Muster Nachweisdokumentation und Sicherheitsbewertungsbericht

Transkript

1 Muster Nachweisdokumentation und Sicherheitsbewertungsbericht auf Basis der "Verordnung (EG) Nr. 352/2009 der Kommission vom 24. April 2009 über die Festlegung einer gemeinsamen Sicherheitsmethode für die Evaluierung und Bewertung von Risiken gemäß Artikel 6 Absatz 3 Buchstabe a der Richtlinie 2004/49/EG des Europäischen Parlaments und des Rates"

2 Inhalt Allgemeines... 3 Schematischer Aufbau Sicherheitsbewertungsbericht Teil I und Teil II... 5 TEIL I Vorgaben zum Sicherheitsbewertungsbericht Vorschlagender, Beteiligte, Akteure Wahl der unabhängigen Bewertungsstelle Systemdefinition: Dokumentation des Schnittstellenmanagements Methoden und Kriterien zur Gefährdungsermittlung, Gefährdungseinstufung und Risikobewertungsverfahren Anwendung der Grundsätze der Risikoakzeptanz, Risikoevaluierung und Ableitung der Sicherheitsanforderungen Nachweis der Erfüllung der Sicherheitsanforderungen Teil II: Sicherheitsbewertungsbericht der Bewertungsstelle: Dokumentenprüfung Vorschlagender, beteiligte Akteure Erklärung der unabhängigen Bewertungsstelle Systemdefinition Dokumentation des Schnittstellenmanagements Methoden und Kriterien zur Gefährdungsermittlung, Gefährdungseinstufung und Risikobewertungsverfahren Anwendung der Grundsätze der Risikoakzeptanz, Risikoevaluierung und Ableitung der Sicherheitsanforderungen Nachweis der Erfüllung der Sicherheitsanforderungen Nachbesserung: Schlussfolgerungen (Bewertungsergebnis):... 17

3 Allgemeines Die im Teil I geforderte Nachweisdokumentation zum gegenständlichen Risikomanagementverfahren gemäß der "Gemeinsamen Sicherheitsmethode für die Evaluierung und Bewertung von Risiken" (CSM) dient als Grundlage für die unabhängige Bewertungsstelle zur Erstellung des Sicherheitsbewertungsberichts (Teil II dieser Vorlage). Die bei den einzelnen Punkten angeführte Nachweisdokumentation ist als Musterauflistung zu verstehen, die in Abhängigkeit vom zu bewertenden System jeweils den Bedürfnissen angepasst werden kann. Gemäß Artikel 3 Punkt 14 der CSM ist die Bewertungsstelle "die unabhängige, fachkundige Person, Organisation oder Stelle, die eine Untersuchung vornimmt, um auf der Grundlage von Nachweisen zu beurteilen, ob ein System die gestellten Sicherheitsanforderungen erfüllt". Gemäß Artikel 6 Absatz 1 der CSM werden die ordnungsgemäße Anwendung des in Anhang I (der CSM) beschriebenen Risikomanagementverfahrens und die Ergebnisse dieser Anwendung von einer Stelle, die den in Anhang II (der CSM) genannten Kriterien entspricht, einer unabhängigen Bewertung unterzogen. Gemäß Anhang I Kapitel 5 der CSM ist das Risikomanagementverfahren, das für die Bewertung der Sicherheitsniveaus und der Erfüllung der Sicherheitsanforderungen angewandt wird, vom Vorschlagenden in einer Weise zu dokumentieren, dass einer Bewertungsstelle alle erforderlichen Nachweise über die ordnungsgemäße Anwendung des Risikomanagementverfahrens zugänglich sind. Die Bewertungsstelle hält ihre Schlussfolgerungen in einem Sicherheitsbewertungsbericht fest. Gemäß Artikel 7 der CSM unterbreitet die Bewertungsstelle den Sicherheitsbewertungsbericht dem Vorschlagenden. Der Sicherheitsbewertungsbericht wird von der nationalen Sicherheitsbehörde bei ihrer Entscheidung über die Genehmigung der Inbetriebnahme von Teilsystemen und Fahrzeugen berücksichtigt. Wurde ein System oder Teilsystem bereits in Anwendung des in der CSM festgelegten Risikomanagementverfahrens zugelassen, kann der daraus resultierende Sicherheitsbewertungsbericht nicht von einer anderen Bewertungsstelle, die mit einer erneuten Bewertung desselben Systems beauftragt ist, in Frage gestellt werden. Voraussetzung für die Anerkennung ist der Nachweis, dass das System unter denselben funktionalen, betrieblichen und Umweltbedingungen wie das bereits zugelassene System eingesetzt wird und dass gleichwertige Risikoakzeptanzkriterien angelegt werden. Um den Vorschlagenden bei der Nachweisdokumentation zu unterstützen, wird der gesamte Risikomanagementprozess gemäß CSM abgebildet und die geforderten Dokumente angeführt.

