OT-Governance und Reifegrad: Wer verantwortet produktionsnahe Systeme?
OT-Governance regelt, wer für Sicherheit und Betrieb produktionsnaher Systeme verantwortlich ist: IT, Produktion, Instandhaltung oder der Anlagenhersteller. In den meisten mittelständischen Unternehmen ist das nicht geregelt, sondern gewachsen — und fällt erst auf, wenn ein Prüfer, ein Vorfall oder eine Regulierung danach fragt.
Warum die Zuständigkeit meistens ungeklärt ist
Historisch waren Produktionssysteme keine Netzwerkteilnehmer. Eine Steuerung stand an der Anlage, wurde vom Hersteller gewartet und ging niemanden sonst etwas an. Die IT war zuständig für Büro, Server und Netz — und die Grenze war physisch.
Diese Grenze ist verschwunden, ohne dass jemand sie aufgehoben hätte — über welche Anschlüsse das passiert, ist der eine Teil. Der andere ist, wer sie entschieden hat: Jeder einzelne Schritt war vernünftig und wurde von jemandem verantwortet, der für das Ganze nicht zuständig war.
Das Ergebnis ist selten ein Konflikt. Meistens ist es eine Lücke: Beide Seiten gehen davon aus, dass die andere sich kümmert, und beide haben dafür nachvollziehbare Gründe.
Die vier Reifegrade der OT-Governance
Reifegrad heißt hier nicht Sicherheitsniveau, sondern Klarheit: Ist bekannt, was am Netz hängt, wer dafür zuständig ist und wie Änderungen entschieden werden? Ein Unternehmen auf Stufe 1 kann gut geschützt sein — es kann nur niemand belegen.
| Stufe | Woran man sie erkennt |
|---|---|
| 1 — Getrennt und ungeklärt | Zwei Welten, kein gemeinsames Bild. Niemand kann sagen, wie viele netzwerkfähige Anlagen es gibt oder welche davon von außen erreichbar sind. |
| 2 — Bekannt, aber unzuständig | Es gibt eine Übersicht, meist aus einem Projekt oder einer Prüfung. Bei Fragen zeigen IT und Produktion aufeinander. Entschieden wird im Einzelfall und selten dokumentiert. |
| 3 — Geregelt | Zuständigkeiten sind benannt, Segmentierung existiert, Fernzugriffe sind kontrolliert und protokolliert. Ausnahmen laufen über ein Verfahren statt über Zuruf. |
| 4 — Gesteuert | Änderungen an OT-Systemen folgen einem gemeinsamen Takt. Wartungsfenster und IT-Planung sind aufeinander abgestimmt. Der Reifegrad wird gemessen statt geschätzt. |
Der Sprung von 1 auf 2 ist Fleißarbeit — eine Bestandsaufnahme. Der Sprung von 2 auf 3 ist eine Führungsentscheidung, und deshalb der, an dem die meisten stehen bleiben.
Woher dieses Raster kommt
Diese vier Stufen sind kein Standard, sondern mein Arbeitsraster aus Mandaten. In der Struktur folgen sie den vier Reifegraden der IEC 62443, der internationalen Norm für Sicherheit in industriellen Automatisierungssystemen — Initial, Managed, Defined, Improving. Die Norm leitet diese Stufen ihrerseits aus dem CMMI-Modell ab und fasst dessen oberste beiden Stufen zu einer zusammen.
Der Unterschied liegt in der Frage. Die Norm bewertet ein Sicherheitsprogramm; dieses Raster bewertet nur, ob die Zuständigkeit geklärt ist — die Frage, die im Mittelstand vor allen anderen steht. Deshalb lässt es sich in einem Gespräch beantworten und nicht erst in einem Audit. Wer eine normkonforme Bewertung braucht, arbeitet mit der IEC 62443 selbst.
Woran man den eigenen Stand erkennt
Drei Fragen, die sich ohne Vorbereitung beantworten lassen — und deren Antwort ziemlich genau die Stufe verrät.
Wie viele netzwerkfähige Anlagen gibt es?
Wenn die Antwort eine Schätzung ist oder erst erhoben werden müsste: Stufe 1. Wenn es eine Liste gibt, aber niemand sagen kann, wann sie zuletzt stimmte: Stufe 2.
Wer gibt einen Herstellerfernzugriff frei?
Wenn die Antwort „kommt darauf an“ lautet oder je nach Werk verschieden ausfällt: Stufe 1 oder 2. Ab Stufe 3 gibt es ein benanntes Verfahren, und der Zugriff ist protokolliert und zeitlich begrenzt.
Was passiert, wenn ein Patch die Anlage anhalten könnte?
Wenn die Entscheidung informell zwischen zwei Personen fällt: Stufe 2. Ab Stufe 3 gibt es eine Ausnahmeregelung mit Begründung, Frist und einer benannten Person, die sie trägt.
Was NIS2 daran ändert
NIS2 verlangt keine bestimmte Technik. Artikel 21 verlangt Risikomanagement, Meldewege bei Vorfällen, Sicherheit in der Lieferkette, Zugriffskontrolle und Notfallplanung. Der Punkt, der hier zählt, steht in Artikel 20: Das Leitungsorgan muss diese Maßnahmen billigen, ihre Umsetzung überwachen und kann dafür haftbar gemacht werden — dazu kommt eine Schulungspflicht für die Leitung selbst.
Eine namentlich benannte verantwortliche Person verlangt NIS2 dagegen nicht. Es gibt keinen CISO-Zwang. Adressiert wird das Leitungsorgan als Ganzes — was in der Praxis heißt, dass die Frage „wer entscheidet über OT-Änderungen“ spätestens dort beantwortet werden muss.
