Bei der Abnahme zeigt der Hersteller auf den passenden Abschnitt der Betriebsanleitung: „Reinigung nur nach dem Trennen aller Energiequellen. Instandhaltungsarbeiten dürfen ausschließlich von geschultem Personal durchgeführt werden. Der Betreiber muss ein geeignetes Verfahren festlegen.“ Drei Sätze, drei Haken.
In der Halle zeigt sich dann: Die Maschine besitzt zwei elektrische Einspeisungen, eine Pneumatikanlage und einen Energiespeicher, der selbst nach dem Ausschalten des Hauptschalters noch eine Bewegung auslösen kann. Das Verfahren existiert noch nicht. Und mit „geschultem Personal“ ist der Mitarbeiter gemeint, der am längsten im Betrieb arbeitet.
Die Maschine wurde mit dem Futur abgesichert.
Schritt 3 nach ISO 12100 ist kein Sammelbecken für Probleme, die während der Konstruktion ungelöst geblieben sind. Benutzerinformationen bilden das letzte Element der dreistufigen Risikominderungsstrategie. Sie folgen auf inhärent sichere Konstruktion und technische Schutzmaßnahmen – sie ersetzen diese nicht.
Kann eine Gefährdung beseitigt, Energie reduziert, der Zugang verhindert oder eine geeignete Sicherheitsfunktion eingesetzt werden, darf der Hersteller diese Maßnahmen nicht durch Schulungen, Piktogramme oder die Aufforderung zu besonderer Vorsicht ersetzen. Die Anleitung muss das tatsächlich verbleibende Risiko beschreiben, nicht die auf später verschobenen Konstruktionsprobleme verwalten.
Das macht Schritt 3 keineswegs zu einem bloßen Anhang der technischen Dokumentation. Genau hier treffen die Arbeit des Herstellers und die Verantwortung des Betreibers aufeinander. Der Hersteller beschreibt, welches Risiko wo und bei welcher Tätigkeit verbleibt und welche Bedingungen er für die sichere Verwendung vorausgesetzt hat. Der Betreiber muss daraus reale Maßnahmen machen: Arbeitsverfahren, Unterweisungen, Aufsicht, Freigabesysteme, Energietrennung, ergänzende Schutzeinrichtungen oder persönliche Schutzausrüstung.
Schritt 3 überträgt also nicht einfach Verantwortung. Er übermittelt Informationen, ohne die sichere Arbeit nicht organisiert werden kann – deren bloße Existenz in einer Anleitung aber noch keinerlei Wirkung garantiert.
1. Schritt 3 ist keine billigere Variante der Schritte 1 und 2
Die drei Stufen der Risikominderung sind keine gleichwertigen Wahlmöglichkeiten. Konstrukteure dürfen nicht je nach Terminplan entscheiden, ob sie den Entwurf ändern, Schutzmaßnahmen einsetzen oder lediglich einen Warnhinweis ergänzen. Die Reihenfolge ist entscheidend.
Zuerst ist zu prüfen, ob sich die Gefährdung durch die Konstruktion beseitigen oder ausreichend mindern lässt. Reicht das nicht, folgen technische und ergänzende Schutzmaßnahmen. Erst für das Risiko, das nach dieser Arbeit verbleibt, werden Benutzerinformationen erstellt.
Angenommen, eine Einstellung erfordert den Griff in den Bewegungsbereich eines Mechanismus. Der Hersteller kann den Einstellpunkt verlagern, die Geometrie ändern, Energie und Geschwindigkeit begrenzen, eine trennende Schutzeinrichtung oder Verriegelung vorsehen oder eine sichere Einrichtbetriebsart realisieren. Schreibt er stattdessen sofort „Einstellung nur durch geschultes Personal“ in die Anleitung, ist er nicht bei Schritt 3 angekommen. Er hat lediglich die ersten beiden Haltestellen übersprungen und wundert sich nun, dass der Zug noch am Bahnsteig steht.
