Was macht ein OT Security Manager?
OT steht für Operational Technology, also die Technik, die in Fabriken, Abfüllanlagen, Kühlhäusern oder Kläranlagen Prozesse steuert: speicherprogrammierbare Steuerungen, Leitsysteme, Bedienpanels, Sensoren und die Netzwerke dazwischen. OT Security Manager sorgen dafür, dass diese Systeme gegen Schadsoftware, unbefugte Zugriffe und Fehlbedienung geschützt sind, ohne dass die Produktion darunter leidet. Im Alltag erfassen sie, welche Anlagen und Komponenten es in einem Werk überhaupt gibt, bewerten Risiken, planen die Trennung von Büro- und Produktionsnetz und legen fest, wie Fernwartungszugänge von Maschinenlieferanten abgesichert werden. Sie schreiben Richtlinien, begleiten Audits nach IEC 62443 oder ISO 27001, prüfen Sicherheitsanforderungen bei der Beschaffung neuer Linien und werten Meldungen aus Überwachungssystemen aus. In der Lebensmittelindustrie kommt hinzu, dass Anlagen oft rund um die Uhr laufen, alt sind und sich nicht einfach aktualisieren lassen, weil ein Stillstand Ware verdirbt und Lieferketten unterbricht. Ein großer Teil der Arbeit besteht daher aus Abstimmung mit Produktionsleitung, Instandhaltung, Automatisierungstechnik und zentraler IT.
Wie wird man OT Security Manager?
Einen eigenen Ausbildungsberuf gibt es nicht. Üblich ist ein Studium der Informatik, Elektrotechnik, Automatisierungstechnik oder Mechatronik, häufig mit anschließender Berufserfahrung in der IT-Sicherheit oder in der Industrieautomation. Viele kommen aus einer der beiden Richtungen und eignen sich die andere nachträglich an: Automatisierer lernen Netzwerksicherheit, IT-Sicherheitsfachleute lernen Steuerungstechnik und Produktionsabläufe. Auch Techniker und Meister der Elektrotechnik mit mehrjähriger Praxis finden über Weiterbildungen den Weg in die Rolle. Zertifikate wie ISA/IEC 62443, GICSP oder eine Schulung zum ISMS-Beauftragten sind verbreitet und werden in Stellenanzeigen oft erwartet.
Was der Beruf verlangt
Die Rolle verlangt technisches Verständnis auf zwei Gebieten und die Fähigkeit, zwischen Abteilungen mit unterschiedlichen Prioritäten zu vermitteln. Produktion will Verfügbarkeit, IT will Kontrolle, und Sicherheitsmaßnahmen werden schnell als Störung empfunden. Wer hier Änderungen durchsetzen will, braucht Geduld und Überzeugungskraft. Bei Konzernen mit mehreren Standorten gehören Reisen zwischen Werken zum Alltag, teils auch ins Ausland. Wartungsfenster liegen oft am Wochenende oder in der Nacht, weil nur dann Anlagen stehen. Bei Sicherheitsvorfällen ist kurzfristige Erreichbarkeit gefragt, in manchen Unternehmen über eine Rufbereitschaft. Hinzu kommt Druck durch Regulierung: Die NIS-2-Richtlinie und das IT-Sicherheitsgesetz erhöhen die Pflichten für viele Betriebe, auch in der Lebensmittelbranche, und die Verantwortung für die Umsetzung liegt häufig bei wenigen Personen.
Aussichten
Die Nachfrage ist hoch und wächst, weil Produktionsanlagen zunehmend vernetzt werden und neue gesetzliche Vorgaben Unternehmen zum Handeln zwingen. Fachleute mit Erfahrung in beiden Welten sind knapp. Entwicklungswege führen zur Leitung eines OT-Security-Teams, zur Verantwortung für die Informationssicherheit eines ganzen Konzerns oder in die Beratung bei spezialisierten Dienstleistern und Prüfgesellschaften. Auch ein Wechsel zwischen Branchen wie Lebensmittel, Chemie, Pharma und Energieversorgung ist gut möglich, da sich die Grundlagen ähneln.