Was ist Operational Technology (OT)?
Operational Technology (OT) umfasst programmierbare Systeme und Geräte, die mit der physischen Umgebung interagieren oder solche Geräte verwalten und durch Überwachung oder Steuerung unmittelbare physische Veränderungen erkennen oder bewirken.
Autoritative technische Definition: Diese funktionsbezogene Einordnung folgt NIST SP 800-82 Rev. 3. Entscheidend ist die Wirkung auf Geräte, Prozesse oder Ereignisse in der physischen Umgebung.
Für wen ist OT relevant?
OT ist für Organisationen relevant, die physisch wirkende programmierbare Systeme entwickeln, integrieren, betreiben oder absichern. Der Begriff ist weder auf einen bestimmten Personenkreis noch auf eine Branche beschränkt. NIST nennt Industrial Control Systems (ICS), Gebäudeautomation, Transportsysteme, physische Zutrittskontrolle sowie Umweltüberwachungs- und Messsysteme als Beispiele. Diese Aufzählung ist nicht abschließend.
Wann ist ein System als OT einzuordnen?
Maßgeblich ist die tatsächliche technische Funktion: Das System oder Gerät ist programmierbar, interagiert mit der physischen Umgebung oder verwaltet entsprechende Geräte und erkennt oder bewirkt durch Überwachung oder Steuerung eine unmittelbare physische Veränderung. Produktname, Branche und bloße Vernetzung genügen dafür nicht. Aus der technischen Einordnung allein folgt keine allgemeine Rechtspflicht.
Welche Systeme sind Beispiele für OT?
Zu dem breiten OT-Spektrum können unter anderem ICS sowie Gebäudeautomations-, Transport-, Zutritts-, Umweltüberwachungs- und Messsysteme gehören. Ob ein konkretes System darunter fällt, ist anhand seiner Funktion und Architektur zu beurteilen, nicht allein anhand einer Typenbezeichnung.
Wie unterscheidet sich OT von ICS, SCADA, IoT und klassischer IT?
Technische Einordnung: OT ist der funktionsbezogene Oberbegriff für programmierbare Systeme mit unmittelbarer physischer Wirkung. ICS ist ein Beispiel innerhalb des breiteren OT-Spektrums; SCADA bezeichnet eine damit verbundene, aber nicht bedeutungsgleiche Systemart. Auch IoT-Geräte und vernetzte Maschinen sind nicht automatisch OT. Klassische IT verarbeitet typischerweise Informationen, während OT unmittelbar physische Prozesse überwacht oder steuert; Überschneidungen in der Systemarchitektur sind möglich.
Gibt es für die OT-Einordnung Fristen oder Schwellenwerte?
Nein. Der herangezogenen technischen Definition sind weder eine Frist oder ein Startpunkt noch ein quantitativer Schwellenwert immanent. Ob für ein konkretes System zusätzliche Vorgaben gelten, muss getrennt anhand des jeweils einschlägigen Regelwerks, Vertrags und internen Anforderungskontexts geprüft werden.
Was ist bei OT-Sicherheitsmaßnahmen besonders?
Autoritative technische Einordnung: Nach NIST sind insbesondere Leistung, Zuverlässigkeit, Verfügbarkeit und Safety sowie mögliche Auswirkungen auf physische Prozesse zu berücksichtigen. Schutzmaßnahmen müssen deshalb auf den konkreten Prozess- und Anlagenkontext abgestimmt werden. Welche Schutzziele stärker zu gewichten sind, hängt vom jeweiligen Risiko ab.
Häufige Fehlannahmen
- „OT ist dasselbe wie ICS oder SCADA.“ Nein. NIST nennt ICS als Beispiel eines breiteren OT-Spektrums; SCADA ist ebenfalls kein Synonym für den gesamten OT-Begriff.
- „Jede vernetzte Maschine oder jedes IoT-Gerät ist OT.“ Nein. Entscheidend sind Programmierbarkeit, die funktionale Interaktion mit der physischen Umgebung und die unmittelbare physische Wirkung durch Überwachung oder Steuerung.
- „Alle Systeme eines Industrieunternehmens sind OT.“ Nein. Branche und Einsatzort allein reichen nicht; die tatsächliche Funktion und Systemarchitektur sind maßgeblich.
- „Die Bezeichnung als OT löst automatisch einheitliche Pflichten aus.“ Nein. OT ist eine technische Einordnung. Konkrete Sicherheits- und Compliance-Anforderungen sind system- und regelwerksabhängig zu bestimmen.
- „Klassische IT-Schutzmaßnahmen lassen sich unverändert übernehmen.“ Nicht zwingend. Auswirkungen auf Verfügbarkeit, Zuverlässigkeit, Leistung, Safety und den physischen Prozess müssen vor der Umsetzung bewertet werden.
Was die Geschäftsleitung tun sollte
Praxisempfehlung: Die folgenden Schritte leiten sich als technische Empfehlungen aus dem risikobasierten Ansatz von NIST SP 800-82 Rev. 3 ab; sie werden hier nicht als allgemeine Rechtspflichten dargestellt.
- OT-Systeme anhand ihrer tatsächlichen Funktion und Architektur erfassen und von bloßen Produkt- oder Branchenbezeichnungen lösen.
- Klare Verantwortlichkeiten für OT-Cybersicherheit, Betrieb, Zuverlässigkeit und Safety festlegen.
- OT-Risiken in das organisationsweite Risikomanagement einbeziehen und die beteiligten Fachbereiche koordiniert entscheiden lassen.
- Schutzmaßnahmen vor der Umsetzung auf mögliche Auswirkungen auf Leistung, Verfügbarkeit, Zuverlässigkeit, Safety und physische Prozesse prüfen.
- Maßnahmen risikobezogen auf den konkreten Prozess- und Anlagenkontext abstimmen und Entscheidungen nachvollziehbar dokumentieren.
Für die Geschäftsleitung
OT reicht über klassische Industriesteuerungen hinaus und wird nach physischer Funktion und Wirkung abgegrenzt. Die zentrale Entscheidung lautet, welche Systeme tatsächlich physische Prozesse überwachen oder steuern und welche Risiken daraus entstehen. Verantwortlichkeiten, Risikoabwägungen und die Abstimmung zwischen Cybersecurity, Betrieb, Zuverlässigkeit und Safety sollten nachvollziehbar festgehalten werden; die technische OT-Einordnung ersetzt keine gesonderte Prüfung konkret anwendbarer Anforderungen.
Quellen
- National Institute of Standards and Technology: NIST SP 800-82 Rev. 3, Guide to Operational Technology (OT) Security, insbesondere Abstract, Executive Summary sowie Sections 1.1, 2 und 3.
