Die Pharmabranche steht seit Jahren unter hohem regulatorischem Druck. Qualität, Patientensicherheit, Validierung, Lieferfähigkeit und Dokumentation sind fest in den Prozessen verankert. Was dabei jedoch in der Vergangenheit häufig weniger sichtbar war, rückt nun unweigerlich in den Mittelpunkt: Auch Informationssicherheit und Business Continuity werden zunehmend zu kritischen Erfolgsfaktoren. 

Denn moderne Pharmaunternehmen sind längst nicht mehr nur Produktions- oder Forschungsorganisationen. Sie sind digitale Ökosysteme. Forschung, klinische Daten, Produktionsanlagen, Laborinformationssysteme, Lieferketten, Qualitätsmanagement, Cloud-Dienste und externe Dienstleister greifen ineinander. Wird eines dieser Systeme gestört, kann das weit über einen klassischen IT-Ausfall hinausgehen und direkte Auswirkungen auf die Datenintegrität (ALCOA+) und letztlich die Patientensicherheit haben. 

Diesen Paradigmenwechsel untermauert die anstehende Revision des EU GMP Annex 11. Der neue Entwurf macht unmissverständlich klar, dass Cybersicherheit, Identity Management, Audit Trails und Backup-Strategien keine losgelösten IT-Aufgaben mehr sind, sondern elementare Bestandteile der GMP-Compliance werden. Genau an dieser Schnittstelle zwischen IT-Betrieb, Qualitätsmanagement und gesetzlicher Pflicht setzen NIS2, Business Continuity, ISO 27001 und der neue Annex 11 gemeinsam an, um die Resilienz des gesamten Ökosystems systematisch und auditfest zu gewährleisten. 

Warum NIS2 für die Pharmabranche relevant ist 

Mit der NIS2-Richtlinie wurde der Kreis der regulierten Organisationen deutlich erweitert. Besonders relevant für die Pharmabranche ist, dass der Gesundheitssektor und angrenzende Bereiche ausdrücklich adressiert werden. Dazu zählen unter anderem Einrichtungen, die Forschungs- und Entwicklungstätigkeiten in Bezug auf Arzneimittel ausüben, Hersteller pharmazeutischer Erzeugnisse sowie bestimmte Hersteller von Medizinprodukten. 

Damit verschiebt sich der Blick: Cybersicherheit ist nicht mehr nur eine technische Aufgabe der IT-Abteilung. Sie wird zu einer Frage der organisatorischen Resilienz, der Geschäftsfortführung und letztlich auch der Versorgungssicherheit. 

Für betroffene Unternehmen bedeutet das: Es reicht nicht aus, einzelne Schutzmaßnahmen umzusetzen. Gefordert ist ein systematischer Ansatz, der Risiken erkennt, bewertet, behandelt und regelmäßig überprüft. Dazu gehören technische, organisatorische und operative Maßnahmen – von Zugriffskontrollen und Backup-Konzepten über Incident Response bis hin zu Lieferketten- und Krisenmanagement. 

Business Continuity: Mehr als „IT wieder hochfahren“ 

Gerade in der Pharmabranche ist Business Continuity mehr als klassische Notfall-IT. Es geht nicht nur darum, Server wiederherzustellen oder Daten aus einem Backup zurückzuspielen. Entscheidend ist die Frage: Welche Prozesse müssen weiterlaufen, damit Forschung, Produktion, Qualitätssicherung, Freigabeprozesse oder Lieferfähigkeit nicht zum Stillstand kommen? 

Ein Cyberangriff auf ein Produktionssystem, ein Ausfall eines validierten Laborinformationssystems oder eine Störung bei einem kritischen IT-Dienstleister kann direkte Auswirkungen auf Termine, Chargenfreigaben, Dokumentationspflichten und Lieferketten haben. 

Business Continuity muss deshalb fachlich gedacht werden. Welche Prozesse sind kritisch? Welche Abhängigkeiten bestehen zu IT, OT, Cloud-Diensten oder externen Partnern? Wie lange darf ein Prozess ausfallen? Welche manuellen Alternativprozesse sind realistisch? Und wurden diese Szenarien tatsächlich getestet? 

NIS2 macht diesen Gedanken besonders deutlich, indem Business Continuity, Backup-Management, Wiederherstellung nach Notfällen und Krisenmanagement ausdrücklich zu den relevanten Risikomanagementmaßnahmen zählen. 

