Erwägungen

(1)

Gemäß der Richtlinie 2004/49/EG sollten gemeinsame Sicherheitsmethoden schrittweise eingeführt werden, damit die Aufrechterhaltung eines hohen Sicherheitsniveaus gewährleistet ist und die Sicherheit, soweit dies erforderlich und nach vernünftigem Ermessen durchführbar ist, verbessert wird.

(2)

Am 12. Oktober 2010 hat die Kommission der Europäischen Eisenbahnagentur („Agentur“) im Einklang mit der Richtlinie 2004/49/EG den Auftrag erteilt, die Verordnung (EG) Nr. 352/2009 der Kommission  zu überarbeiten. Eine Überarbeitung jener Verordnung war notwendig geworden, um den Änderungen im Aufgaben- und Zuständigkeitsbereich der Bewertungsstelle im Sinne des Artikels 6 jener Verordnung sowie den zusätzlichen harmonisierten Risikoakzeptanzkriterien Rechnung zu tragen, die in den Fällen, in denen der Vorschlagende sich dafür entscheidet, nach dem Grundsatz der expliziten Risikoabschätzung zu verfahren, für die Bewertung der Akzeptanz der sich aus Ausfällen von technischen Systemen ergebenden Risiken zugrunde gelegt werden können. Es musste überprüft werden, inwieweit bei Aufnahme der vorstehend genannten zusätzlichen harmonisierten Risikoakzeptanzkriterien das gegenwärtige Niveau der Eisenbahnsicherheit in der Union gemäß Artikel 4 Absatz 1 der Richtlinie 2004/49/EG zumindest aufrechterhalten werden kann. Da dies erheblich mehr Zeit in Anspruch nahm als erwartet, verabschiedete die Kommission die Durchführungsverordnung (EU) Nr. 402/2013 , mit der das in der Verordnung (EG) Nr. 352/2009 bereits enthaltene alleinige Kriterium für die Risikoakzeptanz aufrechterhalten wurde.

(3)

Bei der Abschätzung der Folgen der mit der Durchführungsverordnung (EU) Nr. 402/2013 eingeführten Änderungen wurden auch die harmonisierten Risikoakzeptanzkriterien für technische Systeme untersucht. In dem Bericht über diese Folgenabschätzung wurde nachdrücklich darauf hingewiesen, wie wichtig es ist, in die gemeinsame Sicherheitsmethode zusätzliche Risikoakzeptanzkriterien aufzunehmen, die in der geltenden Verordnung noch nicht vorgesehen sind. Diese Kriterien dürften es den Mitgliedstaaten erleichtern, strukturelle Teilsysteme und Fahrzeuge, die dem Unionsrecht auf dem Gebiet der Eisenbahninteroperabilität genügen, gegenseitig anzuerkennen.

(4)

Um zwischen der Akzeptanz von Risiken im Zusammenhang mit technischen Systemen einerseits und der Akzeptanz von betrieblichen Risiken und des Gesamtrisikos auf der Ebene des Eisenbahnsystems andererseits unterscheiden zu können, sollte der Begriff „Risikoakzeptanzkriterien“ in Bezug auf technische Systeme in „harmonisierte Entwurfsziele“ für solche technischen Systeme geändert werden. Die in dieser Verordnung vorgeschlagenen harmonisierten Entwurfsziele können für den Nachweis der Akzeptanz von Risiken zugrunde gelegt werden, die sich aus Funktionsausfällen eines technischen Systems ergeben, sofern sich der Vorschlagende dafür entscheidet, nach dem Grundsatz der expliziten Risikoabschätzung zu verfahren. Um den neuesten Änderungen der Terminologie Rechnung zu tragen, sollten einige Begriffsbestimmungen angepasst und neue hinzugefügt werden.

(5)

Die Agentur übermittelte der Kommission ihre Empfehlung für die Änderung der Durchführungsverordnung (EU) Nr. 402/2013, mit der der Teil des Auftrags der Kommission abgeschlossen werden soll, der sich mit der noch offenen Frage der harmonisierten Entwurfsziele befasst. Die Empfehlung der Agentur bildet die Grundlage der vorliegenden Verordnung.

(6)

Die Durchführungsverordnung (EU) Nr. 402/2013 sollte daher entsprechend geändert werden.

(7)

Die in dieser Verordnung vorgesehenen Maßnahmen entsprechen der Stellungnahme des nach Artikel 27 Absatz 1 der Richtlinie 2004/49/EG eingesetzten Ausschusses —

Art. 1

1.

