NIS2 im Life-Science-Sektor:
Wie sollten sich Unternehmen darauf vorbereiten?

Über Vorschriften im Life-Science-Sektor zu sprechen, ist unvermeidlich: Die Herstellung von Arzneimitteln ist stark reguliert, um die Qualität, Sicherheit und Wirksamkeit der Produkte zu gewährleisten und damit die Gesundheit der Patienten zu schützen.

Die Einführung von NIS2 wurde von den Akteuren der Pharmaindustrie jedoch nicht mit besonderer Begeisterung aufgenommen: neue Verfahren, Prüfungen und zusätzliche Dokumentation, die verwaltet werden müssen.

Angesichts der zunehmenden Verbreitung von Cyberkriminalität sind die europäischen Regierungen jedoch gezwungen, Unternehmen in den wichtigsten Wirtschaftssektoren dazu zu verpflichten, ihre Schutzmaßnahmen zu verstärken und sich an den höchsten Sicherheitsstandards auszurichten.

Die europäische Richtlinie verlangt von Unternehmen, die zu den als kritisch eingestuften Sektoren gehören – darunter auch die Pharmaindustrie –, sicherzustellen, dass die digitale Sicherheit zu einer Priorität wird und in den „Arbeitsalltag“ des Betriebsmanagements integriert wird.

Was fordert NIS2 für den Life-Science-Sektor?

NIS2 stellt an Unternehmen im Life-Science-Sektor – aber nicht nur an diese – sowohl technologische als auch organisatorische Anforderungen: Cybersicherheit kann nur durch das Zusammenspiel moderner, nach dem Prinzip „Secure by Design“ entwickelter technologischer Implementierungen mit geeigneten Verfahren und entsprechenden Schulungen der Mitarbeiter gewährleistet werden.

Die wichtigsten NIS2-Anforderungen lassen sich wie folgt zusammenfassen:

• Zuweisung von Rollen und Verantwortlichkeiten: Cybersicherheit muss zu einem täglichen Ziel innerhalb der Unternehmen werden – angefangen beim Management.
• Technische Sicherheitsmaßnahmen: Systeme und Netzwerke müssen implementiert und gewartet werden und dabei Mechanismen zur Zugriffskontrolle, zum Datenschutz, für Backup- und Recovery-Verfahren sowie zur Überwachung und Protokollierung von Ereignissen umfassen.
• Risikomanagement: Schwachstellen und die möglichen Folgen eines Angriffs müssen regelmäßig analysiert werden, um stets aktuelle Pläne zur Risikominderung und zur Aktualisierung der Systeme zu erstellen.
• Gewährleistung der betrieblichen Kontinuität: Es müssen resiliente Architekturen implementiert werden, die die betriebliche Kontinuität wesentlicher Funktionen gewährleisten. Darüber hinaus müssen entsprechende Disaster-Recovery-Verfahren vorhanden sein.
• Management und Meldung von Sicherheitsvorfällen: Ein Sicherheitsvorfall muss frühzeitig erkannt und durch die Anwendung entsprechender Wiederherstellungspläne darauf reagiert werden. Darüber hinaus besteht die Verpflichtung, erhebliche Sicherheitsvorfälle an CSIRT/ACN (Behörde für Cybersicherheit) zu melden.
• Sicherheit der Lieferkette: Es muss überprüft werden, ob die eigenen Lieferanten die Sicherheitsanforderungen erfüllen, auch wenn sie selbst nicht unmittelbar der NIS2 unterliegen.
• Schulung der Mitarbeiter: Die Mitarbeiter müssen für Cyberrisiken sensibilisiert und regelmäßig zu bewährten Sicherheitspraktiken geschult werden.

Was bietet NIS2 zusätzlich zu den bereits bestehenden Vorschriften?

Vorschriften wie 21 CFR Part 11 oder Annex 11 umfassen bereits verschiedene bewährte Sicherheitspraktiken: die Überprüfung und Protokollierung von Zugriffen, den Schutz der Datenintegrität, das Risikomanagement sowie Backup- und Disaster-Recovery-Verfahren. NIS2 hat jedoch einen breiteren Anwendungsbereich: Sie beschränkt sich nicht auf Bereiche, die den GMP-Anforderungen unterliegen, sondern umfasst die gesamte IT-Kommunikationsinfrastruktur.

