Technische Projektleitung für regulierte IT-Vorhaben.

Eine Vorschrift, viele Beteiligte, keine gemeinsame Sprache

Die europäische Regulierung verpflichtet Eisenbahnunternehmen und Infrastrukturbetreiber, bestimmte Betriebs- und Fahrzeugdaten in einem verbindlichen Format auszutauschen. Wer die Vorgabe nicht erfüllt, verliert im Zweifel den Zugang zu Betriebsdaten, die er für den täglichen Verkehr braucht.

Beim Auftraggeber trafen dabei drei Welten aufeinander: Fahrzeuge unterschiedlicher Hersteller mit jeweils eigener Datenlogik, Betriebssysteme mit gewachsenen Schnittstellen, und Infrastrukturbetreiber in drei Ländern mit je eigener Auslegung derselben Norm. Eine gemeinsame Zielarchitektur existierte nicht.

Verantwortung für Umfang, Termine, Budget und Abnahme

Ich habe das Vorhaben als Programmleitung von der Konzeption bis zur Inbetriebnahme verantwortet. Dazu gehörten die Spezifikation der Schnittstellen, die Steuerung der internen Entwicklung und externer Zulieferer, die Abstimmung mit Herstellern und Infrastrukturseite sowie die Planung von Test und Abnahme.

Die Besonderheit lag in der Mehrparteienkonstellation: Keiner der Beteiligten war mir unterstellt, und jeder hatte eigene Termine und eigene Prioritäten. Geführt wurde über Ergebnisse, klare Übergabepunkte und nachvollziehbare Nachweise, nicht über Weisung.

Erst das Regelwerk lesen, dann die Architektur schneiden

Am Anfang stand die Übersetzung des Normtextes in prüfbare Anforderungen — inklusive der Stellen, an denen die Norm Spielraum lässt und die Auslegung zwischen Ländern auseinanderläuft. Diese Abweichungen früh sichtbar zu machen, hat später Nacharbeit verhindert.

Darauf folgte ein Schnittstellenkonzept, das den gemeinsamen Kern vom länderspezifischen Rand trennt. Ziel war ein möglichst hoher Standardanteil, damit jedes weitere Land als Konfiguration und nicht als neues Projekt hinzukommt.

Die Abnahme wurde von Beginn an mitgeplant: definierte Testfälle je Land, dokumentierte Nachweise, ein Go-/No-go-Punkt vor der Inbetriebnahme.

In Betrieb, konform, und übertragbar auf das nächste Land

Der Standard ist in allen drei Ländern in Betrieb. Der Auftraggeber erfüllt die regulatorische Vorgabe und empfängt die Betriebsdaten, auf die er angewiesen ist.

Wichtiger als der einzelne Rollout ist die Struktur dahinter: Das Konzept trennt Standard und Landesspezifik so, dass weitere Anbindungen deutlich schneller möglich sind.

Anforderungen von drei Seiten gleichzeitig

Kunden aus dem Bereich kritischer Infrastruktur verlangten belastbare Aussagen zur Informationssicherheit, teils in Form eigener Lieferantenaudits. Parallel verschärfte die europäische Gesetzgebung die Anforderungen an Betreiber und ihre Zulieferer.

Im Unternehmen existierte ein gelebtes Qualitätsmanagement nach ISO 9001, aber kein Informationssicherheitsmanagementsystem. Unklar war vor allem, was überhaupt in den Geltungsbereich gehört.

Fäden zusammenhalten statt Dokumente erzeugen

Ich habe den Aufbau koordiniert: Bestimmung des Geltungsbereichs einschließlich der Frage, ob und wie NIS2 und KRITIS greifen, Aufbau der Compliance-Dokumentation, Verzahnung mit dem bestehenden Qualitätsmanagement und Vorbereitung der Audits.

Beteiligt waren Fachbereiche, IT-Betrieb, Geschäftsführung und externe Berater. Meine Aufgabe war weniger das Schreiben von Dokumenten als das Zusammenführen von Zuarbeiten zu einem prüffähigen Ganzen.

Geltungsbereich zuerst, Verzahnung statt Parallelwelt

Am Anfang stand die Abgrenzung: Welche Systeme, Standorte und Prozesse gehören dazu, welche nicht, und was bedeutet die Zulieferrolle für kritische Infrastruktur konkret. Ein zu weit gefasster Geltungsbereich erzeugt Aufwand ohne Nutzen, ein zu enger fällt im Audit auf.

Statt ein zweites Managementsystem neben ISO 9001 aufzubauen, wurden gemeinsame Elemente — Kontextbetrachtung, Risikobewertung, Dokumentenlenkung, interne Audits — zusammengeführt. Das halbiert den Pflegeaufwand dauerhaft.

Ergänzend entstand eine unternehmensweite Richtlinie für den Einsatz von KI-Werkzeugen, weil die Nutzung schneller wuchs als die Regelung.

Prüffähig — und zweimal extern bestätigt

Die Dokumentation erreichte Auditreife. Zwei externe Kundenaudits wurden in diesem Rahmen begleitet: ein Cybersecurity-Audit durch eine staatliche Bahngesellschaft und ein Lieferantenaudit eines Schienenfahrzeugherstellers zu Qualitäts- und IT-Sicherheitsmanagement.

Der eigentliche Gewinn liegt im Nebeneffekt: Sicherheitsanforderungen werden jetzt in Angeboten und Projekten früh mitgedacht, statt am Ende nachgewiesen zu werden.

Zwei Zahlen, die in die falsche Richtung liefen

Erstens waren die Infrastrukturkosten deutlich aus der Budgetplanung gelaufen — gewachsen über Jahre, ohne dass jemand die Summe verantwortet hätte.

Zweitens blieb der Umsatz aus dem Projektgeschäft im Jahresverlauf hinter der Planung zurück. Die Ursache lag nicht in fehlenden Aufträgen, sondern darin, dass Zahlungsmeilensteine nicht konsequent geplant und erreicht wurden.

Ursachen finden, Maßnahmen bewerten, Umsetzung nachhalten

Beide Themen habe ich als Programme aufgesetzt: Ist-Aufnahme, Ableitung von Maßnahmen, Bewertung nach Aufwand und Wirkung, und vor allem das Nachhalten bis zur Wirkung in der Zahl.

Der entscheidende Teil ist der letzte. Maßnahmenlisten entstehen schnell; was fehlt, ist meist jemand, der sie über Monate gegen den Alltag durchsetzt.

Wenige Kennzahlen, klare Zuständigkeit, regelmäßiger Takt

Statt breiter Berichterstattung wurden wenige Kennzahlen definiert, die die Wirkung tatsächlich abbilden, mit je einer verantwortlichen Person.

Bei den Infrastrukturkosten wurden die größten Posten aufgeschlüsselt, Einsparpotenziale gegen Risiko und Aufwand bewertet und schrittweise umgesetzt.

Bei den Zahlungsmeilensteinen wurde den Projektverantwortlichen sichtbar gemacht, welche Meilensteine wann fällig sind und was ihre Verschiebung für das Jahresergebnis bedeutet.

Zweistellig gesenkt, Planung fast wieder eingeholt

Die Infrastrukturkosten wurden um einen zweistelligen Prozentsatz reduziert.

Der Umsatz aus dem Projektgeschäft näherte sich nach schwachem Jahresstart wieder der ursprünglichen Jahresplanung an.

Beides beruht auf derselben Mechanik: eine Zahl, eine verantwortliche Person, ein fester Takt — und jemand, der nachfragt.