Benutzerinformationen sollen nicht begründen, warum auf eine mögliche technische Lösung verzichtet wurde. Sie beschreiben Risiken, die trotz umgesetzter Maßnahmen nicht beseitigt oder ausreichend reduziert werden konnten. Nur dann sprechen wir tatsächlich von Restrisiko.
Die unbequeme Frage vor jedem neuen Warnhinweis lautet: Was wurde konkret an Konstruktion und Schutzeinrichtungen getan, bevor entschieden wurde, dass der Betreiber weitere Maßnahmen übernehmen muss?
Besteht die Antwort aus einer nachvollziehbaren Analyse, einer umgesetzten Maßnahme, ihrer Verifikation und einer Beschreibung des verbleibenden Risikos, kann der Prozess weitergehen. Lautet sie nur „Wir haben einen Punkt in die Anleitung aufgenommen“, ist die Anleitung keine dritte Stufe. Sie ist Dekoration über den fehlenden ersten beiden.
Die erste Stufe beginnt bei inhärent sicheren Konstruktionslösungen, die zweite bei technischen Schutzmaßnahmen an Maschinen. Erst danach wird die Information für den Benutzer zum Ergebnis eines technischen Prozesses statt zu seinem literarischen Ersatz.
2. Der Hersteller muss das Risiko beschreiben, nicht sein Gewissen beruhigen
Eine Benutzerinformation muss eine konkrete Handlung ermöglichen. Bleibt nach dem Lesen unklar, was bei welcher Tätigkeit passieren kann und wie dies verhindert werden soll, wurde zwar Text geliefert – aber nicht zwingend eine brauchbare Information.
„Vor Instandhaltungsarbeiten Maschine von allen Energiequellen trennen“ klingt vernünftig. Der Hauptschalter baut jedoch keinen Hydraulikdruck ab, entleert keinen Druckluftbehälter, stützt keine angehobene Baugruppe und entspannt keine Feder. Physik unterschreibt kein Abnahmeprotokoll.
Eine verwendbare Information benennt mindestens:
- die Tätigkeit und Lebensphase, in der das Risiko auftritt,
- die Lage des Gefahrenbereichs und die möglicherweise betroffenen Personen,
- das mögliche Ereignis und seine Folgen,
- die bereits vom Hersteller umgesetzten Maßnahmen,
- das danach verbleibende Risiko,
- die konkret erforderliche Handlung des Betreibers,
- notwendige Qualifikationen, Werkzeuge, Verfahren und Schutzausrüstungen.
Statt einer pauschalen Aufforderung zur Energietrennung kann beispielsweise festzulegen sein, welche Einspeisung abzuschalten ist, welcher Absperrhahn geschlossen und gegen Wiedereinschalten gesichert werden muss, wo Druck abzubauen und Energiefreiheit zu prüfen ist und wie eine angehobene Baugruppe mechanisch abgestützt wird. Erst daraus kann der Betreiber ein belastbares Verfahren zur Sicherung gegen Wiedereinschalten, eine Instandhaltungsanweisung und eine passende Unterweisung entwickeln.
Auch der Ort der Information zählt. Ein Risiko, das eine sofortige Reaktion verlangt, darf nicht ausschließlich auf Seite 143 der Betriebsanleitung versteckt sein. Je nach Situation sind Kennzeichnungen an der Maschine, Warnsignale, Warneinrichtungen oder Hinweise direkt am Eingriffsort erforderlich. Ein Bediener sollte keine Bibliotheksrecherche beginnen müssen, während das System gerade Druck verliert.
Nicht jede Information ist ein Warnhinweis. Viele Angaben definieren sichere Verwendungsbedingungen: zulässige Materialien, Prozessgrenzen, Installationsvorgaben, Prüfintervalle, notwendige Kompetenzen oder wegen eines konkreten Risikos verbotene Tätigkeiten. Diese Bedingungen müssen aus der Risikobeurteilung hervorgehen und dürfen nicht erst entstehen, weil das Kapitel „Sicherheit“ noch leer aussieht.