Artikel 3 wird wie folgt geändert:a) Nummer 9 erhält folgende Fassung:„9. ‚Sicherheitsanforderungen‘ die (qualitativen oder quantitativen oder gegebenenfalls qualitativen und quantitativen) Sicherheitsmerkmale, die für den Entwurf, den Betrieb (einschließlich Betriebsvorschriften) und die Instandhaltung eines Systems notwendig sind, um den gesetzlichen oder unternehmensspezifischen Sicherheitszielen zu genügen.“
b) Nummer 23 erhält folgende Fassung:
„23. ‚katastrophaler Unfall‘ einen Unfall, bei dem in der Regel eine große Zahl von Personen Schaden erleidet und mehrere Menschen zu Tode kommen;“
c) die folgenden Nummern 32 bis 37 werden hinzugefügt:
„32.  ‚systematischer Ausfall‘ einen Ausfall, der wiederholt bei einer bestimmten Kombination von Eingaben oder unter bestimmten Umgebungs- oder Anwendungsbedingungen auftritt;
33.  ‚systematischer Fehler‘ einen systemimmanenten Fehler des zu bewertenden Systems, der auf dessen Spezifikation, Entwurf, Herstellung, Integration, Betrieb oder Instandhaltung zurückzuführen ist;
34. ‚Vorkehrung‘ eine technische, betriebliche oder organisatorische Risikokontrollmaßnahme außerhalb des zu bewertenden Systems, mit der entweder die Häufigkeit des Auftretens einer Gefährdung verringert oder die Schwere der möglichen Folgen dieser Gefährdung abgemildert werden;
35. ‚kritischer Unfall‘ einen Unfall, bei dem in der Regel eine sehr geringe Zahl von Personen Schaden erleidet und mindestens ein Mensch zu Tode kommt;
36. ‚höchst unwahrscheinlich‘ das Auftreten eines Ausfalls mit einer Ausfallrate von höchstens 10– 9 je Betriebsstunde;
37. ‚unwahrscheinlich‘ das Auftreten eines Ausfalls mit einer Ausfallrate von höchstens 10– 7 je Betriebsstunde.“

2.

Anhang I wird gemäß dem Anhang dieser Verordnung geändert.

Art. 2

Diese Verordnung tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.

Diese Verordnung ist in allen ihren Teilen verbindlich und gilt unmittelbar in jedem Mitgliedstaat.

ANHANG

ANHANG

Anhang I der Durchführungsverordnung (EU) Nr. 402/2013 wird wie folgt geändert:

1.

Die Nummer 2.5.1 erhält folgende Fassung:„2.5.1. Wenn die Gefährdungen nicht von einem der beiden Risikoakzeptanzgrundsätze abgedeckt werden, die in den Nummern 2.3 und 2.4 festgelegt sind, wird der Nachweis über die Vertretbarkeit des Risikos in Form einer expliziten Risikoabschätzung und -evaluierung erbracht. Risiken, die sich aus diesen Gefährdungen ergeben, werden unter Berücksichtigung der vorhandenen Sicherheitsmaßnahmen quantitativ oder qualitativ oder gegebenenfalls quantitativ und qualitativ beurteilt.“

2.

Die Nummern 2.5.4 bis 2.5.7 erhalten folgende Fassung:„2.5.4. Der Vorschlagende ist nicht verpflichtet, zusätzliche explizite Risikoabschätzungen für Risiken vorzunehmen, die durch Zugrundelegung von Regelwerken oder Referenzsystemen bereits als vertretbar angesehen werden.2.5.5. Führen Funktionsausfälle eines technischen Systems zu Gefährdungen, gelten unbeschadet der Nummern 2.5.1 und 2.5.4 die folgenden harmonisierten Entwurfsziele für diese Ausfälle:
a) Ist bei einem Ausfall davon auszugehen, dass dieser unmittelbar zu einem katastrophalen Unfall führt, muss das damit verbundene Risiko nicht weiter reduziert werden, wenn es nachweislich höchst unwahrscheinlich ist, dass es zu einem Ausfall der Funktion kommt.
b) Ist bei einem Ausfall davon auszugehen, dass dieser unmittelbar zu einem kritischen Unfall führt, muss das damit verbundene Risiko nicht weiter reduziert werden, wenn es nachweislich unwahrscheinlich ist, dass es zu einem Ausfall der Funktion kommt.
Die Einordnung in die Begriffsbestimmung Nummer 23 oder Nummer 35 ergibt sich aus der als am wahrscheinlichsten anzunehmenden nicht mehr tolerierbaren Folge eines Ausfalls.
2.5.6. Unbeschadet der Nummern 2.5.1 und 2.5.4 sind die in Nummer 2.5.5 festgelegten harmonisierten Entwurfsziele für den Entwurf der elektrischen, elektronischen und programmierbaren elektronischen technischen Systeme zugrunde zu legen. Dabei muss es sich um die strengsten Entwurfsziele handeln, die für die gegenseitige Anerkennung gefordert werden können.
Sie dürfen weder als quantitative Gesamtziele für das gesamte Eisenbahnsystem eines Mitgliedstaats noch für den Entwurf eines rein mechanischen technischen Systems zugrunde gelegt werden.
Bei gemischten technischen Systemen, die sowohl aus einem rein mechanischen Teil als auch einem elektrischen, elektronischen und programmierbaren elektronischen Teil bestehen, ist die Gefährdung gemäß Nummer 2.2.5 zu ermitteln. Gefährdungen, die sich aus dem rein mechanischen Teil ergeben, dürfen nicht unter Zugrundelegung der in Nummer 2.5.5 festgelegten harmonisierten Entwurfsziele unter Kontrolle gehalten werden.
2.5.7. Das mit den in Nummer 2.5.5 genannten Funktionsausfällen technischer Systeme verbundene Risiko ist als vertretbar anzusehen, wenn außerdem die folgenden Anforderungen erfüllt sind:
a) Der Nachweis der Erfüllung der anwendbaren harmonisierten Entwurfsziele wurde erbracht.
b)  Die damit in Zusammenhang stehenden systematischen Ausfälle und systematischen Fehler werden durch Sicherheits- und Qualitätsabläufe unter Kontrolle gehalten, die mit den harmonisierten Entwurfszielen, die für das zu bewertende technische System gelten, vereinbar und in einschlägigen, allgemein anerkannten Normen festgelegt sind.
c) Die Anwendungsbedingungen für die sichere Integration des zu bewertenden technischen Systems in das Eisenbahnsystem sind zu ermitteln und in das Gefährdungsprotokoll gemäß Nummer 4 aufzunehmen. Gemäß Nummer 1.2.2 sind diese Anwendungsbedingungen dem für den Nachweis der sicheren Integration verantwortlichen Akteur zu übermitteln.“

