ANHANG VO (EU) 2015/1136

Anhang I der Durchführungsverordnung (EU) Nr. 402/2013 wird wie folgt geändert:

1.

Die Nummer 2.5.1 erhält folgende Fassung:

2.5.1.

Wenn die Gefährdungen nicht von einem der beiden Risikoakzeptanzgrundsätze abgedeckt werden, die in den Nummern 2.3 und 2.4 festgelegt sind, wird der Nachweis über die Vertretbarkeit des Risikos in Form einer expliziten Risikoabschätzung und -evaluierung erbracht. Risiken, die sich aus diesen Gefährdungen ergeben, werden unter Berücksichtigung der vorhandenen Sicherheitsmaßnahmen quantitativ oder qualitativ oder gegebenenfalls quantitativ und qualitativ beurteilt.

2.

Die Nummern 2.5.4 bis 2.5.7 erhalten folgende Fassung:

2.5.4.

Der Vorschlagende ist nicht verpflichtet, zusätzliche explizite Risikoabschätzungen für Risiken vorzunehmen, die durch Zugrundelegung von Regelwerken oder Referenzsystemen bereits als vertretbar angesehen werden.

2.5.5.

Führen Funktionsausfälle eines technischen Systems zu Gefährdungen, gelten unbeschadet der Nummern 2.5.1 und 2.5.4 die folgenden harmonisierten Entwurfsziele für diese Ausfälle:

a)

Ist bei einem Ausfall davon auszugehen, dass dieser unmittelbar zu einem katastrophalen Unfall führt, muss das damit verbundene Risiko nicht weiter reduziert werden, wenn es nachweislich höchst unwahrscheinlich ist, dass es zu einem Ausfall der Funktion kommt.

b)

Ist bei einem Ausfall davon auszugehen, dass dieser unmittelbar zu einem kritischen Unfall führt, muss das damit verbundene Risiko nicht weiter reduziert werden, wenn es nachweislich unwahrscheinlich ist, dass es zu einem Ausfall der Funktion kommt.

Die Einordnung in die Begriffsbestimmung Nummer 23 oder Nummer 35 ergibt sich aus der als am wahrscheinlichsten anzunehmenden nicht mehr tolerierbaren Folge eines Ausfalls.

2.5.6.

Unbeschadet der Nummern 2.5.1 und 2.5.4 sind die in Nummer 2.5.5 festgelegten harmonisierten Entwurfsziele für den Entwurf der elektrischen, elektronischen und programmierbaren elektronischen technischen Systeme zugrunde zu legen. Dabei muss es sich um die strengsten Entwurfsziele handeln, die für die gegenseitige Anerkennung gefordert werden können.

Sie dürfen weder als quantitative Gesamtziele für das gesamte Eisenbahnsystem eines Mitgliedstaats noch für den Entwurf eines rein mechanischen technischen Systems zugrunde gelegt werden.

Bei gemischten technischen Systemen, die sowohl aus einem rein mechanischen Teil als auch einem elektrischen, elektronischen und programmierbaren elektronischen Teil bestehen, ist die Gefährdung gemäß Nummer 2.2.5 zu ermitteln. Gefährdungen, die sich aus dem rein mechanischen Teil ergeben, dürfen nicht unter Zugrundelegung der in Nummer 2.5.5 festgelegten harmonisierten Entwurfsziele unter Kontrolle gehalten werden.

2.5.7.