4 Teil I Nachweisdokumentation Die Nachweisdokumentation des Teils 1 wird durch den Vorschlagenden erstellt: 1 Allgemeine Angaben zum Vorschlagenden und zu beteiligten Akteuren 2 Angaben zu der gewählten Bewertungsstelle 3 die Systemdefinition des zu bewertenden Systems oder Teilsystems 4 Dokumentation des Schnittstellenmanagements 5 Methoden und Kriterien zur Gefährdungsermittlung, Gefährdungseinstufung und zum Risikobewertungsverfahren 6 Anwendung der Grundsätze der Risikoakzeptanz, Risikoevaluierung und Ableitung der Sicherheitsanforderungen 7 Nachweis der Erfüllung der Sicherheitsanforderungen Teil II Sicherheitsbewertungsbericht Teil II wird von der unabhängigen Bewertungsstelle erstellt und enthält die Bewertung der Teile I (2 Dokumentenprüfung), gegebenenfalls erforderliche Nachbesserungen (3 Nachbesserungen), sowie die Schlussfolgerungen (4 Schlussfolgerungen). Beide Teile sind mit den Hinweisen auf die Anforderungen aus der CSM ergänzt.

5 Schematischer Aufbau Sicherheitsbewertungsbericht Teil I und Teil II Überprüfung der Systemdefinition in Abhängigkeit von den ermittelten Sicherheitsanforderungen VORLÄUFIGE SYSTEMDEFINITION GEFÄHRDUNGSERMITTLUNG UND -EINSTUFUNG Signifikante Änderung? JA SYSTEMDEFINITION (Umfang, Funktionen, Schnittstellen usw.) GEFÄHRDUNGSERMITTLUNG (Was kann geschehen? Wann? Wo? Wie? usw.) GEFÄHRDUNGSEINSTUFUNG (Wie kritisch?) Weitgehend akzeptables Risiko? NEIN JA 1.3 RISIKOBEWERTUNG RISIKOANALYSE Teil II UNABHÄNGIGE BEWERTUNG ANERKANNTE REGELN DER TECHNIK Anwendung der anerkannten Regeln der Technik Wahl des Grundsatzes der Risikoakzeptanz ÄHNLICHE REFERENZSYSTEME Analyse der Ähnlichkeit mit Referenzsystemen 1.6 EXPLIZITE RISIKOABSCHÄTZUNG Ermittlung von Szenarien und Sicherheitsmaßnahmen qualitativ Sicherheitskriterien? Abschätzung der Häufigkeit quantitativ Abschätzung des Risikos Abschätzung der Schwere GEFÄHRDUNGSMANAGEMENT Teil I RISIKOEVALUIERUNG Vergleich mit Kriterien Vergleich mit Kriterien Vergleich mit Kriterien NEIN Akzeptables Risiko? JA NEIN Akzeptables Risiko? JA NEIN Akzeptables Risiko? JA 1.6 Sicherheitsanforderungen (umzusetzende Sicherheitsmaßnahmen) 1.6 Nachweis der Erfüllung der Sicherheitsanforderungen Legende: 1.1 Vorschlagender, beteiligte Akteure 1.2 Wahl der unabhängigen Bewertungsstelle 1.3 Systemdefinition 1.4 Dokumentation des Schnittstellenmanagements 1.5 Methoden und Kriterien zur Gefährdungsermittlung, Gefährdungseinstufung und Risikobewertungsverfahren 1.6 Anwendung der Grundsätze der Risikoakzeptanz, Risikoevaluierung und Ableitung der Sicherheitsanforderungen 1.7 Nachweis der Erfüllung der Sicherheitsanforderungen 1.7

