EU NIS2-Richtlinie: Ein praxisorientierter Compliance-Leitfaden für pharmazeutische und Life-Sciences-Organisationen

Cybersicherheit ist still und leise zu einer der dringendsten Compliance-Herausforderungen in der Pharmaindustrie geworden. Produktionssysteme werden durch Ransomware gestört. Datenbanken klinischer Studien werden ins Visier genommen, um geistiges Eigentum zu stehlen. Serialisierungsplattformen fallen während eines Angriffs aus und unterbrechen über Nacht die Lieferketten. Die EU erkannte dieses wachsende Risiko und reagierte mit der NIS2-Richtlinie, einem bedeutenden Upgrade des ursprünglichen Netzwerk- und Informationssicherheits-rahmens, das direkte, weitreichende Folgen für den Pharmasektor hat.

NIS2 (Richtlinie 2022/2555) trat am 16. Januar 2023 in Kraft, und die EU-Mitgliedstaaten mussten sie bis zum 17. Oktober 2024 in nationales Recht umsetzen. Für pharmazeutische Hersteller, Biotech-Unternehmen, Medizinproduktehersteller und Vertragsorganisationen, die in der EU tätig sind, ist dies keine zukünftige Überlegung mehr. Die Durchsetzung ist aktiv, Verpflichtungen sind bindend und die Geschäftsführung steht persönlich in der Verantwortung.

Dieser Leitfaden erklärt, was NIS2 speziell für den Bereich der Life Sciences bedeutet, von der Sicherheit von GxP-Systemen bis hin zu Meldepflichten der Pharmakovigilanz.

Warum die Pharmaindustrie NIS2 nicht einfach als noch eine IT-Regelung behandeln kann

Die Pharmaindustrie agiert bereits in einem der anspruchsvollsten regulatorischen Umfelder der Welt, wobei GMP, GCP, GDP, ICH-Richtlinien, EMA-Erwartungen und Anforderungen an die Datenintegrität erhebliche Anforderungen an Qualitäts- und IT-Teams stellen. NIS2 fügt eine neue Ebene hinzu, überschneidet sich jedoch auch mit Verpflichtungen, die Pharmaunternehmen bereits haben.

Ein Cybervorfall in einer pharmazeutischen Organisation ist nicht nur ein IT-Problem. Er kann eine GMP-Abweichung auslösen, wenn Manufacturing Execution Systems (MES) kompromittiert werden. Er kann die Integrität elektronischer klinischer Studiendaten beeinträchtigen, GCP-Compliance-Fragen aufwerfen und im schlimmsten Fall die Patientensicherheit beeinträchtigen, wenn Freigabesysteme für Produkte oder Systeme zur Überwachung der Kühlkette außer Betrieb gesetzt werden. NIS2 formalisierte die Pflicht, diese Systeme zu schützen und zu melden, wenn etwas schiefgeht.

Ransomware, IP-Diebstahl, Angriffe auf Lieferketten — Pharma ist bereits ein Hauptziel. So sieht die Bedrohungslandschaft tatsächlich aus.

→ Lesen: Cybersicherheit in der Pharmaindustrie | 5 Bedrohungen, die Sie nicht ignorieren dürfen

Welche Pharmaorganisationen fallen unter NIS2?

NIS2 klassifiziert Organisationen in zwei Ebenen basierend auf Sektor und Größe.

Wesentliche Einheiten in der Pharmaindustrie umfassen:

1. Hersteller von pharmazeutischen Produkten und active pharmaceutical ingredients (APIs), insbesondere solche, deren Störung erhebliche Auswirkungen auf die öffentliche Gesundheit hätte
2. Hersteller kritischer Medizinprodukte (Klasse IIa, IIb und III nach EU-MDR)
3. Leistungserbringer im Gesundheitswesen, einschließlich Krankenhäuser, die Studienzentren betreiben

Wichtige Einheiten in der Pharmaindustrie umfassen:

1. Medizinproduktehersteller unterhalb der kritischen Schwelle
2. Contract Manufacturing Organisations (CMOs) und Contract Development and Manufacturing Organisations (CDMOs)
3. Contract Research Organisations (CROs), die klinische Daten und Studienoperationen verwalten
4. Pharma-Großhändler und Distributoren unter GDP-Verpflichtungen
5. Forschungseinrichtungen und Biotech-Unternehmen über der Größenschwelle

Die allgemeine Größenschwelle sind Organisationen mit 50 oder mehr Beschäftigten und einem Jahresumsatz von mehr als €10 Millionen. Für bestimmte Sektoren, insbesondere solche, bei denen Störungen unmittelbare Folgen für die öffentliche Gesundheit haben könnten, können nationale Behörden NIS2 jedoch unabhängig von der Größe anwenden.

