Risikobeurteilung nach ÖNORM EN ISO 12100

Jede Maschine, die in der EU in Verkehr gebracht wird, muss sicher sein. Was „sicher“ konkret heißt, kann niemand pauschal sagen — das hängt von der Maschine, ihren Gefahren und ihrem Einsatz ab. Genau hier setzt die Risikobeurteilung an: Sie ist das Verfahren, mit dem der Hersteller systematisch nachweist, dass er alle relevanten Gefahren betrachtet und das Risiko auf ein vertretbares Maß gesenkt hat.

Rechtlich ist die Risikobeurteilung kein freiwilliger Bonus, sondern Pflicht. Sie ist die Grundlage dafür, dass ein Hersteller die Konformität seiner Maschine erklären und die CE-Kennzeichnung anbringen darf. Der rechtliche Rahmen dafür befindet sich gerade im Umbruch: Bisher gilt die Maschinenrichtlinie 2006/42/EG. Ab dem 20. Januar 2027 wird sie durch die Maschinenverordnung (EU) 2023/1230 abgelöst. Bis zu diesem Stichtag ist die alte Richtlinie anzuwenden, danach gilt unmittelbar die Verordnung — einen Zeitraum, in dem beide parallel angewendet werden dürfen, gibt es nicht. Wer heute eine Maschine konstruiert, die nach 2027 in Verkehr kommt, plant also bereits nach der neuen Verordnung. Die Verpflichtung zur Risikobeurteilung bleibt in beiden Rechtsakten bestehen; die Verordnung erweitert sie nur um Themen wie Cybersicherheit und softwarebasierte Sicherheitsfunktionen. Die Details zu Richtlinie und Verordnung sind ein Thema für sich und werden in eigenen Beiträgen behandelt.

Wichtig ist die Unterscheidung zweier Begriffe, die oft durcheinandergeraten. Die Risikoanalyse ist das Sammeln der Fakten: Welche Gefährdungen gibt es, und wie groß ist das jeweilige Risiko? Die Risikobewertung schließt sich an und beurteilt, ob dieses Risiko vertretbar ist oder gesenkt werden muss. Risikoanalyse und Risikobewertung zusammen ergeben die Risikobeurteilung. Davon getrennt steht die Risikominderung — die konkreten Maßnahmen, mit denen man ein zu hohes Risiko verkleinert. Die Norm beschreibt beide Teile, aber sie sind nicht dasselbe: Beurteilen heißt erkennen und bewerten, Mindern heißt handeln.

EN ISO 12100 ist eine sogenannte Typ-A-Norm — eine Grundnorm, die für alle Maschinen gilt und die übergeordnete Methodik vorgeben. Darunter stehen Normen für einzelne Sicherheitsaspekte und für konkrete Maschinengruppen. Die 12100 ist sozusagen das Dach, unter dem die spezielleren Normen einsortiert sind.

Die Risikobeurteilung steht und fällt mit präzisen Begriffen. Im Alltag werfen viele „Gefahr“, „Risiko“ und „Schaden“ in einen Topf — in der Norm sind das klar getrennte Dinge.

Eine Gefährdung ist eine mögliche Quelle eines Schadens. Eine rotierende Welle ist eine Gefährdung, ein heißes Rohr ist eine Gefährdung, eine spannungsführende Klemme ist eine Gefährdung. Wichtig: Die Gefährdung existiert unabhängig davon, ob gerade jemand in ihrer Nähe ist. Sie ist eine Eigenschaft der Maschine.

Eine Gefährdungssituation entsteht erst, wenn eine Person der Gefährdung ausgesetzt ist — wenn also jemand neben der rotierenden Welle steht. Das Gefährdungsereignis ist der Moment, in dem aus der Situation tatsächlich ein Schaden werden kann, etwa wenn der Ärmel von der Welle erfasst wird. Der Schaden schließlich ist die konkrete körperliche Verletzung oder gesundheitliche Beeinträchtigung.