Auch die Aussage, es gebe ein Restrisiko an der Maschine, hilft allein kaum weiter. Der Betreiber verwaltet keinen abstrakten Begriff. Er organisiert eine konkrete Aufgabe mit Menschen, Energiequellen und realen Arbeitsbedingungen. Gute Information führt von „Es bleibt ein Risiko“ zu „Deshalb ist genau diese Handlung erforderlich“. In der Lücke dazwischen wachsen Missverständnisse – bis sie nach einem Unfall erklärt werden müssen.
3. Der Hersteller beendet das Projekt, der Betreiber organisiert die Arbeit
Das in ISO 12100 dargestellte Zusammenspiel ist für beide Seiten unbequem. Der Hersteller darf seine Risikobeurteilung nicht mit dem Satz „Weitere Maßnahmen stellt der Betreiber sicher“ beenden. Der Betreiber darf umgekehrt nicht annehmen, die CE-Kennzeichnung habe automatisch Arbeitsverfahren erstellt, die Instandhaltung qualifiziert und die Störungsbeseitigung in der Nachtschicht geprüft.
Es gibt zwei Betrachtungsebenen. Zunächst verbleibt ein Risiko nach den Maßnahmen des Konstrukteurs: inhärent sichere Gestaltung, technische und ergänzende Schutzmaßnahmen sowie Benutzerinformationen. Dieses Risiko muss der Hersteller erkennen, beurteilen und verständlich beschreiben. Die zweite Ebene berücksichtigt zusätzlich die betrieblichen Maßnahmen des Benutzers, etwa Arbeitsorganisation, Verfahren, Aufsicht, Freigaben, zusätzliche technische Maßnahmen, persönliche Schutzausrüstung und Unterweisung.
Das sind nicht zwei Namen für dasselbe Ergebnis. Dazwischen liegt die Umsetzung.
| Der Hersteller übermittelt | Der Betreiber setzt um |
|---|---|
| Beschreibung des Restrisikos und des Szenarios | Verfahren für die sichere Durchführung der Aufgabe |
| Bedingungen der sicheren Verwendung | Arbeitsorganisation unter diesen Bedingungen |
| Anforderungen an die Qualifikation | Auswahl geeigneter Personen und Nachweis ihrer Kompetenz |
| Vorgaben zur Energietrennung | Verfahren zur Sicherung gegen Wiedereinschalten und gegebenenfalls Freigabesystem |
| Bedarf an ergänzenden Maßnahmen | Auswahl, Installation, Prüfung und Instandhaltung |
| Anforderungen an persönliche Schutzausrüstung | Bereitstellung, Benutzung und Kontrolle |
| Prüf- und Instandhaltungsvorgaben | Terminplanung und dokumentierte Durchführung |
Mit „Benutzer“ ist nicht nur die Person am Starttaster gemeint. Auf Betreiberseite handeln der Arbeitgeber, die Instandhaltungsverantwortlichen, Aufsichtführende, Servicetechniker und Bedienpersonen. Jede Rolle benötigt andere Informationen. Die Instandhaltung muss Trennstellen und Prüfanforderungen kennen. Vorgesetzte müssen wissen, wer bestimmte Tätigkeiten ausführen darf. Bedienpersonen brauchen klare Regeln für Normalbetrieb, Einrichten und Störung. Alles in ein Kapitel „Allgemeine Hinweise“ zu kippen schafft kein Sicherheitssystem, sondern nur ein Kapitel, das niemand gern liest.
Hier treffen außerdem zwei unterschiedliche Prozesse aufeinander: die Risikobeurteilung des Maschinenherstellers und die Gefährdungsbeurteilung des Arbeitgebers nach ArbSchG und BetrSichV. Beide hängen zusammen, ersetzen sich aber nicht. Der Hersteller betrachtet die Maschine innerhalb ihrer bestimmungsgemäßen Verwendung und der vernünftigerweise vorhersehbaren Fehlanwendung. Der Arbeitgeber berücksichtigt den tatsächlichen Arbeitsplatz, die Umgebung, Beschäftigten, Arbeitsorganisation und den Prozess, in den die Maschine eingebunden wird.