NIS2 vs bestehende pharmazeutische regulatorische Verpflichtungen: Wo sie sich überschneiden

Diese Überschneidung ist sowohl eine Chance als auch eine Verantwortung. Pharmaunternehmen, die bereits ausgereifte Qualitätsmanagementsysteme betreiben, haben eine Grundlage, auf der sie aufbauen können. NIS2 verlangt jedoch eine formalisierte Cybersecurity-Governance, die über das hinausgeht, was die meisten QMS-Frameworks derzeit fordern.

Kritische GxP-Systeme, die NIS2 direkt beeinflusst

Pharmaorganisationen verlassen sich auf miteinander vernetzte digitale Systeme, die nun ausdrücklich unter NIS2 fallen. Dazu gehören:

1. Manufacturing Execution Systems (MES) — steuern direkt die Chargenherstellung und unterliegen GMP Anhang 11; ein Ransomware-Angriff auf MES kann die Produktion stoppen und GMP-Nichtkonformitäten auslösen
2. Laboratory Information Management Systems (LIMS) — enthalten analytische Testdaten und Freigabeentscheidungen; die Integrität der LIMS-Daten ist eine direkte Frage der Datenintegrität.
3. Electronic Document Management Systems (EDMS) — enthalten SOPs, Validierungsprotokolle und regulatorische Einreichungen.
4. Electronic Trial Master Files (eTMF) — Dokumentation klinischer Studien, die von Aufsichtsbehörden jederzeit geprüft werden kann
5. Pharmacovigilance Safety Databases — Störungen oder Sicherheitsverletzungen in PV-Systemen können die Einreichung von ICSR sowie die PSUR-/PBRER-Berichterstattung verzögern.
6. Serialisation and Track-and-Trace Platforms — erforderlich gemäß der EU-Richtlinie zu gefälschten Arzneimitteln; ein Cybersecurity-Ausfall hier hat direkte Auswirkungen auf die Lieferkette und die Compliance
7. ERP- und Supply-Chain-Management-Systeme — steuern Beschaffung, Distribution und Lagerbestände

Jedes dieser Systeme muss jetzt im Rahmen von NIS2 bewertet, geschützt und durch einen dokumentierten Incident-Response-Plan abgedeckt werden.

Jedes GxP-SaaS-Tool, auf das Sie sich verlassen, ist jetzt eine NIS2-Risikooberfläche.

So bewerten Sie Anbieter, bevor sie zu Ihrer Haftung werden.

→ Lesen: Die Wahl des richtigen GxP-SaaS-Anbieters | Vollständiger Leitfaden

Die Meldepflicht für Vorfälle — Was sie für die Pharmaindustrie bedeutet

NIS2 führt einen strukturierten, dreistufigen Vorfallmeldeprozess ein, dem Pharmaorganisationen bei einem erheblichen Vorfall folgen müssen:

Stufe 1 — Frühwarnung (innerhalb von 24 Stunden): Benachrichtigen Sie das zuständige nationale CSIRT (Computer Security Incident Response Team) oder die zuständige Behörde darüber, dass ein bedeutender Cybersecurity-Vorfall eingetreten ist oder vermutet wird.

Stufe 2 — Vorfallmeldung (innerhalb von 72 Stunden): Reichen Sie eine vollständige Meldung ein, die die Art des Vorfalls, betroffene Systeme, die erste Einschätzung der Auswirkungen und Indikatoren für Kompromittierung enthält.

Stufe 3 — Abschlussbericht (innerhalb eines Monats):Erstellen Sie einen umfassenden Vorfallbericht, der die Grundursache, die ergriffenen Abhilfemaßnahmen und etwaige grenzüberschreitende oder gesundheitliche Auswirkungen für die Öffentlichkeit abdeckt.