6 TEIL I Nachweisdokumentation 1.1 Vorschlagender, beteiligte Akteure Vorgaben: Beschreibung der Organisation des Vorschlagenden und Angaben zu den Experten, die benannt wurden, um das Risikobewertungsverfahren durchzuführen (CSM Anhang I Punkt 5.2.a.). Beschreibung der Aufgaben der verschiedenen Akteure sowie ihrer Risikomanagementmaßnahmen (CSM Anhang I Punkt 1.1.6). Hinweis: Akteure sind gemäß Artikel 3 Punkt 8. der CSM alle Parteien, die gemäß Artikel 5 Absatz 2 direkt oder aufgrund vertraglicher Vereinbarungen in die Anwendung dieser Verordnung einbezogen sind. Vorschlagender: Name: Firma: Funktion: Tel.: Nachweise: Anlage 1.1a Beschreibung der Organisation des Vorschlagenden und Angaben zu den Experten, die benannt wurden, um das Risikobewertungsverfahren durchzuführen. Anlage 1.1b Beschreibung der Aufgaben der verschiedenen Akteure sowie ihrer Risikomanagementmaßnahmen

7 1.2 Wahl der unabhängigen Bewertungsstelle Vorgaben: Wahl der unabhängigen Bewertungsstelle durch den Vorschlagenden gemäß CSM Artikel 6 und Anhang II EU-Rechtsvorschrift (z.b. TSI) interne Bewertungsstelle nationale Rechtsvorschrift externe Bewertungsstelle Ansprechpartner: (Name, Tel., ) Nachweise: Wahl und Nachweis der Befähigung und Unabhängigkeit gemäß CSM Anhang II Anlage 1.2a: Anlage 1.2b: Bei Wahl einer externen (außerhalb der Organisation des Vorschlagenden) Bewertungsstelle (ausgenommen Behörde) Nachweis über die Befähigung und das Vorhandensein einer Haftpflichtversicherung. Bei Wahl der Bewertungsstelle innerhalb der eigenen Organisation - Nachweis der Unabhängigkeit und Befähigung gemäß CSM Anhang II (Beschreibung des organisatorischen Verhältnis zwischen Vorschlagendem und der unabhängigen Bewertungsstelle)

8 1.3 Systemdefinition: Vorgaben: Definition des zu bewertenden Systems gemäß CSM Anhang I Punkt Die CSM für die Evaluierung und Bewertung von Risiken gilt für alle in einem Mitgliedstaat vorgenommenen Änderungen des Eisenbahnsystems im Sinne von Anhang III Ziffer 2 Buchstabe d der Richtlinie 2004/49/EG, die im Sinne von Artikel 4 der CSM-Verordnung für signifikant erachtet werden. Diese Änderungen können technischer, betrieblicher oder organisatorischer Art sein. Im Falle organisatorischer Änderungen sind nur solche Änderungen zu berücksichtigen, die sich auf die Betriebsbedingungen auswirken können. Hinweis - Definitionen gemäß CSM Artikel 3 Punkte 22 und 25: System": jeder Teil des Eisenbahnsystems, der Gegenstand einer Änderung ist; technisches System : das Bauteil oder die Baugruppe, einschließlich Planung, Realisierung und Begleitdokumentation; die Entwicklung eines technischen Systems beginnt mit der Festlegung der Anforderungen an das System und endet mit seiner Zulassung; auch wenn dabei die relevanten Schnittstellen zum menschlichen Verhalten berücksichtigt werden, sind das Personal und dessen Handlungen nicht Bestandteil eines technischen Systems; der Wartungsprozess wird in den Wartungshandbüchern beschrieben, ist aber selbst nicht Bestandteil des technischen Systems; Nachweise: (Beschreibung oder beigefügtes Dokument) Anlage 1.3a: Kriterien zur Feststellung der Sicherheitsrelevanz Anlage 1.3b: Kriterien zur Feststellung der Signifikanz Anlage 1.3c: Systemdefinition gemäß CSM Anhang I Punkt 2.1.2