Praktisch heißt das: Wer auf Stufe 1 steht, kann die Fragen eines Prüfers nicht beantworten — unabhängig davon, wie gut die Anlagen tatsächlich geschützt sind. Nicht die Lücke ist das Problem, sondern die fehlende Auskunftsfähigkeit. Genau deshalb ist der Schritt von Stufe 1 auf Stufe 2 auch ohne Regulierung sinnvoll — er kostet Fleiß, keine Investition.
Für Zulieferer kommt ein zweiter Punkt dazu: Auch wer selbst nicht unter NIS2 fällt, bekommt die Fragen von Kunden gestellt, die darunter fallen — Lieferkettensicherheit steht ausdrücklich in Artikel 21.
Wie man von Stufe 2 auf Stufe 3 kommt
Die Stufe 2 hält sich hartnäckig, weil sie sich nicht falsch anfühlt: Es gibt eine Übersicht, es ist noch nie etwas passiert, und beide Seiten arbeiten pragmatisch zusammen. Was fehlt, ist eine Entscheidung — und die trifft niemand nebenbei.
| Schritt | Was konkret entschieden wird |
|---|---|
| Zuständigkeit benennen | Wer verantwortet Sicherheit und Betrieb produktionsnaher Systeme — namentlich, nicht als Bereich. Meist eine geteilte Verantwortung mit klarer Letztentscheidung. |
| Fernzugriffe ordnen | Welche Hersteller haben Zugriff, worauf, wie lange, wer gibt frei und wo wird es protokolliert. Der schnellste sichtbare Fortschritt. |
| Ausnahmen verfahren statt dulden | Anlagen, die nicht patchbar sind, bleiben nicht patchbar. Der Unterschied ist, ob das mit Begründung, Frist und Ersatzmaßnahme dokumentiert ist. |
| Einen gemeinsamen Termin etablieren | Ein regelmäßiger Abgleich zwischen IT, Produktion und Instandhaltung — kurz, aber fest. Ohne ihn zerfällt das Übrige binnen eines Jahres. |
Was an Stufe 1 scheitert, ist regelmäßig die Bestandsfrage: Ohne belastbares Bild des Bestands lässt sich keine Zuständigkeit sinnvoll zuschneiden. Genau diese Frage beantwortet das IT-Lagebild.
Häufige Fragen zur OT-Governance
Was ist OT-Governance?
Die Regelung, wer für Sicherheit und Betrieb produktionsnaher Systeme verantwortlich ist, wie Änderungen an ihnen entschieden werden und wie Ausnahmen dokumentiert sind. Sie umfasst Zuständigkeiten, Freigabeverfahren, Fernzugriffe und den Umgang mit Herstellervorgaben — nicht die Technik selbst.
Was ist ein OT-Reifegrad?
Eine Einordnung, wie geklärt der Umgang mit produktionsnaher Technik ist. Dieses Raster nutzt vier Stufen — getrennt und ungeklärt, bekannt aber unzuständig, geregelt, gesteuert — und folgt damit der Struktur der IEC 62443, die vier Reifegrade aus dem CMMI-Modell ableitet. Gemessen wird Klarheit, nicht Sicherheitsniveau.
Gehört OT in die Zuständigkeit der IT?
Nicht automatisch. In der Praxis funktioniert eine geteilte Verantwortung am besten: Die IT verantwortet Netz, Identitäten und Sicherheitsverfahren, die Produktion die Anlage und ihren Betrieb. Entscheidend ist weniger, wo die Grenze liegt, als dass sie benannt ist — und dass für den Zweifelsfall geklärt ist, wer entscheidet.
Fällt OT unter NIS2?
Wenn produktionsnahe Systeme zum Betrieb einer betroffenen Einrichtung gehören: ja. NIS2 kennt keinen eigenen OT-Abschnitt — die Pflichten hängen an der Einrichtung und ihren Netz- und Informationssystemen, und dazu zählt vernetzte Produktionstechnik. Für den Maschinenbau heißt das konkret: Verarbeitendes Gewerbe steht in Anhang II als wichtige Einrichtung, die Schwelle liegt bei 50 Beschäftigten oder mehr als 10 Millionen Euro Umsatz und Bilanzsumme.
Wo fängt man an, wenn nichts geregelt ist?
Bei der Bestandsaufnahme: Welche Anlagen hängen am Netz, welche sind von außen erreichbar, wer hat Fernzugriff. Das ist Fleißarbeit ohne Investition und beantwortet gleichzeitig die Fragen, die ein Prüfer als erste stellt.
Braucht ein mittelständisches Unternehmen dafür ein eigenes Modell?
Nein. Für eine erste Einordnung reichen vier Stufen, um zu wissen, wo man steht und was der nächste Schritt ist. Wer eine normkonforme Bewertung braucht — etwa weil ein Kunde sie verlangt — arbeitet mit der IEC 62443 selbst.
Wo es weitergeht
IT und OT im Vergleich
Die Grundlagen: Begriffe, Schutzziele, Lebenszyklen und Zuständigkeiten.
Erfahrungsfeld IT und OT
Wie Vorhaben an der Schnittstelle zur Produktion tatsächlich laufen.
IT-Lagebild
Die Bestandsfrage, an der Stufe 1 scheitert — als Festpreisformat.
Strategische IT-Beratung
Wenn Zuständigkeiten, Regeln und Prioritäten insgesamt zu klären sind.
Unklar, auf welcher Stufe Sie stehen?
Die drei Prüffragen weiter oben lassen sich ohne Vorbereitung beantworten. Was daraus folgt, klärt ein Gespräch — oft in zwanzig Minuten.