Für die Pharmaindustrie ist ein bedeutender Vorfall einer, der zu einer schweren Störung der Abläufe führt oder ein solches Risiko darstellt – was in diesem Sektor verzögerte Chargenfreigaben, kompromittierte klinische Daten oder unterbrochene Pharmakovigilanz-Meldungen bedeuten kann. Es ist wichtig zu beachten, dass die NIS2-Vorfallmeldung parallel zu bestehenden Verpflichtungen verläuft, diese jedoch nicht ersetzt, wie z. B. ICSR-Einreichungsfristen nach dem Pharmakovigilanzrecht, GDP-Vorfallmeldungen oder das Management von GMP-Abweichungen.

Verantwortlichkeit des Managements: Was Pharma-Führungskräfte jetzt übernehmen müssen

NIS2 legt direkte rechtliche Verantwortung auf die Leitungsgremien, was in einem Pharmaunternehmen den Vorstand, den CEO, den Chief Quality Officer und gleichwertige Führungskräfte bedeutet. Nach NIS2 müssen diese Personen:

1. Die Cybersecurity-Risikomanagementmaßnahmen der Organisation formell genehmigen
2. Die Umsetzung überwachen und ein kontinuierliches Bewusstsein aufrechterhalten
3. Regelmäßig eine für ihre Rolle relevante Cybersecurity-Schulung absolvieren

Wenn ein signifikanter Vorfall auftritt und nachgewiesen werden kann, dass die Geschäftsführung angemessene Maßnahmen nicht umgesetzt oder bekannte Risiken ignoriert hat, können nationale Behörden diese Personen persönlich haftbar machen. In schweren Fällen können vorübergehende Berufsverbote für die Ausübung von Managementfunktionen verhängt werden.

Für Unternehmen der Life-Sciences-Branche setzt dies Cybersecurity neben GMP und Datenintegrität als eine Governance-Angelegenheit auf Vorstandsebene, die nicht vollständig an die IT oder den CISO delegiert werden kann.

Pharma-spezifische NIS2-Compliance-Checkliste

1.  Ermitteln Sie, ob Ihre Organisation nach dem Umsetzungsrecht Ihres Mitgliedstaates als Essential oder Important Entity einzustufen ist.
2.  Registrieren Sie sich gegebenenfalls bei der zuständigen nationalen Behörde
3.  Weisen Sie dem Vorstand die Verantwortung für das Cybersecurity-Risikomanagement zu
4.  Führen Sie eine formelle Risikobewertung aller GxP-relevanten computergestützten Systeme durch (MES, LIMS, eTMF, PV-Datenbanken, ERP)
5.  Vergleichen Sie die NIS2-Sicherheitsanforderungen mit bestehendem Annex 11, ICH Q9 und QMS-Kontrollen und identifizieren Sie Lücken
6.  Etablieren oder aktualisieren Sie ein Cybersecurity-Vorfallreaktionsverfahren, das an den Meldezeitplan 24 Stunden/72 Stunden/1 Monat angelehnt ist
7.  Bewerten Sie Cyberrisiken von Drittanbietern und der Lieferkette, einschließlich CMOs, CDMOs, CROs und Cloud-Service-Anbietern
8.  Implementieren Sie Multi-Faktor-Authentifizierung für alle Zugangsstellen zu kritischen Systemen
9.  Überprüfen Sie CSV/CSA-Dokumentationen, um sicherzustellen, dass Sicherheitsanforderungen in den Validierungslebenszyklen erfasst sind
10.  Aktualisieren Sie Ihre Business-Continuity- und Disaster-Recovery-Pläne, um speziell auf cybersicherheitsbedingte Ausfälle einzugehen
11.  Führen Sie dokumentierte Cybersecurity-Schulungen für alle Mitarbeitenden durch, mit rollen­spezifischen Inhalten für das obere Management
12.  Berücksichtigen Sie die Wechselwirkung zwischen NIS2-Vorfallmeldung und bestehenden Verpflichtungen zur Meldung in Pharmakovigilanz, GDP und GMP-Abweichungen

Sanktionen und Durchsetzung

Nationale Behörden haben nun aktive Aufsichtsrechte. Essential Entities unterliegen einer proaktiven (ex ante) Aufsicht; Audits und Inspektionen können jederzeit ohne Vorabbescheid stattfinden. Important Entities unterliegen einer reaktiven (ex post) Aufsicht, die typischerweise durch einen Vorfall oder Hinweise auf Nichtkonformität ausgelöst wird.