9 1.4 Dokumentation des Schnittstellenmanagements Vorgaben: Definition der Schnittstellen gemäß CSM Anhang I Abschnitt 1.2, Risikomanagement an den Schnittstellen, Information der Akteure, gegebenenfalls erforderliche Befassung der Behörde Nachweise: Dokumente, die das Management der Risiken an den Schnittstellen belegen. Anlage 1.4a: Definition der relevanten Schnittstellen im System und über die Systemgrenzen hinweg. Anlage 1.4b: Nachweis des Informationsflusses zwischen den Akteuren innerhalb des Systems und über die Schnittstellen hinweg zu anderen Systemen und Akteuren Anlage 1.4c: Gegebenfalls erforderliche Befassung der Behörde gemäß CSM Anhang I Punkt Vorgaben: 1.5 Methoden und Kriterien zur Gefährdungsermittlung, Gefährdungseinstufung und Risikobewertungsverfahren Gemäß CSM Anhang I Punkt können Akteure, die bereits über Methoden oder Instrumente für die Risikobewertung verfügen, diese weiterhin anwenden, sofern sie den Bestimmungen dieser Verordnung entsprechen und sofern folgende Bedingungen erfüllt sind: a) Die Risikobewertungsmethoden oder -instrumente sind im Rahmen eines Sicherheitsmanagementsystems beschrieben, das von einer nationalen Sicherheitsbehörde entsprechend Artikel 10 Absatz 2 Buchstabe a oder Artikel 11 Absatz 1 Buchstabe a der Richtlinie 2004/49/EG zugelassen wurde, b) oder die Risikobewertungsmethoden oder -instrumente sind aufgrund einer TSI vorgeschrieben oder entsprechen öffentlich zugänglichen anerkannten Normen, die in notifizierten nationalen Vorschriften niedergelegt sind. Gemäß CSM Artikel 3, Ziffer 16 ist das Gefährdungsprotokoll definiert als die Unterlage, in der erkannte Gefährdungen, die damit zusammenhängenden Maßnahmen und die Ursache der Gefährdungen dokumentiert und Angaben zu der für das Gefährdungsmanagement verantwortlichen Organisation gemacht werden.

10 Wird zur Risikokontrolle auf anerkannte Regeln der Technik oder auf ein Referenzsystem zurückgegriffen, kann gemäß CSM Anhang I Punkt die Gefährdungsermittlung beschränkt werden auf a) die Überprüfung der Relevanz der anerkannten Regeln der Technik bzw. des Referenzsystems; b) die Ermittlung der Abweichungen von den anerkannten Regeln der Technik bzw. vom Referenzsystem. Nachweise: Anlage 1.5a Nachweis, dass das verwendete Risikomanagementverfahren gemäß SMS (EU RL 49/2004) durch die nationale Sicherheitsbehörde zugelassen ist (SMS-Zertifikat). Anlage 1.5b Wenn das verwendete Risikomanagementverfahren durch TSI vorgeschrieben wurde, Verweis auf diese TSI. Anlage 1.5c Quellverweis, wenn das verwendete Risikomanagementverfahren in anerkannten Normen, die öffentlich zugänglich und in nationalen Sicherheitsvorschriften niedergelegt sind. Anlage 1.5d Gefährdungsprotokoll(e) gemäß CSM (Anhang I Abschnitt 4) inkl. aller getroffenen Gefährdungsermittlungen, Gefährdungseinstufungen, Sicherheitsmaßnahmen, Verantwortlichkeiten, Status, Terminen und Wirksamkeitsprüfungen

