Suche

Warum Hitze bei Psychopharmaka relevant bis riskant ist, erklärt Prof. Michael Paulzen, stellvertretender Leiter des Referats Psychopharmakologie bei der Deutschen Gesellschaft für Psychiatrie und Psychotherapie (DGPPN) so: «Wenn es so heiß ist, schwitzen Sie mehr, das beeinflusst die Körperhomöostase, denn wenn Sie vermehrt schwitzen, reduziert sich Ihre Nierenfunktion. Die Niere ist ein ganz zentrales Ausscheidungsorgan, gerade für Psychopharmaka.» Wird der Flüssigkeitsverlust nicht ausgeglichen, «dann akkumulieren, also häufen sich wasserlösliche Arzneistoffmetaboliten an», so Paulzen, der auch Ärztlicher Direktor und Chefarzt des Alexianer Krankenhauses Aachen ist. Einfach gesagt: Kommen Körper und Organe durch Hitze und zu wenig Flüssigkeit aus dem Gleichgewicht, können manche Wirkstoffe oder Abbauprodukte langsamer ausgeschieden werden: Die Konzentration im Blut kann steigen - mit unangenehmen Folgen. Hitzefolgen kennen und erkennen Das kann sich selbst bei Patientinnen und Patienten, die ein Medikament jahrelang gut vertragen haben, anfühlen wie eine Verschlechterung der Grunderkrankung - etwa durch Unruhe, Schlafstörungen, Zittrigkeit oder Herzrasen, so Paulzen. Auch Verwirrtheit, Schwindel, starke Müdigkeit oder Benommenheit können auftreten. Wichtig ist dann, nicht nur an eine psychische Krise zu denken, sondern auch an eine unerwünschte Arzneimittelwirkung als Folge der Hitze. Besonders hitzekritisch, so der Fachbegriff, können laut einer Übersicht der Bundesvereinigung Deutscher Apothekerverbände (ABDA) unter anderem Antidepressiva sein, darunter SSRI, SNRI und trizyklische Antidepressiva. Sie können die Thermoregulation, also die Fähigkeit des Körpers, seine Temperatur konstant zu halten, beeinträchtigen; Trizyklika können zusätzlich das Schwitzen vermindern. Auch Antipsychotika beziehungsweise Neuroleptika können die Wärmeregulation stören sowie müde machen. Benzodiazepine und Z-Substanzen können die Aufmerksamkeit verringern - Betroffene nehmen Hitzeerschöpfung dann womöglich später wahr. Bei Lithium ist besondere Vorsicht nötig: Dehydrierung und eine verminderte Ausscheidung über die Nieren können das Risiko einer Überdosierung erhöhen. Auch zentral wirksame Stimulanzien wie Methylphenidat, das etwa bei ADHS eingesetzt wird, oder Sympathomimetika wie Modafinil können die Thermoregulation beeinträchtigen. Nicht eigenständig absetzen, Hitzestress vermeiden, trinken «Wichtig ist: Die Dosis nicht eigenständig verringern oder die Medikamente komplett absetzen. Bei Fragen hilft die Apotheke vor Ort kompetent weiter», sagt Tiede und verspricht: «Auch während einer Hitzewelle ist es in der Apotheke angenehm kühl.» Was hilft? Regelmäßig trinken - nicht erst, wenn der Durst groß ist. Die ABDA-Übersicht nennt als Orientierung 2 bis 3 Liter über den Tag verteilt; wer Herz-Kreislauf- oder Nierenerkrankungen hat, sollte die passende Trinkmenge ärztlich klären. Außerdem: nicht unnötig in direkter Sonne und Hitze aufhalten, körperliche Belastung reduzieren, Schatten und kühle Räume suchen, Wege und Sport auf kühlere Tageszeiten legen. Und mit den Behandlern klären, ob eine Anpassung der Medikation oder der Dosis stattfinden sollte. Ärztlichen Rat sollten Betroffene unbedingt einholen, wenn neue oder ungewöhnlich starke Nebenwirkungen auftreten - etwa Verwirrtheit, heiße trockene Haut, wenig oder dunkel gefärbter Urin, Muskelkrämpfe, Schwindel, Herzstolpern oder -rasen. Wer zum Bereitschaftsdienst oder in die Notaufnahme muss, sollte unbedingt angeben, welche Medikamente er nimmt - und dass Hitze und Flüssigkeitsverlust eine Rolle gespielt haben könnten.

Ab 12. August 2026 gelten mit der EU-Verpackungsverordnung (PPWR) neue Pflichtvorgaben – auch für Pharma- und Medizinproduktehersteller. Vier Wochen vor Start informiert Pharma Deutschland seine Mitglieder über Anforderungen, Umsetzung und offene Fragen.

Die Europäische Arzneimittel-Agentur (EMA) hat ihre Fee Regulation working arrangements on fees and charges payable to the European Medicines Agency applicable from 1 January 2025 aktualisiert. Die Änderungen wurden im Rahmen des Management Board Meetings vom 10. bis 11. Juni 2026 angenommen. Dabei wurden insbesondere folgende Änderungen vorgenommen: Abschnitt 1.5: Die Bearbeitungsfrist für Arzneimittelzertifikate (Certificates of Medicinal Products) wurde im Standardverfahren von 10 auf 15 Arbeitstage verlängert. Abschnitte 1.11 und 4.1.1: Anpassung an die seit dem 18. März 2026 geltenden überarbeiteten Regelungen zu finanziellen und administrativen Förderungen für KMU. Neuer Abschnitt 2.2: Einführung von Regelungen zu Gebührenbefreiungen und Vergütungen für Referrals sowie für Art.-29-(PAED)-Line Extensions bzw. Indikationserweiterungen. Abschnitt 3.7: Präzisierung im Zusammenhang mit zusätzlichen Gebührenreduktionen. Neuer Abschnitt 3.9: Einführung von Gebührenanreizen für Scientific Opinions zu Produkten, die ausschließlich für Märkte außerhalb der EU bestimmt sind und von nicht wirtschaftlich tätigen Einrichtungen eingereicht werden. Anhang: Das maßgebliche Datum für die Bestimmung der Gebührenhöhe bei bestimmten Referrals und wissenschaftlichen Stellungnahmen wurde von der Notifizierung des Verfahrens auf den Verfahrensbeginn („Day 1“) umgestellt. Weitere Details können dem Dokument auf der Website der EMA entnommen werden.

Seite -- TLP Amber - © 2024 BRANCHENSPEZIFISCHER SICHERHEITSSTANDARD PHARMA Version 3.0.2 Stand 25.Juli 2024 Die Verbände der pharmazeutischen Industrie sowie des pharmazeutischen Großhandels - TLP Amber - Seite I - freigegeben - In den B3S Pharma haben die nachfolgend genannten Beteiligten ihre Expertise eingebracht. Die Beteiligten werden in alphabetischer Reihenfolge aufgeführt. Name Unternehmen Oliver Anspach Sanacorp Pharmahandel GmbH Manuel Atug HiSolutions AG Manuel Gärtner Takeda GmbH Thomas Likas Takeda GmbH James Hess Alliance Healthcare Deutschland GmbH Andreas Vesper STADA Arzneimittel AG Daniel Jedecke HiSolutions AG Martin Karl Junghans HiSolutions AG Boban Krsic Fresenius SE & Co. KGaA Thomas Linsenmaier Kehr Sven Milstein PHOENIX Group Marc Nowak NOWEDA Apothekergenossenschaft eG Dr. Michael Otto Alliance Healthcare Deutschland GmbH Matthias Merk Sanofi-Aventis Deutschland GmbH Lutz Schütte PHOENIX Group Dr. Dirk Spingat Bayer AG Vanessa Weber HiSolutions AG André Windsch HiSolutions AG Dominik Stihl BioNTech SE Tabelle 1: Liste der namentlich genannten Beteiligten - TLP Amber - Seite II - freigegeben - EINLEITUNG Das im Juli 2015 in Kraft getretene IT-Sicherheitsgesetz (IT-SiG) verpflichtet „Betreiber Kritischer Infrastrukturen“ (KRITIS) dazu, alle für die Erbringung kritischer Dienstleistungen (kDL) erforderlichen IT-Systeme nach dem Stand der Technik abzusichern. Die Einhaltung der Anforderungen aus dem zweiten Gesetz zur Erhöhung der Sicherheit informationstechnischer Systeme (IT-Sicherheitsgesetz 2.0) ist dem Bundesamt für Sicherheit in der Informationstechnik (BSI) gegenüber alle zwei Jahre im Rahmen einer Prüfung gemäß § 8a BSI-Gesetz (BSIG) durch eine qualifizierte prüfende Stelle nachzuweisen. Dabei können auch branchenspezifische Sicherheitsstandards (B3S) berücksichtigt werden. Ein B3S gibt Hilfestellungen in der Umsetzung des § 8a BSIG und erleichtert den Betreibenden die Identifikation geeigneter Vorkehrungen. Des Weiteren werden branchenspezifische Anforderungen aufgezeigt. Das vorliegende Dokument stellt die Basis für eine Prüfgrundlage zur Erbringung von Nachweisen gemäß § 8a Absatz 3 BSIG dar. Die HiSolutions AG hat den vorliegenden B3S in Zusammenarbeit mit den Verbänden der pharmazeutischen Industrie (VfA, Pharma Deutschland, BPI, Pro Generika) sowie dem PHAGRO | Bundesverband des pharmazeutischen Großhandels (PHAGRO) entwickelt, um die Mindestanforderungen gemäß § 8a BSIG für die folgenden Anlagenkategorien nach der „Verordnung zur Bestimmung Kritischer Infrastrukturen nach dem BSI- Gesetz“ (BSI-KritisV) im Sektor Gesundheit zu definieren:  Produktionsstätte  Betriebs- und Lagerraum  Anlage oder System zum Vertrieb von verschreibungspflichtigen Arzneimitteln Die Verbände der pharmazeutischen Industrie (vfa, Pharma Deutschland, BPI, Pro Generika) sowie der Bundesverband des pharmazeutischen Großhandels (PHAGRO) haben sich regelmäßig mit dem BSI über etwaige Anpassungserfordernisse ausgetauscht. Die Beteiligten kamen auch unter Einbeziehung des Praxisberichts zum B3S-Pharma vom 30.08.2021, der die praktische Anwendung des B3S beleuchtet, zu dem Ergebnis, dass sich der bestehende B3S-Pharma in der praktischen Anwendung bewährt hat. Vor diesem Hintergrund soll auf Basis des etablierten B3S-Pharma erneut die Eignungsfeststellung beantragt werden. Der vorliegende B3S basiert auf den Empfehlungen der „Orientierungshilfe zu Inhalten und Anforderungen an branchenspezifische Sicherheitsstandards (B3S)“, den „Anforderungen nach § 8a Absatz 5 BSIG - Grundsätzliche Anforderungen im Nachweisverfahren (GAiN)“ sowie der „Orientierungshilfe zum Einsatz von Systemen zur Angriffserkennung“ des BSI. Des Weiteren orientiert sich das Dokument an den etablierten Maßnahmen der DIN ISO/IEC 27000-Familie, der DIN ISO/IEC 31000-Familie und ist an die branchenspezifischen Bedürfnisse angepasst. Die Normen sind nicht Bestandteil des vorliegenden B3S. Sollten die Normen durch Anwendende dieses B3S zur Identifizierung weiterer Maßnahmen oder für weitere Erläuterungen herangezogen werden, so sollten die Normen jeweils in der aktuell gültigen Fassung verwendet werden. Im Rahmen der Umsetzung und auch bei der Nachweiserbringung nach BSIG können, sofern vorhanden, bereits etablierte Prozesse und Maßnahmen aus den „Richtlinien für gute Arbeitspraxis“ (GxP, Good x = Anwendungsbereich Practice), wie zum Beispiel dem „Good Manufacturing Practice“ (GMP) genutzt werden. Durch die alleinige Anwendung der Methoden und Anleitungen der GxP wird allerdings kein vollständiges Informationssicherheitsmanagementsystem (ISMS) etabliert. Um ein ISMS im Rahmen dieses B3S Pharma für eine angemessene Umsetzung des BSIG zu nutzen, wird ergänzend auf die Norm DIN ISO/IEC 27001 verwiesen. Fortlaufende Aktualisierungen des B3S Pharma sind aufgrund der Schärfung einiger Regeln durch das BSI und des unterschiedlichen Feedbacks der Marktbeteiligten notwendig. - TLP Amber - Seite III - freigegeben - Änderungshistorie: Version Datum Hinweis 2.2 30.08.2021 Ursprüngliche, freigegebene Version 3.0 07.05.2024 Mit den Vertretern der Verbände abgestimmt 3.0.1 20.06.2024 Anpassung an die Umbenennung der Pharma Deutschland Redaktionelle Anpassungen nach Feedback BSI 3.0.2 25.07.2024 Redaktionelle Anpassungen nach Feedback BBK Tabelle 2 Änderungshistorie - TLP Amber - Seite IV - freigegeben - INHALTSVERZEICHNIS EINLEITUNG II TEIL I 8 GELTUNGSBEREICH, GEFÄHRDUNGSANALYSE UND RISIKOMANAGEMENT 8 1 GELTUNGSBEREICH UND SCHUTZZIELE 9 1.1 Geltungsbereich 9 1.1.1 IT-Systeme, Prozesse und Komponenten 9 1.1.2 Produktionsstätten 11 1.1.3 Betriebs- und Lagerraum 11 1.1.4 Anlage oder System zum Vertrieb von verschreibungspflichtigen Arzneimitteln 11 1.2 Extern erbrachte Leistungen 12 1.2.1 IT-Betrieb 13 1.2.2 Auslagerung von Prozessen oder Teilprozessen der kDL an Externe 14 1.2.3 Lieferkette 14 1.3 Gesetzlicher und regulatorischer Rahmen 14 1.4 Schutzziele 15 1.4.1 KRITIS-Schutzziele 15 1.4.2 Ableitung des KRITIS-IT-Schutzbedarfs aus den KRITIS-Schutzzielen 17 1.5 Anpassungen am Geltungsbereich 18 2 BRANCHENSPEZIFISCHE GEFÄHRDUNGSLAGEN 19 2.1 All-Gefahrenansatz 19 2.2 Branchenspezifische Relevanz von Bedrohungen und Schwachstellen 19 2.2.1 Bedrohungskategorien 19 2.2.2 Schwachstellenkategorien 21 2.3 Benennung von Bedrohungen und Schwachstellen 22 2.3.1 Bedrohungen 22 2.3.2 Schwachstellen 24 3 RISIKOMANAGEMENT UND REIFEGRADBETRACHTUNGEN 26 3.1 Anpassung eines vorhandenen Risikomanagements 26 3.2 Aufbau eines Risikomanagements 27 3.3 Reifegrad- und Umsetzungsgradbetrachtungen 27 TEIL II 29 SICHERHEITSANFORDERUNGEN NACH STAND DER TECHNIK UND VORGEHENSWEISEN 29 4 ABZUDECKENDE THEMEN 30 - TLP Amber - Seite V - freigegeben - 4.1 Allgemeine Anforderungen und Maßnahmen zur Gewährleistung der Informationssicherheit 31 4.1.1 Informationssicherheitsmanagementsystem (ISMS) 31 4.1.2 Asset-Management 32 4.1.3 Vorfallerkennung und -bearbeitung 34 4.1.4 Notfall- und Continuity-Management für die kDL 43 4.1.5 Branchenspezifische Technik 43 4.1.6 Bauliche/physische Sicherheit 43 4.1.7 Überprüfung im laufenden Betrieb 45 4.1.8 Externe Informationsversorgung und Unterstützung 45 4.1.9 Lieferunternehmen, Dienstleistende und Dritte 46 4.1.10 Technische Informationssicherheit 46 4.1.11 Personelle und organisatorische Sicherheit 47 4.2 Spezifische Maßnahmen zur Behandlung der branchenrelevanten Bedrohungen und Schwachstellen 47 4.2.1 Maßnahmen zu A1.1 Hacking und Manipulation und A1.9 Schadprogramme 47 4.2.2 Maßnahmen zu A1.5 Missbrauch (Interne Tatbegehende) 50 4.2.3 Maßnahmen zu A1.6 Ausfall für IT-Betrieb erforderlicher externer Dienstleistender 50 4.2.4 Maßnahmen zu A1.7 Unbefugter Zugriff 50 4.2.5 Maßnahmen zu A1.8 Diebstahl, Verlust, Zerstörung von IT oder IT-relevanten Anlagen und Anlagenteilen sowie A1.13 Beschädigung oder Zerstörung verfahrenstechnischer Komponenten, Ausrüstung und Systeme 51 4.2.6 Maßnahmen zu A1.11 Gezielte Störung/Verhinderung von Diensten und A1.12 Advanced Persistent Threat 51 4.2.7 Maßnahmen zu A1.14 Ausfall von Basisinfrastrukturen mit direktem Bezug zur IT 52 4.2.8 Maßnahmen zu AP.1, AL.1 und AV.1 Verdeckte Manipulationen 52 4.2.9 Maßnahmen zu A2.1 Organisatorische Mängel 52 4.2.10 Maßnahmen zu A2.2 Technische Schwachstellen in Software, Firmware und Hardware 53 4.2.11 Maßnahmen zu A2.3 Technisches Versagen von IT-Systemen, Anwendungen oder Netzen (sowie Verlust von gespeicherten Daten) 54 4.2.12 Maßnahmen zu A2.4 Menschliche Fehlhandlungen, menschliches Versagen 55 4.2.13 Maßnahmen zu A2.5 Infrastrukturelle Mängel 55 4.2.14 Maßnahmen zu A2.6 Verwendung ungeeigneter Netze/Kommunikationsverbindungen, sonstige Schwächen in der Kommunikationsarchitektur 55 4.2.15 Maßnahmen zu A2.7 Verkopplung von Diensten (Beeinträchtigung eines Dienstes durch Störung anderer Dienste) 56 4.2.16 Maßnahmen zu A*2.1 Fehlende Detektion 56 4.2.17 Maßnahmen zu A*2.2 Fehlende Reaktion 56 - TLP Amber - Seite VI - freigegeben - 5 ANWENDUNGSHINWEISE FÜR DEN BETREIBENDEN 57 5.1 Anpassung des branchenspezifischen Sicherheitsstandards durch den Betreibenden 57 5.2 Realisierungsplan des Betreibenden 57 5.3 Fortschreibung und Erfahrungen der Anwendenden 57 5.4 Hinweis zur Prüfung 58 TEIL III 59 NACHWEISBARKEIT DER UMSETZUNG 59 6 NACHWEISBARKEIT DER UMSETZUNG 60 ANHANG A TYPISCHE ABLÄUFE BEI DER HERSTELLUNG VON ARZNEIMITTELN 61 A.1 Herstellung von festen Arzneimitteln (z.B. Tabletten) 61 A.2 Herstellung von flüssigen Arzneimitteln 63 A.3 Herstellung von Blutkonserven 64 ANHANG B TYPISCHE ABLÄUFE BEIM VERTRIEB VON ARZNEIMITTELN 66 B.1 Bestelleingang 66 B.2 Verarbeitung der Bestellung 66 B.3 Vorbereitung der Bestellung zum Versand 66 ANHANG C AUFBAU EINES RISIKOMANAGEMENTS 67 C.1 Gestaltung des Risikomanagements 67 C.2 Risikomanagement als Prozess 68 C.2.1 Identifizierung von Gefährdungen 69 C.2.2 Risikoanalyse 69 C.2.3 Bewertung der Risiken 70 C.2.4 Angemessene Behandlung der Risiken 71 C.2.5 Unterstützende Risikomanagementprozesse 71 C.3 Prozessorientierte Risikoanalyse 72 ANHANG D VERWEISE AUF WEITERE MAßNAHMEN IN DER DIN ISO/IEC 27002 73 D.1 Weitere Maßnahmen für Kapitel 4.1.2 Asset-Management 73 D.2 Weitere Maßnahmen für Kapitel 4.1.3 Vorfallerkennung und -bearbeitung 74 D.3 Weitere Maßnahmen für Kapitel 4.1.4 Notfall- und Continuity-Management für die kDL 74 D.4 Weitere Maßnahmen für Kapitel 4.1.6 Bauliche/physische Sicherheit 75 D.5 Weitere Maßnahmen für Kapitel 4.1.7 Überprüfung im laufenden 76 D.6 Weitere Maßnahmen für Kapitel 4.1.8 Externe Informationsversorgung und Unterstützung 76 D.7 Weitere Maßnahmen für Kapitel 4.1.9 Lieferunternehmen, Dienstleistende und Dritte 77 D.8 Weitere Maßnahmen für Kapitel 4.2.1 Maßnahmen zu A1.1 Hacking und Manipulation und A1.9 Schadprogramme 77 - TLP Amber - Seite VII - freigegeben - D.9 Weitere Maßnahmen für Kapitel 4.2.2 Maßnahmen zu A1.5 Missbrauch (Interne Tatbegehende) 78 D.10 Weitere Maßnahmen für Kapitel 4.2.7 Maßnahmen zu A1.14 Ausfall von Basisinfrastrukturen mit direktem Bezug zur IT 79 D.11 Weitere Maßnahmen für 4.2.9 Maßnahmen zu A2.1 Organisatorische Mängel 79 D.12 Weitere Maßnahmen für 4.2.10 Maßnahmen zu A2.2 Technische Schwachstellen in Software, Firmware und Hardware 80 D.13 Weitere Maßnahmen für 4.2.11 Maßnahmen zu A2.3 Technisches Versagen von IT-Systemen, Anwendungen oder Netzen (sowie Verlust von gespeicherten Daten) 81 D.14 Weitere Maßnahmen für 4.2.12 Maßnahmen zu A2.4 Menschliche Fehlhandlungen, menschliches Versagen 81 D.15 Weitere Maßnahmen für 4.2.13 Maßnahmen zu A2.5 Infrastrukturelle Mängel 81 D.16 Weitere Maßnahmen für 4.2.14 Maßnahmen zu A2.6 Verwendung ungeeigneter Netze/Kommunikationsverbindungen, sonstige Schwächen in der Kommunikationsarchitektur 82 ANHANG E LISTE ZUSÄTZLICHER SZA MAßNAHMEN IN DER PLANUNGSPHASE 83 ANHANG F GLOSSAR 84 - TLP Amber - Seite 8 - freigegeben - TEIL I GELTUNGSBEREICH, GEFÄHRDUNGSANALYSE UND RISIKOMANAGEMENT - TLP Amber - Seite 9 - freigegeben - 1 GELTUNGSBEREICH UND SCHUTZZIELE 1.1 Geltungsbereich Der Geltungsbereich des vorliegenden B3S umfasst die kritischen Dienstleistungen des KRITIS-Sektors Gesundheit für die Produktion, die Lagerung und den Vertrieb verschreibungspflichtiger Arzneimittel zur Anwendung am oder im menschlichen Körper sowie von Blut- und Plasmakonzentraten. Es ist zu berücksichtigen, dass die Anwendung des BSIG den Schutz der Gesamtbevölkerung in Deutschland adressiert. Daher ist die Produktion von Arzneimitteln für das Ausland bei der Bewertung bzw. Bestimmung des Erreichens des Schwellenwertes einer Anlage zur Produktion verschreibungspflichtiger Arzneimittel nicht zu betrachten. Folglich gilt die Anlage eines Arzneimittel-herstellenden Unternehmens, das insgesamt zwar über dem Schwellenwert liegt, sich durch Abzug der Arzneimittel, die für das Ausland hergestellt wurden, aber unterhalb des Schwellenwertes befindet, nicht als kritisch im Sinne des BSIG. Die Anwendung erfolgt in den Bereichen Lager und Vertrieb auf identische Art und Weise, d. h. es werden auch dort allein die verschreibungspflichtigen Arzneimittel in die Bestimmung des Erreichens des Schwellenwertes aufgenommen, die für das Inverkehrbringen in Deutschland vorgesehen sind. In den nachfolgenden Kapiteln werden die einzelnen Anlagen gemäß BSI-KritisV, Anhang 5, Teil 1 beschrieben. Im Rahmen der regulären Anpassungen des B3S wurden in diesem B3S die folgenden Anwendungsschwerpunkte bearbeitet:  Angleichung an die ISO 27001 (2022)  Einarbeitung der OH SzA  Einarbeitung der GaiN  Einarbeitung der aktuellen Bedrohungslage  Kleine Anpassungen an den Maßnahmen 1.1.1 IT-Systeme, Prozesse und Komponenten In den Geltungsbereich fallen die für die Produktion, Lagerung und den Vertrieb von verschreibungspflichtigen Arzneimitteln notwendigen IT-Systeme, Prozesse und Komponenten. In der nachfolgenden Tabelle 4 ist eine Auflistung der kritischen für die Erbringung der kDL eingesetzten IT-Systeme und Komponenten enthalten. Die IT- Systeme und Komponenten sind nach Produktion sowie Lagerung und Vertrieb unterteilt. Die Auflistung muss bei der Anwendung des B3S Pharma individuell geprüft werden, da sie weder vollständig noch allgemeingültig für alle Betreibenden im Bereich Pharma ist. In Tabelle 3 Basis IT/OT-Systeme der kDL werden typische übergreifende IT/OT-Systeme der kDL definiert. Diese sind typischerweise bei fast allen Betreibenden vorzufinden und daher auch zu prüfen. Die Systeme der Priorität 1 sind meist für alle Betreibenden essenziell und sollen daher priorisiert Anwendungshinweis BSIG und KritisV fokussieren sich auf den Schutz von IT-Systemen, Prozessen und Komponenten, die für eine Erbringung der kritischen Dienstleistung durch die kritische Infrastruktur (KRITIS) notwendig sind. Die Meldepflichten des BSIG beziehen sich auf IT-Störungen. Anwendungshinweis 1 Geltungsbereich - TLP Amber - Seite 10 - freigegeben - betrachtet werden. Die Systeme der Priorität 2 können ebenfalls wichtig für die Erbringung der kDL sein. Im Rahmen der Nachweiserbringung muss mit dem Prüfteam der genaue Geltungsbereich festgelegt werden. Die nachfolgenden Listen dienen daher als grobe Richtwerte. Basis IT/OT-Systeme der kDL Übergreifende Systeme  ERP-Anwendung für die Ressourcenplanung (z. B. SAP)  Serialisierungsanwendung  Verzeichnisdienste (z. B. Active Directory)  Speicherprogrammierbare Steuerung (SPS) zur Steuerung und Regelung von Maschinen  Anwendungen zur Überwachung und Steuerung von technischen Prozessen (z. B. ICS)  Systeme zur Angriffserkennung  Infrastruktur o Lokale Netzwerke und Telekommunikation o Übergreifendes Netzwerk (innerhalb eines Standorts oder zwischen verschiedenen Produktionsstätten) o Clients und Server Tabelle 3 Basis IT/OT-Systeme der kDL Typische Kernsysteme der kDL Produktion Lagerung und Vertrieb Priorität 1  Labor-Informations-Management-Systeme (LIMS) für die Datenverarbeitung im analytischen Labor  Produktionsleitsystem (engl.: Manufacturing Execution System, kurz MES) zur Unterstützung des Fertigungs- und Produktionsmanagements  Prozessleitsysteme (PLT) zum Führen verfahrenstechnischer Anlagen  Kühlkette Priorität 2 Priorität 1  Kühlkette  Kommissionierautomat  Lagerhaltungsysteme Priorität 2  Hochregallager  Unterstützende Technik zur Kommissionierung  Notwendige Teile der Warenwirtschaftssysteme sofern diese für die Erbringung der KDL-relevant sind  Gebäudeleittechnik - TLP Amber - Seite 11 - freigegeben -  Verpackungssysteme für die Verpackung der hergestellten Arzneimittel  Qualitätsmanagementsysteme  Gebäudeleittechnik Tabelle 4 Typische Kernsysteme der kDL 1.1.2 Produktionsstätten Unter einer Produktionsstätte für Arzneimittel zur Anwendung im oder am menschlichen Körper wird eine Betriebsstätte verstanden, die auf der Grundlage einer Herstellungserlaubnis nach § 13 des Arzneimittelgesetzes in der jeweils geltenden Fassung Hilfsstoffe und Hilfsmaterialien sowie Wirkstoffe zu verschreibungspflichtigen Arzneimitteln zur Anwendung im oder am menschlichen Körper nach § 48 Absatz 1 des Arzneimittelgesetzes in der jeweils geltenden Fassung verarbeitet. Die einzelnen Produktionsabläufe für feste Arzneimittel, flüssige Arzneimittel sowie Blutkonserven werden beispielhaft in Anhang A dargestellt. Auf weitere Unterformen der Herstellung wird in Anhang A nicht näher eingegangen, diese sind jedoch Bestandteil des B3S. Für die Prüfung gemäß § 8a BSIG müssen die Produktionsstätten des Betreibenden und alle relevanten Dienstleistende berücksichtigt werden, die an der Erbringung der kDL beteiligt sind. Beispielsweise handelt es sich hierbei um herstellende Unternehmen von eingesetzten IT-Komponenten, die Field Service-Tätigkeiten der IT- Komponenten in der Produktionsstätte durchführen. Dabei wird ein Prüfprotokoll pro Produktionsstätte verarbeitet. 1.1.3 Betriebs- und Lagerraum Unter einem Betriebs- und Lagerraum wird eine Einrichtung zur kurzzeitigen Lagerung von verschreibungspflichtigen Arzneimitteln, Blutspenden, Blut- und Plasmaderivaten sowie zur Weiterverarbeitung oder Aufbereitung von Blutspenden und Blut- und Plasmaderivaten zur Anwendung im oder am menschlichen Körper verstanden. Dabei kann beispielsweise ein Warenwirtschaftssystem zum Einsatz kommen, mit dem der Lagerbestand verwaltet wird. Für diverse pharmazeutische Produkte und temperaturkritische Materialien müssen bestimmte klimatische Bedingungen durchgehend eingehalten und nachgewiesen werden. Um diese Kühlkette sicherzustellen, werden beispielsweise Kühlhäuser und Kühl-Akkus eingesetzt. Zudem müssen sowohl die Temperatur als auch die Luftfeuchtigkeit in den Betriebs- und Lagerräumen überwacht und reguliert werden. Die zugehörige Raumüberwachung und Steuerung wird typischerweise durch ein entsprechendes Gebäudeleitsystem und Raum- Monitoring durchgeführt. 1.1.4 Anlage oder System zum Vertrieb von verschreibungspflichtigen Arzneimitteln Unter einer Anlage oder einem System zum Vertrieb von verschreibungspflichtigen Arzneimitteln wird ein Logistikmanagementsystem für den Vertrieb und die Disposition von verschreibungspflichtigen Arzneimitteln zur - TLP Amber - Seite 12 - freigegeben - Anwendung im oder am menschlichen Körper verstanden. Hierzu gehören im Allgemeinen zwei Prozesse: Der Bestellprozess als Teil des Vertriebssystems, beispielsweise über die MSV3 Schnittstelle und der Vertriebsprozess, welcher vom Wareneingang bis zum Warenausgang betrachtet wird. In Anhang B werden beispielhaft die unterschiedlichen, IT-gestützten Prozesse beim Vertrieb von Arzneimitteln beschrieben. 1.2 Extern erbrachte Leistungen In den nachfolgenden Kapiteln werden typische Dienstleistungen beschrieben, die extern vergeben sein können und deren Auslagerung Auswirkungen auf die kDL haben kann. In Abbildung 1 sind typische Schnittstellen zu Dienstleistenden mit potenziellem Einfluss auf die Erbringung der kritischen Dienstleistungen in der Pharmabranche dargestellt. Anwendungshinweis Der jeweilige Betreibende einer Kritischen Infrastruktur im Sinne des BSIG ist für die Umsetzung des § 8a Absatz 1 BSIG in der von ihm betriebenen Kritischen Infrastruktur verantwortlich. Sofern Teile der kritischen Dienstleistung an Dritte ausgelagert sind, liegt die Verantwortung für die Umsetzung des § 8a Absatz 1 BSIG weiterhin beim Betreibenden. Externe Dienstleistende unterliegen in Bezug auf die kDL den gleichen Anforderungen wie die Betreibenden. Anwendungshinweis 2 Verantwortlichkeit für externe Dienstleistende - TLP Amber - Seite 13 - freigegeben - Abbildung 1 Mögliche Schnittstellen zu externen Dienstleistenden mit Einfluss auf die kDL Der Bezug von sonstigen Dienstleistungen gilt nicht als Auslagerung in diesem Sinne, sofern er nicht direkt oder indirekt Teil der kritischen Dienstleistung ist. 1.2.1 IT-Betrieb Der Betrieb oder die Wartung von IT-Systemen, Prozessen und Komponenten kann an Dritte ausgelagert werden. Der Zugriff kann hierbei über diverse Schnittstellen und auf verschiedenste Weise erfolgen, wie zum Beispiel über ein Virtual Private Network (VPN). Folgende IT-Systeme, Prozesse und Komponenten könnten beispielsweise ausgelagert sein:  Rechenzentrum Der Betrieb eines Rechenzentrums kann an Rechenzentrumsbetreibende ausgelagert sein. Je nach Bedarf können unterschiedliche Betriebsmodelle gewählt werden. Einerseits kann es sich um eine reine Auslagerung der Hardware handeln, bei der die Verwaltung der Systeme und Software weiterhin durch den Betreibenden erfolgt. Andererseits können aber auch administrative Tätigkeiten vollständig oder in Teilen an Rechenzentrumsbetreibende ausgelagert werden.  Cloud Über eine Cloud können virtualisierte Komponenten, Entwicklungsplattformen und/oder Anwendungen für eine Unterstützung der kDL bezogen werden. Beispielsweise kann ein ERP-System in der Cloud betrieben werden.  IT-Dienstleistung - TLP Amber - Seite 14 - freigegeben - Externe IT-Dienstleistende oder -herstellende Unternehmen können bei der Administration und/oder beim IT-Betrieb unterstützen. Hierbei ist zwischen einer Fernadministration und einer Administration vor Ort zu unterscheiden. Hierzu zählen unter anderem Auslagerungen im Bereich der Automationstechnik.  