„Alles, was einen Netzwerkstecker hat, gehört zur IT.“
Dieser Satz kursiert in vielen Unternehmen – und er ist gefährlicher, als er klingt.
Solange er als inoffizielle Faustformel gilt, werden Verantwortlichkeiten nicht geregelt, sondern vertagt. Das rächt sich spätestens dann, wenn ein Windows-Terminal in der Fertigung ein automatisches Update erhält – und die Produktionslinie danach stillsteht.
Willkommen in der Welt der IT/OT-Konvergenz. Einem Thema, das technisch komplex ist, aber im Kern eine Governance-Frage ist. Und die beantwortet kein Tool der Welt, wenn die organisatorischen Grundlagen fehlen.
Der Unterschied – klar, aber nicht mehr trennscharf
In der Lehrbuch-Definition ist die Abgrenzung einfach:
- IT (Information Technology) verwaltet Daten und Systeme: Server, Datenbanken, Office-Arbeitsplätze, E-Mail.
- OT (Operational Technology) steuert physische Prozesse: Produktionsanlagen, Automatisierungssysteme, Sensoren, Steuerungen.
Die Realität in Fertigungs-, Logistik- und Pharmaunternehmen sieht 2026 anders aus. Produktionsanlagen laufen auf proprietären Betriebssystemen, erhalten Firmware-Updates und sind über das Unternehmensnetzwerk mit ERP-Systemen verbunden. Der Handscanner in der Lagerhalle sieht aus wie ein simples Gerät – aber wer verantwortet seine Sicherheitspatches? Wer definiert seinen Lifecycle?
Genau das ist die Frage, die viele Unternehmen nicht beantwortet haben.
Warum die Grenze systematisch verschwimmt
Drei Entwicklungen beschleunigen die Konvergenz:
1. IoT und Industrie 4.0 haben dafür gesorgt, dass nahezu jedes Gerät eine Netzwerkverbindung hat – von der CNC-Fräse bis zum Temperaturlogger in der Kühlkette.
2. Windows-Terminals in der Produktion sehen aus wie normale PCs, sind aber keine. Ein Patch-Rollout, der in der Büro-IT reibungslos funktioniert, kann im OT-Umfeld einen Produktionsstopp auslösen. Die Maschinen wurden auf spezifische Software-Versionen zertifiziert – jede Änderung ist ein Risiko.
3. Lange Lebenszyklen treffen auf kurze Update-Zyklen. In der Büro-IT wird Hardware nach drei bis fünf Jahren ersetzt. Produktionsanlagen laufen 15 bis 25 Jahre. Ein System, das 2010 installiert wurde, läuft heute möglicherweise auf einem Betriebssystem ohne Herstellersupport – und ist trotzdem mit dem Unternehmensnetzwerk verbunden.
Das Ergebnis: Legacy-OT-Systeme sind heute eine der größten Angriffsflächen in Industrieunternehmen. Kein Air-Gapping schützt, wenn das Gerät längst ins Netz eingebunden ist.
Was NIS2 dazu sagt – und warum das Ihren Geschäftsführer interessieren sollte
Seit dem Inkrafttreten des NIS2-Umsetzungsgesetzes (NIS2UmsuCG) im Dezember 2025 ist IT/OT-Sicherheit kein technisches Nischenthema mehr. Es ist Chefsache – mit persönlicher Haftung.
§ 38 BSIG verpflichtet die Geschäftsleitung zur aktiven Überwachung von Risikomanagementmaßnahmen. Dazu zählen ausdrücklich auch OT-Systeme in kritischen Infrastrukturen und produzierenden Unternehmen. Wer die Verantwortung zwischen IT und OT nicht klar geregelt hat, kann im Schadensfall nicht nachweisen, dass er seiner Sorgfaltspflicht nachgekommen ist.
Die Frage „Wer ist zuständig?“ ist damit keine interne Organisationsfrage mehr – sie ist eine Compliance-Frage mit Haftungsrelevanz.
Die vier Zonen, die Sie definieren müssen
Eine sinnvolle IT/OT-Governance beginnt nicht mit einer Excel-Liste, sondern mit der Klärung von vier Feldern:
1. Technologie: Welche Systeme fallen unter IT-Standardprozesse (Patch Management, Antivirus, Backup)? Welche OT-Systeme erfordern eigene, herstellerabgestimmte Verfahren?
2. Verantwortung: Wer entscheidet über Updates bei einem Maschinensteuerungs-PC? IT, Produktion, oder gemeinsam? Ohne klare RACI-Matrix wird diese Frage im Ernstfall nicht in 24 Stunden beantwortet – die NIS2-Meldepflicht läuft aber genau dann.
3. Netzwerksegmentierung: OT-Systeme gehören in dedizierte Netzwerksegmente, die vom Office-Netz logisch getrennt sind. Das ist kein Nice-to-have, sondern Basis-Hygiene. Wer hier spart, öffnet Angreifern Scheunentor-Zugänge vom kompromittierten Laptop direkt in die Produktionslinie.
4. Lifecycle Management: Was passiert mit einer Anlage, die technisch nicht mehr supportet wird, aber aus Produktionsgründen nicht sofort ersetzt werden kann? Dieser Plan muss existieren – schriftlich, abgestimmt, gelebt.
Was das in der Praxis bedeutet
Ein konkretes Beispiel aus der Fertigungsindustrie: Ein mittelständischer Maschinenbauer betreibt CNC-Anlagen, die auf Windows Embedded 7 laufen. Der Hersteller hat den Support eingestellt. Die IT will patchen, die Produktion verweigert jeden Eingriff, weil die Zertifizierung der Maschine sonst erlischt.
Ergebnis: Die Anlage läuft seit Jahren ungepacht, ist mit dem Unternehmensnetzwerk verbunden und taucht in keiner Security-Übersicht auf – weil sie „OT“ ist und damit angeblich nicht in den Zuständigkeitsbereich der IT-Abteilung fällt.
Genau dieses Szenario ist der Ausgangsfall für gravierende Sicherheitsvorfälle. Und es ist vermeidbar – nicht durch mehr Technologie, sondern durch eine klare Entscheidung: Wer verantwortet was, unter welchen Rahmenbedingungen, mit welchen dokumentierten Ausnahmen?
Fazit: Governance vor Technologie
IT und OT zu konvergieren bedeutet nicht, alles gleich zu behandeln. Es bedeutet, bewusste Entscheidungen zu treffen – und diese zu dokumentieren.
Welche Systeme unterliegen IT-Standardprozessen? Wo gelten Sonderregelungen, weil Verfügbarkeit und Zertifizierung der Anlage Vorrang haben? Wer trägt im Zweifelsfall die Verantwortung, wenn ein Sicherheitsvorfall auftritt?
Diese Fragen sind keine technischen Detailprobleme. Sie sind strategische Governance-Entscheidungen, die auf Geschäftsführungsebene getroffen und von dort nach unten durchgezogen werden müssen.
Wer das nicht regelt, hat nicht IT oder OT als Problem. Er hat ein Führungsproblem.
Sie stehen vor der Frage, wie Sie IT- und OT-Verantwortlichkeiten in Ihrer Organisation sauber abgrenzen? Efficas unterstützt Fertigungs- und Logistikunternehmen dabei, diese Strukturen aufzubauen – pragmatisch, dokumentiert und NIS2-konform.