziehbarkeit: Implementierung von Prozessen, die sowohl die Anforderungen der TRBS 1115 Teil 1 als auch der KI-Verordnung an Transparenz und Nachvollziehbarkeit erfüllen.
- Regelmäßige Audits: Durchführung integrierter Audits, die sowohl die Cybersicherheit als auch die Konformität mit der KI-Verordnung überprüfen.
Fazit
Die Schnittstelle zwischen der EU-KI-Verordnung und der TRBS 1115 Teil 1 bietet Unternehmen die Chance, ihre Sicherheitskonzepte ganzheitlich weiterzuentwickeln. Durch die Integration von KI-spezifischen Anforderungen in bestehende Cybersicherheitsmaßnahmen können Synergien genutzt und ein höheres Sicherheitsniveau erreicht werden. Gleichzeitig stellt dies Unternehmen vor die Herausforderung, komplexe regulatorische Anforderungen zu navigieren und in der Praxis umzusetzen. Eine proaktive und integrierte Herangehensweise wird entscheidend sein, um den Anforderungen beider Regelwerke gerecht zu werden und gleichzeitig die Chancen der KI-Technologie optimal zu nutzen.
Checkliste: Umsetzung von TRBS 1115 Teil 1 und KI-Verordnung
(Tipp: Die Checkliste lässt sich sehr gut in die Softwarelösung 4TY integrieren)
- Risikoanalyse und -bewertung
- Wurde eine umfassende Risikoanalyse für alle MSR-Einrichtungen durchgeführt
- Sind KI-spezifische Risiken in die Analyse einbezogen worden?
- Wurde die Risikoanalyse in den letzten 12 Monaten aktualisiert?
- Sind alle relevanten Stakeholder in den Risikobewertungsprozess einbezogen?
- Technische Maßnahmen
- Sind alle MSR-Einrichtungen durch angemessene technische Maßnahmen geschützt?
- Existieren Zugangskontrollen und Authentifizierungsmechanismen für alle kritischen Systeme?
- Werden regelmäßige Sicherheitsupdates und Patches durchgeführt?
- Sind Backup- und Wiederherstellungssysteme implementiert und getestet?
- Organisatorische Maßnahmen
- Gibt es ein dokumentiertes Cybersicherheitsmanagement-System?
- Sind Verantwortlichkeiten für Cybersicherheit klar definiert und zugewiesen?
- Existieren Richtlinien für den sicheren Umgang mit MSR-Einrichtungen und KI-Systemen?
- Werden regelmäßige Schulungen zur Cybersicherheit und zum Umgang mit KI-Systemen durchgeführt?
- KI-spezifische Anforderungen
- Wurden alle eingesetzten KI-Systeme gemäß der KI-Verordnung klassifiziert?
- Erfüllen die KI-Systeme die Transparenz- und Nachvollziehbarkeitsanforderungen?
- Gibt es Prozesse zur kontinuierlichen Überwachung und Bewertung von KI-Systemen?
- Sind Maßnahmen zur Erklärbarkeit von KI-Entscheidungen implementiert?
- Dokumentation und Berichterstattung
- Sind alle Sicherheitsmaßnahmen und -prozesse angemessen dokumentiert?
- Existiert ein Prozess zur regelmäßigen Überprüfung und Aktualisierung der Dokumentation?
- Werden Vorfälle und Beinahe-Vorfälle systematisch erfasst und analysiert?
- Gibt es ein Berichterstattungssystem, das den Anforderungen beider Regelwerke entspricht?
- Notfallmanagement und Incident Response
- Existiert ein dokumentierter Notfallplan für Cybersicherheitsvorfälle?
- Wurde der Notfallplan in den letzten 12 Monaten getestet oder geübt?
- Sind Prozesse zur schnellen Erkennung und Reaktion auf Sicherheitsvorfälle implementiert?
- Gibt es definierte Kommunikationswege und -prozesse im Falle eines Sicherheitsvorfalls?
- Lieferanten- und Dienstleistermanagement
- Werden Cybersicherheitsanforderungen in Verträgen mit Lieferanten und Dienstleistern berücksichtigt?
- Gibt es einen Prozess zur Überprüfung der Cybersicherheit von Drittanbietern?
- Werden regelmäßige Audits bei kritischen Lieferanten durchgeführt?
- Kontinuierliche Verbesserung
- Existiert ein Prozess zur regelmäßigen Überprüfung und Aktualisierung des Sicherheitskonzepts?
- Werden Erkenntnisse aus Vorfällen und Übungen systematisch zur Verbesserung genutzt?
- Gibt es ein Budget für die kontinuierliche Verbesserung der Cybersicherheit und KI-Compliance?
- Compliance und rechtliche Aspekte
- Sind alle relevanten gesetzlichen und regulatorischen Anforderungen identifiziert?
- Gibt es einen Prozess zur Überwachung von Änderungen in den rechtlichen Rahmenbedingungen?
- Werden regelmäßige Compliance-Audits durchgeführt?
Diese Checkliste bietet einen umfassenden Überblick über die wichtigsten Aspekte bei der Umsetzung der TRBS 1115 Teil 1 und der KI-Verordnung. Sie kann als Ausgangspunkt für eine detailliertere, unternehmensspezifische Checkliste dienen.
Quellen:
[1] https://www.haufe.de/arbeitsschutz/arbeitsschutz-office-professional/trbs-1115-teil-1-cybersicherheit-fuer-sicherheitsrelevante-mess-steuer-und-regeleinrichtungen_idesk_PI13633_HI15638063.html
[2] https://www.umwelt-online.de/regelwerk/cgi-bin/suchausgabe.cgi?pfad=%2Ft_regeln%2Ftrbs%2F1115_21.htm&such=Pr%EF%BF%BDfung+blitzschutz
[3] https://www.mesha-cloud.de/analysiert-trbs-1115-teil-1-cybersicherheit-fuer-sicherheitsrelevante-mess-steuer-und-regeleinrichtungen/
[4] https://www.baua.de/DE/Angebote/Regelwerk/TRBS/pdf/TRBS-1115-Teil-1.pdf?__blob=publicationFile&v=2
[5] https://www.cmshs-bloggt.de/rechtsthemen/kuenstliche-intelligenz/regulierung-von-ki-systemen-auswirkungen-der-ki-verordnung-auf-arbeitgeber/
Dieser Artikel wurde durch den Einsatz von KI-gestützten Tools optimiert, um Ihnen die bestmögliche Qualität zu bieten. Alle Inhalte werden sorgfältig geprüft und finalisiert. Mehr über meinen verantwortungsvollen Umgang mit KI und Datenschutz erfahren Sie auf meiner Seite zur Arbeitsweise.
