NIS-2 nach Inkrafttreten: Prüfpfad für Pharma-Hersteller
Deutschland hat die NIS-2-Richtlinie umgesetzt, das Inkrafttreten war der 06.12.2025. Für Pharma-Hersteller, Wirkstoffhersteller, CDMOs und bestimmte Zulieferer beginnt damit die praktische Nachweisphase: Betroffenheit prüfen, Registrierung absichern, Risikomanagementmaßnahmen dokumentieren, Meldewege testen und Produktions-OT in den Sicherheitsprozess einbeziehen.
NIS-2 ist die EU-Richtlinie 2022/2555 zur Cybersicherheit wesentlicher und wichtiger Einrichtungen. Deutschland hat die Richtlinie mit Wirkung zum 06.12.2025 umgesetzt. Für Pharma-Unternehmen verschiebt sich der Fokus damit von der Gesetzesbeobachtung zur praktischen Nachweisführung: Betroffenheit, Registrierung, Risikomanagement, Meldewege, Leitungspflichten und Lieferkettenkontrolle müssen zusammenpassen.
Zum Veröffentlichungsdatum dieses Beitrags am 26.05.2026 ist vor allem die Registrierung sichtbar geworden. Nach Medienberichten waren in Deutschland rund 29.500 Organisationen von der Registrierungspflicht betroffen; die Frist lief am 06.03.2026 ab. Für Pharma-Hersteller ist diese Zahl weniger wichtig als die eigene Einordnung: Wer Arzneimittel, Wirkstoffe, kritische Vorprodukte oder GxP-nahe digitale Leistungen bereitstellt, muss die NIS-2-Betroffenheit belastbar prüfen.
Rechtsstand Deutschland
Die NIS-2-Richtlinie selbst galt nicht unmittelbar wie eine Verordnung. Sie musste durch die Mitgliedstaaten umgesetzt werden. Deutschland hat die Umsetzung verspätet abgeschlossen; das deutsche Umsetzungsgesetz trat nach Veröffentlichung im Bundesgesetzblatt am 06.12.2025 in Kraft.
Damit greifen die deutschen Kategorien besonders wichtiger und wichtiger Einrichtungen. Die Einordnung hängt von Sektor, Tätigkeit und Unternehmensgröße ab. Für die Größenprüfung sind Beschäftigtenzahl, Jahresumsatz und Bilanzsumme relevant. Zusätzlich können besondere Einstufungen und KRITIS-Bezüge hinzukommen.
Das Bundesamt für Sicherheit in der Informationstechnik ist für einen großen Teil der NIS-2-Aufsicht in Deutschland zuständig. Die Aufsicht beginnt nicht erst mit einem Bußgeldverfahren. Schon Registrierung, Kontaktstellen, Meldewege und Nachweise zum Risikomanagement machen sichtbar, ob ein Unternehmen die Pflichten operativ beherrscht. Der Sanktionsrahmen folgt der NIS-2-Logik: Bußgelder bis mindestens 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes für besonders wichtige Einrichtungen, bis mindestens 7 Mio. Euro oder 1,4 % für wichtige Einrichtungen.
Pharma im Geltungsbereich
NIS-2 erfasst den Gesundheitssektor und weitere kritische Sektoren. Für Pharma sind mehrere Zugänge relevant.
Erstens nennt Anhang I der Richtlinie den Gesundheitssektor. Dazu gehören unter anderem Einrichtungen aus Forschung und Entwicklung von Arzneimitteln sowie Unternehmen, die pharmazeutische Grundstoffe und pharmazeutische Zubereitungen herstellen. Diese Formulierung ist für Arzneimittelhersteller und Wirkstoffhersteller zentral.
Zweitens können Unternehmen über Herstellung, Verarbeitung oder Vertrieb chemischer Stoffe und Gemische in weitere Sektoren fallen. Das betrifft nicht jede pharmazeutische Tätigkeit automatisch, kann aber bei API-, Chemie- oder Vorproduktkonstellationen relevant werden.
