Gefährdungsbeurteilungen müssen Cybersicherheit einschließen Ohne IT-Sicherheit ist Arbeitsschutz nicht mehr vollständig

Anbieter zum Thema

SSB – Sicherheit, Service, Beratung GmbH

Sangfor Technologies

WatchGuard Technologies GmbH

Omnidocs GmbH

Gefährdungsbeurteilungen sind Pflicht, werden aber unzureichend umgesetzt. Angesichts wachsender Cyberrisiken, regulatorischer Anforderungen und Schäden wird deutlich: Wer Risiken nicht systematisch analysiert, gefährdet Beschäftigte und das gesamte Unternehmen.

Gefährdungsbeurteilung, Risikoanalyse und Sicherheitskonzept bilden im betrieblichen Arbeitsschutz keinen losgelösten Maßnahmenkatalog, sondern einen geschlossenen Prozesskreislauf. Ausgangspunkt ist die systematische Ermittlung von Gefährdungen im Sinne des § 5 Arbeitsschutzgesetzes (ArbSchG). Darauf aufbauend erfolgt die Bewertung der Risiken, bei der Eintrittswahrscheinlichkeit und Schadensausmaß in Relation gesetzt werden. Erst auf dieser Grundlage lassen sich geeignete technische, organisatorische und per­so­nen­be­zo­gene Maßnahmen im Sicherheitskonzept definieren. Dieser Kreislauf ist nicht linear, sondern dynamisch angelegt. Die Wirksamkeit aller ergriffenen Instrumente muss regelmäßig überprüft und an veränderte Bedingungen angepasst werden. Genau hier liegt der entscheidende Mehrwert: Gefährdungsbeurteilungen sind kein statisches Dokument, sondern ein Steuerungselement, das Sicherheit, Effizienz und Resilienz miteinander verbindet. Mit der zunehmenden Digitalisierung erweitert sich dieser Ansatz: Die Gefährdungsbeurteilung wird gleichzeitig zu einer zentralen Notwendigkeit in der Identifikation von IT-Risiken am Arbeitsplatz. Sie ermöglicht es, digitale Gefährdungen systematisch zu erfassen, zu bewerten und durch geeignete Schutzmaßnahmen zu minimieren.

BSI-Lagebericht 2025

Deutschland bleibt leichtes Ziel für Cyberangriffe

Erweitertes Risikoverständnis

Die Integration von IT-Sicherheit in den Arbeitsschutz ist längst keine Option mehr, sondern eine Notwendigkeit. Der Lagebericht 2025 des Bundesamts für Sicherheit in der In­for­ma­ti­ons­tech­nik (BSI) zeigt, dass durchschnittlich täglich 119 neue Schwachstellen in Software identifiziert werden. Laut der Bitkom-Studie Wirtschaftsschutz 2025 beläuft sich der Gesamtschaden, den Unternehmen in Deutschland durch Diebstahl, Sabotage oder Industriespionage erlitten haben, auf rund 289,2 Milliarden Euro. 70 Prozent dieses Schadens gehen direkt auf Cyberattacken zurück. 73 Prozent der betroffenen Unternehmen berichten von Angriffen auf Informations- und Produktionssysteme. Diese Zahlen verdeutlichen, dass digitale Risiken unmittelbare Auswirkungen auf physische Arbeitsprozesse haben können. Insbesondere in vernetzten Fertigungsumgebungen können IT-Störungen sicherheitskritische Anlagen beeinflussen und damit direkte Risiken für Beschäftigte darstellen. Die Gefährdungsbeurteilung muss daher zwingend auch diese Dimension abbilden, um ein realistisches Gesamtbild der Sicherheitslage zu gewährleisten.