Zusammenarbeit bedeutet daher nicht, Verantwortung zu halbieren und mit zwei Unterschriften abzuhaken. Jede Seite muss ihren Teil erledigen. Die Herstellerinformationen müssen dem Betreiber ermöglichen, dies bewusst und fachgerecht zu tun.
4. Ein Verfahren wirkt nur, wenn es tatsächlich angewendet wird
Selbst die präziseste Herstellerinformation schließt in der Halle kein Ventil, setzt keine Sperre, prüft keine Energiefreiheit und verhindert kein unerwartetes Wiederanlaufen. Diese Umsetzung muss der Betreiber organisieren.
Verlangt der Hersteller vor dem Beseitigen einer Störung die Energietrennung, muss der Betrieb mindestens festlegen:
- wer die Maschine stillsetzen darf,
- welche Energiequellen zu trennen sind,
- wo sich die Trennstellen befinden,
- wie sie gegen Wiedereinschalten gesichert werden,
- wie Energiefreiheit festgestellt wird,
- wer Sperren entfernen darf,
- unter welchen Bedingungen der Wiederanlauf erfolgt.
Ohne diese Festlegungen ist „Sicherung gegen Wiedereinschalten anwenden“ nur der Name eines Verfahrens, nicht das Verfahren selbst.
Die Vorgaben müssen außerdem zur realen Aufgabe passen. Tritt eine Störung ein Dutzend Mal pro Schicht auf, während das vorgesehene Verfahren jedes Mal zwanzig Minuten Stillstand der gesamten Linie verlangt, ist der weitere Verlauf absehbar: Zuerst entsteht eine Abkürzung. Dann wird daraus eine nur den erfahrensten Beschäftigten bekannte „bewährte Praxis“. Am Ende fixiert jemand eine Verriegelung mit Klebeband, damit sie nicht mehr stört.
Das spricht nicht für ein schwächeres Verfahren. Häufige Eingriffe können vielmehr zeigen, dass Konstruktion, Prozesszuverlässigkeit oder technische Schutzmaßnahmen erneut betrachtet werden müssen. Ein wirksamer Schritt 3 liefert solche Erfahrungen zurück in die Risikobeurteilung.
Bei Unterweisungen gilt dasselbe. Eine Anwesenheitsliste beweist nur, dass mehrere Menschen für eine bestimmte Zeit im selben Raum waren. Sie beweist nicht, dass diese Personen eine Einstellung, Reinigung oder Instandhaltungsarbeit sicher ausführen können.
Unterweisungen müssen reale Aufgaben, vorhandene Gefährdungen, die Benutzung der Schutzeinrichtungen und das Verhalten bei Abweichungen behandeln. Die Kompetenz ist praktisch zu überprüfen. Nach wesentlichen Änderungen an Maschine, Prozess, Verfahren oder Aufgabenbereich muss die Unterweisung aktualisiert und wiederholt werden.
Auch Aufsicht darf sich nicht auf Unterschriften beschränken. Sie umfasst Arbeitsbeobachtung, Kontrolle der Verfahrensanwendung, Reaktionen auf manipulierte Schutzeinrichtungen und die Untersuchung, warum Beschäftigte Abkürzungen wählen. Eine umgangene Verriegelung kann auf individuelles Fehlverhalten hindeuten. Fünf umgangene Verriegelungen an derselben Linie sagen auch etwas über Maschinenkonzept und Produktionsorganisation aus.
Persönliche Schutzausrüstung verlangt ebenfalls Präzision. „Schutzhandschuhe tragen“ erklärt weder, wogegen sie schützen sollen, noch welche Eigenschaften sie benötigen. Bei bewegten Teilen können Handschuhe durch Einziehen oder Erfassen sogar ein zusätzliches Risiko erzeugen. Die Auswahl muss deshalb zur konkreten Tätigkeit und zu den tatsächlichen Bedingungen passen.
Die Wirksamkeit betrieblicher Maßnahmen entsteht nicht durch ihre Aufnahme in ein Dokument. Entscheidend ist, ob sie ausführbar sind, verstanden werden, genügend Zeit erhalten und kontrolliert werden. Ein laminiertes Blatt kann jahrelang makellos bleiben – besonders dann, wenn es niemand anfasst.
