Cybersicherheit wird Pflicht in der Gefährdungsbeurteilung: Was die TRBS 1115 für Betriebe bedeutet

Fast jeder Betrieb in Deutschland muss eine Gefährdungsbeurteilung machen – das schreibt das Arbeitsschutzgesetz vor. Neu ist: Seit der Aktualisierung der Technischen Regel TRBS 1115 Teil 1 vom 15. Januar 2026 gehören auch Cyberrisiken ausdrücklich dazu. IT-Sicherheit ist damit kein reines Technikthema mehr, sondern Teil des Arbeitsschutzes. Wer vernetzte Technik einsetzt – und das tun heute auch kleine Betriebe – sollte verstehen, was jetzt von ihm erwartet wird.

Was ist eine Gefährdungsbeurteilung – kurz erklärt?

Eine Gefährdungsbeurteilung ist die gesetzlich vorgeschriebene Pflicht jedes Arbeitgebers, die Gefahren am Arbeitsplatz systematisch zu ermitteln und zu bewerten. Grundlage ist § 5 des Arbeitsschutzgesetzes. Vereinfacht gesagt geht es um vier Schritte: Gefahren erkennen, das Risiko einschätzen, passende Schutzmaßnahmen festlegen und prüfen, ob diese auch wirken.

Wichtig ist das Wort „systematisch". Eine Gefährdungsbeurteilung ist kein einmaliges Dokument, das man einmal ausfüllt und ablegt, sondern ein laufender Kreislauf. Ändert sich etwas im Betrieb, muss man nachsteuern. Genau an diesem Punkt setzt die neue Regelung an – denn die größte Veränderung der letzten Jahre ist die Digitalisierung.

Was hat sich mit der TRBS 1115 geändert?

Die TRBS 1115 Teil 1 ist eine sogenannte Technische Regel für Betriebssicherheit. Sie konkretisiert, wie Betriebe die Betriebssicherheitsverordnung in Sachen Cybersicherheit umsetzen sollen. Mit der Fassung vom 15. Januar 2026 stellt sie klar: Cybersicherheit ist nicht nur an einzelnen Geräten zu prüfen, sondern über deren gesamte Lebensdauer hinweg – besonders bei der Technik, die Maschinen und Anlagen steuert.

Konkret rückt die Regel mehrere Punkte in den Vordergrund:

• Die IT- und Steuerungsumgebung gilt als möglicher Angriffsweg. Nicht nur die Maschine selbst, auch das Netzwerk drumherum zählt.
• Regelmäßige Überprüfung – und zwar anlassbezogen. Nicht nur in festen Abständen, sondern auch bei Änderungen an der Technik, bei neuen Schwachstellen oder Vorfällen und wenn sich der Stand der Technik weiterentwickelt.
• Prüfungen zu festen Zeitpunkten: vor der Inbetriebnahme, nach wesentlichen Änderungen und in wiederkehrenden Kontrollen.
• Konkrete Schutzthemen wie sichere Software-Updates, abgesicherte Fernzugriffe, getrennte Netzbereiche, Überwachung und ein Notfallplan.

Kurz: Betriebe müssen nicht mehr nur die Maschine im Blick haben, sondern auch ihre digitale Umgebung und die Abläufe, die deren Sicherheit dauerhaft gewährleisten.

Warum das auch kleine Betriebe betrifft

Viele denken bei „Steuerungstechnik" und „Anlagen" sofort an große Fabriken. Doch vernetzte Technik steckt heute fast überall: in der Produktionsmaschine der kleinen Manufaktur, im Lagersystem, im Tor- oder Heizungssteuergerät, in der Kasse oder im Netzwerk, das alles verbindet. Sobald digitale Technik Vorgänge steuert, die im Störungsfall jemanden gefährden können, wird IT-Sicherheit zur Frage des Arbeitsschutzes.

Die Bedrohungslage gibt der Regel recht. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) zählt in seinem Lagebericht 2025 im Schnitt rund 119 neue Software-Schwachstellen pro Tag. Laut der Bitkom-Studie „Wirtschaftsschutz 2025" entstand der deutschen Wirtschaft ein Gesamtschaden von etwa 289,2 Milliarden Euro – rund 70 Prozent davon gehen auf Cyberangriffe zurück, und 73 Prozent der betroffenen Unternehmen berichten von Angriffen auf Informations- und Produktionssysteme. Das Bundeskriminalamt verzeichnete im Bundeslagebild Cybercrime 2025 zudem 333.922 Straftaten. Diese Zahlen zeigen: Eine digitale Störung bleibt nicht digital, sie kann reale Abläufe und damit auch Menschen treffen.

