Steuerhoheit ausdrücklich übertragen statt stillschweigend wechseln lassen
Ein Wechsel der Steuerhoheit sollte als bewusster Statusübergang behandelt werden. Typische Anlässe sind Wartungsarbeiten, Inbetriebnahmen, Störungsdiagnosen, lokaler Handbetrieb, Probebetrieb oder eine beaufsichtigte Fernwartung. Vor der Übergabe muss der übernehmenden Rolle bekannt sein, welche Anlage betroffen ist, welcher Betriebszustand gilt, welche Befehle erlaubt sind und welche Einschränkungen bestehen. Die abgebende Rolle bestätigt, dass keine parallelen Bedienhandlungen mehr vorgesehen sind. Eine rein technische Anmeldung an einem System oder das Öffnen einer Fernwartungssitzung ist keine ausreichende Übergabe. BSI-Empfehlungen zur Fernwartung und bestehende FM-Connect-OT-Inhalte verlangen definierte Freigabe, Zweck, Zeitfenster und verantwortliche Begleitung.
Vor-Ort- und Fernsteuerung eindeutig übergeben
Übergaben an reale Betriebszustände und nicht nur an Schichtzeiten koppeln
Steuerhoheit kann innerhalb einer Schicht mehrfach wechseln. Deshalb sind Übergaben nicht nur an Personalwechsel zu knüpfen, sondern an technische Ereignisse. Dazu gehören Aktivierung eines Wartungsmodus, Übergang in lokale Bedienung, Abschaltung zentraler Regelstrategien, Start einer Remote-Sitzung, Übernahme durch eine Rufbereitschaft oder Wiederanlauf nach einer Störung. Für jede Klasse wird definiert, ob eine formale Bestätigung erforderlich ist oder eine dokumentierte Standardregel genügt. Kritikalität und mögliche Fehlwirkung bestimmen den Aufwand. Die Übergabe darf keine unnötige Bürokratie erzeugen; gleichzeitig muss bei sicherheits- oder versorgungsrelevanten Anlagen jederzeit erkennbar sein, wer aktuell steuernd entscheiden darf.
|
| Anlage/Funktion | eindeutige ID und Scope | Scope vollständig bearbeitet |
| Betriebsart | Auto/Hand/Wartung/Notbetrieb | Soll-Betriebsart bestätigt |
| Offene Eingriffe | Overrides, Sperren, Parameter | Restzustände benannt |
| Hoheitsrolle | abgebend und übernehmend | Annahme bestätigt |
| Rückgabekriterium | Zeitpunkt oder technisches Gate | Funktionsstatus belastbar |
Abgabe und Annahme mit eindeutiger Zeit- und Anlagenreferenz dokumentieren
Für relevante Übergaben empfiehlt sich eine positive Bestätigung beider Seiten. Der Datensatz benötigt keine lange Form: Anlagen- oder Funktions-ID, abgebende Rolle, übernehmende Rolle, Zeitpunkt, Betriebsart, offene Besonderheiten und vorgesehenes Rückgabekriterium reichen häufig aus. Entscheidend ist, dass nicht zwei Stellen gleichzeitig davon ausgehen, die andere habe bereits übernommen. Die Bestätigung kann im Leitsystem, Service-Desk, Betriebsjournal oder einem geeigneten Workflow erfolgen. Das Werkzeug ist zweitrangig; führend ist der eindeutige Status. Bei automatisierten Systemen kann eine technische Sperre oder Rollenumschaltung unterstützen, ersetzt aber nicht die fachliche Klärung der Verantwortung.
Verlust von Kommunikation oder Sichtbarkeit mit vorab definierter Fallback-Regel behandeln
Wird während einer Übergabe oder Remote-Bedienung die Kommunikation unterbrochen, muss feststehen, wer weiterhin handlungsberechtigt ist. Ein offener Fernzugriff darf nicht zu einer unklaren Steuerlage führen. Für kritische Anlagen sind deshalb Timeout-, Abbruch- und Rückfallregeln festzulegen: Welche Befehle bleiben wirksam, welche Sitzungen werden beendet, welche lokale Rolle übernimmt und welche Betriebsart ist bis zur Klärung zulässig? Der bestehende Notbetriebsprozess behandelt Monitoringausfall und Blindbetrieb; die Hoheitsregel bestimmt nur, wer während einer solchen Lage steuernd entscheiden darf. Technische Schutzfunktionen müssen unabhängig von der Kommunikationslage wirksam bleiben.
Technischen Zustand und offene Eingriffe vor Rückübertragung verifizieren
Die Rückgabe an Leitwarte, Automatik oder regulären Betreiber erfolgt erst, wenn lokale Eingriffe abgeschlossen und relevante Sonderzustände bekannt sind. Dazu gehören Handstellungen, Forced Values, gesperrte Alarme, temporäre Sollwerte, offene Engineering-Sitzungen und noch nicht synchronisierte Konfigurationen. Der Rückgebende bestätigt, was verändert wurde; der Übernehmende prüft, ob der Zustand zur freigegebenen Baseline passt. Erforderliche Funktionsprüfungen oder Wiederinbetriebnahmen bleiben Bestandteil der dafür vorhandenen Fachprozesse. Erst danach wird die Steuerhoheit wieder auf den Regelbetrieb gestellt.