5. Ein guter Schritt 3 hinterlässt eine nachvollziehbare Spur
Bei der Abnahme weiß der Konstrukteur noch, warum die Anleitung eine mechanische Abstützung verlangt. Sechs Monate später verwaltet jemand anderes die Dokumentation, die Maschine steht an einer anderen Linie und der Verfasser der Risikobeurteilung arbeitet längst am nächsten Projekt.
Übrig bleibt der Satz: „Instandhaltung nur nach mechanischer Sicherung der Baugruppe.“ Warum ist die Abstützung nötig? Welche Bewegung kann auftreten? Welche anderen Maßnahmen wurden umgesetzt? Welches Bauteil ist in welcher Stellung zu sichern? Die Antworten existieren wahrscheinlich – irgendwo in einer Datei mit einem Namen wie „Endfassung_Beurteilung_V8_korrigiert_2“.
Jede Benutzerinformation sollte auf ein konkretes Szenario der Risikobeurteilung zurückführbar sein: von der erkannten Gefährdung über konstruktive und technische Maßnahmen bis zum Restrisiko und zur erforderlichen Betreiberhandlung.
Eine solche Nachweiskette kann enthalten:
- Aufgabe und Lebensphase der Maschine,
- Gefährdungsquelle und mögliches Ereignis,
- betroffene Personen und erwartbare Folgen,
- umgesetzte Maßnahmen zur Risikominderung,
- Ergebnis ihrer Verifikation,
- Beschreibung des Restrisikos,
- Information in Betriebsanleitung oder Maschinenkennzeichnung,
- erforderliche Maßnahme des Betreibers,
- verantwortliche Person sowie Nachweis der Umsetzung,
- Prüfung der Wirksamkeit.
Der Nachweis muss kein weiterer umfangreicher Bericht sein. Geeignet sind beispielsweise ein freigegebenes Arbeitsverfahren, ein Ergebnis der Funktionsprüfung, ein Messprotokoll, ein Kompetenznachweis, ein Prüfvermerk, ein Foto der Kennzeichnung oder eine begründete technische Entscheidung. Entscheidend ist, dass der Nachweis eine konkrete Anforderung belegt – und nicht pauschal erklärt, das Thema Sicherheit sei besprochen worden.
Ein Dokumentenordner schafft noch keine Rückverfolgbarkeit. Hundert nebeneinanderliegende Dateien erklären nicht automatisch, warum eine Entscheidung getroffen wurde. Maßgeblich ist die Verbindung zwischen Szenario, Maßnahme, Verifikation, Benutzerinformation und späterer Umsetzung.
Diese Verbindung muss Änderungen überstehen. Ein anderes Material, ein neues Werkzeug, eine höhere Geschwindigkeit, die Umsetzung der Maschine oder ein verändertes Reinigungsverfahren können Annahmen des Herstellers außer Kraft setzen. Der Betreiber muss dann erkennen können, welche Szenarien neu zu beurteilen sind. Die gesamte Dokumentation von vorn zu lesen ist zwar eine Methode – ungefähr so effizient wie die Suche nach einer Leckage, indem man wartet, bis der Druck vollständig weg ist.
In einer geeigneten Sicherheitssoftware endet die Kette deshalb nicht mit einem erzeugten Bericht. Risikoszenario, umgesetzte Maßnahme, Verifikation, Restrisiko und Nachweise bleiben Bestandteile desselben Prozesses. So lässt sich später nicht nur feststellen, was dokumentiert wurde, sondern auch, wer auf welcher Grundlage entschieden hat und welche Umsetzung folgte.
Der Praxistest: Kann eine Person, die nicht am Projekt beteiligt war, anhand der Dokumentation feststellen, welches Risiko verbleibt und welche konkrete Handlung noch erforderlich ist?
Wenn ja, hat der Hersteller eine brauchbare Information übermittelt. Wenn nein, hat er dem Betreiber ein technisches Rätsel mit Anlage übergeben.