Internetzugang Typischerweise wird der Internetzugang durch eine externe Firma bereitgestellt. Er ist eine wichtige Schnittstelle für kritische IT-gestützte Systeme und Prozesse, wie zum Beispiel beim Bestellprozess über die MSV3 Schnittstelle.  Dienstleistungen in Bezug auf die Systeme zur Angriffserkennung Im Bereich der Detektion von Sicherheitsvorfällen können ggf. externe IT-Dienstleistende genutzt werden, welche die gesammelten Protokollierungsdaten auswerten. 1.2.2 Auslagerung von Prozessen oder Teilprozessen der kDL an Externe Es können durch die Betreibenden Prozesse oder Teilprozesse zur Erbringung der kDL ausgelagert werden. Beispielsweise kann dies durch eine Herstellfirma bei der Lagerung von Arzneimitteln vorgenommen werden. Hierbei muss im Einzelfall geprüft werden, bei wem die Verantwortung für die Erfüllung der gesetzlichen Vorgaben im Hinblick auf die kDL liegt. 1.2.3 Lieferkette Die Lieferkette muss im Rahmen anderer regulatorischer Anforderungen betrachtet werden, sofern diese für den Betreiber relevant sind. Diese Anforderungen sollten im Rahmen eines, über KRITIS hinausgehenden, Business Continuity Management Systems (BCMS) betrachtet werden. Folglich müssen für die Produktion alle IT-Systeme, Prozesse und Komponenten, die sich ausschließlich mit der Beschaffung und Verfügbarkeit von pharmazeutischen Rohstoffen und Arzneimitteln beschäftigen, nicht berücksichtigt werden. Das gilt selbst dann, wenn diese Rohstoffe zur Erbringung der kDL, also beispielsweise zur Herstellung von rezeptpflichtigen Medikamenten, essenziell sind. Für die Lagerung und den Vertrieb gilt dies entsprechend für verschreibungspflichtige Arzneimittel. Die IT-Systeme, Prozesse und Komponenten des Wareneingangs1 müssen weiterhin betrachtet werden. Wird hingegen dasselbe System für KRITIS-relevante und nicht KRITIS-relevante Dienstleistungen verwendet, so muss es als relevantes System klassifiziert werden. 1.3 Gesetzlicher und regulatorischer Rahmen Es werden die spezifischen Anforderungen aus § 8a Absatz 1 BSIG berücksichtigt. Weitere gesetzliche und regulatorische Maßnahmen sind unter anderem die Folgenden:  Gesetz über den Verkehr mit Arzneimitteln (Arzneimittelgesetz, AMG)2 – Dieses Gesetz regelt den Verkehr mit Arzneimitteln. Es definiert Anforderungen an die Arzneimittel und reguliert unter anderem deren Herstellung, Sicherung, Qualitätskontrolle und Überwachung.  Die Arzneimittelhandelsverordnung (AM-HandelsV)  Die Arzneimittel- und Wirkstoffherstellungsverordnung (AMWHV)3 – Hierbei handelt es sich um eine 1 Hierbei ist gemeint, dass der Verantwortungsbereich „ab der Bordsteinkante“ beginnt. 2 https://www.gesetze-im-internet.de/amg_1976/ (letzter Zugriff: 12.02.2024) 3 http://www.gesetze-im-internet.de/amwhv/ (letzter Zugriff: 12.02.2024) - TLP Amber - Seite 15 - freigegeben - Durchführungsverordnung des AMG in Deutschland.  Richtlinie 2011/62/EG4 vom 8. Juni 2011 – Fälschungsrichtlinie in Verbindung mit der Delegierten Verordnung (EU) 2016-1615, durch die ab Anfang 2019 die Kennzeichnung von Arzneimittelverpackungen verpflichtend geworden ist.  IT-Sicherheitsgesetz 2.0 (IT-Sig 2.0) vom 23.04.2021  Orientierungshilfe zu Inhalten und Anforderungen an branchenspezifische Sicherheitsstandards (B3S) gemäß § 8a Absatz 2 BSIG vom 23.02.2024  Orientierungshilfe zum Einsatz von Systemen zur Angriffserkennung vom 26.09.2022  Orientierungshilfe zu Nachweisen gemäß § 8a Absatz 3 BSIG vom 12.05.2023  Anforderungen nach § 8a Absatz 5 BSIG - Grundsätzliche Anforderungen im Nachweisverfahren (GAiN)  BSI KRITIS Verordnung (BSI-KritisV) vom 01.01.2024 1.4 Schutzziele Die für KRITIS zu betrachtenden IT-Schutzziele sind Vertraulichkeit, Integrität, Authentizität und Verfügbarkeit von Informationen und IT-Systemen, Komponenten und Prozessen. Diese müssen für die kDL zusätzlich zu den anderen relevanten Gesetzen und Anforderungen betrachtet werden. 1.4.1 KRITIS-Schutzziele Die KRITIS-Schutzziele für die kDL müssen zusätzlich zu allen relevanten Gesetzen und Anforderungen erfüllt werden. Für den Fall, dass bestehende Gesetze der Erhaltung der Versorgungssicherheit widersprechen, ist eine Lösung mit dem BSI und der zuständigen Aufsichtsbehörde abzustimmen. Unter Verfügbarkeit wird die Wahrscheinlichkeit der IT-Systeme, Prozesse und Komponenten sowie der mit ihnen verarbeiteten Daten verstanden, eine Aufgabe in der gewünschten Qualität und innerhalb des definierten Zeitrahmens zu erfüllen. Integrität bezeichnet die Sicherstellung der Korrektheit und Unversehrtheit selbiger. Unter Authentizität versteht man die Sicherstellung der Echtheit, Überprüfbarkeit und Vertrauenswürdigkeit beispielsweise einer Kommunikationsperson oder eines Rezeptes. Vertraulichkeit bezeichnet den Schutz vor unbefugter Preisgabe von Informationen. Die Besonderheit bei den KRITIS-Schutzzielen besteht darin, dass der Fokus auf der Versorgungssicherheit der Bevölkerung und damit auf der Funktionsfähigkeit der kritischen Dienstleistung liegt und nicht auf Aspekten wie Image, Knowhow oder monetären Schäden des Betreibenden. Daraus resultierend ist die Relevanz der KRITIS- Schutzziele zumeist in absteigender Reihenfolge: Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit. Für die Pharmabranche leitet sich die Versorgungssicherheit von der Annahme eines Durchschnittsverbrauchs von 9,3 Packungen verschreibungspflichtiger Arzneimittel pro versorgter Person pro Jahr und eines Regelschwellenwertes von 500.000 versorgten Personen ab (gemäß KritisV Anhang 5 Teil 2 Nr. 7). Ein signifikantes Unterschreiten führt oft zu einem Versorgungsengpass. Dieser hängt von verschiedenen Faktoren ab und wird anhand einiger Anwendungsbeispiele in Kapitel 5 dargelegt. Zusätzlich zur Verfügbarkeit der kDL im Allgemeinen wird auch festgelegt, welche Mindestqualität die kDL vorweisen muss. Ein Produkt unterschreitet die Mindestqualität, wenn es aufgrund von Richtlinien oder Gesetzen 4 https://eur-lex.europa.eu/LexUriServ/LexUriServ.do?uri=OJ:L:2011:174:0074:0087:DE:PDF (letzter Zugriff: 12.02.2024) 5 https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=celex%3A32016R0161 (letzter Zugriff: 12.02.2024) - TLP Amber - Seite 16 - freigegeben - nicht mehr verwendet oder in Umlauf gebracht werden darf oder seine Wirksamkeit nicht mehr im notwendigen Maß gegeben ist. Die Schutzziele sind zunächst unabhängig von der hierfür benötigten IT. Die folgende Liste enthält beispielhafte Anlagentypen mit ihren spezifischen Prozessen und muss durch den Anwendenden des B3S Pharma auf seine spezifischen Gegebenheiten angepasst und erweitert werden. Anlagen oder Systeme zur Produktion: Alle IT-Systeme, Prozesse und Komponenten, die für die Produktion notwendig sind, sollen so arbeiten, dass folgende Schwellenwerte nicht überschritten werden:  Ausfall von 50 % der üblichen Liefermenge einer Kalenderwoche  Ausfall von 15 % der üblichen Liefermenge eines Kalendermonats  Ausfall von 5 % der üblichen Liefermenge eines Kalenderjahres Die übliche Liefermenge muss, gemessen am entsprechenden Vorjahreszeitraum, mindestens den Schwellenwert der jeweiligen Anlage gemäß KritisV Anhang 5 Teil 3 erreichen oder überschreiten. Dazu muss Folgendes erfüllt sein:  Die Produktionssysteme sowie die erforderlichen Begleitprozesse müssen so arbeiten, dass die genannten Werte zur Liefermenge eingehalten werden können.  Die IT-Systeme der Freigabe- und Qualitätsabnahme-Prozesse müssen insoweit korrekt arbeiten, dass die genannten Werte zur Liefermenge nicht unterschritten werden.  Die IT-Systeme zur Unterstützung von Lagerwirtschaft und Transport müssen insofern korrekt arbeiten, dass durch sie keine Verzögerung des Verlassens der Produkte des Lagers entsteht, die zur Überschreitung der oben genannten Werte führt. Alle IT-Systeme, Prozesse und Komponenten, die für die Produktion notwendig sind, müssen insofern korrekt arbeiten, dass die festgelegten Spezifikationen für die Qualität der kDL eingehalten werden. Da die Spezifikationen für jedes Produkt der kDL unterschiedlich sind, wird auf die Verwendung von quantitativen Aussagen zur Qualität in diesem B3S verzichtet. Zu den Paramatern, die den Spezifikationen entnommen werden müssen, gehören unter anderem:  die Toleranzgrenzen für die Einhaltung der Rezeptur,  die Grenzwerte für die Temperatur und Luftfeuchtigkeit und  die notwendige Sterilität der Anlagen. Anwendungshinweis Wenn die Qualität eines Produktes aufgrund eines IT-Ausfalls nicht der Spezifikation entspricht, muss die zugehörige Produktion wie ein Produktionsausfall gewertet werden und unterliegt damit den Grenzwerten für die Verfügbarkeit. Die zulässige Ausfallzeit der Anlagen verlängert sich um die Dauer, die ein Produktionsausfall durch nicht gesetzlich vorgeschriebene Lagerbestände kompensiert werden kann. Anwendungshinweis 3 Qualität der kDL & Lagerbestände - TLP Amber - Seite 17 - freigegeben - Betriebs- und Lagerraum: Betriebs- und Lagerräume sollen so ausgelegt sein, dass durch sie keine Verzögerungen oder Fehler beim Verlassen der Produkte des Lagers entstehen, die zur Unterschreitung der Schwellenwerte für die Produktion oder den Vertrieb führen. Die Betriebs- und Lagerräume müssen die jeweiligen Spezifikationen zu den Umgebungsbedingungen der Produkte der kDL erfüllen. Betriebs- und Lagerräume müssen die Bestimmungen zur Umgebungsüberwachung einhalten. Anlagen oder Systeme zum Vertrieb: Alle IT-Systeme, Prozesse und Komponenten, die für den Vertrieb notwendig sind, sollen so arbeiten, dass folgende Schwellenwerte nicht überschritten werden:  Ausfall von 50 % der üblichen Liefermenge einer Kalenderwoche  Ausfall von 15 % der üblichen Liefermenge eines Kalendermonats  Ausfall von 5 % der üblichen Liefermenge eines Kalenderjahres Die Prozentwerte sind jeweils bezogen auf die Menge der ausgelieferten Packungen verschreibungspflichtiger Arzneimittel (kurz: RX-Packungen) des letzten Kalenderjahres. Dazu muss Folgendes erfüllt sein:  Das Bestellsystem muss so arbeiten, dass eine eingehende Bestellung in der notwendigen Güte verarbeitet werden kann.  Es muss immer mindestens ein Kommunikationsweg zur Übermittlung von eingehenden Bestellungen funktionsfähig sein.  Die Systeme zur Unterstützung von Lagerwirtschaft und Transport müssen insofern korrekt arbeiten, dass durch sie keine Verzögerung des Verlassens der Produkte des Lagers entsteht, die zur Überschreitung der oben genannten Werte führt. 1.4.2 Ableitung des KRITIS-IT-Schutzbedarfs aus den KRITIS-Schutzzielen Im Folgenden wird aus den im Kapitel 1.4.1 identifizierten KRITIS-Schutzzielen beispielhaft der KRITIS-IT- Schutzbedarf hergeleitet. Von den vier KRITIS-IT-Schutzbedarfskategorien Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit (VIVA) wurden die drei erstgenannten oftmals als wesentlicher KRITIS-IT-Schutzbedarf Anwendungshinweis Die Schutzziele sollten bei der Anwendung des B3S Pharma so angesetzt werden, dass durch einen IT-Vorfall mit KRITIS-Bezug ein zu meldender KRITIS-Vorfall entsteht, bevor der IT-Vorfall bestandsgefährdend für das Unternehmen wird. Denn ein wirtschaftliches Aus des Betreibenden stellt einen Totalausfall der kritischen Dienstleistung dar. Daher kann das Fortbestehen des Betriebes auch als KRITIS-Schutzziel gesehen werden. Anwendungshinweis 4 Ansetzen der Schutzziele - TLP Amber - Seite 18 - freigegeben - identifiziert. Für die oben identifizierten Schutzziele wurde Vertraulichkeit hingegen als nur gelegentliche KRITIS- IT-Schutzbedarfskategorie für den Bereich Pharma identifiziert. Daraus resultierend ist die Relevanz der KRITIS- Schutzziele zumeist in absteigender Reihenfolge: Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit. Die Vertraulichkeit dient vorrangig dem Schutz von Informationen, die verwendet werden könnten, um die relevanten IT-Systeme zu kompromittieren, wie beispielsweise Zugangsdaten bzw. Passwörter. Die KRITIS-IT-Schutzbedarfskategorien, resultierend aus den KRITIS-Schutzzielen, lauten wie folgt:  Die Integrität der verarbeiteten Informationen und der kritischen, IT-gestützten Systeme muss sichergestellt werden. Beispielsweise muss die Integrität von Rezepturen, sowohl für die automatisierte, als auch die manuelle Einwaage sichergestellt werden, da auch bei der manuellen Einwaage Fehler auftreten können, wenn die zugrundeliegende Rezeptur fehlerhaft ist.  Die Authentizität der IT-Systeme, Prozesse, Komponenten und Personen, die an der IT-gestützten Erbringung der kDL beteiligt sind, muss sichergestellt werden.  Die Verfügbarkeit der zu schützenden Informationen und der kritischen, IT-gestützten Systeme muss sichergestellt werden. Hierbei muss die Verfügbarkeit der in Tabelle 4 genannten IT-gestützten Systeme gewährleistet sein, sofern diese für die Erbringung der kDL notwendig sind.  Die Vertraulichkeit von Authentisierungsdaten der IT-Systeme und Komponenten, die an der IT- gestützten Erbringung der kDL beteiligt sind, muss sichergestellt werden. 1.5 Anpassungen am Geltungsbereich Bei der Anwendung dieses B3S müssen die enthaltenen Informationen und Maßnahmen auf ihren jeweiligen Geltungsbereich und ihre spezifischen Gegebenheiten angepasst werden. Dies kann sich auf den Umfang der Risikoanalyse sowie der umzusetzenden Maßnahmen auswirken. Falls es zum Erreichen des „Stand der Technik“ notwendig ist, kann es auch erforderlich sein, weiterführende Maßnahmen umzusetzen. Anwendungshinweis Um die Risikoanalyse und -bewertung zu vereinfachen und da die meisten Informationssicherheitsmanagementsysteme nur die Schutzziele Integrität, Vertraulichkeit und Verfügbarkeit kennen, kann die Authentizität im Rahmen der Integrität mitberücksichtigt werden. Anwendungshinweis 5 Betrachtung Schutzziel Authentizität - TLP Amber - Seite 19 - freigegeben - 2 BRANCHENSPEZIFISCHE GEFÄHRDUNGSLAGEN 2.1 All-Gefahrenansatz Der All-Gefahrenansatz beschreibt die Berücksichtigung aller bekannten Gefährdungen für IT-Systeme, Prozesse und Komponenten gleichermaßen. Dabei müssen mindestens die in Kapitel 2.2 genannten Bedrohungen und Schwachstellen behandelt werden. 2.2 Branchenspezifische Relevanz von Bedrohungen und Schwachstellen Die in der B3S-Orientierungshilfe6 empfohlenen Bedrohungs- (Anhang 5.1) und Schwachstellenkategorien (Anhang 5.2) basieren auf den im Lagebild des BSI7 verwendeten Gefährdungskategorien. Die folgenden Abschnitte konkretisieren diese für den Pharma-KRITIS-Bereich, müssen aber noch bei der Anwendung des B3S Pharma anhand der spezifischen Gegebenheiten präzisiert werden. Die im Rahmen der Lagebewertung des BSI festgestellten besonders zu berücksichtigenden Bedrohungsszenarien (Anhang 5.3) wurden im Rahmen dieser Bewertung mit einbezogen. 2.2.1 Bedrohungskategorien Die folgenden Abschnitte konkretisieren die allgemein beschriebenen Kategorien der B3S Orientierungshilfe für den Pharma-Bereich. Zudem geben sie eine initiale Einschätzung der Relevanz für die Erbringung der kDL an. Die Einschätzung und genauen Auswirkungen müssen aber noch bei der Anwendung des B3S Pharma anhand der spezifischen Gegebenheiten geprüft und präzisiert werden. Nr. Bedrohung Relevanz Erläuterungen zur Relevanzeinschätzung A 1.1 Hacking und Manipulation hoch Bei Manipulation von Systemen, die für Produktion, Lagerung oder Vertrieb von Arzneimitteln kritisch sind. A 1.2 Terroristische Akte (physisch mit Wirkung auf die IT oder direkt IT- bezogen) gering Klassische terroristische Akte würden nicht unbedingt primär die IT betreffen (siehe A 1.1). A 1.3 Naturgefahren mit Wirkung auf die IT gering bis hoch Dies stellt im Geltungsbereich des B3S Pharma eine indirekte Bedrohung dar, da Naturgefahren auch direkt nicht-IT bedrohen. Kann unter A 1.14 subsumiert werden. 6 Orientierungshilfe zu Inhalten und Anforderungen an branchenspezifische Sicherheitsstandards (B3S) gemäß § 8a Absatz 2 BSIG (Handlungsempfehlung für Autoren, Betreiber und Prüfer), Version 1.1 vom September 2021 https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/KRITIS/oh-b3s.pdf?__blob=publicationFile&v=6 (letzter Zugriff: 12.02.2024) 7 https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/Lageberichte/Lagebericht2023.html?nn =129410 (letzter Zugriff: 12.02.2024) - TLP Amber - Seite 20 - freigegeben - A 1.4 A 1.10 Identitätsmissbrauch (Phishing, Skimming, Zertifikatsfälschung) Social Engineering hoch Phishing und Social Engineering stellen speziell im Bereich der Fernwartung eine Bedrohung dar. Sonderfall von A 1.7. A 1.5 Missbrauch (interne Tatbegehende) hoch Mit wachsender Anzahl und Abhängigkeit von IT-gestützten Prozessen (typischerweise abhängig von der Betriebsgröße) können interne Tatbegehende einfacher und mehr Schaden durch Angriffe auf die IT verursachen als durch „nicht IT-gestützte Angriffe“, wie das physische Zerstören einzelner Systeme und Komponenten. A 1.6 Abhängigkeiten von Dienstleis- tenden und Herstellfirmen (Ausfall für IT-Betrieb erforderlicher externer Dienstleistender, unberechtigter Zugriff, versteckte Funktionen in Hard- und Software) hoch Aufgrund der hohen Verfügbarkeits- anforderungen ist insbesondere der Ausfall eine Bedrohung. Unberechtigter Zugriff wird unter A 1.4/A 1.10 bzw. A 1.7 betrachtet. A 1.7 Unbefugter Zugriff hoch Bei Zugriff auf Systeme, die für Produktion, Lagerung oder Vertrieb von Arzneimitteln kritisch sind. A 1.8 A 1.13 Manipulation, Diebstahl, Verlust, Zerstörung von IT oder IT- relevanten Anlagen und Anlagenteilen Beschädigung oder Zerstörung verfahrenstechnischer Komponenten, Ausrüstungen und Systeme hoch Aufgrund der starken Abhängigkeit bestimmter Prozesse von wenigen IT- Systemen. Manipulation kann abweichend in A 1.1/A 1.9 betrachtet werden. A 1.9 Schadprogramme mittel Die Auswirkungen von Schadprogrammen in der Pharmabranche sind vergleichbar mit anderen KRITIS-Sektoren. Bedrohungen durch Schadprogramme können daher unter A 1.1 mit behandelt werden. A 1.11 Gezielte Störung/Verhinderung von Diensten gering bis hoch Abhängig vom Vernetzungsgrad der kritischen Systeme. A 1.12 Advanced Persistent Threat (APT) hoch APTs können dazu verwendet werden, um spätere Manipulationen oder gezielte Unterbrechungen der kDL vorzubereiten. - TLP Amber - Seite 21 - freigegeben - A 1.14 Ausfall von Basisinfrastrukturen mit direktem Bezug zur IT (Sekundäreffekte, z. B. Strom und Telekommunikation) hoch Ohne die Basisinfrastruktur kann eine kDL der Pharma-Branche nicht in ausreichender Quantität erbracht werden. Tabelle 5 Bedrohungskategorien 2.2.2 Schwachstellenkategorien Alle in der Orientierungshilfe genannten Schwachstellen sind für den B3S Pharma relevant, wobei die Kritikalität von A 2.6 und A 2.7 vom Betriebsmodell abhängt. Nr. Bedrohung Relevanz Pharma-spezifisch A 2.1 Organisatorische Mängel hoch Diese können die Effektivität aller weiteren Maßnahmen unterhöhlen. A 2.2 Technische Schwachstellen in Software, Firmware und Hardware hoch Diese bieten den Einstiegspunkt für verschiedene Arten von Angriffen. A 2.3 Technisches Versagen von IT- Systemen, Anwendungen oder Netzen (sowie Verlust von gespeicherten Daten) hoch Aufgrund der hohen IT-Unterstützung bei kDL- relevanten Systemen und Prozessen sowie der hohen Verfügbarkeitsanforderungen sind IT- Ausfälle als kritisch anzusehen. A 2.4 Menschliche Fehlhandlungen, menschliches Versagen hoch Diese können im Geltungsbereich des B3S Pharma weitreichende Folgen haben, falls nur an wenigen Stellen organisatorische oder technische Gegenmaßnahmen wie das 4- Augen-Prinzip umgesetzt sind. A 2.5 Infrastrukturelle Mängel (baulich, Versorgung mit Strom etc.) hoch Ausfälle der Infrastruktur beeinträchtigen direkt die kDL und sind aufgrund der Verfügbarkeitsanforderungen von hoher Relevanz. A 2.6 Verwendung ungeeigneter Netze/ Kommunikationsverbindungen, sonstige Schwächen in der Kommunikationsarchitektur gering bis hoch Die Kritikalität hängt vom gewählten Betriebsmodell ab. Komplexe und/oder stark vernetzte Kommunikationsarchitekturen haben ein höheres Risiko als eine einfache Umgebung. A 2.7 Verkopplung von Diensten (Beeinträchtigung eines Dienstes durch Störung anderer Dienste) gering bis hoch Die Kritikalität hängt vom gewählten Betriebsmodell ab. Komplexe und/oder stark vernetzte Dienste haben ein höheres Risiko als eine einfache Umgebung. Tabelle 6 Schwachstellenkategorien - TLP Amber - Seite 22 - freigegeben - 2.3 Benennung von Bedrohungen und Schwachstellen Die nachfolgend aufgeführten Bedrohungen und Schwachstellen sind im Bereich der Produktion, der Lagerung und des Vertriebs von Arzneimitteln mindestens zu betrachten und zu bewerten. Die Listen sind nicht abschließend und ersetzen nicht, dass Betreibende ggf. zusätzlich erforderliche Themen berücksichtigen, wenn sich dies aus ihren kritischen Dienstleistungen, Prozessen, einer spezifischen Bedrohungslage oder ihrer IT- Infrastruktur ergibt. 2.3.1 Bedrohungen Nr. Bedrohung Beschreibung A 1.1 A 1.9 Hacking und Manipulation Schadprogramme Zu betrachten sind jegliche möglichen Manipulationen, die einen negativen Einfluss auf die kDL haben können. Die in Tabelle 4 genannten IT-Systeme und Prozesse können hiervon beispielsweise betroffen sein. Dabei sind versehentliche sowie insbesondere auch gezielte Manipulationen zu betrachten, einschließlich Manipulationen durch Schadsoftware. A 1.5 Missbrauch (Interne Tatbegehende) Zu bewerten sind mindestens die Szenarien, in welchen interne Tatbegehende einen Schaden an kritischen IT- gestützten Systemen einfach (mit weniger Aufwand) oder mit einem geringen Entdeckungsrisiko anrichten könnte. A 1.6*8 Ausfall für IT-Betrieb erforderlicher externer Dienstleistender Zu betrachten sind alle für kritische (Teil-) Dienstleistungen unabdingbaren Dienstleistenden in allen kritischen Kooperationsschritten. A 1.7 Unbefugter Zugriff Zu betrachten ist mindestens der Zugriff auf Systeme, die für Produktion, Lagerung oder Vertrieb von Arzneimitteln kritisch sind (siehe A 1.1/A 1.9). Zusätzlich ist das Szenario von Phishing und Social Engineering im Bereich der Fernwartung zu bewerten, sofern und wo eine solche genutzt wird oder werden kann. A 1.8* A 1.13 Diebstahl, Verlust, Zerstörung von IT oder IT-relevanten Anlagen und Anlagenteilen Beschädigung oder Zerstörung verfahrenstechnischer Komponenten, Ausrüstungen und Systeme Für alle für die Aufrechterhaltung der kDL notwendigen IT- gestützten Systeme, IT-relevanten Anlagen und Anlagenteile sowie alle relevanten verfahrenstechnischen Komponenten, Ausrüstungen und Systeme sind folgende Szenarien zu betrachten und zu bewerten:  Verlust (z. B. Diebstahl)  Zerstörung oder Beschädigung (z. B. Vandalismus oder Fehlkonfiguration) 8 Der Stern (*) kennzeichnet Anpassungen der ursprünglichen Bedrohung aus der Orientierungshilfe. - TLP Amber - Seite 23 - freigegeben - A 1.11 Gezielte Störung/Verhinderung von Diensten Abhängig vom Vernetzungsgrad der kritischen Systeme ist die Bedrohung durch gezielte Störung/Verhinderung von Diensten für alle exponierten9 Systeme und Anwendungen der kDL zu betrachten. A 1.12 Advanced Persistent Threat (APT) Bei der Bewertung der übrigen Bedrohungen ist zu berücksichtigen, dass bei einem Angriff per APT bereits kritische Daten (z. B. Passwörter oder Schlüsselmaterial) exfiltriert worden sein könnten oder möglicherweise eine dauerhafte Präsenz auf einem oder mehreren kritischen IT- Systemen (mit oder ohne direkter Möglichkeit zur Fernsteuerung (C&C)) eingerichtet wurde. (Beispiel: Stuxnet10, APT zur verdeckten Manipulation von Zentrifugen) A 1.14 Ausfall von Basisinfrastrukturen mit direktem Bezug zur IT (Sekundäreffekte, z. B. Strom und TK) Für alle IT-Systeme und Anwendungen ist der Ausfall folgender Basisinfrastrukturen zu bewerten:  Strom  TK  Netzwerk A* P.1 Verdeckte Manipulation von Produktion und PLT/Qualitätskontrolle Zu betrachten ist die Gefahr einer komplexen IT- Manipulation des Produktionsprozesses (z. B. Rezeptur, SPS, Einwaage) bei gleichzeitiger Täuschung von PLT und/oder Qualitätskontrolle, sodass die fehlerhaften Produkte nicht bemerkt werden. A* L.1 Verdeckte Manipulation von Warenwirtschaft/MFR/Lagersystem und Cross-Checks Zu betrachten ist die Gefahr einer komplexen IT- Manipulation des Lagerprozesses (z. B. Warenwirtschaft, MFR oder Lagersystem) bei gleichzeitiger Täuschung existierender Cross-Checks und/oder der Qualitäts- kontrolle, sodass die mangelnde Funktionsfähigkeit im Normalbetrieb nicht bemerkt wird, sondern erst im Krisen- /Notfall. A* V.1 Verdeckte Manipulation des Logistikprozesses Zu betrachten ist die Gefahr einer komplexen IT- Manipulation des Vertriebsprozesses (z. B. Logistiksystem, MFR, ERP), sodass die mangelnde Funktionsfähigkeit im Normalbetrieb nicht bemerkt wird, sondern erst im Krisen- /Notfall. Tabelle 7 Bedrohungen 9 „Exponiert“ meint hier jegliche Systeme mit Außenschnittstelle. Dies umfasst etwa auch Systeme mit Funkschnittstellen (beispielsweise Handscanner). 10 http://www.langner.com/en/wp-content/uploads/2013/11/To-kill-a-centrifuge.pdf (letzter Zugriff: 12.02.2024) - TLP Amber - Seite 24 - freigegeben - 2.3.2 Schwachstellen Alle in der Orientierungshilfe genannten Schwachstellen sind für den B3S Pharma relevant, wobei die Kritikalität von A 2.6 und A 2.7 vom Betriebsmodell abhängt. Die spezifische Kritikalität ist durch den Betreibenden begründet festzulegen. Nr. Schwachstelle Beschreibung A 2.1 Organisatorische Mängel Alle Prozesse sind auf Mängel zu prüfen, welche die IT- Sicherheit bzw. die Effektivität von IT- Sicherheitsmaßnahmen untergraben können. Dabei sind insbesondere auch fehlende organisatorische Regelungen festzustellen und zu bewerten. A 2.2 Technische Schwachstellen in Software, Firmware und Hardware Sicherheitslücken aller Art von Software, Firmware und Hardware sind zu berücksichtigen und zu bewerten, sofern sie die kDL beeinträchtigen können. Als besonders kritisch sind hier Altsysteme (engl. Legacy-System) oder Industriesysteme zu sehen. A 2.3 Technisches Versagen von IT- Systemen, Anwendungen oder Netzen (sowie Verlust von gespeicherten Daten) Zu betrachten ist ein mögliches technisches Versagen  von Systemen/Anwendungen in A 1.1,  von Netzen, welche für die kDL benötigt werden und  der primären Speichersysteme, verbunden mit dem Verlust aller o Rezepturen, o Logistikdaten, o Qualitätsdaten sowie o Kunden-/Partnerdaten. A 2.4 Menschliche Fehlhandlungen, menschliches Versagen Bei allen kritischen Prozessschritten ist die Möglichkeit menschlichen Versagens mit dem schlimmsten möglichen Fall zu bewerten. A 2.5 Infrastrukturelle Mängel (baulich, Versorgung mit Strom etc.) Aufgrund der Verfügbarkeitsanforderungen sind alle infrastrukturellen Mängel zu betrachten, die mit einer der Bedrohungen in 2.3.1 zusammenhängen. A 2.6 Verwendung ungeeigneter Netze/Kommunikationsverbindungen, sonstige Schwächen in der Kommunikationsarchitektur Je nach Betriebsmodell sind die Schwachstellen in der Absicherung folgender Bereiche zu betrachten:  Datenschnittstellen zu externen Dienstleistenden  Netze für Wartung durch Dritte  Schnittstellen zu Auftraggebende/Versorgungsempfangenden - TLP Amber - Seite 25 - freigegeben -  Schnittstellen zu Partnerinnen und Partner  Netze für Versorgung durch Dritte A 2.7 Verkopplung von Diensten (Beeinträchtigung eines Dienstes durch Störung anderer Dienste) Je nach Betriebsmodell sind die Schwachstellen in der Absicherung folgender Bereiche zu betrachten:  durch Dritte betriebene IT  externes RZ  Wartung durch Dritte  sonstige ausgelagerte (Teil-)Prozesse  Versorgung durch Dritte A* 2.1 Fehlende Detektion Bei mangelnder Detektion kann ein Angriff lange Zeit vorbereitet und geübt werden, sodass im entscheidenden Moment besonders effektiv zuschlagen werden kann. A* 2.2 Fehlende Reaktion Bei mangelnder Fähigkeit zur Reaktion auf IT- Sicherheitsvorfälle kann im Ernstfall die kDL nicht in notwendigem Umfang oder schnell genug wiederhergestellt werden. Tabelle 8 Schwachstellen - TLP Amber - Seite 26 - freigegeben - 3 RISIKOMANAGEMENT UND REIFEGRADBETRACHTUNGEN Im Rahmen des ISMS (siehe Kapitel 4.1.1) ist ein auf die in Kapitel 1.4.1 genannten KRITIS-Schutzziele ausgerichtetes Risikomanagement zu etablieren und zu betreiben. Der Risiko-Begriff beschreibt eine noch nicht eingetretene Unsicherheit in Bezug auf zuvor definierte Ziele. Dabei wirkt ein Risiko entweder als Chance oder als Gefahr. Im Kontext dieses Dokuments wird auf negative Auswirkungen (Gefahren) im Hinblick auf Versorgungsengpässe für verschreibungspflichtige Arzneimittel eingegangen. Somit ist das zu erreichende Ziel, eine möglichst hohe Versorgungssicherheit zu gewährleisten. Durch den Einsatz von Sicherheitsmaßnahmen können teilweise neue Risiken entstehen. Daher sollten im Rahmen der Risikoanalyse auch geplante Maßnahmen betrachtet werden. Im nachfolgenden Kapitel 3.1 werden die notwendigen Anpassungen eines vorhandenen Risikomanagements beschrieben. Sofern noch kein Risikomanagement in der Organisation etabliert ist, wird in Anhang C ein pragmatisches Risikomanagement erläutert. 3.1 Anpassung eines vorhandenen Risikomanagements Sofern bereits ein Risikomanagement etabliert ist, kann dieses auch auf die in Kapitel 1.4.1 genannten KRITIS- Schutzziele und die Ausrichtung des Risikomanagements nach KRITIS angepasst werden. Nachfolgend wird auf einzelne Aspekte des Risikomanagements für KRITIS eingegangen, für die unter Umständen das bestehende Risikomanagement anzupassen ist. Der Geltungsbereich des Risikomanagements muss alle für die Erbringung der kDL-relevanten IT-Systeme, Prozesse und Komponenten betrachten, auch wenn diese an Dritte ausgelagert wurden. Im Rahmen der Risikoidentifikation sind Prozesse zu etablieren oder anzupassen, die eine regelmäßige Überprüfung der Gefährdungslage auf neue Bedrohungen und Schwachstellen sicherstellen. In diesen Prozessen ist ebenfalls zu beachten, dass sich die Gefährdungslage aufgrund von Veränderungen an der Systemarchitektur, der Verfahren oder Technologie ändern kann. Alle identifizierten kDL müssen durch angemessene organisatorische und technische Vorkehrungen nach dem Stand der Technik abgesichert werden. Der dafür erforderliche Aufwand sollte dabei bezogen auf den Beitrag der Anlage zur Versorgungssicherheit der Bevölkerung und in einem angemessenen Verhältnis zu den Folgen eines Ausfalls oder einer Beeinträchtigung der betroffenen Kritischen Infrastruktur stehen. Diese Abwägung Anwendungshinweis Risikoakzeptanz: Risiken im Geltungsbereich dürfen gemäß § 8a BSIG nicht akzeptiert werden, sofern Sicherheitsvorkehrungen nach dem Stand der Technik möglich und angemessen sind. Erst für das verbleibende Restrisiko ist eine Risikoakzeptanz möglich. Risikotransfer: Ein Transfer der Risiken, z. B. durch Versicherungen, ist kein Ersatz für die Sicherheitsvorkehrungen gemäß § 8a BSIG. Auch bei Versicherung oder anderem Risikotransfer sind angemessene Sicherheitsvorkehrungen nach dem Stand der Technik vorzunehmen. Es steht den Betreibenden aber frei, sich zusätzlich z. B. aus betriebswirtschaftlichem Interesse zu versichern. Anwendungshinweis 6 Risikotransfer und Risikoakzeptanz - TLP Amber - Seite 27 - freigegeben - wirtschaftlicher Interessen gegenüber dem Anteil der Anlage zur Versorgungssicherheit der Bevölkerung ist durch die Betreibenden durchzuführen und zu dokumentieren. Die Betreibenden sind verpflichtet, Maßnahmen zur Verringerung der für die kDL- relevanten Risiken zu treffen. Risiken dürfen nicht allein aus rein wirtschaftlichen Gründen akzeptiert werden, da die Vermeidung von Versorgungsengpässen im Vordergrund steht. Die Verlagerung der Risiken mittels Versicherungen ist im Regelfall nicht zielführend, um die KRITIS-Schutzziele zu erreichen. Um die Wirksamkeit des Risikomanagementsystems zu bewerten, sollten die Betreibenden regelmäßig die Leistung des Risikomanagementsystems an ihrem Zweck, den Umsetzungsplänen, Indikatoren und dem erwarteten Verhalten messen. Des Weiteren müssen die Betreibenden überprüfen, ob das Risikomanagementsystem weiterhin geeignet ist, die Erreichung der Schutzziele zu unterstützen. 3.2 Aufbau eines Risikomanagements Sofern noch kein Risikomanagement etabliert ist, kann das im Anhang C beschriebene Risikomanagement verwendet werden. Das Risikomanagement ist angelehnt an DIN ISO/IEC 31000 und kann durch die Betreibenden zur Betrachtung von Unternehmensrisiken erweitert werden. Die DIN ISO/IEC 31000 wurde aufgrund ihrer hohen Verbreitung, Aktualität und Prozessorientierung als Basis gewählt. Das Risikomanagement kann sich allerdings auch an einem beliebigen anderen Risikomanagementstandard, wie beispielsweise der ISO/IEC 27005 oder dem BSI- Standard 200-3, orientieren. 3.3 Reifegrad- und Umsetzungsgradbetrachtungen Im Rahmen des ISMS (siehe Kapitel 4.1.1) und zur Unterstützung des kontinuierlichen Verbesserungsprozesses (PDCA-Zyklus) im ISMS sollten durch den Betreibenden zusätzlich zu den BC/DR Maßnahmen (siehe 4.1.4) und zur Umsetzung des ISMS selbst Key-Performance-Indicators (KPIs) zum ISMS sowie zum BCMS verwendet und im Rahmen der KRITIS-Prüfung (siehe: Nachweisdokument P gemäß § 8a Absatz 3 BSIG) bewertet werden. Dies sollte ebenfalls für die Umsetzung der Maßnahmen und die Umsetzung der Systeme zur Angriffserkennung (siehe Kapitel 4.1.3) realisiert werden. Anwendungshinweis Die KRITIS-Risikoanalyse muss nicht parallel zu vorhandenen Risikoanalysen durchgeführt werden. Vorhandene Analysen können um die KRITIS-relevanten Aspekte wie Schutzziele (Vertraulichkeit, Integrität, Verfügbarkeit und Authentizität), den Allgefahrenansatz und den Bewertungsfokus „Versorgungsausfall für die Bevölkerung“ erweitert werden, um Ressourcen zu schonen und konsistent zu agieren. Das für KRITIS geforderte Risikomanagement und ISMS können zusammen mit bestehenden Managementsystemen in einem integrierten Managementsystem (vergleiche Anwendungshinweis Kapitel 4.1.1) realisiert werden. Anwendungshinweis 7 Integrierte Risikoanalyse & integrierte Managementsysteme - TLP Amber - Seite 28 - freigegeben - Reifegradbetrachtungen zum Risikomanagement des Betreibenden können ebenfalls als KPIs in der KRITIS-Prüfung Verwendung finden. Anwendungshinweis Im Folgenden soll ein Beispiel für einen möglichen KPI für ein ISMS geben werden. KPI: Anzahl der erfolgreich bestandenen internen und externen Audits Beschreibung: Dieser KPI misst die Anzahl der erfolgreichen internen und externen Audits innerhalb eines definierten Zeitraums. Ein erfolgreiches Audit bedeutet, dass keine wesentlichen Nichtkonformitäten festgestellt wurden, die das ISMS gefährden könnten. Zielwert: 100% erfolgreiche Audits pro Jahr Messmethodik: Anzahl der erfolgreichen Audits / Gesamtanzahl der Audits * 100 Datenquelle: Auditberichte Verantwortlich: ISMS-Manager, Interne Revision Anwendungshinweis 8 Mögliche KPIs für ISMS und BCMS Anwendungshinweis Im Folgenden soll ein Beispiel für einen möglichen KPI für ein BCMS geben werden. KPI: Erfolgsquote der Notfallübungen Beschreibung: Dieser KPI misst den Prozentsatz der Notfallübungen, die erfolgreich abgeschlossen wurden. Eine erfolgreiche Übung bedeutet, dass die definierten Ziele und Anforderungen vollständig erreicht wurden. Zielwert: 90% Erfolgsquote pro Jahr Messmethodik: Anzahl erfolgreicher Übungen / Gesamtanzahl der Übungen * 100 Datenquelle: Übungsberichte, Feedback der Teilnehmer Verantwortlich: BCMS-Manager, Übungsleiter - TLP Amber - Seite 29 - freigegeben - TEIL II SICHERHEITSANFORDERUNGEN NACH STAND DER TECHNIK UND VORGEHENSWEISEN - TLP Amber - Seite 30 - freigegeben - 4 ABZUDECKENDE THEMEN Dieses Kapitel befasst sich mit den Themen, die im Rahmen der Umsetzung des § 8a BSIG durch Anwendende dieses B3S Pharma behandelt werden müssen. Dabei werden die Begriffe „muss“, „soll“ und „kann“ wie folgt verwendet:  „Muss“: Die entsprechenden Maßnahmen sind verbindlich umzusetzen und dürfen nicht ausgelassen werden. In begründeten Einzelfällen lässt sich die Umsetzung durch angemessene Übergangsmaßnahmen herauszögern. Dies muss dokumentiert werden.  „Soll/sollte“: Die entsprechenden Maßnahmen und Anforderungen sind zu beachten und in der Regel ebenfalls umzusetzen. Abschwächungen oder Auslassungen sind in begründeten Einzelfällen zulässig, müssen aber dokumentiert werden.  „Kann/könnte“: Die entsprechenden Abschnitte stellen Empfehlungen dar, die auch ohne Begründung ausgelassen werden dürfen. Die in diesem Kapitel genannten Maßnahmen stellen das zu erfüllende Minimum dar, um die Risiken für die kDL- relevanten IT-Systeme, Prozesse und Komponenten zu minimieren. Die Risiken werden durch die in Kapitel 2 genannten Bedrohungen und Schwachstellen verursacht. Sofern in der durchgeführten Risikoanalyse weitere Maßnahmenbedarfe identifiziert werden, sollten entsprechende Maßnahmen zeitnah umgesetzt werden. Für alle Maßnahmen kann die Verhältnismäßigkeit geprüft werden. Wenn der Aufwand zur Umsetzung einer Maßnahme nicht in angemessenem Verhältnis zu den potentiellen Auswirkungen steht, sollte die Verwendung alternativer Maßnahmen geprüft und dokumentiert werden. Sollte es keine verhältnismäßigen Maßnahmen geben, die den notwendigen Schutz erreichen, sollte die kDL mit verhältnismäßigen Maßnahmen so gut wie möglich abgesichert werden. Risiken im Geltungsbereich müssen gemäß § 8a BSIG behandelt werden und dürfen nicht akzeptiert werden, sofern Sicherheitsvorkehrungen nach dem Stand der Technik möglich und angemessen Anwendungshinweis Die verwendeten Begriffe sind entsprechend der Gesetzesbegründung des IT-Sicherheitsgesetzes zu verstehen. „Die Verpflichtung zur Berücksichtigung des Stands der Technik schließt die Möglichkeit zum Einsatz solcher Vorkehrungen nicht aus, die einen ebenso effektiven Schutz wie die anerkannten Vorkehrungen nach dem Stand der Technik bieten.“ [Zitat: BSI FAQ] Anwendungshinweis Maßnahmen gelten gemäß § 8a Absatz 1 Satz 3 BSIG dann als angemessen, wenn die Maßnahmen dem Stand der Technik entsprechen und wenn der zur Umsetzung erforderliche Aufwand nicht außer Verhältnis zu den Folgen eines Ausfalls oder einer Beeinträchtigung der kritischen Dienstleistung steht. Anwendungshinweis 9 Interpretation Stand der Technik (Allgemeine KRITIS-Hinweise des BSI) Anwendungshinweis 10 Angemessene Maßnahmen - TLP Amber - Seite 31 - freigegeben - sind. Erst für das verbleibende Restrisiko ist eine Risikoakzeptanz möglich. Bei akzeptierten Risiken muss regelmäßig geprüft werden, ob es neue, angemessene Maßnahmen gibt, um das Risiko ausreichend zu reduzieren. 4.1 Allgemeine Anforderungen und Maßnahmen zur Gewährleistung der Informationssicherheit Die nachfolgend aufgeführten Maßnahmen dienen dem Schutz der Informationssicherheit im Allgemeinen sowie dem Schutz der kDL-relevanten IT-Systeme, Prozesse und Komponenten und müssen entsprechend ihrer Kategorisierung (muss/soll/kann) im Geltungsbereich dieses B3S Pharma umgesetzt werden. Von der Unternehmensführung müssen die notwendigen personellen und monetären Ressourcen für die Umsetzung des B3S bereitgestellt werden. Die eingesetzten Personen müssen über die notwendigen Fachkenntnisse zur Umsetzung verfügen oder vorab entsprechend geschult werden. 4.1.1 Informationssicherheitsmanagementsystem (ISMS) „Betreiber Kritischer Infrastrukturen“ sind gem. § 8a Absatz 1 BSIG verpflichtet, ein angemessenes Sicherheitsniveau für IT-Systeme, Prozesse und Komponenten zu etablieren, sofern diese für die Erbringung der kritischen Dienstleistung notwendig sind. Zur Erreichung der Schutzziele muss im Rahmen eines ganzheitlichen Ansatzes ein geeignetes und angemessenes Informationssicherheitsmanagementsystem für kDL-relevante Bereiche, IT-Systeme, Prozesse und Informationen, beispielsweise nach DIN ISO/IEC 27001 oder vergleichbar, umgesetzt und gelebt werden. Das ISMS kann zertifiziert werden. Sofern weitere Managementsysteme beim Betreibenden existieren (z. B. GMP, GDP, Datenschutz- Managementsysteme (DSMS) oder Qualitätsmanagementsysteme (QMS)), sollte die Zusammenführung vorhandener und neu einzuführender Managementsysteme zu einem integrierten Managementsystem (IMS) geprüft und realisiert werden. Die Etablierung und Verbesserung der Informationssicherheit muss dabei als kontinuierlicher Prozess betrachtet werden und dem PDCA-Managementzyklus (Plan/Planen, Do/Implementieren, Check/Überprüfen, Act/Optimieren; siehe Abbildung 2 PDCA-Managementzyklus) folgen. Anwendungshinweis Das ISMS sollte nicht parallel zu bestehenden Managementsystemen aufgesetzt werden. Es kann EIN integriertes Managementsystem realisiert werden, da dadurch Ressourcen gespart und Unstimmigkeiten zwischen den Systemen vermieden werden können. Anwendungshinweis 11 Integriertes Managementsystem - TLP Amber - Seite 32 - freigegeben - Abbildung 2 PDCA-Managementzyklus Zur Umsetzung des ISMS auf allen Ebenen einer Organisation müssen geeignete Organisationsstrukturen für die Informationssicherheit vorhanden sein. Hierzu müssen Rollen definiert und Verantwortlichkeiten für die Informationssicherheit und die zugehörigen Prozesse festgelegt werden. Alle im Rahmen des ISMS festgelegten Vorgaben und Regelungen müssen schriftlich dokumentiert sowie von der Unternehmensleitung oder den zuständigen Verantwortlichen formell und verbindlich in Kraft gesetzt werden. Zudem muss sichergestellt werden, dass die entsprechenden Dokumente allen betroffenen Beschäftigten sowie relevanten externen Parteien bekannt und zugänglich gemacht werden. Um die Erreichung eines angemessenen Sicherheitsniveaus sicherzustellen und dieses ggf. zu optimieren, müssen alle Vorgaben und Maßnahmen in geplanten Abständen sowie nach erheblichen Änderungen an relevanten Systemen und Prozessen auf ihre bestehende Angemessenheit und Wirksamkeit überprüft werden. 4.1.2 Asset-Management Zur Identifikation, Klassifizierung und Inventarisierung von für die kDL maßgeblichen IT- Systemen, Prozessen und Komponenten muss ein angemessenes Asset-Management (Werte-Management) etabliert werden. Anwendungshinweis Zur Wahrung der Wirtschaftlichkeit können die Überprüfungen im Rahmen der Check-Phase stichprobenartig erfolgen. Stichproben müssen so gewählt werden, dass sie aussägekräftig für die zu überprüfende Maßnahme sind. Wie Stichproben gewählt werden, sollte dokumentiert sein. Anwendungshinweis 12 Check-Phase - TLP Amber - Seite 33 - freigegeben - Hierfür müssen insbesondere die Verantwortlichkeiten für jedes Asset (jeden Wert) klar und eindeutig, unter Kenntnisnahme durch die jeweiligen Verantwortlichen, zugewiesen werden. Die Verantwortlichen müssen sicherstellen, dass jedes Asset nachvollziehbar und schriftlich erfasst ist (z. B. in einem Asset- Register). Zudem sind sie für die Aktualität der Dokumentation bei Änderungen oder Auflösung des Assets verantwortlich. Um Daten und Informationen vor unberechtigtem Zugang zu schützen, müssen im Unternehmen Grundsätze und Regelungen zur Informationsklassifizierung und -handhabung beschrieben und angewendet werden. Die Klassifizierung von Informationen, Assets und Asset-Gruppen gemäß ihrer Kritikalität (z. B. aufgrund von gesetzlichen Nachweispflichten oder kDL-Relevanz) dient dazu, grundlegende Sicherheitsmaßnahmen für deren Schutz sowie Anweisungen für deren Handhabung festzulegen. Für die Handhabung jedes Assets, insbesondere von Geräten und Betriebsmitteln, müssen schriftlich dokumentierte Regelungen erstellt werden. Dabei können die gleichen Regelungen und Dokumente für mehrere Assets oder mehrere Asset-Gruppen gelten. Welche Regelungen bei der Benutzung eines Assets anzuwenden bzw. wo diese Regelungen nachzulesen sind, muss den jeweiligen Anwendenden bekannt sein. Nicht mehr benötigte Dokumente, Informationen und Datenträger sollten entsprechend ihrer Klassifizierung vernichtet bzw. zerstört werden. Insbesondere bei Geräten und Betriebsmitteln, die Speichermedien enthalten, sollte sichergestellt werden, dass jegliche sensiblen Daten vor ihrer Entsorgung oder Wiederverwendung entfernt oder unbrauchbar gemacht worden sind. Die Vernichtung sollte gemäß den Vorschriften der Norm DIN 66399 erfolgen. Weitere Informationen zur Umsetzung der Maßnahmen sowie zusätzliche Maßnahmen finden sich beispielsweise in der DIN ISO/IEC 27002. Die relevanten Kapitel sind im Anhang D.1 genannt. Anwendungshinweis Zur besseren Inventarisierung und Handhabung können Assets mit ähnlichem Einsatzzweck und ähnlicher Kritikalität in Asset-Gruppen zusammengefasst werden. Es können auch Assets verschiedener Kritikalität gruppiert werden. In diesem Fall sollte die Gruppe gemäß den höchsten Schutzanforderungen gehandhabt werden. Anwendungshinweis 13 Gruppieren von Assets Anwendungshinweis Zu den Regelungen zur Handhabung von Assets zählen beispielsweise Betriebshandbücher, Verfahrensanweisungen und unternehmensweite Regelungen. Die Regelungen sollten einfach für die jeweiligen Anwendenden zugänglich sein. Dazu können sie beispielsweise im Intranet veröffentlicht werden. Insbesondere bei Ausdrucken der Regelungen sollte auf die Aktualität und Gültigkeit geachtet werden. Anwendungshinweis 14 Regelungen zur Handhabung von Assets - TLP Amber - Seite 34 - freigegeben - 4.1.3 Vorfallerkennung und -bearbeitung Seit dem 1. Mai 2023 sind „Betreiber Kritischer Infrastrukturen“ gemäß § 8a Abs. 1a BSIG dazu verpflichtet, im Rahmen der Vorfallerkennung und -bearbeitung, Systeme zur Angriffserkennung (SzA) als integralen Bestandteil der angemessenen organisatorischen und technischen Vorkehrungen zu implementieren. Des Weiteren müssen sie den ordnungsgemäßen Einsatz dieser Systeme im Rahmen des Nachweises gemäß § 8a Absatz 3 BSIG ebenfalls belegen. Die Angemessenheit der organisatorischen und technischen Vorkehrungen wird anerkannt, wenn der erforderliche Aufwand für die Umsetzung nicht unverhältnismäßig im Vergleich zu den möglichen Auswirkungen einer Beeinträchtigung oder eines Ausfalls der Kritischen Infrastruktur steht. Zur Risikobehandlung müssen „Betreiber Kritischer Infrastrukturen“ im Rahmen eines Vorfallmanagements geeignete Prozesse zur Vorfallerkennung, -bearbeitung sowie -nachbereitung festlegen. Das Vorfallmanagement muss auf Grundlage von Risikoanalysen Maßnahmen zur Gefahrenabwehr sowie zur Auswirkungsminimierung definieren. Das Vorfallmanagement sollte im Rahmen eines IMS umgesetzt werden. Es bildet den Rahmen zur Detektion, Einstufung, Reaktion und Nachbereitung von Angriffen oder sonstigen IT-Vorfällen/Störungen. Hierzu müssen verantwortliche Personen benannt werden, welche Entscheidungen über das Vorgehen treffen können. Es muss sichergestellt sein, dass alle relevanten gesetzlichen und vertraglichen Bestimmungen bei der Protokollierung und Auswertung beachtet werden. Weiterhin muss im Rahmen der Risikobehandlung ein geeigneter Prozess zur Vorfallprävention etabliert sein. Dazu gehört unter anderem die Detektion und Meldung von erkannten Schwachstellen, potenziellen Bedrohungen oder sonstigen unsicheren System- oder Anlagenzuständen sowie die Definition von Meldewegen. Um Bedrohungen und Schwachstellen erkennen zu können, muss sich der Betreibende regelmäßig und in geeigneter Weise über mögliche Schwachstellen und Bedrohungen informieren. Die Informationen darüber sollten entsprechend aufbereitet werden und als Informationsgrundlage für das Risikomanagement in dieses einfließen. Sofern die Systeme zur Angriffserkennung neu eingeführt werden, muss sichergestellt werden, dass die Einführung der Systeme gemäß den Planungsvorgaben in Anhang E dokumentiert werden. Im laufenden Betrieb müssen die Umsetzungen der SzA Maßnahmen in den jeweiligen Betriebsdokumentationen berücksichtigt werden. Die folgenden Tabellen orientieren sich hinsichtlich der Auswahl der umzusetzenden Anforderungen an den Empfehlungen der „Orientierungshilfe zum Einsatz von Systemen zur Angriffserkennung“ des BSI in der Fassung vom 26. September 2022. Anwendungshinweis Der Begriff „neu“ beinhaltet den erstmaligen Aufbau von IT-Systemen zur Angriffserkennung sowie wesentliche Änderungen der SzA-Umgebung wie z. B. Dienstleister- oder Herstellerwechsel. Beim erstmaligen Aufbau müssen alle Maßnahmen der Planungsphase (siehe Anhang E) beachtet werden. Dienstleisterwechsel werden im Rahmen der Dienstleistungsteuerung behandelt. Bei wesentlichen Änderungen ist im Rahmen des Change Managements zu prüfen, welche Planungsschritte neu durchzuführen sind. Anwendungshinweis 15 Änderungen an Angriffserkennungssystemen - TLP Amber - Seite 35 - freigegeben - Protokollierung Titel Stufe Maßnahme Erhebung der Daten MUSS Der Betreibende muss alle zur wirksamen Angriffserkennung auf System- bzw. Netzebene notwendigen Protokoll- und Protokollierungsdaten erheben, speichern und für die Auswertung bereitstellen, um sicherheitsrelevante Ereignisse erkennen und bewerten zu können. Anpassung der Systeme zur Ermöglichung der Detektion/Reaktion SOLLTE Sind die bestehenden Systeme nicht in der Lage, auskömmliche Protokoll- und Protokollierungsdaten bereitzustellen, sollte die Protokollierungsinfrastruktur so angepasst und/oder durch zusätzliche Maßnahmen, Software oder Systeme ergänzt werden, dass Detektion und Reaktion im entsprechend der Erkenntnisse der Risikoanalyse notwendigen Rahmen möglich sind. Erstellung einer Sicherheitsrichtlinie für die Protokollierung MUSS Es muss eine spezifische Sicherheitsrichtlinie erstellt werden, welche konkrete Vorgaben macht, wie, wo und was zu protokollieren ist. Diese Richtlinie muss relevanten Personen bekannt sein und dient als Grundlage für die Umsetzung. Abweichungen bei der Umsetzung sind mit dem Informationssicherheitsbeauftragten (ISB) abzustimmen. Zudem muss regelmäßig überprüft werden, ob die Richtlinie umgesetzt wird. Konfiguration der Protokollierung auf System- und Netzebene MUSS Alle sicherheitsrelevanten Ereignisse müssen gemäß den Herstellervorgaben protokolliert werden. In angemessenen Intervallen muss stichpunktartig überprüft werden, ob die Protokollierung noch korrekt funktioniert. Die Ergebnisse der Überprüfung sind zu dokumentieren. Zentrale Sammlung der Daten in geeigneter Weise MUSS Alle gesammelten sicherheitsrelevanten Protokoll- und Protokollierungsdaten müssen an für den jeweiligen Netzbereich zentralen Stellen gespeichert werden. Die Anzahl an zentralen Stellen zur Speicherung muss möglichst gering gehalten werden und sich mindestens an funktionalen Einheiten orientieren, sodass der Zugriff auf die gespeicherten Daten einfach erfolgen kann. Die Protokollierungsinfrastruktur muss dazu ausreichend dimensioniert sein. Dafür müssen genügend technische, finanzielle und personelle Ressourcen verfügbar sein. Normalisierung und Bereitstellung der Daten MUSS Die gesammelten Protokoll- und Protokollierungsdaten müssen gefiltert, normalisiert, aggregiert und korreliert werden. Die so bearbeiteten Protokoll- und Protokollierungsdaten müssen geeignet verfügbar gemacht werden, damit sie ausgewertet werden können. Datenquellen von außen nach innen SOLLTE Für die Erzielung einer angemessenen Sichtbarkeit von Angriffen sollten die Protokollierungsdatenquellen auf Netzebene von außen (Netzgrenzen) nach innen (Netzbereiche) erschlossen werden. - TLP Amber - Seite 36 - freigegeben - Systemebene erschließen und Datenquellen nach Kritikalität priorisieren SOLLTE Die Systemebene (kritische Anwendungen und Applikationen) sollte ausgehend von den zentralen kritischen Systemen, wie z. B. Anwendungs- und Datenbankserver, Proxies, Gateways, Perimeterschutz, IPS/IDS, Web Application Firewalls (WAF), Anti- Malware-Komponenten, erschlossen werden. Die Priorisierung zur Auswahl der Protokollierungsdatenquellen sollte ausgehend von der Kritikalität der Systeme abgeleitet werden. Detektion Titel Stufe Maßnahme Erstellung einer Sicherheitsrichtlinie für die Detektion von sicherheitsrele- vanten Ereignissen MUSS Es muss eine spezifische Sicherheitsrichtlinie für die Detektion sicherheitsrelevanter Ereignisse erstellt werden. Diese Richtlinie muss relevanten Personen bekannt sein und dient als Grundlage für die Umsetzung. Abweichungen bei der Umsetzung sind mit dem ISB abzustimmen. Zudem muss regelmäßig überprüft werden, ob die Richtlinie umgesetzt wird. Festlegung von Meldewegen für sicherheitsrelevante Ereignisse MUSS Für sicherheitsrelevante Ereignisse müssen geeignete Melde- und Alarmierungswege und die jeweiligen zu informierenden Stellen festgelegt werden. Je nach Vorfall können dies verschiedene Meldewege sein (z. B. Ticketsystem oder direkter Anruf). Alle Personen, die für die Meldung bzw. Alarmierung relevant sind, müssen über ihre Aufgaben informiert sein. Alle Schritte des Melde- und Alarmierungsprozesses müssen ausführlich beschrieben sein. Die eingerichteten Melde- und Alarmierungswege müssen regelmäßig geprüft, erprobt und ggf. aktualisiert werden. Sensibilisierung der Mitarbeitenden MUSS Jeder Beschäftigte muss einen von ihm erkannten Sicherheitsvorfall unverzüglich den relevanten Personen melden. Einsatz von mitgelieferten Systemfunktionen zur Detektion MUSS Falls eingesetzte Systeme oder Anwendungen über Funktionen verfügen, mit denen sich sicherheitsrelevante Ereignisse detektieren lassen, dann müssen diese aktiviert und benutzt werden. Kontinuierliche Überwachung und Auswertung von Protokoll- und Protokollierungs- daten MUSS Alle Protokoll- und Protokollierungsdaten müssen kontinuierlich überwacht und ausgewertet werden. Es ist angebracht dies zu automatisieren, wenn bei relevanten Ereignissen eine unmittelbare Alarmierung der Verantwortlichen gewährleistet ist. Die Prüfung des Ereignisses und ggf. die Reaktion muss innerhalb einer der Erkenntnisse der Risikoanalyse entsprechend geringen Zeitspanne erfolgen. Es müssen Mitarbeitende des Betriebs bzw. Mitarbeitende von Dienstleistern benannt werden, die dafür zuständig sind. Müssen die verantwortlichen Mitarbeitenden aktiv nach sicherheitsrelevanten Ereignissen suchen, z. B. wenn sie IT-Systeme kontrollieren oder testen, müssen solche Aufgaben in entsprechenden Verfahrensanleitungen dokumentiert sein. Für die - TLP Amber - Seite 37 - freigegeben - Detektion von sicherheitsrelevanten Ereignissen müssen genügend personelle Ressourcen bereitgestellt werden. Einsatz zusätzlicher Detektionssysteme MUSS Es müssen Schadcodedetektionssysteme eingesetzt und zentral verwaltet werden. Anhand des Netzplans muss festgelegt werden, welche Netzsegmente durch zusätzliche Detektionssysteme geschützt werden müssen. Insbesondere müssen die im Netzplan definierten Übergänge zwischen internen und externen Netzen um netzbasierte Intrusion Detection Systeme (NIDS) ergänzt werden. Infrastruktur zur Auswertung von Protokoll- und Protokollierungs- daten und Prüfung sicherheitsrelevan- ter Ereignisse MUSS Damit die Protokoll- und Protokollierungsdaten korreliert und abgeglichen werden können, müssen sie alle zeitlich synchronisiert werden. Die gesammelten Ereignismeldungen müssen regelmäßig auf Auffälligkeiten kontrolliert werden. Damit sicherheitsrelevante Ereignisse auch nachträglich erkannt werden können, müssen die Signaturen der Detektions-/Präventionssysteme immer auf aktuellem Stand sein. Diese Anforderungen können durch den Einsatz eines Security Operation Center (SOC) und die Umsetzung eines Security Information und Event Management (SIEM) sowie von Intrusion Detection Systemen (IDS) und Intrusion Prevention Systemen (IPS) erreicht werden. Auswertung von Informationen aus externen Quellen MUSS Um neue Erkenntnisse über sicherheitsrelevante Ereignisse für den eigenen Informationsverbund zu gewinnen, müssen externe Quellen herangezogen werden. Da Meldungen über unterschiedliche Kanäle in eine Institution gelangen, muss sichergestellt sein, dass diese Meldungen von den Mitarbeitenden auch als relevant erkannt und an die richtige Stelle weitergeleitet werden. Informationen aus zuverlässigen Quellen müssen grundsätzlich ausgewertet werden. Alle gelieferten Informationen müssen danach bewertet werden, ob sie relevant für den eigenen Informationsverbund sind. Ist dies der Fall, müssen die Informationen entsprechend der Sicherheitsvorfallbehandlung eskaliert werden. Auswertung der Protokoll- und Protokollierungsdat en durch spezialisiertes Personal MUSS Sofern eine automatisierte Auswertung der Protokoll- und Protokollierungsdaten nicht möglich ist, müssen Mitarbeitende bzw. Mitarbeitende von Dienstleistern speziell damit beauftragt werden, alle relevanten Protokoll- und Protokollierungsdaten (bei einem Verdacht auf sicherheitsrelevante Ereignisse) auszuwerten. Die Auswertung der Protokoll- und Protokollierungsdaten sollte bei diesen höher priorisiert sein, als ihre übrigen Aufgaben. Dieses Personal sollte spezialisierte weiterführende Schulungen und Qualifikationen erhalten. Ein Personenkreis muss benannt werden, der für das Thema Auswertung von Protokolldaten verantwortlich ist. Zentrale Detektion und Echtzeitüberprü- MUSS Es müssen zentrale Komponenten eingesetzt werden, um sicherheitsrelevante Ereignisse zu erkennen und auszuwerten. Zentrale automatisierte Analysen mit Softwaremitteln müssen dazu eingesetzt werden, um alle in der Systemumgebung anfallenden Protokoll- und Protokollierungsdaten aufzuzeichnen, in Bezug - TLP Amber - Seite 38 - freigegeben - fungen von Ereignismeldungen zueinander zu setzen und sicherheitsrelevante Vorgänge sichtbar zu machen. Alle eingelieferten Protokoll- und Protokollierungsdaten müssen lückenlos in der Protokollverwaltung einsehbar und auswertbar sein. Die Daten müssen kontinuierlich ausgewertet werden. Werden definierte Schwellenwerte überschritten, muss automatisch alarmiert werden. Das zuständige Personal muss sicherstellen, dass bei einem Alarm nach fachlicher Bewertung und innerhalb einer der Erkenntnisse der Risikoanalyse entsprechend geringen Zeitspanne eine qualifizierte und dem Bedarf entsprechende Reaktion eingeleitet wird. Die Systemverantwortlichen müssen regelmäßig die Analyseparameter auditieren und anpassen, falls dies erforderlich ist. Zusätzlich müssen bereits überprüfte Protokoll- und Protokollierungsdaten regelmäßig hinsichtlich sicherheitsrelevanter Ereignisse automatisch untersucht werden. Aktuelle Informationen für Schwachstellen als Grundsatz MUSS Als eine zentrale Grundvoraussetzung für die effektive Detektion müssen zudem Informationen zu aktuellen Angriffsmustern für technische Verwundbarkeiten/Schwachstellen fortlaufend für die im Anwendungsbereich eingesetzten Systeme eingeholt werden. Dazu müssen fortlaufend Meldungen von Herstellfirmen (Hard- und Software), Behörden, Medien und weiteren relevanten Stellen geprüft werden und in dokumentierte Prozesse des Schwachstellen- managements sowie als Informationsgrundlage für das Risikomanagement einfließen. Baselining MUSS Bei der Umsetzung von Detektionsmechanismen sollte initial eine Kalibrierung durchgeführt werden, um festzustellen, welche sicherheitsrelevanten Ereignisse im Normalzustand auftreten (Baselining). Dazu sollte bewertet werden, ob dieser Normalzustand in Hinblick auf die Anzahl der falsch positiven Meldungen hingenommen werden kann oder ob Änderungen vorzunehmen sind. Die Kalibrierung sollte bei Änderungen innerhalb des Anwendungsbereichs oder der Bedrohungslage erneut durchgeführt werden. Ereignisse auf Sicherheitsvorfall und automatisierte Systeme auch manuell überprüfen MUSS Sicherheitsrelevante Ereignisse müssen überprüft und dahingehend bewertet werden, ob sie auf einen Sicherheitsvorfall (qualifiziertes sicherheitsrelevantes Ereignis) hindeuten. Die zur Angriffserkennung eingesetzten Systeme sollten in eindeutig zuordenbaren Fällen eine automatisierte Qualifizierung ermöglichen. Nur qualifizierte sicherheitsrelevante Ereignisse sollten den Prozess der Reaktion auslösen. Die Qualifizierung sollte in automatisiert nicht eindeutig zuordenbaren Fällen manuell durch festgelegte Verantwortliche vorgenommen werden. Basierend auf den gewonnenen Erkenntnissen der Qualifizierung müssen die Detektionsmechanismen nachjustiert werden. - TLP Amber - Seite 39 - freigegeben - Reaktion Titel Stufe Maßnahme Definition eines Sicherheitsvorfalls MUSS Ein Sicherheitsvorfall sollte präzise festgelegt und bestmöglich von Störungen abgegrenzt sein. Es ist wichtig, dass alle Mitarbeitenden, die in die Bearbeitung von Sicherheitsvorfällen involviert sind, mit dieser Definition vertraut sind. Erstellung einer Richtlinie zur Behandlung von Sicherheitsvorfällen MUSS Eine Richtlinie zur Behandlung von Sicherheitsvorfällen muss erstellt werden. In dieser Richtlinie sollten der Zweck und das Ziel klar definiert sein, und sämtliche Aspekte im Umgang mit Sicherheitsvorfällen müssen geregelt werden. Hierbei sind Verhaltensregeln für diverse Arten von Sicherheitsvorfällen einzubeziehen. Ebenso sollte die Richtlinie zielgruppenorientierte und praxisrelevante Handlungsanweisungen für alle Mitarbeitenden enthalten. Es ist wichtig, dass die Richtlinie allen Mitarbeitenden bekannt ist, mit dem IT-Betrieb abgestimmt wird und von der obersten Leitung verabschiedet wird. Darüber hinaus sollte die Richtlinie in regelmäßigen Abständen überprüft und aktualisiert werden. Festlegung von Verantwortlichkei- ten und Ansprech- personen bei Sicherheitsvorfällen MUSS Es ist erforderlich, klare Regelungen darüber zu treffen, welche Person für welche Verantwortlichkeiten im Falle von Sicherheitsvorfällen zuständig ist. Für sämtliche Mitarbeitenden müssen klare Aufgaben und Zuständigkeiten in dieser Hinsicht festgelegt werden. Insbesondere diejenigen, die mit der Bearbeitung von Sicherheitsvorfällen betraut sind, sollten über ihre spezifischen Aufgaben und Kompetenzen informiert werden. Dabei ist es wichtig zu klären, wer die Entscheidung über eine mögliche forensische Untersuchung trifft, welche Kriterien dabei angewendet werden und wann eine solche Untersuchung durchgeführt werden soll. Die Kontaktpersonen für sämtliche Arten von Sicherheitsvorfällen müssen allen Mitarbeitenden bekannt sein, und die dazugehörigen Kontaktinformationen sollten stets aktuell und leicht zugänglich sein. Informieren über Sicherheitsvorfälle MUSS Alle relevanten internen und externen Stellen müssen unverzüglich über einen Sicherheitsvorfall informiert werden. Hierbei ist zu überprüfen, ob die Einbindung der Datenschutzbeauftragten, des Betriebs- und Personalrats sowie der Rechtsabteilung erforderlich ist. Gleichzeitig müssen die Meldepflichten gemäß den Vorgaben für Behörden und regulierte Branchen berücksichtigt werden. Es ist außerdem sicherzustellen, dass die betroffenen Stellen umfassend über die notwendigen Maßnahmen informiert werden. Behebung von Sicherheitsvorfällen MUSS Um einen Sicherheitsvorfall erfolgreich zu beheben, muss die verantwortliche Person zunächst das Problem eingrenzen und die Ursache identifizieren. Daraufhin sind die notwendigen Maßnahmen auszuwählen, um das Problem zu lösen. Bevor diese Maßnahmen - TLP Amber - Seite 40 - freigegeben - umgesetzt werden können, ist die Zustimmung der IT- Betriebsleitung erforderlich. Nach der Umsetzung der Maßnahmen muss die Ursache behoben und ein sicherer Zustand wiederhergestellt werden. Es ist wichtig, eine aktuelle Liste von internen und externen Sicherheitsfachkräften zu führen, die bei Sicherheitsvorfällen zu den relevanten Themenbereichen für Fragen hinzugezogen werden können. Darüber hinaus müssen sichere Kommunikationsverfahren mit diesen internen und externen Stellen etabliert werden. Wiederherstellung der Betriebsumgebung nach Sicherheitsvorfällen MUSS Nach einem Sicherheitsvorfall müssen die betroffenen Komponenten aus dem Netzwerk entfernt oder gesperrt werden. Zudem ist die Sicherung aller relevanten Daten erforderlich, die Aufschluss über die Art und Ursache des Problems geben könnten. Eine gründliche Untersuchung der Betriebssysteme und Anwendungen auf Veränderungen muss auf allen betroffenen Komponenten durchgeführt werden. Die Originaldaten sollten von schreibgeschützten Datenträgern wiederhergestellt werden, wobei sämtliche sicherheitsrelevanten Konfigurationen und Patches ebenfalls berücksichtigt werden müssen. Wenn Daten aus Sicherungskopien eingespielt werden, ist sicherzustellen, dass diese nicht vom Sicherheitsvorfall betroffen waren. Nach einem Angriff müssen sämtliche Zugangsdaten auf den betroffenen Komponenten geändert werden, bevor diese wieder in Betrieb genommen werden. Bei der Wiederherstellung der sicheren Betriebsumgebung sollten Anwendende in die Anwendungsfunktionstests einbezogen werden. Nach Abschluss der Wiederherstellung müssen die Komponenten einschließlich der Netzübergänge gezielt überwacht werden. Aufbau von Organisationsstruk- turen zur Behandlung von Sicherheitsvorfällen SOLLTE Um angemessen mit Sicherheitsvorfällen umzugehen, ist es wichtig, geeignete Organisationsstrukturen festzulegen. Hierbei empfiehlt sich die Einrichtung eines Sicherheitsvorfall-Teams, dessen Mitglieder je nach Art des Vorfalls einberufen werden können. Selbst wenn das Sicherheitsvorfall-Team nur für einen spezifischen Fall zusammentritt, sollten im Vorfeld bereits passende Mitglieder benannt und in ihre Aufgaben eingewiesen sein. Es ist ratsam, regelmäßig zu überprüfen, ob die Zusammensetzung des Sicherheitsvorfall-Teams noch angemessen ist, und gegebenenfalls Anpassungen vorzunehmen. Eindämmen der Auswirkung von Sicherheitsvorfällen SOLLTE Während der Ursachenanalyse eines Sicherheitsvorfalls sollte gleichzeitig entschieden werden, ob es vorrangig ist, den entstandenen Schaden einzudämmen oder den Vorfall aufzuklären. Um die Auswirkungen eines Sicherheitsvorfalls abschätzen zu können, sind ausreichende Informationen erforderlich. Es empfiehlt sich daher, bereits im Vorfeld Worst-Case-Betrachtungen für ausgewählte Szenarien durchzuführen. Einstufung von Sicherheitsvorfällen SOLLTE Es ist ratsam, ein einheitliches Verfahren festzulegen, um Sicherheitsvorfälle und Störungen zu klassifizieren. Das Einstufungsverfahren für Sicherheitsvorfälle sollte in Abstimmung - TLP Amber - Seite 41 - freigegeben - zwischen dem Sicherheitsmanagement und dem Störungs- und Fehlerbehebungsprozess (Incident-Management) erfolgen. Festlegung der Schnittstellen der Sicherheitsvorfall- behandlung zur Störungs- und Fehlerbehebung SOLLTE Es ist wichtig, die Schnittstellen zwischen Störungs- und Fehlerbehebung, Notfallmanagement und Sicherheitsmanagement zu analysieren. Dabei sollten potenziell gemeinsam nutzbare Ressourcen identifiziert werden. Die Mitarbeitenden, die in der Störungs- und Fehlerbehebung tätig sind, sollten für die Bearbeitung von Sicherheitsvorfällen sowie für das Notfallmanagement sensibilisiert werden. Das Sicherheitsmanagement sollte darüber hinaus lesenden Zugriff auf die eingesetzten Werkzeuge im Incident- Management haben. Einbindung in das Sicherheits- und Notfallmanagement SOLLTE Die Behandlung von Sicherheitsvorfällen sollte mit dem Notfall- und Continuity-Management abgestimmt sein. Falls es in der Institution eine spezielle Rolle für Störungs- und Fehlerbehebung gibt, sollte auch diese in die Abstimmung einbezogen werden. Eskalationsstrategie für Sicherheitsvorfälle SOLLTE Es ist ratsam, eine Eskalationsstrategie zu formulieren, die zwischen den Verantwortlichen für Störungs- und Fehlerbehebung und allen relevanten Akteuren (u.a. Notfallmanagement, Sicherheitsmanagement etc.) abgestimmt wird. Schulung der Mitarbeitenden des Service Desks SOLLTE Den Mitarbeitenden des Service Desks sollten angemessene Werkzeuge zur Verfügung stehen, um Sicherheitsvorfälle zu erkennen. Sie sollten über das Schutzbedürfnis der betroffenen Systeme und Anwendungen informiert sein und ausreichend geschult werden, um die bereitgestellten Hilfsmittel eigenständig anwenden zu können. Dokumentation der Behebung von Sicherheitsvorfällen SOLLTE Die Behebung von Sicherheitsvorfällen sollte gemäß einem standardisierten Verfahren dokumentiert werden. Hierbei sollten alle durchgeführten Aktionen einschließlich der Zeitpunkte sowie die Protokolldaten der betroffenen Komponenten umfassend festgehalten werden. Dabei ist darauf zu achten, dass die Vertraulichkeit bei der Dokumentation und Archivierung der Berichte gewährleistet ist. Die relevanten Informationen sollten vor dem Abschluss des Vorfalls in die entsprechenden Dokumentations- systeme eingepflegt werden. Es ist empfehlenswert, im Vorfeld mit dem ISB die erforderlichen Anforderungen an die Qualitätssicherung zu definieren. Nachbereitung von Sicherheitsvorfällen SOLLTE Sicherheitsvorfälle sollten standardisiert nachbereitet werden. Die oberste Leitung sollte jährlich über Sicherheitsvorfälle informiert werden. Im Falle eines sofortigen Handlungsbedarfs ist die Leitung unverzüglich zu benachrichtigen. Weiterentwicklung der Prozesse durch Erkenntnisse aus Sicherheitsvorfällen und MUSS Nach der Analyse eines Sicherheitsvorfalls muss überprüft werden, ob die Prozesse und Abläufe im Rahmen der Behandlung von Sicherheitsvorfällen angepasst oder weiterentwickelt werden müssen. Hierbei ist es wichtig, dass alle beteiligten Personen ihre Erfahrungen im Zusammenhang mit dem Vorfall teilen. Es muss eine - TLP Amber - Seite 42 - freigegeben - Branchenentwick- lungen Überprüfung erfolgen, ob es neue Entwicklungen im Bereich Incident-Management und Forensik gibt und ob diese in die entsprechenden Dokumente und Abläufe integriert werden können. Falls Hilfsmittel und Checklisten verwendet werden, beispielsweise für Service-Desk-Beschäftigte, muss geprüft werden, ob diese um relevante Fragen und Informationen erweitert werden müssen. Automatische Reaktion auf sicherheitsrelevante Ereignisse MUSS Bei einem sicherheitsrelevanten Ereignis müssen die eingesetzten Detektionssysteme das Ereignis automatisch melden und in Netzen, in denen die kritische Dienstleistung durch eine automatische Reaktion nicht gefährdet wird, mit geeigneten Schutzmaßnahmen reagieren. In Netzen, in denen die kritische Dienstleistung durch die Umsetzung nicht gefährdet wird, muss es möglich sein, automatisch in den Datenstrom einzugreifen, um einen möglichen Sicherheitsvorfall zu unterbinden. Sollte eine automatische Reaktion nicht möglich sein, muss über manuelle Prozesse sichergestellt werden, dass der mögliche Sicherheitsvorfall unterbunden wird. Der Ausschluss von Netzen oder Netzsegmenten von einer automatischen Reaktion bzw. dem Eingriff in den Datenstrom muss schlüssig begründet sein. Behandlung von Sicherheitsvorfällen MUSS Festgestellte Sicherheitsvorfälle müssen behandelt werden. Meldepflicht nach § 8b Abs. 3 BSIG überprüfen MUSS Bei Störungen und Sicherheitsvorfällen muss überprüft werden, ob diese den Kriterien der Meldepflicht nach § 8b Abs. 3 BSIG entsprechen und die unverzügliche Meldung an das BSI notwendig ist. Ergreifung von automatisierten Maßnahmen bei angriffsbedingten Störungen SOLLTE Die eingesetzten SzA sollten automatisiert Maßnahmen zur Vermeidung und Beseitigung von angriffsbedingten Störungen ergreifen können, sofern das zu Grunde liegende sicherheitsrelevante Ereignis eindeutig qualifizierbar ist. Dabei muss gewährleistet sein, dass ausschließlich automatisiert ergriffene Maßnahmen nicht zu einer relevanten Beeinträchtigung der kritischen Dienstleistung des Betreibendens führen können. Unterstützung von nicht- automatisierten Ereignissen SOLLTE Die eingesetzten SzA sollten auch eine nicht-automatisierte Qualifizierung und Behandlung von Ereignissen unterstützen. Weitere Informationen zur Umsetzung der Maßnahmen sowie zusätzliche Maßnahmen finden sich beispielsweise in der DIN ISO/IEC 27002. Die relevanten Kapitel sind im Anhang D.2 genannt. - TLP Amber - Seite 43 - freigegeben - 4.1.4 Notfall- und Continuity-Management für die kDL Um auf Vorfälle und Schäden, welche die Erbringung der kDL gefährden und sich nicht verhindern lassen, angemessen reagieren zu können, muss jeder „KRITIS-Betreiber“ ein Notfall- und Continuity-Management der kDL implementieren. Das Notfall- und Continuity-Management der kDL ermöglicht in Notfall- und Krisensituationen eine Fortführung oder einen schnellen Wiederanlauf der kDL. Dazu sollte die Einrichtung eines Entscheidungsgremiums (Krisenstab), die Vorbereitung von Telefonlisten von Vorgesetzten und Spezialisten sowie die Bereitstellung eines Notfallhandbuches mit typischen Wiederanlaufverfahren geprüft und umgesetzt werden. Diese Maßnahmen sollten als Bestandteil eines integrierten Managementsystems eingebettet werden. Dadurch können Synergieeffekte ideal genutzt werden. Basierend auf der Risikoanalyse müssen die Anforderungen an die Informationssicherheit zur Aufrechterhaltung des ISMS und zur Erbringung der kDL in widrigen Situationen, beispielsweise Krisen, definiert werden. Anschließend müssen Maßnahmen, Prozesse und Verfahren festgelegt und dokumentiert werden (Notfallplan), um diese Anforderungen zu erfüllen. Die betroffenen Mitarbeitenden müssen für den Notfall geschult werden und sollten den Notfall praktisch üben, damit die Notfallmaßnahmen in Krisensituationen bekannt und eingeübt sind. Der Notfallplan muss in regelmäßigen Abständen auf Aktualität geprüft werden. Für den Notfall sollten Bereitschaftspläne erstellt werden, um die Verfügbarkeit der notwendigen Fachkräfte zu garantieren. Außerdem müssen für den Notfall die Kommunikation und Zusammenarbeit mit Behörden und Dienstleistenden geregelt und ein Wiederanlaufplan für die kDL erstellt werden. Für IT-Systeme, Prozesse oder Komponenten mit sehr hohen Verfügbarkeitsanforderungen muss unter Wahrung der Verhältnismäßigkeit für ausreichende Redundanz gesorgt werden, um die Erbringung der kDL gemäß den vorgegebenen Schutzzielen zu gewährleisten. Weitere Informationen zur Umsetzung der Maßnahmen sowie zusätzliche Maßnahmen finden sich beispielsweise in der DIN ISO/IEC 27002. Die relevanten Kapitel sind im Anhang D.3 genannt. 4.1.5 Branchenspezifische Technik Alle im Rahmen des Risikomanagements abgeleiteten Maßnahmen müssen angemessene organisatorische und/oder technische Vorkehrungen zur Vermeidung, Verminderung oder Begrenzung der Risiken beinhalten. Im Gegensatz zu Standardsoftware für Office-Systeme, wie beispielsweise Windows und Linux für Client- bzw. Serversysteme oder SAP, für deren Absicherung häufig zahlreiche Standardsicherheitsmaßnahmen existieren, ist dies für branchenspezifische Technik nicht im gleichen Maße der Fall. Beispielsweise basieren viele ICS- Komponenten zwar auf den gleichen Betriebssystemen, Veränderungen benötigen aber meist die Freigabe durch die Hersteller, wodurch die Absicherung von ICS-Komponenten nicht mit der von Office-Systemen vergleichbar ist (vgl. BSI ICS-Kompendium11). Gleiches gilt für kritische Server-, Großrechner- oder Mainframe-Systeme, die oft nicht durch Standardschutzmaßnahmen zu schützen sind. Bei der Planung und Umsetzung von Maßnahmen muss daher insbesondere auch auf die Spezifika branchenspezifischer Informationstechnik und sonstiger branchenspezifischer Technik eingegangen werden. Bei der Erbringung der kDL kommt branchenspezifische Technik insbesondere in den in Kapitel 1.1.1 genannten Prozessen und Anwendungen zum Einsatz. 4.1.6 Bauliche/physische Sicherheit Um die für die Erbringung der kritischen Dienstleistung maßgeblichen IT-Systeme, Prozesse und Komponenten zu schützen, müssen bauliche (physische) Sicherheitsvorkehrungen gegen unberechtigten Zutritt sowie anderweitige 11 https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/ICS/ICS- Security_kompendium_pdf.pdf? blob=publicationFile (letzter Zugriff: 12.02.2024) - TLP Amber - Seite 44 - freigegeben - physische Beeinträchtigungen entsprechend der Risikoanalyse und -bewertung konzipiert und getroffen werden. Dabei sollte die Angemessenheit der Maßnahmen betrachtet werden. Für die kDL notwendige Bereiche müssen sichtbar und rechtlich eindeutig durch physische Barrieren begrenzt werden, um unberechtigtes Eindringen zu erschweren (beispielsweise durch Zäune, Mauern, einbruchshemmende Türen und Fenster). Mitarbeitende des Gebäudemanagements oder der Pforte sollten nach Betriebsschluss regelmäßig überprüfen, ob Fenster und Türen verschlossen sind. Die Installation einer geeigneten Einbruchmeldeanlage kann für bestimmte Bereiche die Überprüfung erleichtern oder unterstützen. Um zu gewährleisten, dass nur berechtigte Personen in relevante Bereiche der kDL gelangen können, muss eine wirksame Zutrittskontrolle eingerichtet werden. Zum Schutz vor nicht autorisiertem Zutritt/Zugang zu Betriebseinrichtungen und Betriebsmitteln müssen Schließsysteme oder andere Zutrittskontrollsysteme eingerichtet werden (abschließbare Türen/Schränke/Safes inklusive Schlüsselverwaltung). Zur Organisation von Zutritts- und Zugangsregeln sollten Schutzzonen mit definierten Sicherheitsanforderungen entsprechend des Schutzbedarfs der darin befindlichen Informationen und IT-Systeme und Komponenten festgelegt werden. Die Vergabe von Zutritts- und Zugangsrechten muss dokumentiert sowie verwaltet und überwacht werden. Gäste und betriebsfremde Personen, die kDL-relevante Bereiche betreten, sollten vorab in entsprechenden Örtlichkeiten (beispielsweise Pforte, Empfangshalle, Einfahrt) in Empfang genommen, an- und abgemeldet sowie als Gäste kenntlich gemacht werden. Weiterhin sollten sie in kDL-relevanten Bereichen durchgehend begleitet werden. Eine bereichs- oder standortspezifische Einweisung kann hilfreich sein. Bereiche, in denen sich regelmäßig betriebsfremde Personen aufhalten müssen, wie zum Beispiel Liefer- und Ladezonen, können geringeren Zutrittsbestimmungen unterliegen, wenn sie anderweitig geschützt werden. Dazu sollten diese Bereiche von anderen kritischen Bereichen isoliert werden. Die Übergänge zwischen diesen Bereichen sollten angemessen kontrolliert und geschützt werden. Außerdem sollte das Betreten und Verlassen der entsprechenden Bereiche überwacht werden. Damit betriebsfremde Personen einfacher erkannt werden können, sollten zum Betrieb gehörende Personen optisch erkennbar sein, beispielsweise an einem sichtbar getragenen Firmenausweis. In Unternehmen mit einer kleinen Anzahl an Mitarbeitenden kann darauf verzichtet werden. IT-Systeme, Prozesse und Komponenten mit sehr hohen Verfügbarkeitsanforderungen müssen vor dem Ausfall von Versorgungseinrichtungen, wie zum Beispiel der Stromversorgung, angemessen geschützt werden. Um dies zu erreichen, müssen die extern erreichbaren Versorgungsleitungen angemessen vor unautorisiertem Zugriff geschützt werden. Dieser Schutz kann beispielsweise durch eine unterirdische Verlegung sichergestellt werden. Weiterhin können zur Sicherstellung der Versorgung redundante Versorgungsleitungen, redundante Versorgungsquellen, unterbrechungsfreie Stromversorgungen (USV)- oder Netzersatzanlagen (NEA) zum Einsatz kommen. Weitere Sicherheit kann durch redundante Versorgungsleitungen und redundante Versorgungsquellen erreicht werden. Unter Berücksichtigung der jeweiligen Bauvorschriften und der in der Risikoanalyse identifizierten Bedrohungslage müssen Vorkehrungen zum Schutz vor Feuer und Explosionen getroffen werden. Weiterhin müssen Infrastruktureinrichtungen, insbesondere unterirdische Einrichtungen, vor Überschwemmungen geschützt sein (z. B. durch selbstständige Entwässerungen). Gebäude sollen mit Blitzschutzeinrichtungen, wie zum Beispiel Blitzableitern, ausgestattet sein. Alle für die kDL notwendigen Assets müssen angemessen vor physischen Beeinträchtigungen und fremdem Zugriff geschützt werden. Dabei ist jede Person mit Asset für ihre Systeme verantwortlich. Entsprechende Systeme dürfen nicht ohne vorherige Genehmigung vom Betriebsgelände entfernt werden und müssen auch außerhalb des Betriebs adäquat geschützt werden. Weitere Informationen zur Umsetzung der Maßnahmen sowie zusätzliche Maßnahmen finden sich beispielsweise in der DIN ISO/IEC 27002. Die relevanten Kapitel sind im Anhang D.4 genannt. - TLP Amber - Seite 45 - freigegeben - 4.1.7 Überprüfung im laufenden Betrieb Die Wirksamkeit der getroffenen Maßnahmen zum Schutz der für die Funktionsfähigkeit der kDL maßgeblichen IT- Systeme, Prozesse und Komponenten muss regelmäßig in geeigneter Weise überprüft werden. Diese regelmäßigen Überprüfungen sollten frühzeitig eingeplant werden, um eine Störung der normalen Geschäftsprozesse zu vermeiden. Weiterhin sollte nach den folgenden, ungeplanten Ereignissen geprüft werden:  Änderungen der Bedrohungs-/Gefährdungslage  nicht zuverlässig erklärbare Beeinträchtigungen der IT-Systeme oder Komponenten  erfolgreiche oder potenziell erfolgreiche Angriffe  Änderungen an den für die Funktionsfähigkeit der kDL maßgeblichen IT- oder Kommunikationssystemen Die Überprüfung sollte unabhängig sein und die Einhaltung der kDL-relevanten Richtlinien, Standards und Vorgaben abdecken. Die Überprüfung kann beispielsweise durch Bereichsverantwortliche oder explizit dafür ernannte Mitarbeitende erfolgen. Weitere Informationen zur Umsetzung der Maßnahmen sowie zusätzliche Maßnahmen finden sich beispielsweise in der DIN ISO/IEC 27002. Die relevanten Kapitel sind im Anhang D.5 genannt. 4.1.8 Externe Informationsversorgung und Unterstützung Zur Aufrechterhaltung und stetigen Verbesserung des Sicherheitsniveaus muss eine geeignete Verfahrensweise zur Beschaffung und Verarbeitung von externen sowie internen sicherheitsrelevanten Informationen festgelegt werden. Weiterhin sollten angemessene Kontakte mit Behörden und speziellen Interessengruppen, wie zum Beispiel sicherheitsorientierten Fachverbänden oder Fachkräfteforen, gepflegt werden. Dies gilt insbesondere für aktuelle Entwicklungen in der IT-Sicherheitslage des Pharma-Bereichs. Weitere Informationen zur Umsetzung der Maßnahmen sowie zusätzliche Maßnahmen finden sich beispielsweise in der DIN ISO/IEC 27002. Die relevanten Kapitel sind im Anhang D.6 genannt. Anwendungshinweis Hierbei ist das Einrichten einer Kontaktstelle gemäß § 8b Absatz 3 BSIG gesetzlich vorgeschrieben, um den Erhalt von Informationen durch das BSI gemäß § 8b Absatz 2 Nummer 4 BSIG sicherzustellen. Anwendungshinweis 16 Kontaktstelle BSI - TLP Amber - Seite 46 - freigegeben - 4.1.9 Lieferunternehmen, Dienstleistende und Dritte Sofern Leistungen an IT-Systemen, Prozessen oder Komponenten, welche für die Erbringung der kDL-relevant sind, durch Lieferunternehmen, Dienstleistende oder sonstige Dritte erbracht werden, müssen diese auf die Einhaltung der geltenden Informationssicherheitsanforderungen verpflichtet werden. Um diese zu steuern und zu überwachen, muss eine dokumentierte Verfahrensweise zum Lieferantenmanagement existieren. Weiterhin sollen die notwendigen Prüfrechte im Rahmen des Nachweisverfahrens mit Dienstleistenden vertraglich vereinbart werden. Alle IT-Systeme oder Komponenten, die von Lieferunternehmen bezogen werden, müssen vor ihrem Einsatz auf die Erfüllung der Informationssicherheitsanforderungen überprüft werden. Dienstleistende, die in den Betrieb der kDL oder die Wartung von hierfür relevanten IT-Systemen oder Komponenten eingebunden werden, sollten regelmäßig mindestens stichprobenartig überprüft werden. Sofern Supply-Chain-Partner (SCP) an Prozessen beteiligt sind, die für die Erbringung der kritischen Dienstleistung erforderlich sind, müssen für diese auch Ausfall-Szenarien im Rahmen des Continuity- Managements (Kapitel 4.1.4) betrachtet werden. Wenn ein SCP Dritte (Sub-Unternehmen) zur vollständigen oder teilweisen Vertragserfüllung beauftragt, ist der SCP vollumfänglich für die Koordination dieser Sub-Unternehmen in Bezug auf die vertragsgemäße Erfüllung verantwortlich (§ 278 BGB). Alle Sub-Unternehmen müssen dieselben Anforderungen erfüllen, die für den SCP gelten. Der SCP soll Sub-Unternehmen zudem schriftlich benennen und vor Beginn der Arbeiten vom „KRITIS-Betreiber“ genehmigen lassen. Weitere Informationen zur Umsetzung der Maßnahmen sowie zusätzliche Maßnahmen finden sich beispielsweise in der DIN ISO/IEC 27002. Die relevanten Kapitel sind im Anhang D.7 genannt. 4.1.10 Technische Informationssicherheit Spezifische technische Maßnahmen basieren auf der durchgeführten Bedrohungs- und Schwachstellenanalyse aus Kapitel 2.3. Daher sind diese nicht in diesem Kapitel beschrieben, sondern den jeweiligen Bedrohungen in Kapitel 4.2 zugeordnet. Diese decken alle notwendigen technischen Maßnahmen zur Risikobehandlung ab. Weitere Informationen zur Umsetzung der Maßnahmen sowie zusätzliche Maßnahmen finden sich beispielsweise in der DIN ISO/IEC 27002. Die relevanten Kapitel sind im Anhang D.8 bis D.16 genannt. Anwendungshinweis Im Rahmen der Lieferantenmanagements muss definiert werden, welche Prüfrechte jeweils passend sind. So kann bei einem Dienstleistenden, welcher lokal an den Anlagen des Betreibenden arbeitet, auf ein Prüfrecht verzichtet werden. Bei einer maßgeblichen Auslagerung (wie beispielsweise einem SAP-System) sollen Prüfrechte oder anderweitige Sicherheitsnachweise (wie beispielweise Zertifizierungen) eingefordert werden. Anwendungshinweis 17 Prüfrechte - TLP Amber - Seite 47 - freigegeben - 4.1.11 Personelle und organisatorische Sicherheit Spezifische technische Maßnahmen basieren auf der durchgeführten Bedrohungs- und Schwachstellenanalyse aus Kapitel 2.3. Daher sind diese nicht in diesem Kapitel beschrieben, sondern den jeweiligen Bedrohungen in Kapitel 4.2 zugeordnet. Diese decken alle notwendigen personellen und organisatorischen Maßnahmen zur Risikobehandlung ab. Weitere Informationen zur Umsetzung der Maßnahmen sowie zusätzliche Maßnahmen finden sich beispielsweise in der DIN ISO/IEC 27002. Die relevanten Kapitel sind im Anhang D.8 bis D.16 genannt. 4.2 Spezifische Maßnahmen zur Behandlung der branchenrelevanten Bedrohungen und Schwachstellen Ergibt sich aus der Bewertung der in Kapitel 2 aufgeführten Bedrohungen und Schwachstellen ein Handlungsbedarf, müssen Maßnahmen zur Risikoreduktion abgeleitet werden. Für einen adäquaten Schutz von Informationen und informationsverarbeitenden Systemen werden nachfolgend spezifische Maßnahmen zur Risikobehandlung aufgeführt. Bei der Planung und Umsetzung der zu ergreifenden Maßnahmen muss sichergestellt werden, dass diese wirksam und geeignet sind, um das Risiko ausreichend zu reduzieren. 4.2.1 Maßnahmen zu A1.1 Hacking und Manipulation und A1.9 Schadprogramme Um IT-Systeme und Netzwerke (inkl. Cloud-Systeme) vor Hacking, Manipulation oder dem Einbringen von Schadprogrammen zu schützen, müssen sie ausreichend vor unberechtigtem Zugriff und Zugang geschützt sein. Dabei sollten verschiedene, sich ergänzende Sicherheitstechniken auf verschiedenen Systemebenen zum Einsatz kommen, damit Sicherheitsbedrohungen nicht nur durch Einzelmaßnahmen, sondern das Zusammenwirken verschiedener Maßnahmen reduziert werden. Zugangs- und Zugriffsschutz lassen sich insbesondere durch eine geeignete Wahl der Architektur, also durch eine robuste und widerstandsfähige IT-Infrastruktur, erreichen. Diese sollte mithilfe einer Netzsegmentierung die IT- Systeme, Prozesse und Komponenten in Abhängigkeit ihres Schutzbedarfs in Zonen aufteilen. Die Kommunikation zwischen den Zonen muss untereinander über spezifische Festlegungen reglementiert werden (Zonenmodell). Zur Minimierung von Fehlfunktionen der IT, die sowohl vorsätzlich als auch nicht-vorsätzlich ausgelöst werden können, muss mindestens eine Trennung der kritischen Systeme zur Anlagensteuerung von anderen Systemen und insbesondere dem Extranet (Internet) erfolgen. Dies kann beispielsweise durch Firewalls oder die komplette Trennung von unsicheren Netzen erfolgen. Anwendungshinweis Die Reihenfolge der Zuordnung der Maßnahmen zu den jeweiligen Risikofeldern stellt keine Priorisierung dar, sondern dient einzig der strukturierten und systematischen Behandlung der Risiken. Anwendungshinweis 18 Priorisierung der Maßnahmen - TLP Amber - Seite 48 - freigegeben - Die kDL-relevante Kommunikation mit dem Extranet (Internet) sollte kryptografisch geschützt erfolgen. Hierbei sollte ein aktueller Kryptographie-Algorithmus12 angewendet werden. Zum Schutz vor Angriffen oder dem Einschleusen von Schadprogrammen sollten alle bekannten Infektionswege (Web- und E-Mail-Gateways, Datenübertragungssysteme mit Anbindung an das Internet, USB-Schnittstellen, mobile Datenträger etc.) über einen Malwareschutz oder eine Zugriffssperre abgesichert werden. Zusätzlich müssen Arbeitsplatzsysteme, die für die Erbringung der kDL notwendig sind, über eine geeignete und aktuell gehaltene Endpoint-Protection-Lösung verfügen. Für Produktionssysteme, wie zum Beispiel Großrechneranlagen, Individualsysteme oder Industriesteueranlagen, für die es keine entsprechenden Programme gibt oder auf denen diese Maßnahmen aus unterschiedlichen Gründen nicht eingesetzt werden können oder dürfen, sollte ein Malwareschutz über andere Mechanismen gewährleistet werden. Dies kann beispielsweise über die Trennung der entsprechenden Systeme vom Netzwerk, die Beschränkung des Netzwerkverkehrs zum System, eine Filterung auf Schadsoftware an der Firewall oder die Überprüfung aller anzusteckenden Geräte geschehen. Als Alternative kann auch der Datenverkehr von und zu entsprechenden Systemen überwacht und ggf. gefiltert werden. Als weitere Maßnahme zum Schutz kritischer Standardsysteme kann beispielsweise auch ein File Integrity Monitoring (FIM) oder ein Whitelisting der ausführbaren Dateien oder andere Maßnahmen realisiert werden. Dabei sollte der Nutzen eines Malwareschutzes gegen Risiken wie Ausfälle der kDL durch fehlerhafte Updates, False-Positives (Fehlalarme), Fehlkonfigurationen oder die zusätzliche Systemlast insbesondere bei transaktionsstarken Prozessen abgewogen werden. Weiterhin müssen technische Maßnahmen zur Detektion und Überwachung von sicherheitsrelevanten Ereignissen eingesetzt werden, um Bedrohungen schnellstmöglich zu erkennen sowie die Reaktionszeit auf Ereignisse zu verkürzen, sowie komplexe Angriffsführungen erfassbar zu machen. Dies muss über ein System zur Angriffserkennung (SzA) realisiert werden (Verweis Kapitel 4.1.3). Zusätzlich kann auch ein Angriffsverhinderungs- system (z. B. Spamfilter, DDoS-Schutz, IPS etc.) verwendet werden, welches erkannte Angriffe automatisiert zu verhindern versucht. Protokolle der Angriffserkennungssysteme müssen mindestens die folgenden Informationen enthalten:  Datum und synchronisierte Uhrzeit  Geräteidentität und Systembezeichnung  Art des Events oder Event-ID  Erfolg oder Misserfolg des Events Die Protokolldaten sollten vor Manipulation und unbefugtem Zugriff geschützt werden. Es muss darauf geachtet werden, dass Protokollinformationen nicht unbemerkt bearbeitet oder innerhalb ihrer Aufbewahrungsfrist gelöscht werden können. Das Anlegen und Verwalten der Protokolldaten sollte bei der Kapazitätssteuerung berücksichtigt werden. Für alle eingesetzten Logauswertungs-, Angriffserkennungs- oder Angriffsvermeidungssysteme müssen die zugrundeliegenden Erkennungsmuster und Regeln regelmäßig an die 12 z. B. BSI TR-02102 Kryptographische Verfahren: Empfehlungen und Schlüssellängen - TLP Amber - Seite 49 - freigegeben - aktuelle Gefährdungslage angepasst werden. Detailliertere Beschreibungen und Hinweise zur Protokollierung können beispielsweise der DIN ISO/IEC 27002, dem BSI IT-Grundschutz-Kompendium oder dem BSI ICS- Kompendium entnommen werden. Bei sehr hohen Risiken sollten technische Sicherheitslösungen von verschiedenen Anbietern eingesetzt werden, um potenzielle Schwachstellen in Lösungen einer Herstellfirma ausgleichen zu können. Um Fehlfunktionen oder Ausfälle einzelner informationstechnischer Komponenten zu kompensieren, sollten Systeme, die aufgrund der Risikoanalyse kritische Verfügbarkeitsanforderungen haben, durch angemessene Redundanzen abgesichert werden. Dabei sollte auf die Verhältnismäßigkeit geachtet werden. Die Zugriffsrechte auf Informationen und informationsverarbeitende Systeme müssen auf ein Mindestmaß beschränkt werden. Das bedeutet, Nutzende und Systemkomponenten dürfen nur die erforderlichen Privilegien und Zugriffsrechte haben, um ihre Aufgaben und Funktionen zu erfüllen. Sämtliche Zugriffsrechte müssen über ein Benutzer- und Zugriffsrechtemanagement verwaltet, kontrolliert und regelmäßig durch angemessene Stichproben überprüft werden. Dies kann auch über organisatorische Maßnahmen geschehen, solange diese das gleiche Sicherheitsniveau erreichen. Es muss sichergestellt sein, dass Nutzendeausschließlich Zugriff auf diejenigen Systeme und Netzwerke haben, zu deren Nutzung sie ausdrücklich berechtigt sind. Dies kann zum Beispiel durch eine authentifizierte Anmeldung am System mit Nutzernamen und Passwort erfolgen. Jede neu eingesetzte Software und Hardware sollte auf Schadsoftware geprüft und auf korrekte Funktionalität getestet werden. Des Weiteren muss sichergestellt werden, dass die Software sicher ist und wenn möglich integritätsgeschützt übertragen wird, bevor sie auf kritischen Systemen eingesetzt bzw. mit diesen verbunden wird. Hier sollten Vorgaben zur sicheren Installation und Konfiguration (z. B. Hersteller-Empfehlungen oder das BSI ICS- Security-Kompendium) angewendet werden. Weitere Maßnahmen, um Daten und Informationen vor unberechtigtem Zugang zu schützen, befinden sich unter den in Kapitel 4.1.6 aufgeführten Maßnahmen zum physischen Zugangsschutz sowie unter den in Punkt 4.1.2 beschriebenen Maßnahmen zum Asset-Management. Hier sollten insbesondere die Maßnahmen zur Informationsklassifizierung und -handhabung beachtet werden. Anwendungshinweis Eine weitere, informationstechnisch unabhängige Anlage, die noch freie Kapazitäten hat und damit den Ausfall einer Anlage kompensieren kann, erfüllt die Forderung nach Redundanz. Anwendungshinweis Unter Sicherheitsprüfung ist hier nicht zwangsläufig eine VS-Sicherheitsüberprüfung zu verstehen. Die hier geforderte Sicherheitsüberprüfung soll feststellen, ob einer Person eine kDL- kritische Aufgabe anvertraut werden kann. Dies kann beispielsweise die Überprüfung von Referenzen, das Anfordern von Führungszeugnissen oder ein polizeiliches Führungszeugnis beinhalten. Anwendungshinweis 19 Redundanz Anwendungshinweis 20 Sicherheitsüberprüfung - TLP Amber - Seite 50 - freigegeben - Weitere Informationen zur Umsetzung der Maßnahmen sowie zusätzliche Maßnahmen finden sich beispielsweise in der DIN ISO/IEC 27002. Die relevanten Kapitel sind im Anhang D.8 genannt. 4.2.2 Maßnahmen zu A1.5 Missbrauch (Interne Tatbegehende) Um die Möglichkeit zu vermeiden, Informationen zu missbrauchen oder unbefugt Änderungen an Berechtigungen vorzunehmen, müssen miteinander in Konflikt stehende Aufgaben und Verantwortlichkeitsbereiche voneinander getrennt sein. Mitarbeitende in kritischen Positionen, die zur Erbringung der kDL erforderlich sind, müssen einer Sicherheitsüberprüfung unterzogen werden. Diese sollte in angemessenem Verhältnis zu Gesetzen, Vorschriften, geschäftlichen Anforderungen und dem wahrgenommenen Risiko stehen. Weiterhin sollten alle Mitarbeitende ihre Arbeitsumgebung hinsichtlich Unterlagen, Wechseldatenträgern und Bildschirmsperre ordentlich verlassen, um die Möglichkeiten für Missbräuche zu reduzieren. Beim mobilen Arbeiten müssen die Regeln der Informationssicherheit ebenfalls eingehalten werden. Zur Ahndung von Informationssicherheitsverstößen und zur vorbeugenden Sensibilisierung sollte ein formal festgelegter Disziplinarprozess etabliert und bekanntgegeben werden. Für Tätigkeiten an besonders kritischen Systemen sollten weiterführende Maßnahmen eingeplant werden, wie zum Beispiel die Überprüfung und Freigabe kritischer Änderungen durch einen zweiten Administrator oder Entwickler, abhängig von der Art der Änderung. Weitere Maßnahmen, um sich gegen Missbrauch durch Innentäter zu schützen, befinden sich unter den in Kapitel 4.1.6 aufgeführten Maßnahmen zum physischen Zugangsschutz sowie unter den in Punkt 4.2.1 und 4.2.4 beschriebenen Maßnahmen zum Schutz vor unberechtigtem Zugriff und Zugang. Weitere Informationen zur Umsetzung der Maßnahmen sowie zusätzliche Maßnahmen finden sich beispielsweise in der DIN ISO/IEC 27002. Die relevanten Kapitel sind im Anhang D.9 genannt. 4.2.3 Maßnahmen zu A1.6 Ausfall für IT-Betrieb erforderlicher externer Dienstleistender Sofern externe Dienstleistende an Prozessen beteiligt sind, die für die Erbringung der kritischen Dienstleistung erforderlich sind, müssen für diese auch Ausfall-Szenarien im Rahmen des Continuity-Managements der kDL (Kapitel 4.1.4) betrachtet werden. Wenn ein Dienstleistender Dritte (Sub-Auftragnehmende) zur vollständigen oder teilweisen Vertragserfüllung beauftragt, ist der Dienstleistende vollumfänglich für die Koordination dieser Sub- Auftragnehmenden in Bezug auf die vertragsgemäße Erfüllung verantwortlich (§ 278 BGB). Alle Sub- Auftragnehmenden müssen dieselben Anforderungen erfüllen, die für den Dienstleistenden gelten. Der Dienstleistende muss Sub-Unterauftragnehmende zudem schriftlich benennen und vor Beginn der Arbeiten vom „KRITIS-Betreiber“ genehmigen lassen. Bei Systemen und Prozessen mit sehr hohen Verfügbarkeitsanforderungen sollte geprüft werden, ob ein alternativer Dienstleistender vorab identifiziert und eingeplant werden sollte, der im Falle eines Ausfalls die Erfüllung der Dienstleistung übernehmen kann. Weitere Maßnahmen, um die Auswirkungen von Dienstleisterausfällen zu begrenzen, befinden sich unter den in Kapitel 4.1.9 beschriebenen Maßnahmen zum Lieferantenmanagement. 4.2.4 Maßnahmen zu A1.7 Unbefugter Zugriff Um zu verhindern, dass unbefugt auf Informationen, Daten oder Systeme zugegriffen werden kann, muss ein angemessenes Benutzer- und Berechtigungsmanagement etabliert und dokumentiert werden. Dieses muss den gesamten Zyklus der Zugangs- und Zugriffsverwaltung von Regelungen zur Vergabe von Rechten, - TLP Amber - Seite 51 - freigegeben - Authentifizierungsmethoden, Überprüfung von Benutzerrechten bis hin zu Anpassung oder Entzug von Rechten enthalten. Abhängig von der Kritikalität von spezifischen Systemen oder Prozessen sollten weiterführende Maßnahmen, wie beispielsweise die verschlüsselte Authentifizierung oder die Zwei-Faktor-Authentifizierung eingeführt werden. Beim Zugriff von Mitarbeitenden und Dienstleistenden über einen Fernzugriff auf die Systeme zur Erbringung der kDL müssen eine Zwei-Faktor-Authentifizierung oder äquivalente Sicherheitssysteme genutzt werden. Der Zugriff muss hierbei überwacht werden. Weitere Maßnahmen, um sich vor unbefugtem Zugriff zu schützen, befinden sich unter den in Kapitel 4.1.2 aufgeführten Maßnahmen zur Informationsklassifizierung und -handhabung sowie unter den in Punkt 4.2.1 beschriebenen Maßnahmen zum Schutz vor Hacking und Manipulationen. 4.2.5 Maßnahmen zu A1.8 Diebstahl, Verlust, Zerstörung von IT oder IT-relevanten Anlagen und Anlagenteilen sowie A1.13 Beschädigung oder Zerstörung verfahrenstechnischer Komponenten, Ausrüstung und Systeme Die für die Funktionsfähigkeit der kDL maßgeblichen IT-Systeme müssen angemessen vor Beschädigung oder Zerstörung durch vorsätzliche Angriffe und Unfälle geschützt werden. Maßnahmen zum Schutz vor Diebstahl, Beeinträchtigungen durch Naturgefahren sowie vor mutwilliger Zerstörung befinden sich in den in Kapitel 4.1.6 aufgeführten Maßnahmen zum physischen Zugangsschutz. Maßnahmen, um einem Ausfall von Technik entgegenzuwirken oder einen solchen Ausfall zu kompensieren, befinden sich in den unter Punkt 4.2.1 und 4.2.4 beschriebenen Maßnahmen zum Schutz vor unberechtigtem Zugriff und Zugang. Im Rahmen des unter Punkt 4.1.2 beschriebenen Asset-Managements wird die erlaubte Mitnahme bzw. das Entfernen von Geräten, Betriebsmitteln, Informationen oder Software festgelegt. 4.2.6 Maßnahmen zu A1.11 Gezielte Störung/Verhinderung von Diensten und A1.12 Advanced Persistent Threat Maßgeblich für einen zielgerichteten Schutz ist die Klassifizierung der Werte entsprechend ihrer Kritikalität, wie sie im Rahmen des Asset-Managements (siehe Kapitel 4.1.2) durchgeführt wird. Maßnahmen, um die Wahrscheinlichkeit von erfolgreichen, gezielten Störungen oder Manipulationen von kritischen Diensten zu verringern, sind in den Kapiteln 4.2.1 und 4.2.4 beschrieben. Diese gezielten Störungen könnten beispielsweise durch Denial of Service-Angriffe oder APTs erfolgen. Anwendungshinweis 21 Äquivalente Sicherheitssysteme Anwendungshinweis Äquivalente Sicherheitssysteme können beispielweise das manuelle Steuern der Zugriffe (z. B. durch Freigaben der Sitzungen oder das Abschalten der Hersteller-Modems sein). - TLP Amber - Seite 52 - freigegeben - Im Rahmen der Risikoanalyse muss festgestellt werden, ob es kritische Systeme gibt, die zudem einer erhöhten Gefahr durch gezielte Störungen oder Manipulation von Diensten ausgesetzt sind. Für diese Systeme sollten umfassendere Schutzmaßnahmen als auf anderen, weniger risikobehafteten Systemen umgesetzt werden, damit das Risiko ausreichend verringert wird. 4.2.7 Maßnahmen zu A1.14 Ausfall von Basisinfrastrukturen mit direktem Bezug zur IT Alle eingesetzten IT-Systeme, die für die Erbringung der kritischen Dienstleistung relevant sind, müssen vor Ausfällen und Schäden aufgrund von Ausfällen der Basisinfrastruktur, insbesondere der Stromversorgung, geschützt werden. Strom- und sonstige Versorgungseinrichtungen müssen entsprechend der geltenden Vorschriften sowie der Spezifikationen der Herstellfirma eingerichtet sein und regelmäßig auf ordnungsgemäße Funktionalität überprüft werden. Weiterhin sollten sie, vor allem nach Bedarfsänderungen, auf eine ausreichende Auslegung überprüft werden (z. B. hinsichtlich der geschäftlichen Anforderungen und/oder Interaktion mit anderen Versorgungseinrichtungen). Hausinterne Stromkreise sollten zur besseren Absicherung segmentiert und einzeln abgesichert sein. Die Versorgung sollte über getrennte Zuführungen und Zuleitungswege, USV oder NEA geschützt werden. Strom- und Datenleitungen müssen auf geeignete Weise vor äußerlichen Beeinträchtigungen oder Beschädigungen geschützt sein. Das kann durch unterirdische oder nicht sichtbare Verlegung erreicht werden. Es sollten geeignete USV und Notstromaggregate für die Erbringung der kDL geplant und betrieben werden. Diese sollten regelmäßig auf ihre Funktionsfähigkeit geprüft werden. Je nach Risikoeinstufung ist die Überbrückung für wenige Minuten bis mehrere Tage auszulegen. Die Versorgung von Systemen mit sehr hohen Verfügbarkeitsanforderungen sollte durch angemessen redundante Versorgungseinrichtungen sichergestellt werden. Weitere Informationen zur Umsetzung der Maßnahmen sowie zusätzliche Maßnahmen finden sich beispielsweise in der DIN ISO/IEC 27002. Die relevanten Kapitel sind im Anhang D.10 genannt. 4.2.8 Maßnahmen zu AP.1, AL.1 und AV.1 Verdeckte Manipulationen Maßnahmen zur Absicherung gegen verdeckte Manipulation sind in den in Kapitel 4.1.6 aufgeführten Maßnahmen zum physischen Zugangsschutz sowie in den unter Punkt 4.2.1 und 4.2.4 beschriebenen Maßnahmen zum Schutz vor unberechtigtem Zugriff und Zugang aufgeführt. An der Erbringung der kDL beteiligte Systeme und Komponenten sollten regelmäßig auf Veränderungen beziehungsweise Manipulationen geprüft werden. Um verdeckte Manipulationen an der eigenen kDL-relevanten Produktion festzustellen, müssen geeignete Qualitätskontrollen durchgeführt werden. Die Maßnahmen, Systeme und Prozesse zur Qualitätskontrolle sind dabei von zentraler Bedeutung für den Schutz und müssen daher sorgfältig durch entsprechende dokumentierte Maßnahmen vor verdeckten Manipulationen geschützt werden. 4.2.9 Maßnahmen zu A2.1 Organisatorische Mängel Das Unternehmen muss geeignete organisatorische Strukturen schaffen, um die Informationssicherheit durchgehend in allen kDL-relevanten kritischen Geschäftsprozessen aufrecht zu erhalten. Die Wahrung der Informationssicherheit muss Aufgabe der Unternehmensleitung sein. Diese muss den Aufbau und Betrieb des ISMS unterstützen und alle hierfür erforderlichen Ressourcen bereitstellen. Wesentlich für die Umsetzung der Informationssicherheit ist eine klare Definition von Verantwortlichkeiten und Pflichten. Diese müssen mittels definierter Rollen festgelegt und zugeordnet sowie allen Mitarbeitenden bekannt gemacht werden. Dabei muss darauf geachtet werden, dass miteinander in Konflikt stehende Aufgaben - TLP Amber - Seite 53 - freigegeben - (beispielsweise die Durchführung und Überwachung einer Tätigkeit) nicht von der gleichen Person vorgenommen werden. Die Unternehmensleitung muss sich aktiv zur Informationssicherheit bekennen und von allen Beschäftigten und Auftragnehmenden die Einhaltung und Umsetzung eingeführter Informationssicherheitsvorgaben und -verfahren verlangen. Sämtliche Vorgaben müssen schriftlich in Richtlinien oder Verfahrensbeschreibungen dokumentiert und relevanten Personen bekanntgemacht werden. Zudem müssen wirksame Kontrollmechanismen zur Überprüfung und Aufrechterhaltung der Informationssicherheit in allen Geschäftsprozessen etabliert sein sowie in regelmäßigen Abständen auf ihre Wirksamkeit geprüft werden. Im Rahmen von Bewusstseins- und Schulungsmaßnahmen sollten alle für die Erbringung der kDL-relevanten Personen regelmäßig für die Informationssicherheit sensibilisiert sowie über die im Unternehmen geltenden Vorgaben informiert werden. Eine Verpflichtung zur Einhaltung der Vorschriften muss zudem Bestandteil in Arbeits-, Lieferanten- und sonstigen Verträgen oder vertragsrelevanten Dokumenten mit Beschäftigten und Auftragnehmenden sein. In diesen müssen auch fortbestehende Verantwortlichkeiten und Pflichten im Bereich der Informationssicherheit bei Änderung oder Beendigung des Vertrags- oder Beschäftigungsverhältnisses geregelt sein. Zur Berücksichtigung relevanter interner sowie externer Interessensgruppen sollte im Rahmen des ISMS ein Stakeholder-Management etabliert werden. Darin müssen Regelungen für die angemessene Kommunikation und den Kontakt mit interessierten Parteien festgelegt werden. Hierzu kann eine Kommunikationsmatrix erstellt werden. Weitere Informationen zur Umsetzung der Maßnahmen sowie zusätzliche Maßnahmen finden sich beispielsweise in der DIN ISO/IEC 27002. Die relevanten Kapitel sind im Anhang D.11 genannt. 4.2.10 Maßnahmen zu A2.2 Technische Schwachstellen in Software, Firmware und Hardware Um das Risiko zu minimieren, dass fehlerhafte Software, Firmware oder Hardware ins Unternehmen eingebracht und verwendet wird, muss der Umgang, die Verwendung sowie die Veränderung von Software und Systemen beschrieben und geregelt sein. Dies gilt auch für die Dokumentation, die den Umgang mit der entsprechenden Software bzw. den entsprechenden Systemen betrifft, damit diese nicht falsch verwendet werden. Hierbei müssen zunächst Regeln für die Installation von Software durch die verschiedenen Rollen (z. B. Administration, Entwicklung, Office-User) festgelegt und umgesetzt sowie Verfahrensweisen zur Steuerung von Softwareinstallationen auf im Betrieb befindlichen Systemen definiert und implementiert werden. Weiterhin muss sichergestellt werden, dass Informationssicherheitsanforderungen in Entwicklungs- und Unterstützungsprozessen definiert sind. Entwicklungs- und Testsysteme sollten dabei von der Betriebsumgebung getrennt gehalten werden, um das Risiko unerwünschter Auswirkungen zu minimieren und unbefugten Zugriff auf oder Änderungen an Betriebssystemen zu verringern. Zudem muss ein wirksames Änderungsmanagement etabliert werden, welches die folgenden Aspekte beachtet: Anwendungshinweis Aufgrund des BSIG ist das BSI eine der interessierten Parteien. Weiterhin muss die Bevölkerung als interessierte Partei betrachtet werden, da es bei der Erbringung der kDL um ihre Versorgungssicherheit geht. Anwendungshinweis 22 Interessierte Parteien - TLP Amber - Seite 54 - freigegeben -  Der Umgang mit zeitkritischen Änderungen, wie zum Beispiel Sicherheitsupdates, muss vorab im Rahmen des Risikomanagements betrachtet und im Änderungsmanagement festgelegt werden.  Änderungen an Systemen, Hardware oder Software müssen dokumentiert werden.  Für nicht zeitkritische Änderungen sollte der Zeitpunkt für die Änderung so gewählt werden, dass ein möglichst geringes Risiko für die kDL besteht.  Für neue Informationssysteme und signifikante Änderungen an Systemen, welche zur Erbringung der kDL benötigt werden (z. B. Neueinführungen, Release-Wechsel) müssen angemessene Risikoanalysen durchgeführt werden. Weiterhin müssen Abnahmetests und dazugehörige Kriterien festgelegt werden, um sicherzustellen, dass es keine negativen Auswirkungen auf die kDL gibt.  Für geringfügige Anpassungen und Patches sollten angemessene, kleinere Abnahmetests anhand von vordefinierten Kriterien erfolgen.  Änderungen an Systemen, Hardware oder Software sollten auf ein Mindestmaß beschränkt werden. Vor der Durchführung sollte auf Erfordernis und Alternativen geprüft werden. Vor der Übernahme von geänderten oder neuen Systemen in die Betriebsumgebung müssen diese mit ausgewählten Testdaten auf Funktionsfähigkeit und Fehlerfreiheit überprüft werden. Dies sollte in einer separierten Testumgebung geschehen. Weitere Informationen zur Umsetzung der Maßnahmen sowie zusätzliche Maßnahmen finden sich beispielsweise in der DIN ISO/IEC 27002. Die relevanten Kapitel sind im Anhang D.12 genannt. 4.2.11 Maßnahmen zu A2.3 Technisches Versagen von IT-Systemen, Anwendungen oder Netzen (sowie Verlust von gespeicherten Daten) Maßnahmen, um technisches Versagen von IT-Systemen, Anwendungen oder Netzen und dadurch verursachte negative Auswirkungen auf die kDL zu vermeiden, sind in den in Kapiteln 4.2.1 und 4.2.10 aufgeführten Maßnahmen zum Schutz von IT-Systemen und Netzwerken beschrieben. Die unter 4.1.6 angegebenen Maßnahmen zum Schutz vor schädlichen Umwelteinflüssen helfen zusätzlich, das Risiko technischen Versagens zu reduzieren. Um den Verlust von kDL-relevanten Daten bei technischen Ausfällen von kritischen Systemen zu begrenzen, sollten unter Beachtung geltender Gesetze sowie Informationsklassifizierungen und Handhabungsvorgaben regelmäßig Sicherheitskopien von Informationen, Software und Systemabbildern angefertigt (beispielsweise in Speicher- und Archivsystemen) und auf Gebrauchsfähigkeit getestet werden. Der Zeitpunkt für die Erstellung der Sicherheitskopie sollte so gewählt werden, dass die Erbringung der kDL so wenig wie möglich beeinträchtigt wird. Für den Fall von Informationssicherheitsvorfällen sollten zudem Verfahren und ggf. Ausnahmen für die Erstellung von Systemabbildern oder von kurzfristigen Datensicherungen angefertigt werden, um gegebenenfalls Daten rekonstruieren zu können. Die Sicherungen und Systemabbilder können beweissicher sein. Ferner sollte sichergestellt werden, dass alle Beschäftigten und sonstige (externe) Nutzende von Informationen und informationsverarbeitenden Systemen diese bei Beendigung ihres Beschäftigungsverhältnisses, ihres Vertrages oder einer sonstigen Vereinbarung an das Unternehmen zurückgeben. Wenn die entsprechenden Systeme und Informationen nicht vom Betrieb benötigt werden, können diese alternativ vernichtet oder gegebenenfalls den Nutzenden überlassen werden, solange dadurch keine vertraulichen Informationen gefährdet werden. Der Fall eines gravierenden oder langanhaltenden technischen Versagens mit erheblichen Auswirkungen auf die kDL wird durch die Vorgaben und Regelungen des Notfall- und Continuity-Managements (Kapitel 4.1.4) betrachtet. Weitere Informationen zur Umsetzung der Maßnahmen sowie zusätzliche Maßnahmen finden sich beispielsweise in der DIN ISO/IEC 27002. Die relevanten Kapitel sind im Anhang D.13 genannt. - TLP Amber - Seite 55 - freigegeben - 4.2.12 Maßnahmen zu A2.4 Menschliche Fehlhandlungen, menschliches Versagen Zur Verhinderung von Fehlhandlungen in Arbeitsabläufen oder bei der Bedienung oder Administration von Systemen muss sichergestellt werden, dass erforderliche Bedien- und Betriebsabläufe dokumentiert sind und den Personen, die sie benötigen, zur Verfügung stehen. Weiterhin muss im Rahmen des Personalmanagements darauf geachtet werden, dass Bedien-, Benutzer- und Administratortätigkeiten nur von ausreichend qualifiziertem Personal durchgeführt werden. Alle Beschäftigten des Unternehmens sowie Dienstleistende und Auftragnehmende, die Tätigkeiten an IT-Systemen durchführen, müssen regelmäßig zu den, für ihr berufliches Arbeitsgebiet relevanten, geltenden Richtlinien und Verfahren des Unternehmens geschult bzw. unterwiesen werden. Um zu verhindern, dass Aktionen nach Fehlhandlungen oder menschlichem Versagen abgestritten werden und nicht mehr nachvollziehbar sind, sollten zudem geeignete Maßnahmen zur Dokumentation von relevanten Handlungen sowie Informations- und Systemzugriffen eingerichtet werden. Die unter 4.2.1 aufgeführten Maßnahmen zur Protokollierung gewährleisten, dass Fehler besser erkannt und behoben werden können. Weitere Informationen zur Umsetzung der Maßnahmen sowie zusätzliche Maßnahmen finden sich beispielsweise in der DIN ISO/IEC 27002. Die relevanten Kapitel sind im Anhang D.14 genannt. 4.2.13 Maßnahmen zu A2.5 Infrastrukturelle Mängel Infrastruktureinrichtungen gehören auch zu den Assets eines Betreibenden. Daher gelten die in Kapitel 4.1.2 beschriebenen Maßnahmen zum Asset-Management auch für die Infrastruktureinrichtungen. Die unter Kapitel 4.1.6 aufgeführten Maßnahmen zum physischen Zutrittsschutz und Schutz vor Umwelteinflüssen senken auch das Risiko für infrastrukturelle Mängel. Die Verfügbarkeit der Betriebsstätten in allgemeinen Krisenlagen wird durch die Maßnahmen des Kapitels 4.1.4 Notfall- und Continuity-Management sichergestellt. Weiterhin sollte darauf geachtet werden, dass schweren infrastrukturellen Mängeln durch fortlaufende Instandhaltung entgegengewirkt wird. Änderungen an der Infrastruktur und den damit verbundenen informationsverarbeitenden Einrichtungen, Prozessen und Systemen müssen gesteuert werden. Weitere Informationen zur Umsetzung der Maßnahmen sowie zusätzliche Maßnahmen finden sich beispielsweise in der DIN ISO/IEC 27002. Die relevanten Kapitel sind im Anhang D.15 genannt. 4.2.14 Maßnahmen zu A2.6 Verwendung ungeeigneter Netze/Kommunikationsverbindungen, sonstige Schwächen in der Kommunikationsarchitektur Die Implementierung der Maßnahmen aus Kapitel 4.2.13 zur Vermeidung infrastruktureller Mängel hilft, um Schwachstellen durch die Verwendung ungeeigneter Netze und Kommunikationsverbindungen entgegenzuwirken. Das Gleiche gilt für die in Kapitel 4.2.1 aufgeführten Maßnahmen zum Schutz von Informationen in Netzwerken und den unterstützenden informationsverarbeitenden Einrichtungen. Um die Sicherheit von Informationen insbesondere bei externer Übertragung aufrecht zu erhalten, müssen formale Verfahren zur Informationsübertragung definiert und schriftlich dokumentiert werden. Es muss darauf geachtet werden, dass insbesondere Informationen, die über öffentliche Netzwerke (beispielsweise durch Anwendungsdienste) übertragen werden, hinsichtlich Vertraulichkeit, Integrität und Authentizität geschützt werden. Die Datenübertragung zwischen zwei Anwendungsdiensten sollte ebenfalls geschützt werden. Je nach Kritikalität können zum Schutz der Informationen, insbesondere bei deren externer Übertragung, auch kryptographische Maßnahmen definiert und eingesetzt werden. Dazu müssen Regelungen in Bezug auf den Schutz und die Lebensdauer kryptographischer Schlüssel definiert sein. - TLP Amber - Seite 56 - freigegeben - Weitere Informationen zur Umsetzung der Maßnahmen sowie zusätzliche Maßnahmen finden sich beispielsweise in der DIN ISO/IEC 27002. Die relevanten Kapitel sind im Anhang D.16 genannt. 4.2.15 Maßnahmen zu A2.7 Verkopplung von Diensten (Beeinträchtigung eines Dienstes durch Störung anderer Dienste) Alle IT-Systeme, Prozesse und Dienste der kDL sollten nach Möglichkeit so aufgebaut werden, dass sie auch im Falle der Beeinträchtigung eines anderen Dienstes nicht oder nicht lange beeinträchtigt sind. Dies kann beispielsweise über die in Kapitel 4.2.1 beschriebene redundante Auslegung erfolgen. Die Umsetzung der in Kapitel 4.1.9 beschriebenen Maßnahmen zum Lieferanten- und Dienstleistermanagement reduzieren das Risiko, dass einseitige Abhängigkeitsverhältnisse zwischen dem „KRITIS-Betreiber“ und seinen Dienstleistenden bestehen. 4.2.16 Maßnahmen zu A*2.1 Fehlende Detektion Die in Kapitel 4.1.3 beschriebenen Maßnahmen zur Vorfallerkennung und -bearbeitung senken das Risiko, dass Angriffe unentdeckt bleiben und so zu weiteren, gezielten und effektiveren Angriffen führen können. Dazu gehört unter anderem, dass im Rahmen des Vorfall- und Notfallmanagements geeignete Präventionsmaßnahmen zur Früherkennung von Schwachstellen und Angriffen etabliert werden. Weiterhin müssen alle Maßnahmen, Prozesse und Anforderungen des ISMS regelmäßig auf ihre Angemessenheit, Wirksamkeit sowie mögliche Verbesserungspotenziale überprüft werden. 4.2.17 Maßnahmen zu A*2.2 Fehlende Reaktion Die in Kapitel 4.1.3 beschriebenen Maßnahmen zur Vorfallerkennung und -bearbeitung senken das Risiko, dass große Schäden und Auswirkungen durch fehlende oder falsche Reaktionen auf Ereignisse entstehen. Dazu gehört beispielsweise, dass geeignete Maßnahmen zur Reaktion auf Vorfälle, Notfälle und Krisen definiert werden. Für den Fall, dass ein Not- oder Krisenfall nicht verhindert werden konnte, helfen die Maßnahmen aus Kapitel 4.1.4 zur Aufrechterhaltung der kritischen Prozesse sowie zur schnellstmöglichen Wiederaufnahme des Regelbetriebs, um angemessen auf den Vorfall zu reagieren. - TLP Amber - Seite 57 - freigegeben - 5 ANWENDUNGSHINWEISE FÜR DEN BETREIBENDEN 5.1 Anpassung des branchenspezifischen Sicherheitsstandards durch den Betreibenden Der vorliegende B3S gibt Handlungssicherheit in der Umsetzung von § 8a BSIG und muss von den jeweiligen Betreibenden auf ihre Anlagen angepasst werden. Der Betreibende muss gegebenenfalls zusätzliche Maßnahmen umsetzen, wenn diese für die Aufrechterhaltung der IT-Sicherheit der kDL notwendig sind. Beschriebene Maßnahmen, die für einen Betreibenden nicht relevant sind, können ausgenommen werden, sofern dies einschließlich Begründung dokumentiert wird. Um die Verwaltung von Daten und Prozessen zu vereinfachen und Doppelarbeit zu ersparen, sollte vermieden werden, mehrere Managementsysteme wie DSMS, QMS und ISMS gleichzeitig zu führen. Diese sollten in einem einzigen Managementsystem zusammengefasst werden. 5.2 Realisierungsplan des Betreibenden Als Prüfgrundlage können die Ergebnisse von anderen Prüfungen/Zertifizierungen etc. verwendet werden, um so ggf. den Prüfaufwand zu reduzieren. Falls die Ergebnisse anderer Prüfungen/Zertifizierungen verwendet werden sollen, müssen die Prüftermine aufeinander abgestimmt werden, da für die KRITIS-Berücksichtigung die verwendeten Ergebnisse nicht älter als ein Jahr sein dürfen. Die Prüfgrundlage sollte frühzeitig geplant und die prüfende Stelle frühzeitig informiert bzw. angefragt werden. Die KRITIS-Prüfung erfolgt gegen den IST-Zustand des Umsetzungsgrades der Maßnahmen. Alle nicht umgesetzten Anforderungen, inklusive des Behebungsplans, müssen durch den Betreibenden aufgeführt sowie dem Prüfenden und dem BSI zumindest für die Sicherheitsmängel bereitgestellt werden. 5.3 Fortschreibung und Erfahrungen der Anwendenden Für die Fortschreibung des B3S Pharma kann die Möglichkeit genutzt werden, die Erfahrungen und Kenntnisse der Anwendenden in den B3S einfließen zu lassen. Hierzu können Arbeitskreise gebildet werden, um den B3S Pharma regelmäßig auf einen aktuellen Stand zu bringen. Dies sollte mindestens vor der nächsten Eignungsprüfung geschehen, welche alle drei Jahre stattfindet. Anwendungshinweis Im Zweifelsfall sollte der Kontakt zum BSI gesucht werden. Das BSI kann bzgl. der Meldepflicht beraten. Bundesamt für Sicherheit in der Informationstechnik KRITIS-Büro Telefon: +49 (0)228 99 9582 6166 Telefax: +49 (0)228 99 10 9582 6166 E-Mail: kritis-buero@bsi.bund.de Anwendungshinweis 23 Melden von Vorfällen - TLP Amber - Seite 58 - freigegeben - 5.4 Hinweis zur Prüfung Das BSI selbst darf keine Betriebsstätte aufgrund von Mängeln schließen, kann aber die zuständige Aufsichtsbehörde informieren. Bei Unklarheiten kann das BSI KRITIS-Büro bzw. das entsprechende Fachreferat des BSI für den Gesundheitssektor kontaktiert werden. - TLP Amber - Seite 59 - freigegeben - TEIL III NACHWEISBARKEIT DER UMSETZUNG - TLP Amber - Seite 60 - freigegeben - 6 NACHWEISBARKEIT DER UMSETZUNG Nach § 8a Absatz 3 BSIG müssen die „Betreiber Kritischer Infrastrukturen“ alle zwei Jahre die Erfüllung der Anforderungen nach § 8a Absatz 1 BSIG auf geeignete Weise nachweisen. Der Nachweis kann durch Sicherheitsaudits, Prüfungen oder Zertifizierungen erfolgen. Die Betreibenden müssen dem BSI eine Aufstellung der relevanten, durchgeführten Audits, Prüfungen oder der Zertifizierung einschließlich der dabei aufgedeckten Sicherheitsmängel übermitteln. Hierbei sind die jeweiligen Vorlagen des BSI zu nutzen. Es sollte mit der prüfenden Stelle abgestimmt werden, dass zum Zeitpunkt der Einreichung die jeweils gültigen Dokumente genutzt worden sind. Diese sind auf der Homepage des BSI gelistet13. Um die Bearbeitung zu vereinfachen, sollen alle Nachweise ausschließlich per E-Mail (verschlüsselt) oder über das Bundesportal eingereicht werden. Nähere Informationen zur Prüfung und den nötigen Nachweisen finden sich in der Orientierungshilfe zu Nachweisen14 und werden in diesem B3S nicht weiter erläutert. 13 https://www.bsi.bund.de/DE/Themen/KRITIS-und-regulierte-Unternehmen/Kritische-Infrastrukturen/KRITIS- Nachweise/Nachweise-erbringen/nachweise-erbringen_node.html 14 Orientierungshilfe zu Nachweisen gemäß § 8a Absatz 3 BSIG (bund.de) (letzter Zugriff: 12.02.2024) Anwendungshinweis Der Betreibende muss selbstständig eine prüfende Stelle aussuchen und beauftragen, die wiederum ein Prüfteam zusammenstellt, um die Prüfung durchzuführen. Im Rahmen der Prüfung müssen die vom BSI zur Verfügung gestellten Nachweisdokumente ausgefüllt und vom Betreibenden an das BSI geliefert werden. Hierbei muss darauf geachtet werden, dass eine vollständige Liste der Sicherheitsmängel an das BSI ausgeliefert wird. Nach Auswertung der Dokumente kann das BSI bei Mängeln den vollständigen Prüfbericht einfordern und nach Abstimmung mit der zuständigen Aufsichtsbehörde die Beseitigung der Mängel veranlassen. Anwendungshinweis 24 KRITIS Prüfung - TLP Amber - Seite 61 - freigegeben - ANHANG A TYPISCHE ABLÄUFE BEI DER HERSTELLUNG VON ARZNEIMITTELN A.1 Herstellung von festen Arzneimitteln (z.B. Tabletten) Die Herstellung von festen Arzneimitteln wird anhand des Beispiels der Tablettenherstellung näher dargestellt. Die klassische Tablettenherstellung besteht aus der Vorbereitung und Einwaage der Substanzen, der Granulierung, der Mischung und der Tablettenpressung. Anschließend werden Tabletten einem Coating (Beschichtung/Ummantelung) unterzogen. Der Herstellungsprozess kann vollständig oder in Teilen durch IT unterstützt sein. Bei der vollständigen Unterstützung durch IT (siehe Referenzen Titel Referenz BSI Gesetz (BSIG) Stand: Zuletzt geändert durch Art. 12 G vom 23. Juni 2021 (BGBl. I S. 1982) Link: https://www.gesetze-im- internet.de/bsig_2009/BJNR282110009.html Abbildung 3 Beispiel: Herstellung von Tabletten mit vollständiger IT-Unterstützung - TLP Amber - Seite 62 - freigegeben - BSI ICS-Kompendium Link: https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/ICS/ICS- Security_kompendium_pdf.pdf? blob=publicationFile BSI IT-Grundschutz- Kompendium Link: BSI - IT-Grundschutz-Kompendium (bund.de) BSI Kritisverordnung (KritisV) Stand: Zuletzt geändert durch Art. 1 G v. 29. November 2023 I 339 Link: https://www.gesetze-im-internet.de/bsi- kritisv/BJNR095800016.html DIN ISO/IEC 27001 Fassung von 2022 DIN ISO/IEC 27002 Fassung von 2022 DIN ISO/IEC 31000 Fassung von 2018 Gesetz zur Erhöhung der Sicherheit informations- technischer Systeme (IT-SiG) Stand: 27. Mai 2021 Link: Bundesgesetzblatt BGBl. 25 Jahrgang 2021 Teil 1 Nr. 31 ISO/IEC 27005 Fassung von 2022 Orientierungshilfe zu Inhalten und Anforderungen an branchenspezifische Sicherheitsstandards (B3S) gemäß § 8a (2) BSIG Stand: Version 1.3 vom 23.02.2024 Link: Orientierungshilfe zu branchenspezifischen Sicherheitsstandards (B3S) gemäß § 8a Absatz 2 BSIG (bund.de) Orientierungshilfe zu Nachweisen gemäß § 8a (3) BSIG Stand: Version 1.2 vom 12.05.2023 Link: Orientierungshilfe zu Nachweisen gemäß § 8a Absatz 3 BSIG (bund.de) ) werden die in einem oder mehreren Systemen hinterlegten Parameter an die einzelnen Produktionsschritte übergeben. Zur Vollautomatisierung gehört der Einsatz eines Produktionsleitsystems. Das Produktionsleitsystem enthält unter anderem die Fertigungsablaufpläne für jedes Produkt und den Fertigungsablauf einzelner Produkte. Im Produktionsleitsystem wird die aktuelle Belegung der Ressourcen verwaltet. Die Steuerung der einzelnen Produktionsmaschinen oder Anlagen erfolgt über ein oder mehrere SPS-Systeme. Die Qualitätskontrolle erfolgt manuell nach jedem Produktionsschritt. - TLP Amber - Seite 63 - freigegeben - Abbildung 4 Beispiel: Herstellung von Tabletten mit teilweiser IT-Unterstützung Bei einer teilweisen Unterstützung der Produktion durch die IT (siehe Abbildung 4) können unterschiedliche Vorgänge unterstützt werden. Der Unterstützungsgrad der eingesetzten IT-Systeme und Komponenten kann hierbei je nach Anlage variieren. Beispielsweise kann die Raumtemperatur oder die Zusammensetzung der Raumluft durch die Gebäudeleittechnik überwacht werden. Dies wird auch Umgebungsüberwachung genannt. Auch können einzelne Maschinen im Prozess mit Hilfe von in einem Produktionsleitsystem hinterlegten Parametern arbeiten. Auch hier erfolgt die Qualitätskontrolle manuell nach jedem Produktionsschritt. A.2 Herstellung von flüssigen Arzneimitteln Die Herstellung von flüssigen Arzneimitteln wird anhand des Beispiels der Augentropfenherstellung näher dargestellt. Die Herstellung von Augentropfen (siehe Abbildung 5) kann vollständig oder teilweise durch die IT unterstützt werden. Bei der Herstellung ist sowohl auf eine sterile Erzeugung als auch auf den pH-Wert zu achten. Die für eine sterile Herstellung eingesetzten Mischanlagen müssen druck- und vakuumfest sein. Die Überwachung von pH- Wert, Druck, Temperatur, Durchfluss etc. kann durch die Prozessanlagen IT-gestützt durchgeführt werden. - TLP Amber - Seite 64 - freigegeben - Abbildung 5 Beispiel: Herstellung von Augentropfen mit IT-Unterstützung A.3 Herstellung von Blutkonserven Da die Versorgung von zu behandelnden Personen mit Blutkonserven nach Maß erfolgt, muss die sogenannte Vollblut-Konserve in ihre Komponenten zerlegt werden. Das System, in dem sich das Spenderblut befindet, bleibt während des gesamten Prozesses geschlossen. Das Spenderblut muss zudem innerhalb von sechs Stunden fertig verarbeitet werden. Im Herstellungsprozess (siehe Abbildung 6) wird zunächst bei der sogenannten Inline-Filtration das Vollblut gefiltert. Als nächstes kommt der Blutbeutel in eine Zentrifuge und das Plasma wird von den roten Blutkörperchen separiert. In einem weiteren Prozessschritt werden diese dann in einem Abpressautomaten komplett voneinander getrennt. Zum Abschluss wird das Plasma in einem Plasmaschockfroster bei minus 60° Celsius zu sogenanntem Fresh Frozen Plasma (FFP) schockgefroren. - TLP Amber - Seite 65 - freigegeben - Abbildung 6 Beispiel: Herstellung von Blutkonserven mit IT-Unterstützung - TLP Amber - Seite 66 - freigegeben - ANHANG B TYPISCHE ABLÄUFE BEIM VERTRIEB VON ARZNEIMITTELN B.1 Bestelleingang Die Bestellung von Arzneimitteln erfolgt in der Regel über die MSV3-Schnittstelle. In Ausnahmefällen erfolgt der Bestelleingang auch über andere Wege, wie zum Beispiel telefonisch, per E-Mail oder per Fax. B.2 Verarbeitung der Bestellung Die von den Schnittstellen übermittelten Bestellungen werden an die im Bestellprozess involvierten IT-Systeme und Komponenten weitergeleitet. B.3 Vorbereitung der Bestellung zum Versand Die Herausnahme der Arzneimittel zum Versand kann entweder voll automatisiert (z. B. mittels Roboter), teilautomatisiert (z. B. mittels Handscanner) oder manuell erfolgen. - TLP Amber - Seite 67 - freigegeben - ANHANG C AUFBAU EINES RISIKOMANAGEMENTS C.1 Gestaltung des Risikomanagements Das Risikomanagement beinhaltet Prozesse zur Lenkung und Steuerung der Aktivitäten zum Thema Risiken. Das hier beschriebene Risikomanagement ist angelehnt an DIN ISO/IEC 31000 und kann durch die Betreibenden zur Betrachtung von Unternehmensrisiken erweitert werden. Die DIN ISO/IEC 31000 wurde aufgrund ihrer hohen Verbreitung, Aktualität und Prozessorientierung als Basis gewählt. Das Risikomanagement kann sich allerdings auch an einem beliebigen anderen Risikomanagementstandard, wie beispielsweise der ISO/IEC 27005 oder dem BSI-Standard 200-3, orientieren. Das Risikomanagement muss auf die Ziele und Strategie der Organisation ausgerichtet werden. Der Betreibende soll durch das Risikomanagement in die Lage versetzt werden, systematisch Risiken, die zu einer Versorgungslücke führen können, frühzeitig zu erkennen und deren Behandlung einzuleiten. Die frühzeitige Erkennung und Behandlung von Risiken setzen ein Meldewesen voraus, welches in Anhang C.2.5 näher erläutert wird. Hierbei ist zu beachten, dass die Integration des Risikomanagements in eine Organisation ein dynamischer und iterativer Prozess ist, der an die Bedürfnisse und die Kultur der Organisation anzupassen ist. Im Nachfolgenden werden Rahmenbedingungen für ein funktionierendes Risikomanagement aufgeführt.  Unterstützung durch die Organisationsleitung Die Organisationsleitung zeigt die Unterstützung für das Risikomanagement durch die Bereitstellung von ausreichenden finanziellen und personellen Ressourcen.  Definition von Rollen im Risikomanagement Innerhalb der Organisation sollten Verantwortlichkeiten für das Risikomanagement benannt werden. Es sollte mindestens eine verantwortliche Person für das Risikomanagement geben. Je nach Größe des Betriebes kann es sinnvoll sein, weitere unterstützende Rollen zu benennen.  Festlegung des Geltungsbereichs für das Risikomanagement Der Geltungsbereich des Risikomanagements muss alle relevanten IT-Systeme, Prozesse und Komponenten betrachten, auch wenn diese an Dritte ausgelagert wurden.  Etablierung der Risikomanagementprozesse Die Prozesse zum Risikomanagement (siehe Kapitel C.2) sollten in die Organisation derart eingeführt werden, dass das Risikomanagement in die für die kDL erforderlichen und unterstützenden Prozesse eingebunden und gelebt wird. So könnte die Erhebung einer Risikobewertung im Zuge einer IT- Beschaffung zu einem Regelprozess werden.  Etablierung einer Risikomanagement-Richtlinie Der Betreibende sollte durch eine Richtlinie die Verpflichtung und Notwendigkeit des Risikomanagementsystems zum Ausdruck bringen und den Bezug zu den Unternehmenszielen herstellen. Die Richtlinie sollte klare Vorgaben für die Anwendung des Risikomanagementprozesses und den Umgang mit Risiken definieren.  Kontinuierliche Verbesserung des Risikomanagements Das Risikomanagement soll als eine Kernaufgabe verstanden und selbst kontinuierlich verbessert werden. Um die Wirksamkeit des Risikomanagementsystems zu bewerten, sollte der Betreibende regelmäßig die Leistung des Risikomanagementsystems an ihrem Zweck, den Umsetzungsplänen, Indikatoren und dem erwarteten Verhalten messen. Des Weiteren muss der Betreibende sicherstellen, dass das Risikomanagementsystem weiterhin geeignet ist, die Erreichung der Schutzziele zu unterstützen. - TLP Amber - Seite 68 - freigegeben - Bei der Gestaltung des Risikomanagementsystems müssen die gesetzlichen Bestimmungen, insbesondere § 8 BSIG, berücksichtigt werden. Der Betreibende ist für die Vermeidung von Versorgungsengpässen sowohl bei der selbst betriebenen Kritischen Infrastruktur als auch bei an Dritte ausgelagerten IT-Systemen, Prozessen und Komponenten verantwortlich. Die vertraglichen Vereinbarungen müssen demnach derart ausgestaltet werden, dass die Verfügbarkeit der kDL des Betreibenden gewährleistet wird. Die einzelnen Prozesse des Risikomanagements sowie alle unterstützenden Prozesse werden im nachfolgenden Kapitel näher beschrieben. C.2 Risikomanagement als Prozess Der Risikomanagementprozess besteht aus der Risikoabschätzung, welche die Teilprozesse Risikoidentifikation, Risikoanalyse und Risikobewertung beinhaltet. Auf Grundlage der Risikobewertung wird entschieden, wie die Art der Risikobehandlung erfolgen muss, damit eine angemessene Absicherung nach dem Stand der Technik gewährleistet wird. Die Risikoabschätzung wird durch unterstützende Prozesse lanciert. Diese sind Überwachung, Überprüfung, Aufzeichnung, Berichtserstattung, Kommunikation und Beratung. Im Folgenden werden die Prozessschritte des Risikomanagementsystems näher erläutert. Abbildung 7 Risikoprozess, in Anlehnung an DIN ISO/IEC 31000, 2018 - TLP Amber - Seite 69 - freigegeben - C.2.1 Identifizierung von Gefährdungen Der erste Schritt des Risikomanagementprozesses ist die Betrachtung der in Kapitel 2 genannten Gefährdungen. Diese Gefährdungen stellen nur mögliche Szenarien dar, die sich zu einem Risiko entwickeln können. Es ist bei der Risikoidentifikation zu beachten, dass auch anderweitige spezifische Bedrohungen und Schwachstellen existieren können, die nicht in Kapitel 2 aufgeführt wurden. Die in Kapitel 2 angegebenen Relevanzen zu den Bedrohungen und Schwachstellen sowie deren Kategorien sind durch den Betreibenden zu überprüfen und gegebenenfalls auf den eigenen Geltungsbereich anzupassen. Diese Bewertung ist regelmäßig zu überprüfen und sollte mindestens einmal im Jahr erfolgen. C.2.2 Risikoanalyse Nach der Identifizierung der Risiken müssen diese analysiert werden. Dabei ist unter anderem zu ermitteln, welche Interdependenzen sowie Verwundbarkeiten vorliegen, welchen Schaden ein Ereignis verursachen kann und wie hoch die Eintrittswahrscheinlichkeit ist. Die Analyse der Risiken liefert die Grundlage zur Risikobewertung und Risikobehandlung/Maßnahmenplanung. Die Schadenskategorien für das Klassifizieren des Schadens, der durch das Nichterreichen der KRITIS-Schutzziele entstehen kann, wird in Tabelle 6 beispielhaft dargestellt. Hierbei orientiert sich das Schadensausmaß an der Versorgungssicherheit. Klassifizierung Beschreibung Niedrig Der Verlust der Integrität, der Authentizität, der Verfügbarkeit oder der Vertraulichkeit führt zu einer geringen negativen Auswirkung auf den Geschäftsbetrieb des Betreibenden. Die Bevölkerung ist nicht betroffen. Mittel Der Verlust der Integrität, der Authentizität, der Verfügbarkeit oder der Vertraulichkeit führt zu einer negativen Auswirkung auf den Geschäftsbetrieb des Betreibenden. Die Bevölkerung ist hiervon betroffen. Die Versorgungssicherheit (gemäß KRITIS-Schutzzielen) ist weniger als 8 Stunden gestört. Hoch Der Verlust der Integrität, der Authentizität, der Verfügbarkeit oder der Vertraulichkeit führt zu einer negativen Auswirkung auf den Geschäftsbetrieb des Betreibenden. Die Bevölkerung ist hiervon betroffen. Die Versorgungssicherheit ist weniger als einen Werktag gestört. Sehr hoch Der Verlust der Integrität, der Authentizität, der Verfügbarkeit oder der Vertraulichkeit führt zu einer inegativen Auswirkung auf den Geschäftsbetrieb des Betreibenden. Die Bevölkerung ist hiervon betroffen. Die Versorgungssicherheit ist länger als einen Werktag gestört. Tabelle 9 Beispiel für die Klassifizierung des Schadensausmaßes Die Eintrittswahrscheinlichkeit gibt eine Einschätzung darüber ab, wie oft die Gefahr voraussichtlich eintreten wird. In die Eintrittswahrscheinlichkeit, dass eine Schwachstelle ausgenutzt wird, fließt beispielsweise ein, wie schwierig es für einen Dritten wäre, diese Schwachstelle auszunutzen. Die Eintrittswahrscheinlichkeit wird in der Regel in Zeitintervallen ausgedrückt (siehe Tabelle 7). Klassifizierung Beschreibung - TLP Amber - Seite 70 - freigegeben - Selten Mit einem Verlust der Integrität, der Authentizität, der Verfügbarkeit oder der Vertraulichkeit ist alle zehn Jahre oder seltener zu rechnen. Möglich Mit einem Verlust der Integrität, der Authentizität, der Verfügbarkeit oder der Vertraulichkeit ist alle fünf Jahre oder seltener zu rechnen. Häufig Mit einem Verlust der Integrität, der Authentizität, der Verfügbarkeit oder der Vertraulichkeit ist jährlich oder seltener zu rechnen. Sehr häufig Mit einem Verlust der Integrität, der Authentizität, der Verfügbarkeit oder der Vertraulichkeit ist mindestens einmal pro Jahr zu rechnen. Tabelle 10 Beispiel für die Klassifizierung der Eintrittswahrscheinlichkeit Die Analyse der Risiken kann durch Meinungsverschiedenheiten, unterschiedliche Risikoeinschätzungen und Beurteilungen beeinflusst werden. Diese Einflüsse sollten berücksichtigt, dokumentiert und gegebenenfalls den zuständigen Stellen gemeldet werden. Es ist wichtig, dass keine versteckten Annahmen gemacht werden, da dies dazu führen kann, dass Gefährdungen übersehen werden. Auch sollten subjektive Einflüsse vermieden werden. Daher sind alle Risikoanalysen derart schriftlich zu begründen, dass die Schritte durch qualifizierte Dritte nachvollzogen werden können. C.2.3 Bewertung der Risiken Die Risikobewertung dient als Entscheidungsgrundlage, ob weiterer Handlungsbedarf besteht, ob Möglichkeiten zur Risikobewältigung in Betracht gezogen werden sollten oder ob das Risiko einer weiteren Analyse unterzogen werden muss. Die Bewertung kann anhand folgender Grafik veranschaulicht werden: Abbildung 8 Beispiel einer 4x4-Risikomatrix - TLP Amber - Seite 71 - freigegeben - Das Ergebnis der Risikobewertung sollte durch das Risikomanagement dokumentiert und der Organisationsleitung vorgelegt werden, damit diese eine Entscheidung bezüglich des weiteren Vorgehens fällt. Die Haftung für die Auswirkung der getroffenen Entscheidung liegt ebenfalls bei der Organisationsleitung. Im Mittelpunkt der Bewertung sollte die Gewährleistung der Versorgung mit verschreibungspflichtigen Arzneimitteln stehen. Im Idealfall sollten keine Auswirkungen für die Bevölkerung entstehen. C.2.4 Angemessene Behandlung der Risiken Der Zweck einer angemessenen Risikobehandlung besteht darin, Optionen zur Risikoabsicherung abzuwägen und umzusetzen. Dabei geht es insbesondere darum, den gesetzlichen Anforderungen zu KRITIS gerecht zu werden. Alle identifizierten Risiken müssen durch angemessene organisatorische und technische Maßnahmen nach dem Stand der Technik behandelt werden, wenn der dafür erforderliche Aufwand nicht in einem unangemessenen Verhältnis zu den Folgen eines Ausfalls oder einer Beeinträchtigung der betroffenen Kritischen Infrastruktur steht. Diese Abwägung wirtschaftlicher Interessen gegenüber der Versorgungssicherheit ist durch die Betreibenden durchzuführen und zu dokumentieren. Die Betreibenden sind verpflichtet, Maßnahmen zur Verringerung der für die kritische Dienstleistung relevanten Risiken zu treffen. Risiken dürfen nicht allein aus rein wirtschaftlichen Gründen akzeptiert werden, da die Vermeidung von Versorgungsengpässen im Vordergrund steht. Risikobehandlungsmaßnahmen schließen sich nicht notwendigerweise gegenseitig aus oder sind unter allen Umständen angemessen. Daher können mehrere Maßnahmen durchgeführt werden. Eine Risikobehandlung kann auch neue Risiken mit sich bringen, die es zu bewerten gilt. Im Folgenden werden die Behandlungsalternativen Risikovermeidung, Risikoreduktion, Risikoakzeptanz und Risikotransfer erläutert.  