Damit reiht sich die TRBS 1115 in eine Reihe neuer Vorgaben ein, die gerade auf den Mittelstand zukommen. Was parallel über die europäischen Regeln EU AI Act, NIS-2 und DORA auf Betriebe zurollt, ergänzt das Bild – und macht ein strukturiertes Vorgehen umso wichtiger.

Wo Betriebe in der Praxis scheitern

Das Problem ist selten, dass Regeln fehlen. Es liegt an der Umsetzung. In vielen Betrieben wird die Gefährdungsbeurteilung als lästige Pflichtübung behandelt – einmal ausgefüllt, dann abgeheftet. Genau hier reißt der Faden: Risiken werden zwar notiert, aber nicht in eine Rangfolge gebracht und nicht in echte Maßnahmen übersetzt, die danach regelmäßig überprüft werden.

Die Zahlen der GDA-Betriebsbefragung bestätigen die Lücke: Rund 68 Prozent der Betriebe führen eine Gefährdungsbeurteilung durch, etwa ein Drittel verzichtet weiterhin darauf. Immerhin 79 Prozent binden ihre Mitarbeitenden ein – was sinnvoll ist, weil das Team die realen Abläufe oft besser kennt als die formal Verantwortlichen. Entscheidend ist aber, dass diese Hinweise auch tatsächlich in Maßnahmen münden. Wo digitale Risiken dabei ausgeklammert werden, entstehen blinde Flecken im Arbeitsschutz.

So gehst du es an – Gefährdungsbeurteilung mit Cyber-Blick

Du musst kein IT-Konzern sein, um die Grundlagen umzusetzen. Diese Schritte geben dir eine pragmatische Reihenfolge:

1. Vernetzte Technik auflisten. Welche Geräte, Maschinen, Steuerungen und Programme sind im Betrieb miteinander oder mit dem Internet verbunden? Diese Liste ist die Grundlage für alles Weitere.
2. Risiken bewerten. Für jeden Punkt grob abschätzen: Wie wahrscheinlich ist ein Ausfall oder Angriff, und wie groß wäre der Schaden – für Mensch und Betrieb?
3. Maßnahmen ableiten. Aus den größten Risiken konkrete Schritte machen: sichere Updates, abgesicherte Anmeldung per Zwei-Faktor für Fernzugriffe, getrennte Netzbereiche, Überwachung und ein einfacher Notfallplan.
4. Zugangsdaten in Ordnung bringen. Ein gemeinsamer Passwort-Manager und das Schließen alter Zugänge gehören zur Grundhygiene bei Zugangsdaten, die viele unterschätzen.
5. Mitarbeitende einbinden. Wer an den Maschinen arbeitet, merkt Abweichungen zuerst. Ihre Hinweise gehören in den Prozess – und müssen sichtbar zu Maßnahmen führen.
6. Regelmäßig und anlassbezogen prüfen. Nicht nur jährlich, sondern auch bei Änderungen, neuen Schwachstellen oder nach einem Vorfall.
7. Dokumentieren – und umsetzen. Die Dokumentation ist der Anfang, nicht das Ende. Wichtig ist, dass Maßnahmen tatsächlich erledigt und nachgehalten werden.

Fehlt im Betrieb das nötige Wissen, lässt sich Hilfe gezielt einkaufen. Eine externe Schwachstellenprüfung deckt Lücken auf, bevor es jemand anderes tut; passende Cybersecurity-Dienstleistungen gibt es auch für kleine Budgets. Wie ein Betrieb ohne eigene Security-Abteilung Technik und KI sicher nutzt, zeigt außerdem der Leitfaden für Selbstständige und kleine Unternehmen.

Pflicht oder Kür? Was bei Versäumnissen droht

Die Gefährdungsbeurteilung selbst ist keine freiwillige Maßnahme, sondern gesetzliche Pflicht. Wer sie nicht oder nur unvollständig durchführt, riskiert nicht nur Beanstandungen und Haftungsfragen, sondern im schlimmsten Fall reale Unfälle und Betriebsausfälle. Mit der TRBS 1115 ist die Cyber-Dimension nun ausdrücklich Teil dieser Pflicht.

Der größere Hebel ist aber ohnehin nicht die Vorschrift, sondern der eigene Schutz. Wer seine vernetzte Technik kennt und absichert, schützt zuerst die eigenen Beschäftigten und den eigenen Betrieb. Datensouveränität und Sicherheit gehören dabei zusammen – wie du die Kontrolle über deine Daten im Betrieb behältst, vertieft das Thema von der anderen Seite.

Häufige Fragen zur Gefährdungsbeurteilung und TRBS 1115

Die wichtigsten Fragen kurz beantwortet: