Produktions- und Shopfloor-IT im technologischen Wandel OT-Governance: der organisatorische Rahmen für die Smart Factory

Smart Factories vernetzen Maschinen, Daten und IT-Systeme – und brauchen deshalb klare Spielregeln. Wo IT und OT zusammenwachsen, reicht klassische IT-Governance nicht aus. OT-Governance regelt Verantwortlichkeiten, Entscheidungswege und Compliance in der Produktion.

Die industrielle Produktion befindet sich in einer Phase tiefgreifender Veränderungen. Durch die zunehmende IT-OT-Konvergenz wachsen Anlagen, industrielle Netzwerke und klassische IT-Infrastrukturen immer stärker zusammen. Gleichzeitig treibt die Digitalisierung neue Architekturen voran – etwa durch industrielle Datenplattformen und das Industrial Internet of Things (IIoT).

Parallel dazu steigt der regulatorische Druck. Europäische Regelwerke wie die NIS-2-Richtlinie und der Cyber Resilience Act (CRA) setzen neue Maßstäbe. Hinzu kommen neue Anforderungen an die Absicherung der Lieferkette, da industrielle Systeme Teil komplexer Ökosysteme aus Herstellern, Integratoren und Servicepartnern sind. Auch verschärft der Fachkräftemangel im Bereich industrieller Cybersecurity die Notwendigkeit klarer Strukturen, während internationale Standards wie IEC 62443 zu einer stärkeren Standardisierung der OT-Sicherheit führen.

Diese Entwicklungen zeigen deutlich, dass die Smart Factory nicht mehr allein technisch beherrscht werden kann, sondern auch einen organisatorischen Rahmen benötigt. OT-Governance steuert Verantwortlichkeiten, Entscheidungsprozesse und Compliance in der Produktion und wird damit zum Wettbewerbsfaktor.

OT-Governance – Fundament der Smart Factory

Betrachtet man die Governance-Architektur eines Unternehmens, bildet die Corporate Governance – als rechtlicher und faktischer Ordnungsrahmen für Leitung und Überwachung (Gabler, Wirtschaftslexikon) – die oberste Instanz. Darauf aufbauend steuert Digital Governance die digitale Transformation, während IT- und OT-Governance den Einsatz von Informations- und Produktionstechnologien organisatorisch und prozessual definieren.

Was heißt das konkret? Governance legt fest, welche strategischen Ziele ein Unternehmen verfolgt, wer entscheidet, wie Prioritäten entstehen, und überwacht, ob die Vorgaben eingehalten werden. Die zunehmende Konvergenz von IT und OT zeigt, dass klassische IT-Governance-Modelle die Anforderungen industrieller Systeme nur unzureichend abdecken.

Dies verdeutlicht das Triadenmodell der OT-Security. Während in der klassischen IT-Sicherheit die Triade Confidentiality–Integrity–Availability (CIA) gilt und somit der Schutz von Daten im Vordergrund steht, folgt die OT aufgrund der direkten Auswirkungen auf physische Produktionsprozesse der Priorisierung Availability–Integrity–Confidentiality (AIC). Weitere Unterschiede sind: Produktionsanlagen verwenden spezielle Schnittstellen und Feldbusse sowie proprietäre Kommunikationsprotokolle. Sie haben deutlich längere Lebenszyklen und sind oft schwer patch- oder updatefähig. Zugleich müssen sie Echtzeit- und Verfügbarkeitsanforderungen erfüllen und sind eng mit physischen Prozessen und Sicherheitsanforderungen der Anlagen verknüpft.

Diese Unterschiede zeigen, dass die Integration von IT und OT ohne einen klar definierten organisatorischen Rahmen kaum beherrschbar ist und daher eine eigenständige OT-Governance erforderlich macht.

Standards und Referenzrahmen der OT-Governance

Für die IT existiert ein ausgereiftes Instrumentarium: Normenreihen wie ISO/IEC 38500, ISO/IEC 27001 und ISO/IEC 27014 definieren Governance- und Sicherheitsstrukturen, Frameworks wie COBIT und ITIL ergänzen sie um Prozess- und Risikomanagement. Unternehmen erhalten damit klare Leitlinien für die strategische Steuerung ihrer IT, die Definition von Verantwortlichkeiten und ein systematisches Sicherheitsmanagement.

Im OT-Umfeld hingegen fehlt ein vergleichbares Governance-Framework. Unternehmen können aber auf den etablierten IT-Governance-Strukturen aufbauen und diese um OT-spezifische Anforderungen erweitern. Standards wie die IEC 62443 für OT-Security, die VDI/VDE 2182-Reihe für Sicherheit in der Automatisierung und der NIST SP 800-82 zur Absicherung von Steuerungssystemen liefern dafür die fachliche Grundlage. Die VDI 4499 zur Digitalen Fabrik ergänzt organisatorische Aspekte. Die Richtlinie beschreibt unter anderem Anforderungen an Rollen, Verantwortlichkeiten, Datenmanagement sowie Standardisierung in der digitalen Fabrik und unterstützt damit indirekt Governance-Strukturen – auch wenn sie kein eigenständiges Governance-Framework definiert. Diese Normen schaffen wichtige Bausteine, die Unternehmen aktiv in eine übergeordnete OT-Governance integrieren müssen.

Fabrik der Zukunft

Cloud statt Monolith: So wird Produktion flexibler

Die Grundpfeiler einer wirksamen OT-Governance

Die OT-Governance bildet den organisatorischen und methodischen Ordnungsrahmen zur Steuerung der Digitalisierung der Produktion. Zentrale Elemente sind dabei zunächst Ziele, Anforderungen und Bewertungskriterien, die den angestrebten Sollzustand der OT-Landschaft definieren und als Basis für Entscheidungen und Priorisierung dienen.