Risikovermeidung Das Risiko kann gänzlich vermieden werden, indem die Risikoursache ausfindig gemacht und entfernt wird. Dies ist die effektivste Behandlungsalternative, um die Kritische Infrastruktur zu sichern.  Risikoreduktion Hierbei werden Maßnahmen ergriffen, das Risiko zu minimieren, sodass der mögliche Schaden nicht zu einem Versorgungsengpass führt. Das Restrisiko muss dokumentiert, an die Führungsebene kommuniziert und unter Beobachtung gestellt werden. Ein Restrisiko ist nur dann akzeptabel, wenn die Auswirkungen nicht zu einem Versorgungsengpass führen können.  Risikoakzeptanz und Risikotransfer Eine dauerhafte Risikoakzeptanz durch den Betreibenden ist keine zulässige Option im Sinne des BSIG. Die dauerhafte Auslagerung der Risiken durch Versicherungen ist ebenfalls keine zulässige Option. C.2.5 Unterstützende Risikomanagementprozesse Unterstützende Risikomanagementprozesse sind Überwachung, Überprüfung, Aufzeichnung, Berichterstattung, Kommunikation und Beratung. Der Zweck der Überwachung und Überprüfung besteht darin, die Qualität und Effektivität der Prozessgestaltung, -durchführung und -ergebnisse sicherzustellen und zu verbessern. Laufende Überwachung und regelmäßige Überprüfung der Risikomanagementprozesse und der Ergebnisse sollten ein Bestandteil des Risikomanagementprozesses sein. Die Überwachung und Überprüfung sollte in allen Phasen des Prozesses stattfinden. Sie umfasst die Planung, Sammlung und Analyse von Informationen, Aufzeichnung von Ergebnissen und die Bereitstellung von Feedback. Beispielsweise sind die Gefährdungen regelmäßig zu überprüfen, um sicherzustellen, dass die definierten Maßnahmen ausreichende Ausfallsicherheit gewährleisten. - TLP Amber - Seite 72 - freigegeben - Die Ergebnisse des Risikomanagementprozesses sind durch geeignete Mechanismen zu dokumentieren und an relevante Stellen zu melden. Im Rahmen von DIN ISO/IEC 27001 wären dies die „interessierten Parteien“. Informationen für die Entscheidungsfindung sollten bereitgestellt werden können und als Grundlage zur Verbesserung der Risikomanagementaktivitäten verwendet werden. Außerdem sollten sie als Unterstützung der Interaktion mit Beteiligten dienen. Entscheidungen über die Erstellung, Aufbewahrung und Handhabung dokumentierter Informationen sollten unter anderem ihre Verwendung, die Informationssensibilität und den externen und internen Kontext berücksichtigen. Informationen sollten gesammelt, zusammengestellt und daraufhin bewertet werden, ob eine Meldung an die Organisationsleitung erfolgen soll. Es wird empfohlen, dass mindestens die mittleren, hohen und sehr hohen Risiken an die Organisationsleitung gemeldet werden. Bei sehr hohen Risiken sollte eine ad hoc Meldung an die Organisationsleitung erfolgen. C.3 Prozessorientierte Risikoanalyse Sofern in der Organisation bereits Prozesse (teilweise auch Verfahren genannt) im Rahmen eines Prozess- oder Qualitätsmanagements definiert sind, kann die prozessorientierte Risikoanalyse angewendet werden. Die im Geltungsbereich befindlichen IT-Systeme und Komponenten werden innerhalb von definierten Prozessen, die ebenfalls zum Geltungsbereich gehören, verwendet. Somit können durch die Betrachtung des Prozesses gleichzeitig auch die beteiligten IT-Systeme und Komponenten mitbetrachtet werden. Hierdurch kann die Risikoanalyse effektiver durchgeführt werden, als wenn jedes IT-System, jede Komponente und jeder Prozess einzeln betrachtet werden würde. Hierzu sollten die im Geltungsbereich vorkommenden Prozesse der Organisation dokumentiert werden. Den jeweiligen Prozessen sind die beteiligten IT-Systeme und Komponenten zuzuordnen. Die Risikoanalyse (siehe Kapitel C.2.2) wird für den betrachteten Prozess durchgeführt. Die ermittelten Werte für Eintrittswahrscheinlichkeit und Schadensausmaß werden anschließend im Risikobewertungsschritt (siehe Kapitel C.2.3) evaluiert. Das Ergebnis der Risikobewertung wird anschließend auf die zum Prozess gehörenden IT-Systeme und Komponenten vererbt. - TLP Amber - Seite 73 - freigegeben - ANHANG D VERWEISE AUF WEITERE MAßNAHMEN IN DER DIN ISO/IEC 27002 D.1 Weitere Maßnahmen für Kapitel 4.1.2 Asset-Management Alle Maßnahmen basieren auf der ISO/IEC 27002:2022. Organisatorische Maßnahmen 5.9 Inventar der Informationen und anderer damit verbundener Werte 5.10 Zulässiger Gebrauch von Informationen und anderen damit verbundenen Werten 5.11 Rückgabe von Werten 5.12 Klassifizierung von Informationen 5.13 Kennzeichnen von Information 5.33 Schutz von Aufzeichnungen 5.34 Datenschutz und Schutz personenbezogener Daten (pbD) Tabelle 11 Organisatorische Maßnahmen Asset-Management Physische Maßnahmen 7.8 Platzierung und Schutz von Geräten und Betriebsmitteln 7.9 Sicherheit von Werten außerhalb der Räumlichkeiten 7.10 Speichermedien 7.11 Versorgungseinrichtungen 7.12 Sicherheit der Verkabelung 7.13 Instandhalten von Geräten und Betriebsmitteln 7.14 Sichere Entsorgung oder Wiederverwendung von Geräten und Betriebsmitteln Tabelle 12 Physische Maßnahmen Asset-Management Technologische Maßnahmen 8.1 Endpunktgeräte des Benutzers - TLP Amber - Seite 74 - freigegeben - 8.10 Löschung von Informationen 8.11 Datenmaskierung Begrenzung der Offenlegung sensibler Daten, Informationsklassifizierung und Handhabung Tabelle 13 Technologische Maßnahmen Asset-Management D.2 Weitere Maßnahmen für Kapitel 4.1.3 Vorfallerkennung und -bearbeitung Alle Maßnahmen basieren auf der ISO/IEC 27002:2022. Organisatorische Maßnahmen 5.24 Planung und Vorbereitung der Handhabung von Informationssicherheitsvorfällen 5.25 Beurteilung und Entscheidung über Informationssicherheitsereignisse 5.26 Reaktion auf Informationssicherheitsvorfälle 5.27 Erkenntnisse aus Informationssicherheitsvorfällen 5.28 Sammeln von Beweismaterial Tabelle 14 Organisatorische Maßnahmen Vorfallerkennung und -bearbeitung Personenbezogene Maßnahmen 6.8 Meldung von Informationssicherheitsereignissen Tabelle 15 Personenbezogene Maßnahmen Vorfallerkennung und -bearbeitung Technologische Maßnahmen 8.8 Handhabung von technischen Schwachstellen Tabelle 16 Technologische Maßnahmen Vorfallerkennung und -bearbeitung D.3 Weitere Maßnahmen für Kapitel 4.1.4 Notfall- und Continuity-Management für die kDL Alle Maßnahmen basieren auf der ISO/IEC 27002:2022. - TLP Amber - Seite 75 - freigegeben - Organisatorische Maßnahmen 5.29 Informationssicherheit bei Störungen 5.30 IKT-Bereitschaft für Business-Continuity Tabelle 17 Organisatorische Maßnahmen Notfall- und Continuity-Management Technologische Maßnahmen 8.14 Redundanz von informationsverarbeitenden Einrichtungen Tabelle 18 Technologische Maßnahmen Notfall- und Continuity-Management D.4 Weitere Maßnahmen für Kapitel 4.1.6 Bauliche/physische Sicherheit Alle Maßnahmen basieren auf der ISO/IEC 27002:2022. Physische Maßnahmen 7.1 Physische Sicherheitsperimeter 7.2 Physischer Zutritt 7.3 Sichern von Büros, Räumen und Einrichtungen 7.4 Physische Sicherheitsüberwachung 7.5 Schutz vor physischen und umweltbedingten Bedrohungen 7.6 Arbeiten in Sicherheitsbereichen 7.7 Aufgeräumte Arbeitsumgebung und Bildschirmsperren 7.8 Platzierung und Schutz von Geräten und Betriebsmitteln 7.9 Sicherheit von Werten außerhalb der Räumlichkeiten 7.10 Speichermedien 7.11 Versorgungseinrichtungen 7.12 Sicherheit der Verkabelung 7.13 Instandhalten von Geräten und Betriebsmitteln - TLP Amber - Seite 76 - freigegeben - 7.14 Sichere Entsorgung oder Wiederverwendung von Geräten und Betriebsmitteln Tabelle 19 Physische Maßnahmen bauliche/physische Sicherheit Technologische Maßnahmen 8.1 Endpunktgeräte des Benutzers Tabelle 20 Technologische Maßnahmen bauliche/physische Sicherheit D.5 Weitere Maßnahmen für Kapitel 4.1.7 Überprüfung im laufenden Alle Maßnahmen basieren auf der ISO/IEC 27002:2022. Organisatorische Maßnahmen 5.35 Unabhängige Überprüfung der Informationssicherheit 5.36 Einhaltung von Richtlinien, Vorschriften und Normen für die Informationssicherheit Tabelle 21 Organisatorische Maßnahmen Überprüfung im laufenden Betrieb Technologische Maßnahmen 8.34 Schutz der Informationssysteme während Audit-Prüfungen Tabelle 22 Technologische Maßnahmen Überprüfung im laufenden Betrieb D.6 Weitere Maßnahmen für Kapitel 4.1.8 Externe Informationsversorgung und Unterstützung Alle Maßnahmen basieren auf der ISO/IEC 27002:2022. Organisatorische Maßnahmen 5.5 Kontakt mit Behörden 5.6 Kontakt mit speziellen Interessengruppen 5.7 Informationen über die Bedrohungslage Tabelle 23 Organisatorische Maßnahmen externe Informationsversorgung - TLP Amber - Seite 77 - freigegeben - D.7 Weitere Maßnahmen für Kapitel 4.1.9 Lieferunternehmen, Dienstleistende und Dritte Alle Maßnahmen basieren auf der ISO/IEC 27002:2022. Organisatorische Maßnahmen 5.19 Informationssicherheit in Lieferantenbeziehungen 5.20 Behandlung von Informationssicherheit in Lieferantenvereinbarungen 5.21 Umgang mit der Informationssicherheit in der IKT-Lieferkette 5.23 Informationssicherheit für die Nutzung von Cloud-Diensten 5.22 Überwachung, Überprüfung und Änderungsmanagement von Lieferantendienstleistungen Tabelle 24 Organisatorische Maßnahmen Lieferanten, Dienstleister und Dritte D.8 Weitere Maßnahmen für Kapitel 4.2.1 Maßnahmen zu A1.1 Hacking und Manipulation und A1.9 Schadprogramme Alle Maßnahmen basieren auf der ISO/IEC 27002:2022. Organisatorische Maßnahmen 5.15 Zugangssteuerung 5.16 Identitätsmanagement 5.17 Authentisierungsinformationen 5.18 Zugangsrechte Tabelle 25 Organisatorische Maßnahmen Hacking und Manipulation Technologische Maßnahmen 8.2 Privilegierte Zugangsrechte 8.3 Informationszugangsbeschränkung 8.4 Zugriff auf den Quellcode 8.5 Sichere Authentisierung 8.7 Schutz gegen Schadsoftware - TLP Amber - Seite 78 - freigegeben - 8.11 Datenmaskierung 8.12 Verhinderung von Datenlecks 8.14 Redundanz von informationsverarbeitenden Einrichtungen 8.15 Protokollierung 8.16 Überwachung von Aktivitäten 8.17 Uhrensynchronisation 8.18 Gebrauch von Hilfsprogrammen mit privilegierten Rechten 8.20 Netzwerksicherheit 8.21 Sicherheit von Netzwerkdiensten 8.22 Trennung von Netzwerken 8.23 Webfilterung Tabelle 26 Technologische Maßnahmen Hacking und Manipulation D.9 Weitere Maßnahmen für Kapitel 4.2.2 Maßnahmen zu A1.5 Missbrauch (Interne Tatbegehende) Alle Maßnahmen basieren auf der ISO/IEC 27002:2022. Organisatorische Maßnahmen 5.3 Aufgabentrennung Tabelle 27 Organisatorische Maßnahmen Missbrauch (Innentäter) Personenbezogene Maßnahmen 6.1 Sicherheitsüberprüfung 6.4 Maßregelungsprozess 6.7 Remote-Arbeit Tabelle 28 Personenbezogene Maßnahmen Missbrauch (Innentäter) - TLP Amber - Seite 79 - freigegeben - Technologische Maßnahmen 8.1 Endpunktgeräte des Benutzers Tabelle 29 Technologische Maßnahmen Missbrauch (Innentäter) D.10 Weitere Maßnahmen für Kapitel 4.2.7 Maßnahmen zu A1.14 Ausfall von Basisinfrastrukturen mit direktem Bezug zur IT Alle Maßnahmen basieren auf der ISO/IEC 27002:2022. Physische Maßnahmen 7.11 Versorgungseinrichtungen 7.12 Sicherheit der Verkabelung Tabelle 30 Physische Maßnahmen Ausfall Basisinfrastruktur Technologische Maßnahmen 8.14 Redundanz von informationsverarbeitenden Einrichtungen Tabelle 31 Technologische Maßnahmen Ausfall Basisinfrastruktur D.11 Weitere Maßnahmen für 4.2.9 Maßnahmen zu A2.1 Organisatorische Mängel Alle Maßnahmen basieren auf der ISO/IEC 27002:2022. Organisatorische Maßnahmen 5.1 Informationssicherheitspolitik und -richtlinien 5.2 Informationssicherheitsrollen und -verantwortlichkeiten 5.3 Aufgabentrennung 5.4 Verantwortlichkeit der Leitung 5.5 Kontakt mit Behörden 5.6 Kontakt mit speziellen Interessengruppen 5.7 Informationen über die Bedrohungslage - TLP Amber - Seite 80 - freigegeben - 5.8 Informationssicherheit im Projektmanagement Tabelle 32 Organisatorische Maßnahmen organisatorische Mängel Personenbezogene Maßnahmen 6.1 Sicherheitsüberprüfung 6.2 Beschäftigungs- und Vertragsbedingungen 6.3 Informationssicherheitsbewusstsein, -ausbildung und -schulung 6.5 Verantwortlichkeiten bei Beendigung oder Änderung der Beschäftigung Tabelle 33 Personenbezogene Maßnahmen organisatorische Mängel Technologische Maßnahmen 8.6 Kapazitätssteuerung 8.32 Änderungsmanagement Tabelle 34 Technologische Maßnahmen organisatorische Mängel D.12 Weitere Maßnahmen für 4.2.10 Maßnahmen zu A2.2 Technische Schwachstellen in Software, Firmware und Hardware Alle Maßnahmen basieren auf der ISO/IEC 27002:2022. Technologische Maßnahmen 8.9 Konfigurationsmanagement 8.19 Installation von Software auf Systemen im Betrieb 8.25 Lebenszyklus einer sicheren Entwicklung 8.27 Sichere Systemarchitektur und Entwicklungsgrundsätze 8.28 Sichere Codierung 8.29 Sicherheitsprüfung bei Entwicklung und Abnahme 8.30 Ausgegliederte Entwicklung - TLP Amber - Seite 81 - freigegeben - 8.31 Trennung von Entwicklungs-, Prüf- und Produktionsumgebungen 8.32 Änderungsmanagement 8.33 Prüfinformationen Tabelle 35 Technologische Maßnahmen technische Schwachstellen D.13 Weitere Maßnahmen für 4.2.11 Maßnahmen zu A2.3 Technisches Versagen von IT-Systemen, Anwendungen oder Netzen (sowie Verlust von gespeicherten Daten) Alle Maßnahmen basieren auf der ISO/IEC 27002:2022. Technologische Maßnahmen 8.13 Sicherung von Information Tabelle 36 Technologische Maßnahmen technisches Versagen D.14 Weitere Maßnahmen für 4.2.12 Maßnahmen zu A2.4 Menschliche Fehlhandlungen, menschliches Versagen Alle Maßnahmen basieren auf der ISO/IEC 27002:2022. Organisatorische Maßnahmen 5.37 Dokumentierte Betriebsabläufe Tabelle 37 Organisatorische Maßnahmen menschliche Fehlhandlungen Personenbezogene Maßnahmen 6.3 Informationssicherheitsbewusstsein, -ausbildung und -schulung Tabelle 38 Personenbezogene Maßnahmen menschliche Fehlhandlungen D.15 Weitere Maßnahmen für 4.2.13 Maßnahmen zu A2.5 Infrastrukturelle Mängel Alle Maßnahmen basieren auf der ISO/IEC 27002:2022. - TLP Amber - Seite 82 - freigegeben - Physische Maßnahmen 7.13 Instandhalten von Geräten und Betriebsmitteln Tabelle 39 Physische Maßnahmen infrastrukturelle Mängel Technologische Maßnahmen 8.32 Änderungsmanagement Tabelle 40 Technologische Maßnahmen infrastrukturelle Mängel D.16 Weitere Maßnahmen für 4.2.14 Maßnahmen zu A2.6 Verwendung ungeeigneter Netze/Kommunikationsverbindungen, sonstige Schwächen in der Kommunikationsarchitektur Alle Maßnahmen basieren auf der ISO/IEC 27002:2022. Organisatorische Maßnahmen 5.8 Informationssicherheit im Projektmanagement 5.14 Informationsübermittlung Tabelle 41 Organisatorische Maßnahmen Kommunikationsarchitektur Personenbezogene Maßnahmen 6.6 Vertraulichkeits- oder Geheimhaltungsvereinbarungen Tabelle 42 Personenbezogene Maßnahmen Kommunikationsarchitektur Technologische Maßnahmen 8.24 Verwendung von Kryptographie 8.26 Anforderungen an die Anwendungssicherheit Tabelle 43 Technologische Maßnahmen Kommunikationsarchitektur - TLP Amber - Seite 83 - freigegeben - ANHANG E LISTE ZUSÄTZLICHER SZA MAßNAHMEN IN DER PLANUNGSPHASE Titel Stufe Maßnahme Berücksichtigung legaler Anforderungen MUSS Die zur Speicherung notwendigen Systeme und deren IT- Sicherheitsvorkehrungen müssen schon in der Planung bedacht werden. Da die Protokollierung teilweise auch datenschutzrechtlich relevante Datensätze beinhalten kann, muss der legale Umgang mit diesen bei der Planung einbezogen werden. Identifizierung maßgeblicher Systeme MUSS Im Rahmen der Planung müssen alle Systeme identifiziert werden, die zur Aufrechterhaltung der kritischen Dienstleistung maßgeblich sind, damit deren Protokoll- und Protokollierungsdaten später erfasst werden können. Bereinigte Dokumentation der Planungsphaseergebnisse MUSS Die Ergebnisse der Planungsphase müssen in einer geeigneten Form dokumentiert werden. Die Dokumentation muss alle Netzbereiche, die Protokoll- und Protokollierungsdatenquellen, deren Beziehungen untereinander und den Datenfluss der Protokoll- und Protokollierungsdaten im Anwendungsbereich umfassen. Hierbei ist ein angemessener Abstraktions- und Detailgrad zu wählen, sodass der effektive Einsatz von den SzA bewertet werden kann. Um dies zu unterstützen, sollte insbesondere eine Gruppierung gleicher Systemgruppen innerhalb der Dokumentation erfolgen. Darüber hinaus muss für jedes System bzw. für jede Systemgruppe dokumentiert werden, welche Ereignisse dieses bzw. diese protokolliert. Überprüfung der Protokollierung auf Vollständigkeit MUSS Nach erfolgreicher Umsetzung muss geprüft werden, ob alle geplanten Protokollierungsdatenquellen gemäß der Planung umgesetzt wurden. Berücksichtigung der Rahmenbedingungen bei der Auswahl von Detektionsmaßnahmen MUSS Bei der Auswahl und dem Einsatz von Detektionsmaßnahmen muss eine umfassende und effiziente Abdeckung der Bedrohungslandschaft erzielt werden. Dazu müssen die Ergebnisse der Risikoanalyse sowie die Größe und Struktur des Unternehmens in der Planung einbezogen werden. - TLP Amber - Seite 84 - freigegeben - ANHANG F GLOSSAR Begriff Erläuterung 4-Augen-Prinzip Durch das 4-Augen-Prinzip soll das Risiko von Fehlern und Missbrauch reduziert werden, indem wichtige Entscheidungen oder kritische Tätigkeiten nicht von einer Person getroffen oder durchgeführt werden. Advanced Persistent Threat (APT) Advanced Persistent Threat (zu Deutsch „fortgeschrittene, andauernde Bedrohung“) ist ein komplexer zielgerichteter und effektiver Angriff auf kritische IT-Infrastrukturen und vertrauliche Daten. Command & Control-Server (C&C-Server) Ein C&C-Server dient zur Fernsteuerung von Malware (Schadsoftware), beispielsweise in Bot-Netzen. Customer-Relationship- Management (CRM) Die Ausrichtung auf die Kundschaft sowie die systematische Gestaltung der Kundenbeziehungsprozesse sind Merkmale des Customer-Relationship- Managements. Die Dokumentation und Verwaltung von Kundenbeziehungen ist hierbei ein wichtiger Bestandteil. Distributed-Denial-of-Service (DDoS) DDoS ist eine verteilte Dienstblockade, welche eine Überlastung der IT- Infrastruktur durch unzählige, gleichzeitige Anfragen von verschiedenen Systemen hervorruft. Datenschutz Managementsystem (DSMS) Ein DSMS stellt eine Managementmethode dar, um die firmeninternen und gesetzlichen Datenschutzanforderungen zu planen, zu organisieren, zu steuern und zu kontrollieren. Endpoint Detection and Response (EDR) EDR erlaubt die kontinuierliche Überwachung von Systemprozessen auf Laptops, Servern, Mobiltelefonen, IOT-Geräten, zur Abwehr von Cyber- Bedrohungen. Enterprise-Resource- Planning (ERP) Durch ERP sollen Ressourcen wie Kapital, Personal, Betriebsmittel, Material und IT-Systeme optimal genutzt werden. ERP-Systeme können eine oder mehrere Anwendungen sein, die zur Unterstützung der Ressourcenplanung beitragen. Enterprise-Resource- Planning (ERP) Durch ERP sollen Ressourcen wie Kapital, Personal, Betriebsmittel, Material und IT-Systeme optimal genutzt werden. ERP-Systeme können eine oder mehrere Anwendungen sein, die zur Unterstützung der Ressourcenplanung beitragen. Gebäudeleittechnik (GLT) Als Gebäudeleittechnik wird die Anlage oder die Software bezeichnet, mit der Gebäude überwacht und gesteuert werden können. Hierbei dient die GLT- Software als Visualisierungswerkzeug der technischen Vorgänge innerhalb des Gebäudes. Die eigentliche Steuerung des Gebäudes erfolgt durch sogenannte DDC-Unterstationen (Direct Digital Control), welche zum Beispiel die Heizungs-, Lüftungs- und Lichtsteuerungen übernehmen. - TLP Amber - Seite 85 - freigegeben - Industrial Control Systems (ICS) Industrial Control System ist ein allgemeiner Begriff, der verschiedene Arten von Steuerungssystemen und die dazugehörigen Instrumente für die industrielle Prozesssteuerung umfasst. Intrusion Detection System (IDS) Intrusion Prevention System Intrusion Detection System ist ein IT-technisches System, welches automatisiert abnormales System- oder Zugriffsverhalten auf eine Organisation und deren kritischen IT-Komponenten detektiert, und einen Eventalarm auslöst, welcher dann in einem weiteren Schritt bewertet und behandelt werden kann. Ein Intrusion Prevention System liefert darüber hinaus die Möglichkeit einer automatisierten Antwort auf erkannte Bedrohungen. Labor-Informations- Managementsysteme (LIMS) LIMS sind Softwaresysteme zur Datenverarbeitung im analytischen Labor. Ihre Hauptaufgaben sind die Unterstützung von Arbeitsabläufen und die Datenverfolgung. Man-in-the-Middle-Angriff Dies ist eine Angriffsform in Rechnernetzen, bei der ein Angreifer physisch oder logisch zwischen zwei Kommunikationspartnern steht und den Datenverkehr beider abfängt und gegebenenfalls einsieht oder modifiziert. Materialflussrechner (MFR) Ein Materialflussrechner (oder Datenkonzentrator) ist eine Software zum Steuern der Daten- und Informationsflüsse in automatischen Anlagen und Hochregallagern. Multi-Faktor- Authentifizierung (MFA) Die Multi-Faktor-Authentifizierung (MFA) ist ein Sicherheitsverfahren, das darauf abzielt, den Zugriff auf ein System oder eine Anwendung zu schützen, indem mehrere Identitätsnachweise bei der Benutzung verlangt werden. Im Gegensatz zur herkömmlichen Ein-Faktor-Authentifizierung, die nur ein Element zur Überprüfung der Identität erfordert (typischerweise ein Passwort oder eine PIN), erfordert die MFA mindestens zwei oder mehr der folgenden Faktoren:  Wissensbasierte Faktoren: Etwas, das Nutzende wissen, wie beispielsweise ein Passwort, eine PIN oder die Antworten auf vordefinierte Sicherheitsfragen.  Besitzbasierte Faktoren: Etwas, das Nutzende besitzen, wie beispielsweise ein Smartphone, eine Hardware-Token oder eine Smartcard, die zur Authentifizierung verwendet werden können.  Biometrische Faktoren: Etwas, das einzigartig ist für Nutzende, wie beispielsweise Fingerabdrücke, Gesichtserkennung, Iris-Scan oder Stimmerkennung. MSV2 MSV2 bezeichnet eine genormte Datenverbindung zwischen den Warenwirtschaftssystemen der Apotheke und denen des pharmazeutischen Großhandels zur Abwicklung von Bestellungen. MSV3 MSV3 ersetzte Anfang 2015 die Datenverbindung MSV2 und bietet weitere Funktionalitäten, wie zum Beispiel die Abgabe mehrerer zeitgleicher Bestellungen. Des Weiteren reicht bei der MSV3 ein Internetanschluss aus, während bei MSV2 noch eine spezielle technische Ausstattung notwendig war. - TLP Amber - Seite 86 - freigegeben - Phishing Der Versuch eines Identitätsdiebstahl, bei dem versucht wird durch gefälschte Webseiten, E-Mails oder Kurznachrichten an persönliche Daten von Nutzenden zu gelangen. Prozessleittechnik (PLT) Die Prozessleittechnik besteht unter anderem aus dem Prozessleitsystem sowie speicherprogrammierbaren Steuerungen und stellt somit Mittel und Verfahren zur Steuerung, Regelung und Sicherung verfahrenstechnischer Anlagen dar. Qualitätsmanagementsystem (QMS) Ein QMS ist eine Managementmethode deren Ziel ein systematisches Qualitätsmanagement ist. Skimming Man-in-the-Middle-Angriff, wobei illegal Daten von Kredit- oder Bankkarten ausgespäht werden. (Teilmenge einer Bedrohung der Orientierungshilfe und somit dieses B3S, aber ohne KRITIS-Relevanz für den Bereich Pharma.) Social Engineering Zwischenmenschliche Beeinflussung mit dem Ziel der Preisgabe von vertraulichen Informationen (oder dem Ziel zum Kauf/Verkauf eines Produktes oder zur Freigabe von Finanzmitteln etc.). Speicherprogrammierbare Steuerung (SPS) Eine Speicherprogrammierbare Steuerung ist ein Gerät zur Steuerung und Regelung einer Maschine oder Anlage. Stuxnet Computerwurm, der speziell für den Angriff auf SCADA-Systeme des Herstellers Siemens entwickelt wurde. 2010 wurde mit Stuxnet das iranische Atomprogramm sabotiert. Virtual Private Network (VPN) VPN ist ein logisches privates Netzwerk auf einer öffentlich zugänglichen Infrastruktur. Nur die Kommunikationsbeteiligten, die zu diesem privaten Netzwerk gehören, können miteinander kommunizieren und Informationen und Daten austauschen. - TLP Amber - Seite 87 - freigegeben - VERZEICHNISSE Abkürzungen Abkürzung Erläuterung AMG Arzneimittelgesetz AM-HandelsV Arzneimittelhandelsverordnung APT Advanced Persistent Threat B3S Branchenspezifischer Sicherheitsstandard BSI Bundesamt für Sicherheit in der Informationstechnik BSIG BSI-Gesetz BSI-KritisV BSI-Kritisverordnung C&C Command & Control-Server CRM Customer-Relationship-Management DDC Direct Digital Control DDoS Distributed-Denial-of-Service DSMS Datenschutz Managementsystem ERP Enterprise Ressource Planning EU Europäische Union FAQ Frequently Asked Questions (häufig gestellte Fragen) FDA Food and Drug Administration FFP Fresh Frozen Plasma FIM File Integrity Monitoring GDP Good Distribution Practice GLT Gebäudeleittechnik GMP Good Manufacturing Practice GxP Good (x = Anwendungsbereich) Practice ICS Industrial Control System - TLP Amber - Seite 88 - freigegeben - IDS Intrusion Detection System IMS Integriertes Managementsystem IPS Intrusion Prevention System ISMS Informationssicherheitsmanagementsystem IT Informationstechnik IT-SiG IT-Sicherheitsgesetz kDL kritische Dienstleistung KRITIS Kritische Infrastruktur KritisV BSI-Kritisverordnung LIMS Labor-Informations-Management-Systeme LPM Loi de Programmation Militaire (Englisch: Military Program Law) MES Manufacturing Execution System MFR Materialflussrechner MHRA Medicines and Healthcare products Regulatory Agency MSV Medium Speed Version NEA Netzersatzanlagen PLT Prozessleittechnik QMS Qualitätsmanagementsystem Rx Verschreibungspflichtige Arzneimittel (Ausschreibung des Symbols) RZ Rechenzentrum SAIV Sicherstellung von Aktivitäten von lebenswichtiger Bedeutung SCADA Supervisory Control and Data Acquisition (Industrie Steuerungs- und Überwachungsanlage) SPS Speicherprogrammierbare Steuerung TK Telekommunikation USV Unterbrechungsfreie Stromversorgung - TLP Amber - Seite 89 - freigegeben - VIVA Vertraulichkeit, Integrität, Verfügbarkeit und Authentizität VPN Virtual Private Network VS Verschlusssache Abbildungsverzeichnis Abbildung 1 Mögliche Schnittstellen zu externen Dienstleistenden mit Einfluss auf die kDL................................... 13 Abbildung 2 PDCA-Managementzyklus ........................................................................................................................ 