Das Risiko verbindet zwei Dinge: wie schwer der mögliche Schaden ist und wie wahrscheinlich er eintritt.

Diese Beziehung ist bewusst keine echte Rechenformel mit festen Zahlen. Sie sagt nur: Beide Faktoren bestimmen gemeinsam das Risiko. Ein sehr schwerer, aber extrem unwahrscheinlicher Schaden kann ein ähnliches Risiko ergeben wie ein leichter, aber häufiger Schaden. Genau deshalb reicht es nicht, nur die Schwere zu betrachten.

Wenn alle sinnvollen Maßnahmen ausgeschöpft sind, bleibt fast immer etwas übrig — das Restrisiko. Kein Maschinenbauer kann ein Risiko auf null senken. Ziel ist das vertretbare Risiko: ein Restrisiko, das nach dem Stand der Technik und unter Abwägung von Aufwand und Nutzen akzeptiert werden kann.

Zwei weitere Begriffe sind für den gesamten Prozess entscheidend. Die bestimmungsgemäße Verwendung ist der Gebrauch, für den die Maschine gebaut wurde — laut Anleitung, im vorgesehenen Umfeld. Die vernünftigerweise vorhersehbare Fehlanwendung ist der naheliegende Missbrauch, den ein Hersteller einkalkulieren muss: dass jemand eine Schutzeinrichtung überbrückt, um schneller zu arbeiten, oder die Maschine für einen ähnlichen, aber nicht vorgesehenen Zweck nutzt. Beides muss in der Beurteilung berücksichtigt werden — nicht nur der ideale Betrieb.

Die Norm gibt keine lose Sammlung von Empfehlungen vor, sondern einen festen Ablauf. Sein Kern: Man arbeitet sich Schritt für Schritt vor und wiederholt den Durchlauf so oft, bis das Risiko vertretbar ist. Diese Wiederholung — die Iteration — ist das Herzstück.

Der erste Schritt ist die Festlegung der Grenzen der Maschine. Bevor man Gefährdungen sucht, muss man wissen, worüber man überhaupt spricht. Dazu gehören die Verwendungsgrenzen (wofür, von wem, in welchen Betriebsarten), die räumlichen Grenzen (Bewegungsraum, Platzbedarf, Schnittstellen zur Umgebung) und die zeitlichen Grenzen (Lebensdauer, Wartungsintervalle, Verschleiß von Bauteilen). Erst wenn diese Grenzen klar sind, kann man vollständig nach Gefahren suchen.

Danach folgt die Gefährdungsidentifizierung: das systematische Auffinden aller Gefährdungen über alle Lebensphasen und alle vorgesehenen Tätigkeiten hinweg. Darauf baut die Risikoeinschätzung auf, bei der für jede Gefährdung die Größe des Risikos bestimmt wird. Schließlich die Risikobewertung, die entscheidet: Ist dieses Risiko vertretbar?

Lautet die Antwort „ja“, ist man fertig. Lautet sie „nein“, folgt die Risikominderung — und dann beginnt der Durchlauf von vorn. Man prüft erneut, ob durch die Maßnahme neue Gefährdungen entstanden sind und ob das verbleibende Risiko jetzt vertretbar ist. Dieses Zurückspringen ist gewollt: Eine Schutzmaßnahme kann selbst neue Gefahren schaffen, etwa wenn eine Verkleidung die Sicht versperrt.

Die Schleife macht auch klar, warum die Risikobeurteilung kein einmaliges Dokument ist, das man abhakt. Sie ist ein Prozess, der sich durch die gesamte Konstruktion zieht und bei jeder Änderung der Maschine erneut durchlaufen werden muss.

Der entscheidende Punkt bei der Gefährdungsidentifizierung lautet: vollständig. Eine übersehene Gefährdung wird nie bewertet und nie gemindert. Deshalb arbeitet man nicht aus dem Gedächtnis, sondern systematisch entlang zweier Achsen — der Art der Gefährdung und der Lebensphase der Maschine.