ISO 27001 als strukturierter Rahmen 

Während NIS2 regulatorische Anforderungen formuliert, bietet ISO 27001 einen bewährten Managementrahmen, um Informationssicherheit systematisch zu steuern. Die Norm fordert ein Informationssicherheitsmanagementsystem, kurz ISMS, das Risiken nicht punktuell, sondern dauerhaft betrachtet. 

Für Pharmaunternehmen ist das besonders wertvoll, weil ISO 27001 gut zu bestehenden Managementsystemen passt. Viele Unternehmen arbeiten bereits mit etablierten Strukturen für Qualität, Compliance, Auditierung und dokumentierte Prozesse. Ein ISMS kann daran anschließen und Informationssicherheit in die bestehende Governance integrieren. 

ISO 27001 hilft insbesondere dabei, Verantwortlichkeiten zu klären, Risiken nachvollziehbar zu bewerten, Maßnahmen zu priorisieren, deren Wirksamkeit zu überprüfen und kontinuierlich nachzubessern. Genau diese Nachvollziehbarkeit ist in regulierten Branchen entscheidend: Nicht nur die Maßnahme selbst zählt, sondern auch die Begründung, Dokumentation und regelmäßige Überprüfung. 

Annex 11: Cybersicherheit wird zur GMP-Pflicht  

Der neue Entwurf des Annex 11 (veröffentlicht im Juli 2025) vollzieht einen klaren Paradigmenwechsel weg von einer rein projektbezogenen Systemvalidierung hin zu einem kontinuierlichen Lifecycle- und Governance-Ansatz. Die Richtlinie harmonisiert GMP-Systeme ausdrücklich mit europäischen Cybersicherheitserwartungen wie der NIS2-Richtlinie und der ISO 27001. Das bedeutet: Ein Cybervorfall (z.B. Ransomware) ist nicht mehr nur ein IT-Problem, sondern ein direkter GMP-Verstoß, da er die Datenintegrität (ALCOA+) gefährdet. 

Nahtlose Überschneidung mit NIS2- und BCM-Anforderungen  

Die neuen Annex-11-Vorgaben fordern für computergestützte Systeme im GMP-Umfeld exakt die Maßnahmen, die auch NIS2 und BCM verlangen: 

• Business Continuity und Backups: Der Annex 11 fordert nun explizit und detailliert Backup-, Archivierungs- und Wiederherstellungskonzepte (Disaster Recovery). Das Testen von Wiederherstellungsprozessen wird zur zwingenden Vorgabe, was sich mit dem BCM-Fokus von NIS2 deckt. 

• Lieferkettensicherheit und Cloud: Während NIS2 das Management von Lieferkettenrisiken fordert, verlangt Annex 11 dies spezifisch für Software- und Cloud-Anbieter. Das Pharmaunternehmen bleibt für die Compliance voll verantwortlich und muss formale Service Level Agreements (SLAs), Risikoaudits und Exit-Strategien für IT-Dienstleister etablieren. 

• Identitäts- und Zugriffsmanagement: Moderne Standards wie Multi-Faktor-Authentifizierung (MFA), das Least-Privilege-Prinzip (nur so viele Rechte wie nötig) und strikte Aufgabentrennung (Segregation ofDuties) sind auch im GMP-Umfeld vorgeschrieben. 

Der blinde Fleck: Lieferkette und Dienstleister 

Ein wesentlicher Risikofaktor in der Pharmabranche liegt in der Vernetzung mit Dritten. Forschungspartner, CROs, CDMOs, Cloud-Anbieter, Softwareanbieter, Logistikpartner und externe IT-Dienstleister sind häufig tief in kritische Abläufe eingebunden. Ein Sicherheitsvorfall muss daher nicht im eigenen Unternehmen entstehen, um Auswirkungen auf die eigene Organisation zu haben. Wenn ein Dienstleister ausfällt, Daten nicht verfügbar sind oder ein externer Zugang kompromittiert wird, kann dies unmittelbar die eigene Betriebsfähigkeit beeinträchtigen. 

Deshalb sollten Lieferantenbeziehungen nicht nur aus Qualitäts- und Beschaffungssicht bewertet werden, sondern auch aus Sicht der Informationssicherheit und Business Continuity. Dazu gehören klare Sicherheitsanforderungen, definierte Meldewege, Notfallkontakte, Wiederherstellungszeiten und regelmäßige Überprüfungen. 

Was für Pharmaunternehmen jetzt wichtig ist 

Unternehmen sollten prüfen, ob sie unter NIS2 beziehungsweise das nationale Umsetzungsgesetz fallen, welche Prozesse wirklich kritisch sind und wie gut diese Prozesse gegen Cybervorfälle, Systemausfälle und Dienstleisterstörungen abgesichert sind. 