11 1.6 Anwendung der Grundsätze der Risikoakzeptanz, Risikoevaluierung und Ableitung der Sicherheitsanforderungen Vorgaben: Gemäß CSM Anhang I Punkt weist der Vorschlagende in der Risikoevaluierung nach, dass der gewählte Risikoakzeptanzgrundsatz in angemessener Weise angewandt wird. Darüber hinaus überprüft der Vorschlagende, dass die ausgewählten Risikoakzeptanzgrundsätze einheitlich angewandt werden. Gemäß CSM Anhang I Punkt werden mit der Anwendung dieser Risikoakzeptanzgrundsätze mögliche Sicherheitsmaßnahmen ermittelt, mit denen die Risiken des zu bewertenden Systems auf ein vertretbares Maß beschränkt werden. Von diesen Sicherheitsmaßnahmen werden diejenigen, die für die Risikokontrolle ausgewählt wurden, zu Sicherheitsanforderungen, die vom System erfüllt werden müssen. Gemäß CSM Anhang I Punkt kann das iterative Risikobewertungsverfahren als abgeschlossen betrachtet werden, wenn nachgewiesen ist, dass alle Sicherheitsanforderungen eingehalten werden und keine weiteren, nach vernünftigem Ermessen vorhersehbaren Gefährdungen zu berücksichtigen sind. Nachweise: Anlage 1.6a Anwendung der anerkannten Regeln der Technik gemäß CSM Anhang I Punkt 2.3 einschließlich Nachweis der Einhaltung der Mindestanforderungen gemäß CSM Anhang I Punkt sowie Auflistung der sich aus der Anwendung der anerkannten Regeln der Technik ergebenden Sicherheitsanforderungen. Anlage 1.6b Analyse der Ähnlichkeit mit Referenzsystemen gemäß CSM Anhang I Punkt 2.4 einschließlich Nachweis der Einhaltung der Mindestanforderungen gemäß CSM Anhang I Punkt sowie Auflistung der sich aus der Analyse des Referenzsystems ergebenden Sicherheitsanforderungen. Anlage 1.6c Anwendung einer expliziten Risikoabschätzung gemäß CSM Anhang I Punkt 2.5 einschließlich Nachweis der Einhaltung der Mindestanforderungen gemäß CSM Anhang I Punkt Dokumentation der der expliziten Risikoabschätzung, sowie Auflistung der sich aus der expliziten Risikoabschätzung ergebenden Sicherheitsanforderungen.

12 1.7 Nachweis der Erfüllung der Sicherheitsanforderungen Vorgaben: Gemäß CSM Anhang I Abschnitt 3 ist, bevor die Sicherheit einer Änderung bescheinigt wird, -- unter Aufsicht des Vorschlagenden -- die Erfüllung der sich aus der Phase der Risikobewertung ergebenden Sicherheitsanforderungen nachzuweisen. Dieser Nachweis wird von jedem der für die Erfüllung der gemäß Ziffer bestimmten Sicherheitsanforderungen verantwortlichen Akteure erbracht. Nachweise: Anlage 1.7a Nachweis, dass die sich aus der Phase der Risikobewertung ergebenden Sicherheitsanforderungen angemessen sind und dass die Sicherheitsanforderungen erfüllt werden.

13 Teil II: Sicherheitsbewertungsbericht der Bewertungsstelle: 2 Dokumentenprüfung Gemäß Artikel 6 Absatz 1 der CSM werden die ordnungsgemäße Anwendung des in Anhang I (der CSM) beschriebenen Risikomanagementverfahrens und die Ergebnisse dieser Anwendung von einer Stelle, die den in Anhang II (der CSM) genannten Kriterien entspricht, einer unabhängigen Bewertung unterzogen. Die CSM verlangt von der Bewertungsstelle jedoch keine Prüfung der Signifikanzbeurteilung der Änderung (siehe auch bezughabende Erläuterungen gemäß der Leitlinie der Europäischen Eisenbahnagentur zur CSM). Gemäß CSM Anhang I Punkt sieht die Bewertungsstelle davon ab, dem Vorschlagenden Auflagen bezüglich des anzuwendenden Grundsatzes der Risikoakzeptanz zu machen. Gemäß CSM Anhang I Kapitel 5 hält die Bewertungsstelle ihre Schlussfolgerungen in einem Sicherheitsbewertungsbericht fest, den die Bewertungsstelle gemäß CSM Artikel 7 Absatz 1 dem Vorschlagenden unterbreitet. Gemäß CSM Artikel 3 Ziffer 24. ist die bescheinigte Sicherheit : der Status, der einer Änderung durch den Vorschlagenden auf der Grundlage des von der Bewertungsstelle vorgelegten Sicherheitsbewertungsberichts zuerkannt wird.