Darauf aufbauend beschreibt eine Roadmap die Initiativen und Maßnahmen zur Umsetzung der Zielarchitektur, der organisatorischen Strukturen sowie der relevanten Use Cases. Aus dieser Planung leiten sich die operativen Aufgaben entlang der Lebenszyklusphasen Plan, Build und Run ab, die eine strukturierte Umsetzung und den Betrieb der OT-Systeme ermöglichen.

Ergänzend wird ein Transformationsprogramm definiert, das den Übergang von der bestehenden Organisation hin zur Zielorganisation steuert. Diese Hub- bzw. Zielorganisation beschreibt Rollen, Gremien, Prozesse und Governance-Strukturen zur langfristigen Steuerung der OT-Landschaft. Eine klare Verteilung von Verantwortlichkeiten, häufig in Form von RACI-Modellen, stellt sicher, dass Aufgaben, Entscheidungsbefugnisse und Zuständigkeiten transparent geregelt sind.

Insgesamt schafft eine solche Governance-Struktur die notwendigen organisatorischen Voraussetzungen, um die Integration von IT und OT, die Umsetzung der Smart Factory sowie Sicherheit, Standardisierung und Skalierbarkeit der industriellen Systeme nachhaltig zu gewährleisten.

Industrielle IT-Orchestrierung und Cloud-Integration

Der Manufacturing Service Bus: Enabler für IT/OT-Integration im Shopfloor

Organisation als Rückgrat der OT-Governance

Die organisatorische Verankerung der OT-Governance lässt sich in eine prozessuale und eine strukturelle Dimension unterscheiden. Prozessual gilt: Governance wirkt über Rollen, Verantwortlichkeiten, Entscheidungswege und Delegation – nicht über Technologie. Bereits die ISO 37000 versteht Governance als Ordnungsrahmen für Leitung, Kontrolle und Verantwortlichkeit in Organisationen, während die ISO/IEC 38500 diesen Gedanken für die Governance digitaler Systeme konkretisiert und insbesondere Aspekte wie Accountability, Leadership, Stakeholder Engagement, Direction und Delegation betont. Für die OT übersetzt die IEC 62443-2-1 diesen Ansatz in die Praxis – mit Anforderungen an Rollenmodelle, Sicherheitsrichtlinien, Risikomanagement und kontinuierliche Verbesserung.

Aus normativer Sicht steht damit fest: Wirksame OT-Governance braucht belastbare Prozesse, klare Zuständigkeiten und verbindliche Entscheidungsstrukturen.

Bleibt die strukturelle Frage: In welcher organisatorischen Form sollte OT-Governance im Unternehmen verankert werden? In der Praxis haben sich vier Modelle bewährt:

• Ein Hub-Modell bündelt Governance-Aufgaben virtuell innerhalb bestehender Strukturen und eignet sich insbesondere für Unternehmen, die zunächst koordinierende Funktionen aufbauen wollen.

• Ein Digital Transformation Office (DTO) als Stabsstelle schafft eine zentrale, strategisch ausgerichtete Instanz zur Steuerung der Transformation.

• Eine eigenständige OT-Funktion mit dediziertem Governance-Team kann etabliert werden, wenn Governance und operative OT-Steuerung enger miteinander verbunden werden sollen.

• Auch eine integrierte IT- oder OT-Funktion ist denkbar, in der OT-Aufgaben in eine bestehende Organisationseinheit eingebettet und dort gebündelt werden.

Diese Modelle unterscheiden sich hinsichtlich Zentralisierungsgrad, Durchsetzungsfähigkeit, Nähe zum operativen Geschäft und strategischer Sichtbarkeit, verfolgen jedoch dasselbe Ziel: die organisatorische Absicherung von Verantwortung, Standardisierung und Entscheidungsfähigkeit in der OT.

Gerade der strukturelle Aspekt wird in der Praxis unterschätzt. Viele Unternehmen verorten Governance „nebenbei“ in der IT oder behandeln sie als rein technisches Thema, obwohl die industrielle Realität eine eigenständige organisatorische Verankerung zwischen IT, Engineering und Produktion verlangt. Die Folge: unklare Zuständigkeiten, fehlende Governance-Gremien, fragmentierte Entscheidungswege und eine Digitalisierung der Produktion, die sich schwer steuern lässt.

Organisation ist das Rückgrat der OT-Governance. Erst das Zusammenspiel aus prozessual klar geregelten Verantwortlichkeiten und strukturell tragfähigen Organisationsmodellen ermöglicht eine wirksame Steuerung der OT-Landschaft. Unternehmen sind daher gefordert, die organisatorischen Prinzipien der ISO/IEC 38500 auf die Gegebenheiten der Produktion zu übertragen, durch die Anforderungen der IEC 62443-2-1 zu konkretisieren und in ein geeignetes strukturelles Zielmodell zu überführen. Nur so entsteht eine belastbare OT-Governance – tragfähig für Digitalisierung, Security und Betriebssicherheit der Smart Factory.

Kurzum: Die Smart Factory entsteht nicht allein durch Technologie, sondern durch klare Strukturen, die Technologie steuerbar machen. OT-Governance liefert diesen Rahmen. Unternehmen, die ihn frühzeitig aufbauen, schaffen die Grundlage für eine sichere, skalierbare und wettbewerbsfähige Produktion.

(ID:50850529)