Die grundlegenden Vorschriften für die Pharmaindustrie gewährleisten die Genauigkeit und Integrität der Daten; NIS2 gewährleistet die Sicherheit der Systeme, in denen diese Daten gespeichert sind, sowie der Netzwerke, in denen sie verarbeitet werden.

Wie lässt sich die Umsetzung neuer NIS2-Projekte im Life-Science-Sektor gestalten?

Um Life-Science-Unternehmen, die der NIS2 unterliegen, bei der Einführung geeigneter Technologien im Einklang mit den Grundsätzen der Cybersicherheit zu unterstützen, hat die Europäische Union den Cyber Resilience Act (CRA) eingeführt. Dieser gilt für alle Hersteller und Anbieter von Technologien, die digitale Produkte innerhalb der Europäischen Union auf den Markt bringen.

👉Cyber Resilience Act: Was ändert sich für Industriestandorte in Europa?

Was fordert der CRA?

Ab Dezember 2027 müssen alle in der EU vermarkteten digitalen Produkte über eine CE-Kennzeichnung verfügen. Um diese Kennzeichnung zu erhalten, muss der Anbieter nachweisen, dass er die Anforderungen des CRA erfüllt hat. Das Ziel ist klar: Es soll sichergestellt werden, dass die in Europa eingesetzten Technologien die Anforderungen an die Cybersicherheit erfüllen und dies auch nachweisen können.

Die wichtigsten Anforderungen des CRA lassen sich wie folgt zusammenfassen:

• Produkte nach dem Prinzip „Secure by Design“: Jede Funktion eines Produkts muss so entwickelt werden, dass dabei stets auch ihre Sicherheit berücksichtigt wird.
• Technische Sicherheitsmaßnahmen: Es müssen native Sicherheitsmechanismen gewährleistet sein, die den Anforderungen der NIS2 entsprechen, wie beispielsweise die Verwaltung von Zugriffen und der Schutz von Daten.
• Schwachstellenmanagement: Das Produkt muss frei von bekannten Schwachstellen sein. Der Anbieter muss die tatsächliche Sicherheit des Produkts regelmäßig überprüfen und gegebenenfalls erforderliche Updates bereitstellen.
• Gewährleistung über den Produktlebenszyklus: Jeder Anbieter muss fünf Jahre Support und Cybersecurity-Updates gewährleisten. Der Lebenszyklus und die Wartung müssen in einer entsprechenden Dokumentation beschrieben werden, und die Bereitstellung von Sicherheitspatches muss gewährleistet sein.
• Dokumentation: Anbieter müssen eine Dokumentation zu den Verfahren für die sichere Installation und Nutzung des Produkts erstellen. Darüber hinaus muss bei Softwarelösungen eine Software Bill of Materials (SBOM) mit allen verwendeten Komponenten von Drittanbietern bereitgestellt werden.
• Meldung von Schwachstellen: Im Falle von Sicherheitsvorfällen muss der Hersteller die zuständige Cybersicherheitsbehörde unverzüglich über die neue Schwachstelle informieren, Maßnahmen zu deren Behebung ergreifen und die Kunden entsprechend informieren.

Dank des CRA verfügen Pharmaunternehmen nun über ein zusätzliches Mittel, um sicherzustellen, dass die eingesetzten Lösungen den Sicherheitsanforderungen entsprechen und ihre Anbieter über einen garantierten Zeitraum den erforderlichen Support bereitstellen.

Wie lässt sich die installierte Basis verwalten?

Ab Dezember 2027 wird der CRA gewährleisten, dass neu erworbene Technologien den Sicherheitsanforderungen entsprechen. Doch wie sollte heute mit der bereits installierten Basis umgegangen werden?

Cyber Resilience Act: Wie bereiten Sie Ihr SCADA-System vor?

Im Life-Science-Sektor ist der Validierungsprozess von Lösungen unter GMP mit erheblichem Aufwand verbunden: Ein Technologiewechsel oder auch nur ein Versionsupdate löst einen neuen Prozess aus, der entsprechende Ressourcen erfordert. Dies führt häufig dazu, dass Pharmaunternehmen die Implementierung umfangreicher Updates so lange wie möglich hinauszögern. Systeme, die den GMP-Anforderungen unterliegen, verfügen jedoch über eine Reihe nativer Sicherheits- und Überwachungsmechanismen sowie Backup- und Wiederherstellungsverfahren, die die Risiken zumindest teilweise mindern.