Besonders wichtig sind dabei fünf Fragen: 

1. Welche Geschäftsprozesse sind für Forschung, Produktion, Qualität und Lieferfähigkeit kritisch?  

2. Welche IT-, OT- und Dienstleisterabhängigkeiten bestehen in diesen Prozessen?  

3. Sind Risikoanalyse, Incident Response, Backup, Wiederanlauf und Krisenmanagement dokumentiert und getestet?  

4. Sind Verantwortlichkeiten bis zur Leitungsebene klar geregelt?  

5. Gibt es ein Managementsystem, das Informationssicherheit regelmäßig überprüft und verbessert?  

Wer diese Fragen belastbar beantworten kann, ist nicht automatisch vollständig compliant. Aber er schafft die Grundlage für einen reifen und prüfbaren Umgang mit Cyberrisiken. 

Fazit 

NIS2, Business Continuity, ISO 27001 und der überarbeitete Annex 11 sollten in der Pharmabranche nicht isoliert betrachtet werden. Sie verfolgen unterschiedliche Ansätze, zielen jedoch auf dasselbe Ziel ab: die Widerstandsfähigkeit von Unternehmen gegenüber Cyberrisiken, Systemausfällen und Störungen in der Lieferkette nachhaltig zu stärken. 

Während NIS2 den regulatorischen Rahmen für Cybersicherheit und organisatorische Resilienz setzt, bietet ISO 27001 eine etablierte Methodik zur strukturierten Steuerung von Informationssicherheit. Business Continuity stellt sicher, dass kritische Geschäftsprozesse auch im Krisenfall aufrechterhalten werden können. Der neue Annex 11 macht darüber hinaus deutlich, dass Themen wie Cybersecurity, Backup- und Recovery-Konzepte, Lieferantenmanagement sowie Identity & Access Management künftig fester Bestandteil der GMP-Compliance sind. 

Der Schlüssel zur Erfüllung der Regulatorik und zur Vermeidung von Risiken liegt in genau dieser Verzahnung von IT-Sicherheit, operativer Ausfallsicherheit (Resilienz) und Unternehmens-Compliance. 

Wir unterstützen Unternehmen dabei, Cyberresilienz und regulatorische Anforderungen ganzheitlich zu betrachten. Von der Standortbestimmung und Risikoanalyse über den Aufbau von Managementsystemen bis hin zur Umsetzung von Business-Continuity- und Informationssicherheitsmaßnahmen. Get ahead and in touch with us – info@expertsinstitut.de  

Referenzen: 

1. Richtlinie (EU) 2022/2555 des Europäischen Parlaments und des Rates vom 14. Dezember 2022 — NIS-2-Richtlinie 
   Grundlage für den NIS2-Bezug, insbesondere Anwendungsbereich, betroffene Sektoren, Risikomanagementmaßnahmen, Meldepflichten und Business-Continuity-Anforderungen. 
   https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A32022L2555 

2. DIN EN ISO/IEC 27001:2024-01 — Informationssicherheit, Cybersicherheit und Datenschutz; Informationssicherheitsmanagementsysteme — Anforderungen 
   Grundlage für den ISO-27001-Bezug, insbesondere ISMS, Risikobeurteilung, Risikobehandlung, Governance, dokumentierte Informationen und fortlaufende Verbesserung. 

3. Bundesamt für Sicherheit in der Informationstechnik (BSI): NIS-2-Starterpaket / Informationen für NIS-2-regulierte Unternehmen 
   Ergänzende Quelle für den Deutschlandbezug, insbesondere zur Einordnung betroffener Unternehmen, Registrierung, Meldepflichten und Risikomanagementmaßnahmen. 
   https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/NIS-2-Starterpaket/nis-2-start_node.html 

4. Europäische Kommission: Stakeholder Consultation on the Revision of EU-GMP Annex 11, Annex 22 and Chapter 4 
   Grundlage für den Bezug zur Revision des EU-GMP Annex 11, insbesondere zu den erweiterten Anforderungen an Cybersecurity. https://health.ec.europa.eu/consultations/stakeholders-consultation-eudralex-volume-4-good-manufacturing-practice-guidelines-chapter-4-annex_en

Lesen Sie hier unseren gesamten Blog: https://experts-institut.de/newsroom/
Und folgen Sie uns gerne auf LinkedIn: https://de.linkedin.com/company/expertsinstitut