Die Gefährdungsarten decken das gesamte physikalische und gesundheitliche Spektrum ab:

Die zweite Achse sind die Lebensphasen. Eine Maschine ist nicht nur während des Produktionsbetriebs gefährlich. Gerade beim Einrichten, Reinigen und bei der Störungsbeseitigung passieren viele Unfälle, weil dabei oft Schutzeinrichtungen außer Kraft sind und Personen besonders nahe an bewegten Teilen arbeiten. Zu betrachten sind: Transport und Aufstellung, Montage und Inbetriebnahme, der eigentliche Betrieb, das Einrichten und Umrüsten, Reinigung und Wartung, Störungssuche und -beseitigung sowie schließlich Demontage und Entsorgung.

Praktisch geht man jede Lebensphase durch und fragt für jede Gefährdungsart: Kann hier jemand zu Schaden kommen? Dabei hilft der Bezug auf konkrete Tätigkeiten und Personen — wer macht in dieser Phase was, und wo hält sich diese Person dabei auf? Diese Matrix aus Phasen, Tätigkeiten und Gefährdungsarten ist das eigentliche Werkzeug. Checklisten und die in den Typ-C-Normen gelisteten typischen Gefährdungen einer Maschinengruppe ergänzen die Suche.

Ist eine Gefährdung erkannt, muss ihr Risiko eingeschätzt werden. EN ISO 12100 schreibt dafür kein bestimmtes Rechenverfahren vor, benennt aber die Risikoelemente, aus denen sich das Risiko zusammensetzt:

• das Schadensausmaß — wie schwer die mögliche Verletzung ist, von der leichten Schramme bis zum Tod
• die Häufigkeit und Dauer der Exposition — wie oft und wie lange sich eine Person im Gefahrenbereich aufhält
• die Wahrscheinlichkeit des Gefährdungsereignisses — wie wahrscheinlich es ist, dass aus der Situation ein Schaden wird
• die Möglichkeit zur Vermeidung oder Begrenzung — ob eine Person die Gefahr noch erkennen und ausweichen kann

Diese Elemente werden in der Praxis oft mit einem Risikograph oder einer Risikomatrix zusammengeführt. Beim Risikograph hangelt man sich entlang von Verzweigungen: Erst entscheidet man über das Schadensausmaß, dann über die Aufenthaltshäufigkeit, dann über die Vermeidbarkeit — und landet am Ende auf einer Risikostufe. Die Risikomatrix stellt Schadensausmaß und Wahrscheinlichkeit als zwei Achsen dar; das Feld am Schnittpunkt gibt die Risikostufe an.

Wichtig ist das richtige Verständnis solcher Werkzeuge: Sie sind Hilfsmittel zur strukturierten Einschätzung, keine exakten Messgeräte. Die Einstufung jedes Elements bleibt eine fachliche Beurteilung. Zwei Fachleute können bei derselben Maschine zu leicht unterschiedlichen Stufen kommen — entscheidend ist, dass die Einstufung begründet und nachvollziehbar dokumentiert ist. Wer eine Matrix benutzt, um eine scheinbar objektive Zahl zu erzeugen, missversteht ihren Zweck.

Auf die Einschätzung folgt die Risikobewertung: die Entscheidung, ob das eingeschätzte Risiko vertretbar ist. Fällt es in den grünen Bereich, ist an dieser Stelle nichts weiter nötig. Liegt es darüber, muss gemindert werden — und der Prozess springt in die Iteration zurück. Wie zuverlässig eine sicherheitsbezogene Steuerungsfunktion dafür ausgelegt sein muss, ist eine weiterführende Frage, die über die zugehörige Norm zur funktionalen Sicherheit und das Konzept des Performance Levels beantwortet wird — beides eigene Themen.

Steht fest, dass ein Risiko zu hoch ist, schreibt die Norm nicht nur vor, dass gemindert wird, sondern auch in welcher Reihenfolge. Diese Rangfolge ist verbindlich — man darf eine schwächere Stufe erst dann heranziehen, wenn die stärkere ausgeschöpft ist.