Das mit den in Nummer 2.5.5 genannten Funktionsausfällen technischer Systeme verbundene Risiko ist als vertretbar anzusehen, wenn außerdem die folgenden Anforderungen erfüllt sind:

a)

Der Nachweis der Erfüllung der anwendbaren harmonisierten Entwurfsziele wurde erbracht.

b)

Die damit in Zusammenhang stehenden systematischen Ausfälle und systematischen Fehler werden durch Sicherheits- und Qualitätsabläufe unter Kontrolle gehalten, die mit den harmonisierten Entwurfszielen, die für das zu bewertende technische System gelten, vereinbar und in einschlägigen, allgemein anerkannten Normen festgelegt sind.

c)

Die Anwendungsbedingungen für die sichere Integration des zu bewertenden technischen Systems in das Eisenbahnsystem sind zu ermitteln und in das Gefährdungsprotokoll gemäß Nummer 4 aufzunehmen. Gemäß Nummer 1.2.2 sind diese Anwendungsbedingungen dem für den Nachweis der sicheren Integration verantwortlichen Akteur zu übermitteln.

3.

Die folgenden Nummern 2.5.8 bis 2.5.12 werden angefügt:

2.5.8.

Die folgenden Begriffsbestimmungen gelten speziell in Bezug auf die harmonisierten quantitativen Entwurfsziele der technischen Systeme:

a)

Der Begriff „unmittelbar” bedeutet, dass der Ausfall der Funktion das Potenzial hat, zu einer der unter Nummer 2.5.5 genannten Unfallarten zu führen, ohne dass weitere Ausfälle auftreten müssen;

b)

der Begriff „Potenzial” bedeutet, dass der Ausfall der Funktion zu der unter Nummer 2.5.5 genannten Unfallart führen kann.

2.5.9.

Führt der Ausfall einer Funktion des zu bewertenden technischen Systems nicht unmittelbar zu dem zu prüfenden Risiko, ist die Anwendung eines weniger strengen Entwurfsziels zulässig, sofern der Vorschlagende nachweisen kann, dass das gleiche Sicherheitsniveau erreicht werden kann, wenn die in Artikel 3 Nummer 34 definierten Vorkehrungen getroffen wurden.

2.5.10.

Unbeschadet der in Artikel 8 der Richtlinie 2004/49/EG oder in Artikel 17 Absatz 3 der Richtlinie 2008/57/EG des Europäischen Parlaments und des Rates^(*) vorgesehenen Verfahren kann im Interesse der Aufrechterhaltung eines nationalen Sicherheitsniveaus im Wege einer notifizierten nationalen Vorschrift für das zu bewertende technische System ein strengeres Entwurfsziel als das in Nummer 2.5.5 festgelegte harmonisierte Entwurfsziel festgelegt werden. Werden zusätzliche Genehmigungen für die Inbetriebnahme von Fahrzeugen verlangt, gelten die Verfahren der Artikel 23 und 25 der Richtlinie 2008/57/EG.

2.5.11.

Wird ein technisches System unter Zugrundelegung der unter Nummer 2.5.5 niedergelegten Anforderungen entwickelt, findet das Prinzip der gegenseitigen Anerkennung gemäß Artikel 15 Absatz 5 Anwendung.

Weist der Vorschlagende jedoch für eine bestimmte Gefährdung nach, dass das bestehende nationale Sicherheitsniveau in dem Mitgliedstaat, in dem das System zum Einsatz kommt, sich auch mit einem weniger strengen Entwurfsziel als dem harmonisierten Entwurfsziel aufrechterhalten lässt, kann statt des harmonisierten Entwurfsziels dieses weniger strenge Entwurfsziel vom Vorschlagenden im betreffenden Mitgliedstaat zugrunde gelegt werden.

2.5.12.

Die explizite Risikoabschätzung und -evaluierung muss mindestens folgende Anforderungen erfüllen:

a)

Die für die explizite Risikoabschätzung eingesetzten Methoden geben das System, das der Bewertung unterzogen wird, und seine Parameter (einschließlich aller Betriebsmodi) korrekt wieder.

b)

Die Ergebnisse sind ausreichend präzise, um als solide Entscheidungshilfe dienen zu können. Geringfügige Änderungen bei den zugrunde gelegten Annahmen oder Voraussetzungen dürfen nicht zu erheblich unterschiedlichen Anforderungen führen.