Bitkom Wirtschaftsschutz-Studie 2025

Finanzieller Schaden für deutsche Wirtschaft steigt um 22,6 Milliarden

Regulatorischer Rahmen

Die Technische Regel für Betriebssicherheit TRBS 1115 Teil 1 konkretisiert die Anforderungen der Betriebssicherheitsverordnung im Hinblick auf Cybersicherheit und greift damit die veränderten Rahmenbedingungen auf. Mit der Aktualisierung vom 15. Januar 2026 wird noch deutlicher herausgestellt, dass Cybersicherheit nicht nur punktuell bei einzelnen Komponenten, sondern über den gesamten Sicherheitslebenszyklus relevanter Mess-, Steuer- und Regeleinrichtungen zu berücksichtigen ist. Neu beziehungsweise präziser gefasst wurden vor allem die Einbeziehung der IT/OT-Umgebung als möglicher Angriffsweg, die Pflicht zur regelmäßigen Überprüfung von Cybersicherheitsmaßnahmen nicht nur in festen Abständen, sondern auch bei Änderungen am Arbeitsmittel, bei neuen Schwachstellen- oder Vorfallserkenntnissen und bei Änderungen des Stands der Technik, sowie die stärkere Verankerung von Prüfungen vor Inbetriebnahme, nach prüfpflichtigen Änderungen und im Rahmen wiederkehrender Kontrollen. Ergänzt und konkretisiert wurden außerdem Anforderungen an Verwendung und Instandhaltung, insbesondere mit Blick auf sensible oder kritische Software-Updates, Fernzugriffe, Netzwerksegmentierung, Überwachung und Notfallmanagement. Unternehmen müssen damit nicht mehr nur die sicherheitsrelevanten Funktionen ihrer Arbeitsmittel und potenzielle Angriffsszenarien betrachten, sondern auch die angrenzende technische Umgebung und die organisatorischen Prozesse, die deren IT-Sicherheit dauerhaft gewährleisten. Die Relevanz dieser Vorgaben wird durch die anhaltend hohe Bedrohungslage zusätzlich unterstrichen. Das BSI bewertet die Gefährdung im Cyberraum weiterhin als hoch und sieht insbesondere in der zunehmenden Vernetzung industrieller Systeme ein wachsendes Risiko. Damit wird deutlich, dass Arbeitsschutz ohne Berücksichtigung von IT-Sicherheit nicht mehr vollständig ist.

Bundeslagebild Cybercrime 2025

Die Bedrohung steigt, die Abwehr zieht nach

Umsetzungsdefizite in der Praxis

Trotz klarer gesetzlicher Vorgaben und eines strukturierten Prozessmodells bestehen im betrieblichen Alltag weiterhin deutliche Mängel sowie Lücken in der Ausführung. Die Schwäche liegt dabei meist nicht im Fehlen von Regelungen, sondern in ihrer unvollständigen und nicht ausreichend systematischen Anwendung. In vielen Unternehmen wird die Gefährdungsbeurteilung noch immer eher als formale Pflichtübung verstanden und nicht als kontinuierlicher Steuerungsprozess. Besonders kritisch ist, dass der Prozess vielfach mit der Dokumentation endet. Risiken werden zwar erfasst, aber nicht konsequent priorisiert und in konkrete Maßnahmen überführt, die wiederum eine regelmäßige Überprüfung und Fortschreibung erfordern. Auf diese Weise bleibt der Zusammenhang zwischen Gefährdungsbeurteilung, Risikoanalyse, Maßnahmenableitung und Wirksamkeitskontrolle lückenhaft. Hinzu kommt, dass sich das Risikoprofil vieler Unternehmen durch Digitalisierung, vernetzte Arbeitsmittel und neue Angriffspunkte im Bereich der Cybersicherheit deutlich erweitert hat. Werden diese Entwicklungen in der Analyse nicht systematisch berücksichtigt, entstehen blinde Flecken im Arbeitsschutz.

Allianz Risk Barometer 2026

KI-Risiken wachsen rasant

Faktoren für eine erfolgreiche Implementierung

Eine wirksame Umsetzung setzt voraus, dass der gesamte Prozesskreislauf verbindlich im Unternehmen verankert und tatsächlich gelebt wird. Gefährdungen müssen nicht nur identifiziert, sondern nachvollziehbar bewertet, mit konkreten Maßnahmen verknüpft und in ihrer Wirksamkeit regelmäßig überprüft werden. Dass hier weiterhin Handlungsbedarf besteht, zeigt auch die aktuelle GDA-Betriebsbefragung. Zwar geben 68 Prozent der Betriebe an, eine Gefährdungsbeurteilung durchzuführen, gleichzeitig verzichtet aber noch immer rund ein Drittel darauf. Ein zentraler Erfolgsfaktor ist die konsequente Einbindung der Beschäftigten. Sie kennen reale Arbeitsbedingungen, Abweichungen und Belastungen meist genauer als formale Verantwortliche und können Risiken frühzeitig sichtbar machen. Entsprechend werden Mitarbeitende inzwischen in 79 Prozent der Betriebe einbezogen. Entscheidend ist jedoch, dass ihre Hinweise auch tatsächlich in Maßnahmen, Prioritäten und Rückmeldungen einfließen. Zusätzliche Qualität entsteht dort, wo Unternehmen digitale Werkzeuge nutzen, um Maßnahmen, Zuständigkeiten und Prüfintervalle transparent nachzuhalten.

Über den Autor: Gandhi Gabriel ist Gründer und Geschäftsführer der SSB – Sicherheit, Service, Beratung GmbH. Er ist gelernter Wirtschaftswissenschaftler und seit 10 Jahren in der Sicherheitsbranche tätig. Der Schwerpunkt des Dienstleistungsspektrums von SSB liegt in der Überwachung von Gemeinschaftsunterkünften und Erstaufnahmeeinrichtungen, dem Schutz von Großveranstaltungen, dem Werk- und Objektschutz sowie der Baustellenbewachung.

(ID:50883672)