Maximale Verwaltungsstrafen sind:

1. Wesentliche Stellen: bis zu €10,000,000 oder 2% des weltweiten Jahresumsatzes (je nachdem, welcher Betrag höher ist)
2. Wichtige Stellen: bis zu €7,000,000 oder 1,4% des weltweiten Jahresumsatzes (je nachdem, welcher Betrag höher ist)

Über finanzielle Strafmaßnahmen hinaus kann ein behördlicher Befund der NIS2-Nichtkonformität bei GMP- oder GDP-Inspektionen Bedenken hervorrufen, insbesondere wenn die Cybersicherheitslücke direkt die Datenintegrität oder die Integrität der Lieferkette beeinträchtigt.

Der praktische Ausgangspunkt

Für die meisten Pharmaorganisationen ist der effektivste erste Schritt eine strukturierte Gap-Analyse, die die aktuellen Cybersecurity-Kontrollen mit den NIS2-Anforderungen abgleicht und gleichzeitig bestehende GxP-Verpflichtungen berücksichtigt. Viele Bausteine — Risikomanagement, Änderungs­kontrolle, Lieferantenqualifizierung, Validierung und Schulung — existieren bereits innerhalb eines gut geführten QMS. Die Aufgabe besteht darin, diese zu erweitern und zu formalisieren, um die spezifischen Anforderungen der NIS2 zu erfüllen.

Eine frühzeitige Absprache mit Ihrer zuständigen nationalen Behörde ist ebenfalls ratsam. Mehrere EU-Mitgliedstaaten haben sektorspezifische Leitlinien für Gesundheits- und Pharmaorganisationen veröffentlicht, und einige bieten Selbstbewertungstools an, um Anwendbarkeit und Umfang zu bestimmen.

Häufig gestellte Fragen

1. Gilt NIS2 für Pharmaunternehmen?

Ja. Pharmahersteller, Hersteller von Medizinprodukten, CMOs, CDMOs und CROs, die in der EU tätig sind, fallen je nach Sektor und Größe unter NIS2 als Essential oder Important Entities.

2. Wie steht NIS2 in Relation zu GMP Annex 11 in der Pharmaindustrie?

NIS2 und Annex 11 überschneiden sich in hohem Maße – beide befassen sich mit der Sicherheit computergestützter Systeme, Zugangskontrollen und Datenintegrität. NIS2 erweitert diese Verpflichtungen um formale Cybersecurity-Governance, Vorfallmeldung und Verantwortung auf Vorstandsebene.

3. Welche GxP-Systeme sind unter NIS2 am stärksten gefährdet?

Manufacturing Execution Systems (MES), LIMS, Pharmakovigilanz-Datenbanken, eTMFs, Serialisierungsplattformen und ERP-Systeme fallen alle in den Geltungsbereich und müssen durch dokumentierte Sicherheits- und Vorfallreaktionsmaßnahmen abgedeckt sein.

4. Was sind die NIS2‑Meldefristen für einen Cybervorfall?

Organisationen müssen innerhalb von 24 Stunden eine Frühwarnung abgeben, innerhalb von 72 Stunden eine vollständige Zwischenmeldung und innerhalb eines Monats nach Feststellung eines erheblichen Vorfalls einen ausführlichen Abschlussbericht einreichen.

5. Können Führungskräfte von Pharmaunternehmen nach NIS2 persönlich haftbar gemacht werden? 

Ja. NIS2 führt eine direkte persönliche Haftung für die oberste Leitung ein, einschließlich Vorstandsmitglieder, die es versäumen, angemessene Cybersicherheitsmaßnahmen zu genehmigen und zu überwachen. In schweren Fällen können zeitlich begrenzte Managementverbote verhängt werden.