Wie lässt sich das richtige Gleichgewicht finden?

Dabei ist zu beachten, dass NIS2 für die gesamte installierte Basis gilt – auch für Systeme, die nicht direkt den GMP-Anforderungen unterliegen, wie beispielsweise die sogenannten „Black Utilities“. Da für diese nicht dieselben regulatorischen GMP-Anforderungen gelten, besteht die Gefahr, dass sie zu einer Schwachstelle im Netzwerk werden.

Die wichtigste Empfehlung besteht darin, durch Überwachung und eine kontinuierliche Risikoanalyse nachzuweisen, dass die „Situation unter Kontrolle“ ist. Wie lässt sich dies umsetzen?

• Vollständige Bestandsaufnahme aller eingesetzten Technologien einschließlich der jeweiligen Versionen. Dazu gehören auch Technologien, die in Lösungen „embedded“ und daher nicht immer unmittelbar erkennbar sind – daher die Bedeutung der SBOM.
• Überprüfung der Anbieter dieser Systeme sowie Überwachung der Lösungen, die sich dem Ende ihres Supportzeitraums nähern, um zu erkennen, in welchen Bereichen die größten Risiken bestehen.
• Risikobewertung, um kritische Aspekte im Zusammenhang mit bekannten Schwachstellen und deren möglichen Auswirkungen zu identifizieren.
  
• Einbeziehung der Anbieter, um Einblick in deren Pläne zur CRA-Konformität sowie in den aktuellen Umgang mit Schwachstellen zu erhalten.

Auf dieser Grundlage kann – wie von NIS2 gefordert – ein Plan zur Risikominderung erstellt werden, der ein Wartungs- oder Aktualisierungsprogramm für die Lösungen einschließlich der entsprechenden Prioritäten umfasst.

Einerseits ist klar, dass nicht alle Systeme sofort aktualisiert werden können. Andererseits ist ein konkreter Aktionsplan unerlässlich. Besonders kritische Systeme können nicht bis über das Ende des Produktlebenszyklus hinaus betrieben werden und erfordern kurzfristige Maßnahmen. Andere Systeme können isoliert, engmaschig überwacht und als kontrolliertes Risiko akzeptiert werden. Entscheidend ist, bewusste Entscheidungen zu treffen, anstatt aufgrund ausbleibender Entscheidungen schrittweise in die Nichtkonformität zu geraten.

Die Bedeutung der Anbieter für die Cybersicherheit

Beim Thema Cybersicherheit ist es von entscheidender Bedeutung, die Anbieter einzubeziehen. Die Vorschriften selbst verlangen eine Überprüfung der Lieferkette: Sowohl NIS2 als auch der CRA fordern ausdrücklich die Bereitstellung von Dokumenten wie der SBOM.

Die Einbindung muss sowohl formell erfolgen, indem in den Beschaffungsspezifikationen ausdrücklich die Einhaltung der Sicherheitsanforderungen gefordert wird, als auch auf operativer Ebene. Sicherheit darf sich nicht allein auf die Überprüfung beschränken, ob eine technologisch „sichere“ Lösung erworben wurde.

Die Pharmaindustrie setzt häufig technologische Lösungen ein, die „ad hoc“ entwickelt werden und in komplexe, vielschichtige Architekturen integriert sind. Daher ist eine proaktive Zusammenarbeit zwischen Kunde und Anbieter von entscheidender Bedeutung, um die Best Practices für die Nutzung und Wartung der Systeme über ihren gesamten Lebenszyklus hinweg zu überprüfen und zu dokumentieren.

Es ist essenziell, Technologieanbieter von Anfang an einzubeziehen und diejenigen zu identifizieren, die bei diesem Thema Kompetenz und proaktives Engagement zeigen. Dabei sollte auch überprüft werden, wie weit sie auf dem Weg zur CRA-Zertifizierung bereits fortgeschritten sind.

Wie positioniert sich AVEVA beim Thema Cybersicherheit?