Die erste und stärkste Stufe ist die inhärent sichere Konstruktion. Hier wird die Gefährdung an der Quelle beseitigt oder verkleinert, durch die Gestaltung der Maschine selbst — ohne Zusatzeinrichtungen, die ausfallen oder umgangen werden könnten. Beispiele: scharfe Kanten vermeiden, Quetschstellen so groß gestalten, dass kein Körperteil hineinpasst, oder so klein, dass nichts erfasst wird, gefährliche Energien von vornherein begrenzen, ungefährliche Werkstoffe wählen. Was hier gelöst wird, kann später gar nicht mehr schiefgehen — deshalb steht diese Stufe an erster Stelle.

Erst wenn die Konstruktion das Risiko nicht ausreichend senkt, folgt die zweite Stufe: technische und ergänzende Schutzmaßnahmen. Dazu zählen trennende Schutzeinrichtungen wie Verkleidungen und Schutztüren sowie nichttrennende wie Lichtgitter, Laserscanner oder Zweihandschaltungen, dazu Not-Halt-Einrichtungen. Diese Maßnahmen wirken, solange sie funktionieren und nicht überbrückt werden — deshalb sind sie der Konstruktion nachgeordnet. Die einzelnen Schutzeinrichtungen und ihre sichere Ansteuerung sind jeweils eigene, vertiefende Themen.

Die dritte und schwächste Stufe ist die Benutzerinformation. Warnschilder, Warnleuchten, akustische Signale und vor allem die Betriebsanleitung informieren über Restrisiken, die sich konstruktiv und technisch nicht weiter senken lassen. Sie schützen nur, wenn der Mensch sie wahrnimmt, versteht und befolgt — und genau deshalb darf eine Gefährdung niemals allein durch ein Warnschild „erledigt“ werden, solange eine konstruktive oder technische Lösung möglich und zumutbar ist.

Nach jeder Minderungsmaßnahme geht es zurück in die Schleife aus Kapitel 3: Wurde das Risiko ausreichend gesenkt? Sind neue Gefährdungen entstanden? Was nach Durchlaufen aller Stufen übrig bleibt, ist das Restrisiko — und genau dieses muss dem Anwender klar kommuniziert werden, vor allem in der Betriebsanleitung.

Eine Risikobeurteilung, die nur im Kopf des Konstrukteurs existiert, ist wertlos. Die Norm verlangt, dass der gesamte Prozess dokumentiert wird — und zwar so, dass ein Außenstehender jeden Schritt nachvollziehen kann. Diese Dokumentation ist zugleich ein zentraler Bestandteil der technischen Unterlagen, die ein Hersteller für die Konformitätsbewertung vorhalten muss.

Was gehört hinein? In nachvollziehbarer Form: die festgelegten Grenzen der Maschine, die identifizierten Gefährdungen mit Bezug zu Lebensphase und Tätigkeit, die Einschätzung des Risikos je Gefährdung mit Begründung, die getroffenen Minderungsmaßnahmen und das verbleibende Restrisiko. Üblicherweise führt man das in einer Tabelle: eine Zeile je Gefährdung, mit Spalten für Lebensphase, Risiko vor der Maßnahme, Maßnahme, Risiko nach der Maßnahme. So wird auf einen Blick sichtbar, dass jede Gefährdung betrachtet und das Risiko tatsächlich gesenkt wurde.

Typische Fehler in der Praxis sind schnell aufgezählt. Häufig fehlen ganze Lebensphasen, weil nur der Normalbetrieb betrachtet wurde. Oft wird die Drei-Stufen-Reihenfolge ignoriert und vorschnell zum Warnschild gegriffen. Manchmal bleibt die Begründung der Risikoeinstufung aus, sodass die Beurteilung nicht nachvollziehbar ist. Und immer wieder wird die Beurteilung nach einem Umbau der Maschine nicht aktualisiert — dabei verlangt der iterative Charakter genau das.