32 Abbildung 3 Beispiel: Herstellung von Tabletten mit vollständiger IT-Unterstützung............................................... 61 Abbildung 4 Beispiel: Herstellung von Tabletten mit teilweiser IT-Unterstützung .................................................... 63 Abbildung 5 Beispiel: Herstellung von Augentropfen mit IT-Unterstützung .............................................................. 64 Abbildung 6 Beispiel: Herstellung von Blutkonserven mit IT-Unterstützung ............................................................. 65 Abbildung 7 Risikoprozess, in Anlehnung an DIN ISO/IEC 31000, 2018 ..................................................................... 68 Abbildung 8 Beispiel einer 4x4-Risikomatrix ................................................................................................................ 70 Tabellenverzeichnis Tabelle 1: Liste der namentlich genannten Beteiligten .................................................................................................. I Tabelle 2 Änderungshistorie .......................................................................................................................................... III Tabelle 3 Basis IT/OT-Systeme der kDL ........................................................................................................................ 10 Tabelle 4 Typische Kernsysteme der kDL ..................................................................................................................... 11 Tabelle 5 Bedrohungskategorien .................................................................................................................................. 21 Tabelle 6 Schwachstellenkategorien ............................................................................................................................ 21 Tabelle 7 Bedrohungen ................................................................................................................................................. 23 Tabelle 8 Schwachstellen .............................................................................................................................................. 25 Tabelle 9 Beispiel für die Klassifizierung des Schadensausmaßes .............................................................................. 69 Tabelle 10 Beispiel für die Klassifizierung der Eintrittswahrscheinlichkeit ................................................................. 70 Tabelle 11 Organisatorische Maßnahmen Asset-Management.................................................................................. 73 Tabelle 12 Physische Maßnahmen Asset-Management.............................................................................................. 73 Tabelle 13 Technologische Maßnahmen Asset-Management .................................................................................... 74 Tabelle 14 Organisatorische Maßnahmen Vorfallerkennung und -bearbeitung ....................................................... 74 Tabelle 15 Personenbezogene Maßnahmen Vorfallerkennung und -bearbeitung ................................................... 74 Tabelle 16 Technologische Maßnahmen Vorfallerkennung und -bearbeitung.......................................................... 74 Tabelle 17 Organisatorische Maßnahmen Notfall- und Continuity-Management .................................................... 75 Tabelle 18 Technologische Maßnahmen Notfall- und Continuity-Management ....................................................... 75 Tabelle 19 Physische Maßnahmen bauliche/physische Sicherheit ............................................................................. 76 - TLP Amber - Seite 90 - freigegeben - Tabelle 20 Technologische Maßnahmen bauliche/physische Sicherheit ................................................................... 76 Tabelle 21 Organisatorische Maßnahmen Überprüfung im laufenden Betrieb......................................................... 76 Tabelle 22 Technologische Maßnahmen Überprüfung im laufenden Betrieb ........................................................... 76 Tabelle 23 Organisatorische Maßnahmen externe Informationsversorgung ............................................................ 76 Tabelle 24 Organisatorische Maßnahmen Lieferanten, Dienstleister und Dritte ...................................................... 77 Tabelle 25 Organisatorische Maßnahmen Hacking und Manipulation ...................................................................... 77 Tabelle 26 Technologische Maßnahmen Hacking und Manipulation ......................................................................... 78 Tabelle 27 Organisatorische Maßnahmen Missbrauch (Innentäter) .......................................................................... 78 Tabelle 28 Personenbezogene Maßnahmen Missbrauch (Innentäter) ...................................................................... 78 Tabelle 29 Technologische Maßnahmen Missbrauch (Innentäter) ............................................................................ 79 Tabelle 30 Physische Maßnahmen Ausfall Basisinfrastruktur ..................................................................................... 79 Tabelle 31 Technologische Maßnahmen Ausfall Basisinfrastruktur ........................................................................... 79 Tabelle 32 Organisatorische Maßnahmen organisatorische Mängel ......................................................................... 80 Tabelle 33 Personenbezogene Maßnahmen organisatorische Mängel ..................................................................... 80 Tabelle 34 Technologische Maßnahmen organisatorische Mängel ........................................................................... 80 Tabelle 35 Technologische Maßnahmen technische Schwachstellen ........................................................................ 81 Tabelle 36 Technologische Maßnahmen technisches Versagen ................................................................................ 81 Tabelle 37 Organisatorische Maßnahmen menschliche Fehlhandlungen.................................................................. 81 Tabelle 38 Personenbezogene Maßnahmen menschliche Fehlhandlungen .............................................................. 81 Tabelle 39 Physische Maßnahmen infrastrukturelle Mängel ...................................................................................... 82 Tabelle 40 Technologische Maßnahmen infrastrukturelle Mängel ............................................................................ 82 Tabelle 41 Organisatorische Maßnahmen Kommunikationsarchitektur .................................................................... 82 Tabelle 42 Personenbezogene Maßnahmen Kommunikationsarchitektur ................................................................ 82 Tabelle 43 Technologische Maßnahmen Kommunikationsarchitektur ...................................................................... 82 Anwendungsverzeichnis Anwendungshinweis 1 Geltungsbereich ........................................................................................................................ 9 Anwendungshinweis 2 Verantwortlichkeit für externe Dienstleistende .................................................................... 12 Anwendungshinweis 3 Qualität der kDL & Lagerbestände ......................................................................................... 16 Anwendungshinweis 4 Ansetzen der Schutzziele ........................................................................................................ 17 Anwendungshinweis 5 Betrachtung Schutzziel Authentizität ..................................................................................... 18 Anwendungshinweis 6 Risikotransfer und Risikoakzeptanz ........................................................................................ 26 Anwendungshinweis 7 Integrierte Risikoanalyse & integrierte Managementsysteme ............................................. 27 Anwendungshinweis 8 Mögliche KPIs für ISMS und BCMS ......................................................................................... 28 - TLP Amber - Seite 91 - freigegeben - Anwendungshinweis 9 Interpretation Stand der Technik (Allgemeine KRITIS-Hinweise des BSI) ............................ 30 Anwendungshinweis 10 Angemessene Maßnahmen .................................................................................................. 30 Anwendungshinweis 11 Integriertes Managementsystem ......................................................................................... 31 Anwendungshinweis 12 Check-Phase .......................................................................................................................... 32 Anwendungshinweis 13 Gruppieren von Assets .......................................................................................................... 33 Anwendungshinweis 14 Regelungen zur Handhabung von Assets ............................................................................. 33 Anwendungshinweis 15 Änderungen an Angriffserkennungssystemen .................................................................... 34 Anwendungshinweis 16 Kontaktstelle BSI.................................................................................................................... 45 Anwendungshinweis 17 Prüfrechte .............................................................................................................................. 46 Anwendungshinweis 18 Priorisierung der Maßnahmen ............................................................................................. 47 Anwendungshinweis 19 Redundanz ............................................................................................................................. 49 Anwendungshinweis 20 Sicherheitsüberprüfung ........................................................................................................ 49 Anwendungshinweis 21 Äquivalente Sicherheitssysteme .......................................................................................... 51 Anwendungshinweis 22 Interessierte Parteien ........................................................................................................... 53 Anwendungshinweis 23 Melden von Vorfällen ........................................................................................................... 57 Anwendungshinweis 24 KRITIS Prüfung ....................................................................................................................... 60 Referenzen Titel Referenz BSI Gesetz (BSIG) Stand: Zuletzt geändert durch Art. 12 G vom 23. Juni 2021 (BGBl. I S. 1982) Link: https://www.gesetze-im- internet.de/bsig_2009/BJNR282110009.html BSI ICS-Kompendium Link: https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/ICS/ICS- Security_kompendium_pdf.pdf? blob=publicationFile BSI IT-Grundschutz- Kompendium Link: BSI - IT-Grundschutz-Kompendium (bund.de) BSI Kritisverordnung (KritisV) Stand: Zuletzt geändert durch Art. 1 G v. 29. November 2023 I 339 Link: https://www.gesetze-im-internet.de/bsi- kritisv/BJNR095800016.html DIN ISO/IEC 27001 Fassung von 2022 DIN ISO/IEC 27002 Fassung von 2022 DIN ISO/IEC 31000 Fassung von 2018 - TLP Amber - Seite 92 - freigegeben - Gesetz zur Erhöhung der Sicherheit informations- technischer Systeme (IT-SiG) Stand: 27. Mai 2021 Link: Bundesgesetzblatt BGBl. 25 Jahrgang 2021 Teil 1 Nr. 31 ISO/IEC 27005 Fassung von 2022 Orientierungshilfe zu Inhalten und Anforderungen an branchenspezifische Sicherheitsstandards (B3S) gemäß § 8a (2) BSIG Stand: Version 1.3 vom 23.02.2024 Link: Orientierungshilfe zu branchenspezifischen Sicherheitsstandards (B3S) gemäß § 8a Absatz 2 BSIG (bund.de) Orientierungshilfe zu Nachweisen gemäß § 8a (3) BSIG Stand: Version 1.2 vom 12.05.2023 Link: Orientierungshilfe zu Nachweisen gemäß § 8a Absatz 3 BSIG (bund.de)

Die Ausschussmitglieder treffen sich online.

Mit einem Beschluss zur Sicherung von Innovationskraft, Versorgungssicherheit und Wettbewerbsfähigkeit des Pharma- und Chemiestandorts Deutschland setzen die Länder ein wichtiges industrie- und gesundheitspolitisches Signal. Sie unterstreichen die zentrale Bedeutung der pharmazeutischen Industrie und der eng verflochtenen chemischen Industrie für Arzneimittelversorgung, Forschung, industrielle Wertschöpfung, Beschäftigung und Exportstärke. Angesichts geopolitischer Risiken, globaler Lieferkettenabhängigkeiten, steigender Energie- und Produktionskosten sowie wachsender regulatorischer Belastungen bitten die Länder die Bundesregierung, die Rahmenbedingungen am Standort gezielt zu verbessern. Dazu zählen insbesondere innovationsfreundliche Preisbildungs-, Erstattungs- und regulatorische Vorgaben, bessere Nutzungsmöglichkeiten von Gesundheitsdaten für Forschung sowie eine praxisgerechte Umsetzung des EU-Pharmapakets ohne zusätzliches nationales Gold-Plating. Zugleich adressiert der Beschluss die Stärkung resilienter europäischer Produktions- und Lieferketten, die Berücksichtigung von Versorgungssicherheitsaspekten bei öffentlichen Beschaffungen sowie eine ausgewogene Umsetzung der EU-Kommunalabwasserrichtlinie. Der von der Bundesregierung initiierte Pharma- und Medizintechnikdialog wird ausdrücklich begrüßt; die Länder erwarten, dass daraus eine ressortübergreifend kohärente Pharma- und Medizintechnikstrategie entsteht. Pressemitteilung Ministerpräsidentenkonferenz diskutiert Rahmenbedingungen für starken Pharma-Standort Bundesländer stellen strategische Bedeutung der Arzneimittelversorgung heraus und formulieren Erwartungen an die Pharmastrategie Mehr erfahren

Die Erste Verordnung zur Änderung der Digitale Pflegeanwendungen-Verordnung vom 22. Juni 2026 bringt eine Flexibilisierung der Zulassungsverfahren für DiPA sowie eine Erhöhung der Transparenz. Kern der Novelle ist die Implementierung eines eigenständigen Erprobungspfads nach § 78a Absatz 6a des SGB XI. Hersteller können nun im Antragsverfahren explizit bestimmen, ob sie eine dauerhafte Aufnahme in das Verzeichnis oder eine befristete Aufnahme zur Erprobung anstreben. Für Letztere ist anstelle des vollständigen Nachweises des pflegerischen Nutzens eine plausible Begründung mittels systematischer Datenauswertungen zur Nutzung der Anwendung sowie die Vorlage eines wissenschaftlichen Evaluationskonzepts erforderlich. Die Erprobungsphase ist auf die Dauer des im behördlichen Bescheid festgelegten Zeitraums befristet, wobei eine einmalige Verlängerung um bis zu zwölf Monate bei nachgewiesener Erforderlichkeit beantragt werden kann. In der Verordnung wird zudem klargestellt, dass ein pflegerischer Nutzen auch dann vorliegt, wenn pflegende Angehörige oder ehrenamtlich Tätige durch die digitale Anwendung entlastet werden oder dies der Stabilisierung der häuslichen Versorgungssituation dient. Flankierend dazu wurden die datenschutzrechtlichen Vorgaben hinsichtlich der Erhebung personenbezogener Daten präzisiert. Verfahrensseitig sieht die Neuregelung vor, dass das Bundesinstitut für Arzneimittel und Medizinprodukte (BfArM) den Eingang vollständiger Antragsunterlagen innerhalb von 21 Tagen bestätigen muss. Für die behördlichen Entscheidungen sind gestaffelte Gebührenrahmen implementiert worden. Die Verordnung tritt verbindlich zum 1. Juli 2026 in Kraft.

Bei strahlendem Wetter an der Außenalster kamen zahlreiche Mitglieder, Gäste und Wegbegleiter des Landesverbandes Nord von Pharma Deutschland zur diesjährigen Mitgliederversammlung in Hamburg zusammen. Die Veranstaltung machte einmal mehr deutlich, wie stark der Zusammenhalt im Norden ist – und wie wichtig der persönliche Austausch in bewegten gesundheitspolitischen Zeiten bleibt. Im Rahmen der Mitgliederversammlung wurden wichtige Beschlüsse gefasst und der Vorstand des Landesverbandes Nord neu gewählt. Pharma Deutschland gratuliert Dr. Kristina Duwensee (Allergopharma) und Dr. Christoph Willers (medac) herzlich zur Wahl in den Vorstand des Landesverbandes Nord. Der LV Nord freut sich auf die gemeinsame Arbeit und die Fortsetzung des konstruktiven Austauschs im Norden. Ein besonderer Schwerpunkt des Abends lag auf der aktuellen gesundheitspolitischen Lage. Andreas Storm, Vorstandsvorsitzender der DAK-Gesundheit, diskutierte gemeinsam mit Jörg Wieczorek, Vorstandsvorsitzender von Pharma Deutschland, und Dorothee Brakmann, Hauptgeschäftsführerin von Pharma Deutschland, über die Zukunft der gesetzlichen Krankenversicherung, Versorgungssicherheit und Innovationsfähigkeit des Pharmastandorts Deutschland. Deutlich wurde: Die finanzielle Lage der gesetzlichen Krankenversicherung erfordert Handlungsfähigkeit. Gleichzeitig dürfen Maßnahmen zur kurzfristigen Stabilisierung nicht zulasten von Versorgungssicherheit, Innovation und verlässlichen Rahmenbedingungen für die pharmazeutische Industrie gehen. Gerade für forschende Unternehmen, den Mittelstand und die industrielle Arzneimittelproduktion in Deutschland sind Planbarkeit und faire politische Rahmenbedingungen entscheidend. Viele Unternehmen der pharmazeutischen Industrie blicken mit Sorge auf aktuelle gesundheitspolitische Entwicklungen. Umso wichtiger ist der direkte Dialog zwischen Krankenkassen, Politik, Verband und Industrie. Nachhaltige Lösungen entstehen nicht durch einseitige Belastungen, sondern durch eine faire Lastenverteilung, strukturelle Reformen und den gemeinsamen Blick darauf, was Patientinnen und Patienten am Ende wirklich brauchen. Der Landesverband Nord dankt allen Mitgliedern, Gästen und Wegbegleitern, die diesen Abend so besonders gemacht haben. Die Mitgliederversammlung hat gezeigt: Der Norden steht zusammen – konstruktiv, lösungsorientiert und mit klarem Blick nach vorn.

Please wait... If this message is not eventually replaced by the proper contents of the document, your PDF viewer may not be able to display this type of document. You can upgrade to the latest version of Adobe Reader for Windows®, Mac, or Linux® by visiting http://www.adobe.com/go/reader_download. For more assistance with Adobe Reader visit http://www.adobe.com/go/acrreader. Windows is either a registered trademark or a trademark of Microsoft Corporation in the United States and/or other countries. Mac is a trademark of Apple Inc., registered in the United States and other countries. Linux is the registered trademark of Linus Torvalds in the U.S. and other countries. Report Form Field Safety Corrective Action Medical Devices Vigilance System 1 Administrative information 1.2 Type of report 2 Submitter of the report Status of submitter 3 Manufacturer information 4 Authorised representative information 5 National contact point information 6 Medical device information Risk class(es) of device(s) when placed on the market 6.1 6.2 MDD/AIMDD IVDD 6.3 MDR Type (Multiple choice) IVDR Type (Multiple choice) 6.4       Does the device fulfil any of the following cases:       - “for this device a scientific opinion has been asked in accordance with Article 52(9) MDR or Article 52(10) MDR”,        - “for companion diagnostic a competent authority or European Medicines Agency (EMA) was consulted in accordance with           section 5.2 of Annex IX IVDR or section 3.k of Annex X IVDR." Competent authority name or European Medicines Agency  which delivered the scientific opinion or was consulted by the notified body Name(s) of the medicinal substance(s) / product(s), tissue(s), cell(s) of human origin or their derivative(s) associated with the device Unique Device Identification (UDI) Categorisation of device Description of device and commercial information 7 Description of the FSCA Coding with IMDRF terms is a mandatory requirement 7.2 Is there suspicion or confirmation of a relationship between the FSCA and the medicinal substance(s) / product(s), tissue(s), cell(s) of human origin or their derivative(s) associated with the device? 7.3 IMDRF Medical device problem codes Choice 1 (most relevant) Choice 2 Choice 3 Choice 4 Choice 5 Choice 6 IMDRF 'Medical device problem codes'                                              ( Annex A) 7.4 IMDRF Cause Investigation findings Choice 1 (most relevant) Choice 2 Choice 3 Choice 4 Choice 5 Choice 6 IMDRF 'Cause Investigation findings'                                              ( Annex C) 7.5 IMDRF Cause investigation conclusions  Choice 1 (most relevant) Choice 2 Choice 3 Choice 4 Choice 5 Choice 6 IMDRF 'Cause Investigation conclusions'                          ( Annex D) 7.6 IMDRF Health impact codes Choice 1 (most relevant) Choice 2 Choice 3 Choice 4 Choice 5 Choice 6 IMDRF 'Health impact codes'                                              ( Annex F) 7.11 Attached please find FSN Status 7.12 Market distribution of device (region/country) The code XI is used for Northern Ireland Candidate Countries 8 Comments Submission of this report does not, in itself, represent a conclusion by the manufacturer and/or authorised representative or the National Competent Authority that the content of this report is complete or accurate, that the medical device(s) listed failed in any manner and/or that the medical device(s) caused or contributed to the alleged death or deterioration in the state of the health of any person. I affirm that the information given above is correct to the best of my knowledge. NOTE: Please do not print this form but send it electronically by clicking the 'Send XML-data by E-Mail' and attach a copy of the form on this email. By hitting the button 'Send XML data by E-Mail' the data will be extracted, written into an XML file and attached on a pre-filled email. Please check your out box whether the email has been sent as the time stamp on this form IS NOT an indicator for correct sending of the email. You should save the form within your system before hitting the button 'Send XML data by E-Mail' as after that the form is write-protected and cannot be used for the submission of follow-up or final reports. Textfields printable summary SB-xxxxx 4.0 2000-02-24 FSCA Report Form SANTE-BI@ec.europa.eu SANTE BI 2026-06-22 Version 4.0 - SB-xxxxx Link all fields of Section 3 with the XSD + update code 07-03-25 Update the links and code of all fields of section 1 & 2 06-03-25 Repair the XSL file (IN & OUT) - 05-03-25 Starting project version 4: 24-02-2025 SANTE.R.4 4.0 2026-06-22 Version: 4.0 (SB-xxxxx) btnImport: btnExportXml: btnNewCase: btnTestData: btnFixSave: XMLVersion: formVersion: SB_NBR: ncaName: reportType: dd.mm.yyyy z.B. 12.01.2007: mfrInternalNo: ncaReportNo: ncaIncidenceReportNo: ncaCoordinating: statusReporter: reporterOtherText: delete manufacturer information: mfrName: mfrSRN: mfrContactName: mfrAddress: mfrPostcode: mfrCity: mfrPhone: mfrFax: mfrEmailAddress: mfrCountry: delete Authorised Representative Information: ARName: ARSRN: ARContactPerson: ARAddress: ARPostCode: ARCity: ARPhone: ARFax: AREmailAddress: pg 2 - S1.3.3.g: AR Country ISO 3166-1 alpha-2: delete submitter’s information: National Contact Point: ncpContactPerson: ncpOrgAddress: ncpOrgPostcode: ncpOrgCity: ncpOrgPhone: ncpOrgFax: ncpOrgEmail: pg 2 - S1.3.2.g: Country ISO 3166-1 alpha-2: delete device information: deviceClassMarket_Y: deviceClassMDD: deviceClassIVDD: deviceClassMDR: deviceClassMDRType1: deviceClassMDRType2: deviceClassMDRType3: deviceClassMDRType4: deviceClassMDRType5: deviceClassMDRType6: deviceClassMDRType7: deviceClassMDRType8: deviceClassMDRType9: deviceClassMDRType10: deviceClassMDRType11: deviceClassIVDR: deviceClassIVDRType1: deviceClassIVDRType2: deviceClassIVDRType3: deviceClassIVDRType4: deviceClassIVDRType5: deviceClassIVDRType6: deviceClassIVDRType7: deviceClassIVDRType8: DeviceFulfill: CompetentAuthName: RelevantName: udiDI: udiPI: udiDIBasic: udiDIUnitUse: nomenclatureSystem: nomenclatureCode: nomenclatureCodeDefinedInText: brandName: modelNum: catalogNum: serialNum: batchNum: yyyy-mm-dd e.g. 2007-12-31: yyyy-mm-dd e.g. 2007-12-31: nbIdNum: deviceSoftwareVer: deviceAccessories: fscaBackground: RelationShip_Y: RelationShip_N: imdrfCodeChoice1: imdrfCodeChoice2: imdrfCodeChoice3: imdrfCodeChoice4: imdrfCodeChoice5: imdrfCodeChoice6: imdrfInvestigationFindingsCodeChoice1: imdrfInvestigationFindingsCodeChoice2: imdrfInvestigationFindingsCodeChoice3: imdrfInvestigationFindingsCodeChoice4: imdrfInvestigationFindingsCodeChoice5: imdrfInvestigationFindingsCodeChoice6: imdrfInvestigationConclusionCodeChoice1: imdrfInvestigationConclusionCodeChoice2: imdrfInvestigationConclusionCodeChoice3: imdrfInvestigationConclusionCodeChoice4: imdrfInvestigationConclusionCodeChoice5: imdrfInvestigationConclusionCodeChoice6: imdrfHealthImpactCodeChoice1: imdrfHealthImpactCodeChoice2: imdrfHealthImpactCodeChoice3: imdrfHealthImpactCodeChoice4: imdrfHealthImpactCodeChoice5: imdrfHealthImpactCodeChoice6: fscaDescription: fscaAdvice: fscaProgress: fscaTimeSchedule: fscaAttachmentFSNEnglish: 0 fscaAttachmentFSNNational: 0 fscaAttachmentFSNOther: 0 fscaAttachmentStatus: fscaAttachmentOtherText: distribution_all: Austria: Belgium: Bulgaria: Switzerland: Cyprus: Czech Republic: Germany: Denmark: Estonia: Spain: Finland: France: Greece: Croatia: Hungary: Ireland: Iceland: Italy: Liechtenstein: Lithuania: Luxembourg: Latvia: Malta: Netherlands: Norway: Poland: Portugal: Romania: Sweden: Slovenia: Slovakia: Turkey: Northern Ireland: distributionOutsideEU: Serbia: Macedonia: Montenegro: Albania: additionalComments: Signaturesfeld1: bt_Print: bt_Email: bt_Check: TF_06_04a: TF_06_04b: TF_06_05: TF_06_06: TF_06_07: TF_06_08: TF_06_11: TF_06_12: TF_06_13: TF_06_14: TF_06_16: TF_06_21: TF_07_01: TF_07_07: TF_07_08: TF_07_09: TF_07_10: TF_07_11: TF_07_12: TF_08_00:

Eine „Sicherheitskorrekturmaßnahme im Feld“ (FSCA, Field Safety Corrective Action) bezeichnet eine von einem Hersteller aus technischen oder medizinischen Gründen ergriffene Korrekturmaßnahme zur Verhinderung oder Verringerung des Risikos eines schwerwiegenden Vorkommnisses im Zusammenhang mit einem auf dem Markt bereitgestellten Produkt. Bereits Ende April 2026 war die FSCA-PDF-Datei mit extrahierbarer XML-Datei aus IT-technischer Sicht vollständig fertiggestellt, einschließlich der Geschäftsregeln, und stand zur Kommentierung offen. Basierend auf dem hier erhaltenen Feedback der Industrie hat die Europäische Kommission weitere Anpassungen vorgenommen, eine aktualisierte Version des FSCA-PDF sowie zugehörige Dateien entwickelt und zusätzliche Tests durchgeführt. Vor der Veröffentlichung ist jetzt noch eine finale Kommentierung möglich. Sie werden bis zum 3. Juli 2026 , 12 Uhr, an Heike Wollersen ( wollersen@pharmadeutschland.de ) erbeten.