AVEVA ist ein globaler Anbieter industrieller Softwaretechnologie, der von zahlreichen Life-Science-Unternehmen weltweit ausgewählt wird – insbesondere aufgrund seiner Fähigkeit, Technologien bereitzustellen, die den branchenspezifischen Vorschriften entsprechen.

AVEVA beschäftigt sich bereits seit Langem intensiv mit dem Thema Cybersicherheit:

• Alle Forschungs- und Entwicklungszentren von AVEVA haben die Zertifizierung nach IEC 62443-4-1 erhalten, die speziell für Entwickler industrieller Technologien vorgesehen ist. Die von einer externen Stelle validierte Zertifizierung wird regelmäßig aktualisiert.
• Der Lebenszyklus aller AVEVA-Lösungen ist in der „Software Lifecycle and Retirement Policy“ dokumentiert. Neben dem standardmäßigen Mindestzeitraum von fünf Jahren für die Wartung wird auch eine „Extended“-Version angeboten, die sieben Jahre Wartung für die jeweilige Version vorsieht.
• AVEVA bietet strukturierten Zugriff auf die gesamte Produktdokumentation, einschließlich spezieller Leitlinien zu Best Practices für die Implementierung von Cybersicherheit.
• AVEVA hat eine umfassende Analyse aller externen Bibliotheken durchgeführt und diese im Hinblick auf Sicherheit und Wartung bewertet. Für einige Produkte, beispielsweise die System Platform, wird die SBOM bereits bereitgestellt.
• Über das AVEVA Security Central Portal ist der Prüfstatus von Microsoft-Updates verfügbar und wird alle 15 Tage aktualisiert.
• AVEVA entwickelt alle neuen Versionen seiner Produkte mit dem Ziel, diese mit der CE-Konformitätskennzeichnung bereitzustellen und damit die Anforderungen des CRA zu erfüllen. 

 🔎 Hier finden Sie die offizielle Position von AVEVA zum Cyber Resilience Act: 
 EU Cyber Resilience Act | Legal | AVEVA 

AVEVA hat intern Prozesse und verantwortliche Funktionen eingerichtet, die die Umsetzung der CRA-Verpflichtungen sicherstellen. Dazu gehören die zeitnahe Meldung neu entdeckter Schwachstellen sowie die entsprechende Veröffentlichung von Warnmeldungen und Methoden zur Behebung und Minderung von Risiken.

Als globaler Technologieanbieter beobachtet AVEVA neben den europäischen Vorschriften proaktiv auch die Entwicklung weiterer Richtlinien weltweit. Ziel ist es, die eigene Technologie im Hinblick auf die Vorschriften der wichtigsten Länder zu validieren und damit den sicheren Einsatz der Software weltweit zu gewährleisten.

Für ein Pharmaunternehmen mit mehreren Standorten weltweit oder einen global tätigen Maschinenbauer bedeutet die Entscheidung für AVEVA-Technologie somit die Zusammenarbeit mit einem Partner, der Sie bei all Ihren Implementierungen unterstützen kann.

Fazit

NIS2 verschärft die Cybersicherheitsanforderungen für Pharmaunternehmen, die in Europa tätig sind. Alle mittelständischen und großen Pharmaunternehmen müssen Cybersicherheit nun als unternehmerische Priorität betrachten – mit einem dokumentierten Risikomanagement, der Implementierung technischer Maßnahmen und der Überprüfung ihrer Anbieter.

Mit dem CRA verfügen Unternehmen über ein Instrument, um zu überprüfen, ob ihre Technologieanbieter die erforderliche Priorität auf Sicherheit legen. Eine rein administrative Überprüfung der Anforderungen reicht jedoch nicht aus. Entscheidend ist die Auswahl von Anbietern, die bei diesem Thema proaktives Engagement zeigen und in der Lage sind, zu echten Partnern zu werden.

Keine Lösung kann jederzeit zu 100% sicher sein. Daher sind eine kontinuierliche Überwachung und ein transparenter Informationsaustausch erforderlich. AVEVA hat sich dafür entschieden, die aus dem CRA resultierenden Verpflichtungen als Chance zu nutzen, um sich im Markt zu differenzieren.

Aus diesem Grund ist Factory Software als exklusiver Vertriebspartner für AVEVA-Produkte in Europa der richtige Partner, um Life-Science-Unternehmen auf ihrem Weg der Digitalisierung zu unterstützen.