Technische Bedienbarkeit nicht mit organisatorischer Bedienhoheit gleichsetzen
Moderne technische Anlagen lassen sich häufig über mehrere Wege beeinflussen: zentrale GLT oder BMS, lokale Bediengeräte, Automationsstationen, Hersteller-Tools, mobile Servicezugänge und Fernwartung. Dass ein Bedienweg technisch verfügbar ist, bedeutet jedoch nicht, dass jede berechtigte Person gleichzeitig steuernd eingreifen darf. Für einen belastbaren Betrieb sollte deshalb festgelegt sein, welche Rolle in welchem Betriebszustand die Steuerhoheit besitzt, welche Eingriffe sie ausführen darf und wann eine Übergabe erforderlich ist. Die BetrSichV verlangt eine sichere Organisation der Verwendung von Arbeitsmitteln und schützt sicherheitsrelevante Befehlseinrichtungen vor unbeabsichtigter oder unbefugter Betätigung. „Bedienhoheit“ ist dabei ein betrieblicher Governance-Begriff und keine pauschal gesetzlich definierte Rolle.
Bedienhoheit technischer Anlagen klar regeln
Lokale, zentrale und externe Bedienwege als gemeinsames System betrachten
Eine Bedienorganisation muss nicht nur Benutzerkonten, sondern die tatsächlichen Befehlswege erfassen. Ein Servicetechniker kann lokal an einer Automationsstation arbeiten, während die Leitwarte weiterhin Sollwerte sendet; ein Hersteller kann per Fernzugriff parametrieren, obwohl vor Ort ein Wartungsbetrieb aktiviert wurde. Solche Situationen benötigen eine eindeutige Übergabelogik. Maßgeblich sind Anlagenkritikalität, Betriebsart, vorhandene Schutzfunktionen, technische Befehlsprioritäten und die reale Möglichkeit widersprüchlicher Eingriffe. VDI 3814 behandelt Bedienkonzept, Benutzeroberflächen und Systemintegration als eigenständige Planungs- und Betriebsaspekte; BSI-Empfehlungen verlangen für GA- und OT-Zugriffe kontrollierte, abgesicherte Verfahren. Die organisatorische Hoheit muss deshalb mit dem technischen Systemverhalten zusammenpassen.
|
| Bedienweg | zulässige lokale, zentrale und externe Eingriffe | technische Erreichbarkeit ist keine Freigabe |
| Steuerhoheit | aktuell entscheidungsberechtigte Rolle | nicht mit Benutzerkonto gleichsetzen |
| Schutzfunktionen | unabhängig wirksam halten | keine organisatorische Übersteuerung |
| Übergabe | Beginn, Umfang und Rückgabe bestätigen | keine stillschweigende Parallelhoheit |
| Nachweis | relevante Wechsel und Sonderzustände dokumentieren | kein zweites Ereignisarchiv |
Organisatorische Steuerhoheit darf technische Schutzfunktionen nicht relativieren
Die Steuerhoheit entscheidet, wer betriebliche Befehle geben darf; sie darf Sicherheitsketten, Verriegelungen oder vorgeschriebene Schutzfunktionen nicht außer Kraft setzen. § 6 BetrSichV verlangt funktionsfähige Schutz- und Sicherheitseinrichtungen, § 8 stellt Anforderungen an Mess-, Steuer- und Regeleinrichtungen sowie an Befehlseinrichtungen und das sichere Ingangsetzen beziehungsweise Stillsetzen. Ein freigegebener Bediener erhält daher nur den innerhalb des Betriebskonzepts zulässigen Handlungsspielraum. Müssen Schutzfunktionen für Prüfungen oder Instandhaltung beeinflusst werden, greifen die hierfür vorgesehenen Freigabe-, Gefährdungs- und Wiederherstellungsprozesse; eine allgemeine „Steuerhoheit“ ersetzt diese nicht.
Entscheidungsrecht, Bedienberechtigung und technische Ausführung trennen
Für kritische Anlagen sollten mindestens drei Ebenen unterschieden werden: die betriebliche Entscheidung über zulässige Betriebszustände, die fachliche Freigabe eines Eingriffs und die technische Ausführung am System. Diese Funktionen können organisatorisch zusammenfallen, müssen aber bewusst zugeordnet sein. Ein externer Integrator kann beispielsweise technisch hochqualifiziert sein, ohne deshalb retained Entscheidungen des Betreibers übernehmen zu dürfen. Umgekehrt darf eine Leitungsfunktion keine Bedienhandlung anweisen, die nur von entsprechend befähigten oder besonders beauftragten Beschäftigten durchgeführt werden darf. ArbSchG § 7 und BetrSichV § 12 knüpfen Aufgaben beziehungsweise besondere gefährliche Verwendungen an Befähigung, Unterweisung und gegebenenfalls Beauftragung. Die Rollenmatrix sollte daher Rechte, Grenzen und Stellvertretung gemeinsam abbilden.
Steuerhoheit bei jeder relevanten Zustandsänderung neu bestätigen
Steuerhoheit ist kein dauerhaft statischer Eintrag. Wartung, Störung, Inbetriebnahme, Softwareänderung, lokaler Handbetrieb, Notbetrieb oder Fernwartung können eine temporäre Verschiebung der Bedienverantwortung auslösen. Vor dem Wechsel werden betroffene Anlage, zulässige Eingriffe, Beginn, Ende und Rückgabeweg bestätigt. Offene Übersteuerungen, gesperrte Alarme, lokale Schalterstellungen und laufende Remote-Sitzungen bleiben sichtbar. Nach Abschluss wird nicht nur der Zugang beendet, sondern geprüft, ob Automatik, Sollwerte, Verriegelungen, Alarme und Bedienrechte wieder dem freigegebenen Sollzustand entsprechen. Bestehende Fachprozesse zu Handbetrieb und Fernwartung bilden hierfür wichtige Teilprozesse; ergänzt wird ausschließlich die übergreifende Hoheits- und Übergabelogik.
