Auf Basis der Forschungsarbeiten von Dr. iur. Dr. rer. pol. Fabian M. A. Teichmann

Sensible Forschungsdaten, die Milliarden wert sind. Hochautomatisierte Produktionsanlagen, deren Ausfall Lieferengpässe bei lebenswichtigen Medikamenten verursachen kann. Eine Schlüsselrolle für die Gesundheitsversorgung ganzer Länder. Die pharmazeutische Industrie vereint alles, was sie zu einem erstklassigen Ziel für Cyberkriminelle und staatlich gesteuerte Angreifer macht. Und seit der NIS-2-Richtlinie und dem Cyber Resilience Act ist sie erstmals umfassend reguliert. Teichmann hat die konkreten Anforderungen für den Pharmasektor systematisch analysiert (Teichmann, Cybersecurity im Pharmasektor – Anforderungen der EU-NIS-2-Richtlinie und des Cyber Resilience Act, Pharma Recht 2025, S. 590–595).

Warum der Pharmasektor besonders gefährdet ist

Pharmaunternehmen vereinen mehrere Risikofaktoren. Sie verfügen über hochwertige Forschungsdaten – Wirkstoffformeln, klinische Studienergebnisse, Patentinformationen –, deren Diebstahl Industriespionage im großen Stil ermöglicht. Sie betreiben hochautomatisierte Produktionsanlagen, deren Manipulation oder Stilllegung die Arzneimittelversorgung gefährdet. Und sie spielen eine systemkritische Rolle, was sie zum Ziel von Erpressern macht, die auf maximalen Druck setzen (Teichmann, Pharma Recht 2025, S. 590–595).

Der europäische Gesetzgeber hat darauf mit zwei komplementären Regelwerken reagiert: der NIS-2-Richtlinie, die den Betrieb pharmazeutischer Unternehmen reguliert, und dem Cyber Resilience Act, der die Sicherheit der von ihnen genutzten und hergestellten digitalen Produkte adressiert.

Pharmaunternehmen als kritische Infrastruktur

Die wichtigste Neuerung der NIS-2-Richtlinie für den Pharmasektor ist die ausdrückliche Einstufung als kritische Infrastruktur. Im Sektor Gesundheit erfasst NIS-2 nicht nur Krankenhäuser und Labore, sondern ausdrücklich auch Arzneimittelhersteller sowie Forschungs- und Entwicklungseinrichtungen für Arzneimittel. Das ist eine grundlegende Veränderung: Nach der alten deutschen KRITIS-Verordnung galten im Gesundheitssektor vornehmlich Krankenhäuser als kritische Infrastruktur, während pharmazeutische Produzenten nicht erfasst waren (Teichmann, Pharma Recht 2025, S. 590–595).

Mit NIS-2 ändert sich das fundamental. Das BSI rechnet mit rund 29.000 neu verpflichteten Einrichtungen in Deutschland insgesamt – darunter zahlreiche Pharmaunternehmen, die erstmals umfassende Cybersicherheitsauflagen erfüllen müssen. Als Faustregel gilt: mehr als 50 Mitarbeiter oder mehr als 10 Millionen Euro Jahresumsatz.

Die konkreten NIS-2-Anforderungen

Betroffene Pharmaunternehmen müssen geeignete technische, organisatorische und operative Sicherheitsmaßnahmen treffen, die dem Stand der Technik entsprechen. Dazu gehören eine umfassende Sicherheitsstrategie mit kontinuierlicher Risikoanalyse unter Berücksichtigung branchenspezifischer Bedrohungen wie Industriespionage, ein funktionierendes Incident-Response-Management, Business-Continuity-Maßnahmen mit Backup-Management und Notfallkonzepten sowie die systematische Absicherung der Lieferkette (Teichmann, Pharma Recht 2025, S. 590–595).

Besonders relevant für den Pharmasektor ist die Lieferkettensicherheit, da Produktionsanlagen auf einer Vielzahl von Zulieferern, Softwareanbietern und IT-Dienstleistern beruhen. Die Meldepflichten folgen dem dreistufigen Modell: Frühwarnung innerhalb von 24 Stunden, Vorfallsmeldung innerhalb von 72 Stunden, Abschlussbericht innerhalb eines Monats.

Der Cyber Resilience Act: Eine Besonderheit für Pharma

Beim Cyber Resilience Act ergibt sich eine wichtige Differenzierung. Medizinprodukte selbst sind vom CRA ausgenommen, weil für sie bereits die Medizinprodukteverordnung sektorspezifische Cybersicherheitsanforderungen vorsieht. Das bedeutet aber nicht, dass der CRA für Pharmaunternehmen irrelevant ist (Teichmann, Pharma Recht 2025, S. 590–595).

Denn Pharmaunternehmen nutzen zahlreiche vernetzte Produkte, die nicht als Medizinprodukte gelten: Industriesteuerungssysteme, IoT-Sensoren, Laborgeräte mit Netzwerkanbindung, allgemeine IT-Hardware und Software. All diese Produkte müssen ab 2027 die CRA-Anforderungen erfüllen. Und sofern Pharmaunternehmen selbst vernetzte Produkte entwickeln und in Verkehr bringen, treffen sie als Hersteller die vollen CRA-Pflichten.

Die Rechtsfolgen bei Verstößen

Die Sanktionsdrohungen der NIS-2-Richtlinie sind erheblich: Für wesentliche Einrichtungen drohen Bußgelder von bis zu 10 Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes. Hinzu kommt die persönliche Verantwortung der Geschäftsleitung: NIS-2 verlangt von der Unternehmensführung, Cybersicherheitsmaßnahmen aktiv zu billigen, zu überwachen und sich schulen zu lassen. Pflichtverletzungen können zu persönlicher Innenhaftung führen (Teichmann, Pharma Recht 2025, S. 590–595).

Fazit: Cybersicherheit wird zur Versorgungssicherheit

Im Pharmasektor hat Cybersicherheit eine Dimension, die über den einzelnen Betrieb hinausgeht: Sie ist Teil der Versorgungssicherheit. Ein erfolgreicher Angriff auf einen großen Arzneimittelhersteller kann Lieferengpässe bei lebenswichtigen Medikamenten verursachen. Mit NIS-2 und CRA hat der europäische Gesetzgeber den Pharmasektor erstmals umfassend in die Pflicht genommen. Der Aufwand ist erheblich – aber er ist eine Investition in die Resilienz eines Sektors, dessen Funktionieren für die Gesundheit von Millionen Menschen unverzichtbar ist.

Alle Quellenangaben beziehen sich auf veröffentlichte wissenschaftliche Beiträge von Dr. iur. Dr. rer. pol. Fabian M. A. Teichmann. Die vollständige Bibliographie ist im Publikationsverzeichnis (Stand Mai 2026) dokumentiert.