14 2.1 Vorschlagender, beteiligte Akteure Nachweis: Anlage 1.1a Beschreibung der Organisation des Vorschlagenden und Angaben zu den Experten, die benannt wurden, um das Risikobewertungsverfahren durchzuführen Nachweis: Anlage 1.1b Beschreibung der Aufgaben der verschiedenen Akteure sowie ihrer Risikomanagementmaßnahmen. 2.2 Erklärung der unabhängigen Bewertungsstelle Anlage 2.2: Erklärung der Bewertungsstelle, dass die Kriterien gemäß CSM Anhang II erfüllt werden. Erklärung: 2.3 Systemdefinition Nachweis: Anlage 1.3c: Systemdefinition gemäß CSM Anhang I Punkt Dokumentation des Schnittstellenmanagements Nachweis: Anlage 1.4a: Definition der relevanten Schnittstellen im System und über die Systemgrenzen hinweg. Nachweis: Anlage 1.4b: Nachweis des Informationsflusses zwischen den Akteuren innerhalb des Systems und über die Schnittstellen hinweg zu an

15 deren Systemen und Akteuren Vorgabe: Anlage 1.4c: Gegebenfalls erforderliche Befassung der Behörde gemäß CSM Anhang I Punkt Methoden und Kriterien zur Gefährdungsermittlung, Gefährdungseinstufung und Risikobewertungsverfahren Nachweis: Anlage 1.5b Wenn das verwendete Risikomanagementverfahren durch TSI vorgeschrieben wurde, Verweis auf diese TSI. Nachweis: Anlage 1.5c Quellverweis, wenn das verwendete Risikomanagementverfahren in anerkannten Normen, die öffentlich zugänglich und in nationalen Sicherheitsvorschriften niedergelegt sind. Nachweis: Anlage 1.5d Gefährdungsprotokoll(e) gemäß CSM (Anhang I Abschnitt 4) inkl. aller getroffenen Gefährdungsermittlungen, Gefährdungseinstufungen, Sicherheitsmaßnahmen, Verantwortlichkeiten, Status, Terminen und Wirksamkeitsprüfungen 2.6 Anwendung der Grundsätze der Risikoakzeptanz, Risikoevaluierung und Ableitung der Sicherheitsanforderungen Nachweis: Anlage 1.6a Anwendung der anerkannten Regeln der Technik gemäß CSM

16 Anhang I Punkt 2.3 einschließlich Nachweis der Einhaltung der Mindestanforderungen gemäß CSM Anhang I Punkt sowie Auflistung der sich aus der Anwendung der anerkannten Regeln der Technik ergebenden Sicherheitsanforderungen. Nachweis: Anlage 1.6b Analyse der Ähnlichkeit mit Referenzsystemen gemäß CSM Anhang I Punkt 2.4 einschließlich Nachweis der Einhaltung der Mindestanforderungen gemäß CSM Anhang I Punkt sowie Auflistung der sich aus der Analyse des Referenzsystems ergebenden Sicherheitsanforderungen. Nachweis: Anlage 1.6c Anwendung einer expliziten Risikoabschätzung gemäß CSM Anhang I Punkt 2.5 einschließlich Nachweis der Einhaltung der Mindestanforderungen gemäß CSM Anhang I Punkt Dokumentation der expliziten Risikoabschätzung, sowie Auflistung der sich aus der expliziten Risikoabschätzung ergebenden Sicherheitsanforderungen. 2.7 Nachweis der Erfüllung der Sicherheitsanforderungen Nachweis: Anlage 1.7a Nachweis, dass die sich aus der Phase der Risikobewertung ergebenden Sicherheitsanforderungen angemessen sind und dass die Sicherheitsanforderungen erfüllt werden.

17 3 Nachbesserung: Auf Basis der geprüften Dokumente fordert die unabhängige Bewertungsstelle folgende ergänzende Dokumente: Dokument Bemerkung 4 Schlussfolgerungen (Bewertungsergebnis): Auf Basis der geprüften Dokumente kommt die unabhängige Bewertungsstelle zu folgenden Schlussfolgerungen: Datum: Unabhängige Bewertungsstelle: Sachbearbeiter: Unterschrift