Drittens entsteht Betroffenheit nicht nur beim Zulassungsinhaber. CDMOs, CMOs, Labor- und Herstellungsdienstleister können selbst prüfen müssen, ob ihre Tätigkeit, Größe und Einbindung in kritische Lieferketten die NIS-2-Schwellen erreicht. Eine pauschale Privilegierung als Auftragsfertiger gibt es nicht.
Viertens können KRITIS- und Versorgungskonstellationen eine gesonderte Bewertung auslösen. Das gilt etwa, wenn ein Unternehmen für Arzneimittelversorgung, Wirkstoffverfügbarkeit oder kritische Produktionskapazitäten eine besondere Rolle einnimmt. Solche Fälle gehören in die rechtliche Einzelfallprüfung, nicht in eine pauschale Branchenannahme.
Pflichten mit Pharma-Relevanz
NIS-2 verlangt keine einzelne Checkliste, die für jedes Unternehmen identisch aussieht. Für Pharma-IT und OT sind fünf Pflichtbereiche besonders relevant.
Registrierung und Kontaktstellen. Betroffene Unternehmen müssen gegenüber der zuständigen Stelle identifizierbar und erreichbar sein. Registrierung, Stammdaten, Kontaktpersonen, Vertretungsregelung und interne Zuständigkeit gehören deshalb zusammen. Eine Registrierung ohne getestete interne Alarmkette trägt im Incident nicht.
Risikomanagementmaßnahmen. NIS-2 verlangt technische, operative und organisatorische Maßnahmen. Dazu gehören Risikoanalyse, Sicherheitskonzepte, Vorfallbewältigung, Business Continuity, Krisenmanagement, Lieferkettensicherheit, Sicherheit bei Erwerb, Entwicklung und Wartung von Systemen, Kryptografie, Zugriffskontrolle, Schulung und Multifaktor-Authentisierung, soweit passend.
Leitungspflichten. Die Geschäftsleitung kann Cybersicherheit nicht vollständig an IT oder Compliance delegieren. NIS-2 verlangt, dass Leitungsorgane Risikomanagementmaßnahmen billigen und ihre Umsetzung überwachen. Für Pharma-Unternehmen bedeutet das: Cyberrisiken aus Produktion, Labor, Qualitätssystemen und Lieferkette gehören in ein Management-Reporting.
Meldepflichten. Erhebliche Sicherheitsvorfälle folgen der NIS-2-Meldelogik: Frühwarnung innerhalb von 24 Stunden, Meldung innerhalb von 72 Stunden und Abschlussbericht innerhalb eines Monats. Diese Fristen betreffen auch nicht-personenbezogene Vorfälle. Sie laufen parallel zu DSGVO-, GMP-, Lieferanten- und Kundenkommunikation.
Lieferkette. Pharma-Hersteller hängen an SaaS-Anbietern, CDMOs, Laboren, Logistikpartnern, Automationsdienstleistern, Wartungsfirmen und Cloud-Anbietern. NIS-2 macht Lieferkettenrisiken ausdrücklich zum Teil des Sicherheitsmanagements. Der Einkauf allein kann diese Bewertung nicht tragen.
Pharma-spezifische Spannungen
Der schwierigste Teil liegt nicht in der Policy, sondern im Produktionsbetrieb. Pharma-Unternehmen betreiben validierte Systeme mit langen Lebenszyklen: MES, LIMS, eQMS, Historian, SCADA, BMS, EMS, Waagensysteme, Serialisierung und Laborgeräte. Viele Systeme sind GxP-relevant, manche Teil der Produktions-OT.
Patch-Management kollidiert dort mit Change Control. Ein kritischer Security-Patch kann technisch dringend sein, darf aber nicht ungetestet in ein validiertes System eingespielt werden. Umgekehrt kann eine lange Validierungswarteschleife ein Cyberrisiko offenlassen. NIS-2 macht diese Spannung sichtbarer.