3.

Die folgenden Nummern 2.5.8 bis 2.5.12 werden angefügt:„2.5.8. Die folgenden Begriffsbestimmungen gelten speziell in Bezug auf die harmonisierten quantitativen Entwurfsziele der technischen Systeme:

a)

Der Begriff ‚unmittelbar‘ bedeutet, dass der Ausfall der Funktion das Potenzial hat, zu einer der unter Nummer 2.5.5 genannten Unfallarten zu führen, ohne dass weitere Ausfälle auftreten müssen;

b)

der Begriff ‚Potenzial‘ bedeutet, dass der Ausfall der Funktion zu der unter Nummer 2.5.5 genannten Unfallart führen kann.

2.5.9. Führt der Ausfall einer Funktion des zu bewertenden technischen Systems nicht unmittelbar zu dem zu prüfenden Risiko, ist die Anwendung eines weniger strengen Entwurfsziels zulässig, sofern der Vorschlagende nachweisen kann, dass das gleiche Sicherheitsniveau erreicht werden kann, wenn die in Artikel 3 Nummer 34 definierten Vorkehrungen getroffen wurden.2.5.10. Unbeschadet der in Artikel 8 der Richtlinie 2004/49/EG oder in Artikel 17 Absatz 3 der Richtlinie 2008/57/EG des Europäischen Parlaments und des Rates  vorgesehenen Verfahren kann im Interesse der Aufrechterhaltung eines nationalen Sicherheitsniveaus im Wege einer notifizierten nationalen Vorschrift für das zu bewertende technische System ein strengeres Entwurfsziel als das in Nummer 2.5.5 festgelegte harmonisierte Entwurfsziel festgelegt werden. Werden zusätzliche Genehmigungen für die Inbetriebnahme von Fahrzeugen verlangt, gelten die Verfahren der Artikel 23 und 25 der Richtlinie 2008/57/EG.
2.5.11. Wird ein technisches System unter Zugrundelegung der unter Nummer 2.5.5 niedergelegten Anforderungen entwickelt, findet das Prinzip der gegenseitigen Anerkennung gemäß Artikel 15 Absatz 5 Anwendung.
Weist der Vorschlagende jedoch für eine bestimmte Gefährdung nach, dass das bestehende nationale Sicherheitsniveau in dem Mitgliedstaat, in dem das System zum Einsatz kommt, sich auch mit einem weniger strengen Entwurfsziel als dem harmonisierten Entwurfsziel aufrechterhalten lässt, kann statt des harmonisierten Entwurfsziels dieses weniger strenge Entwurfsziel vom Vorschlagenden im betreffenden Mitgliedstaat zugrunde gelegt werden.
2.5.12. Die explizite Risikoabschätzung und -evaluierung muss mindestens folgende Anforderungen erfüllen:
a) Die für die explizite Risikoabschätzung eingesetzten Methoden geben das System, das der Bewertung unterzogen wird, und seine Parameter (einschließlich aller Betriebsmodi) korrekt wieder.
b) Die Ergebnisse sind ausreichend präzise, um als solide Entscheidungshilfe dienen zu können. Geringfügige Änderungen bei den zugrunde gelegten Annahmen oder Voraussetzungen dürfen nicht zu erheblich unterschiedlichen Anforderungen führen.