Die Lösung ist kein Vorrang einer Seite. Pharma-IT braucht ein Verfahren für risikobasierte Security Changes: Kritikalität der Schwachstelle, GxP-Impact, Testtiefe, Rückfallplan, temporäre Kompensationsmaßnahme, Freigabe, Dokumentation und Nachtest. Dieses Verfahren gehört in Change Control, IT-Security-Prozess und Validierungsstrategie.
Auch Incident Response muss GxP-tauglich sein. Ein Ransomware-Verdacht in einem Büro-System, ein kompromittierter Domain Controller, ein auffälliger Zugriff auf ein LIMS oder eine Störung im Historian erzeugen unterschiedliche regulatorische Folgen. Der Vorfallplan muss klären, wann QA, Datenschutz, Qualified Person, Produktion, Legal, Lieferanten und Geschäftsleitung eingebunden werden.
ISO 27001 reicht nicht allein
Eine ISO-27001-Zertifizierung kann einen großen Teil der NIS-2-Vorbereitung stützen. Sie belegt ein Informationssicherheits-Managementsystem, strukturierte Risikoanalyse, Controls, interne Audits und Managementbewertung. Für Pharma-Unternehmen ist das ein starker Ausgangspunkt. Was ein ISO-Zertifikat trägt und wo seine Grenzen liegen, zeigt die Einordnung der Cloud-Nachweise C5, SOC 2 und ISO 27001 im Detail.
Sie ersetzt aber nicht automatisch die NIS-2-Pflichten. Registrierung, nationale Kontaktwege, NIS-2-Meldefristen, Einordnung als wichtige oder besonders wichtige Einrichtung, Leitungspflichten, sektorbezogene Lieferkettenrisiken und der Nachweis gegenüber dem BSI müssen zusätzlich geprüft werden.
Auch der GxP-Kontext bleibt eigenständig. ISO 27001 sagt nicht, welche Testtiefe für einen Security Patch in einem validierten MES erforderlich ist. Sie sagt auch nicht, wie ein Audit-Trail-Review nach einem Sicherheitsvorfall mit einem GMP-Abweichungsprozess zusammenläuft. Diese Brücke muss das Unternehmen selbst dokumentieren.
30-Tage-Prüfpfad
Für Pharma-Hersteller bietet sich ein enger Prüfpfad an. Ziel ist keine vollständige NIS-2-Implementierung in 30 Tagen, sondern Klarheit über Pflichtstatus und größte Lücken.
Tag 1 bis 5: Betroffenheit. Sektor, Tätigkeit, Unternehmensgröße, Standorte, verbundene Unternehmen, KRITIS-Bezug und Lieferkettenrolle prüfen. Ergebnis ist eine dokumentierte Einstufung oder eine Liste offener Rechtsfragen.
Tag 6 bis 10: Registrierung und Kontakt. BSI-Registrierung, Stammdaten, Kontaktstellen, Eskalationswege und Vertretungen prüfen. Die interne Alarmkette einmal trocken testen.
Tag 11 bis 15: Meldeprozess. 24-Stunden-Frühwarnung, 72-Stunden-Meldung und Monatsbericht in den Incident-Response-Prozess integrieren. DSGVO-, GMP-, Kunden- und Lieferantenkommunikation abgleichen.
Tag 16 bis 20: ISMS-Gap. ISO 27001, IT-Grundschutz oder vorhandene Security-Controls gegen NIS-2-Pflichtfelder mappen. Lieferkette, OT, Business Continuity und Management-Reporting gesondert prüfen.
Tag 21 bis 25: OT und validierte Systeme. Kritische Produktions- und Laborsysteme erfassen. Patch-Prozess, Backup, Restore, Netzwerksegmentierung, privilegierte Zugriffe, Remote Maintenance und Change Control bewerten.
Tag 26 bis 30: Maßnahmenplan. Verantwortliche, Fristen, Dokumente und Management-Entscheidungen festlegen. Der Plan muss zeigen, welche Risiken sofort reduziert werden und welche Maßnahmen in Validierung oder Budgetplanung gehen.