Suche

Am 17. Juni 2026 führte die EMA erneut ein halbtägiges Informations-Webinar zu ihrem CTIS System durch. Die EMA hat mit der EU Verordnung zu klinischen Prüfungen (Clinical Trials Regulation – CTR) die Aufgabe erhalten, ein zentrales Portal mit angeschlossener Datenbank für alle klinische Prüfungen in Europa zu erstellen. Über dieses Portal sind alle Verfahren zu den klinischen Prüfungen abzuwickeln, sowohl die Anträge auf Genehmigung einer Prüfung durch die Mitgliedstaaten als auch alle Folgeverfahren. Die Veranstaltung zielt darauf ab, das Verständnis für die Clinical Trials Regulation (CTR) zu stärken, Best Practices zu fördern und Rückmeldungen von den beteiligten Fachkreisen zu sammeln, um weiterhin eine effektive Umsetzung der CTR und kontinuierliche Systemverbesserungen des CTIS zu unterstützen. Dabei werden auch häufig gestellte Fragen gesammelt sowie häufige Fehler identifiziert und Vorschläge besprochen, wie man sie am besten vermeidet. Das CTIS Informations-Webinar dient außerdem gezielt als Unterstützungsmaßnahme für nicht-kommerzielle Sponsoren, teilt wichtige Erkenntnisse aus aktuellen Berichten und diskutiert relevante regulatorische Entwicklungen, darunter den EU Biotech-Act, die ICH M11-Guidance sowie Testergebnisse neuer EU-Verfahren wie Fast EU und Combine Procedures. Während der Veranstaltung kamen die unterschiedlichen Expertenkreise zu Wort und es wurden zahlreiche Einzelthemen vorgetragen und diskutiert. Neben der Tagesordnung wurden insgesamt 15 Präsentationen auf der Veranstaltungsseite veröffentlicht. Sobald ein Videomitschnitt der Veranstaltung veröffentlicht werden sollte, wird Pharma Deutschland seine Mitglieder umgehend darüber informieren.

BERLIN Friedrichstraße 134 10117 Berlin T. 030 | 308 75 96 - 0 F. 030 | 308 75 96 - 111 BONN Ubierstraße 71–73 53173 Bonn T. 0228 | 957 45 - 0 F. 0228 | 957 45 - 90 Pharma Deutschland e. V. info@pharmadeutschland.de www.pharmadeutschland.de BRÜSSEL Rue Marie de Bourgogne 58 1000 Brüssel T. +49-170-6133687 1 STELLUNGNAHME des Pharma Deutschland e.V. zum Gesetzentwurf der Bundesregierung: Entwurf eines Gesetzes zur Stabilisierung der Beitragssätze in der gesetzlichen Krankenversicherung (GKV-Beitragssatzstabilisierungsgesetz) BT-Drucksache: 21/6130 Stand der Stellungnahme 18. Juni 2026 Vorbemerkung Pharma Deutschland e.V. vertritt die Interessen der Arzneimittel- und Medizinprodukteindustrie sowohl auf Bundes- als auch Landesebene gegenüber der Politik, Behörden und Institutionen im Gesundheitswesen. Mit rund 400 Mitgliedsunternehmen ist er der mitgliederstärkste Verband im Arzneimittel- und Medizinproduktebereich. Die politische Interessenvertretung und die Betreuung der Mitglieder erstrecken sich auf das Gebiet der verschreibungspflichtigen und nicht verschreibungspflichtigen Arzneimittel sowie auf Medizinprodukte, wie z.B. Medical Apps und digitale Gesundheitsanwendungen. Hinweis: Aus Gründen der besseren Lesbarkeit wird bei Personen- oder Berufsbezeichnungen die maskuline Form verwendet. Jedoch gelten sämtliche Bezeichnungen gleichermaßen für alle Geschlechter. 2 Allgemeine Anmerkungen: Die Bundesregierung hat sich zum Ziel gesetzt, die finanzielle Stabilität der gesetzlichen Krankenversicherung langfristig zu sichern und zusätzliche Belastungen für Beitragszahlende zu vermeiden. Das ist ein nachvollziehbares und dringendes Anliegen. Wichtig dafür sind strukturelle Reformen, die langfristig das System stärken und es besser machen. Die vorliegenden Vorschläge konzentrieren sich allerdings ausschließlich auf vermeintlich kurzfristige Sparmaßnahmen, die direkte, aber auch mittel- und langfristige erhebliche Auswirkungen auf die Versorgung haben werden. Es ist unbestritten, dass das Gesundheitssystem unter starkem finanziellem Druck steht. Bereits heute ist die Industrie jedoch durch weltpolitische Problemlagen, konfliktbedingte Auswirkungen und anhaltende Lieferkettenprobleme sehr beansprucht. Eine unzureichende Berücksichtigung dieser Faktoren birgt das Risiko von Fehleinschätzungen mit langfristig negativen Auswirkungen auf die Patientenversorgung mit Arzneimitteln. Maßnahmen wie die Pharmastrategie und die Absenkung des Herstellerabschlags im Jahr 2024 sollten ursprünglich das Investitionsklima verbessern und die Arzneimittelversorgung sichern, indem sie Unternehmen entlasten und Planungssicherheit schaffen. Die nun vorgelegten Regelungen wirken aus Sicht von Pharma Deutschland jedoch gegenteilig. Pharma Deutschland begrüßt zunächst die Abschaffung der Leitplanken und Kombinationsabschläge im AMNOG-System. Damit werden Fehlregulierungen des Gesetzes zur Stabilisierung der Finanzlage der gesetzlichen Krankenversicherung – GKV- Finanzstabilisierungsgesetz (GKV-FinStG) rückgängig gemacht. Leider werden diese sinnvollen Änderungen durch die vorgeschlagenen zusätzlichen Preisregulierungsmechanismen wie den dynamischen (bzw. teilweise auch dynamisiert genannten) Herstellerabschlag, Selektivverträge bei Patentarzneimitteln und Preis-Mengen-Regelungen konterkariert. Der Herstellerabschlag stellt nicht nur einen direkten Preiseingriff dar, sondern erhält durch seine dynamische Ausgestaltung Budgetcharakter mit einem direkten Eingriff in die Preise und Mengen der Hersteller. Dies erfolgt zusätzlich zu den bereits im Rahmen des AMNOG-Verfahrens intensiv verhandelten Preis- und Mengenregelungen, die durch den Entwurf noch weiter verschärft werden. 3 Rabattverträge für patentgeschützte Arzneimittel, die ebenfalls in Mengen- und Preisvereinbarungen eingreifen, potenzieren den Effekt. Ein dreifacher Eingriff in die Grundpfeiler der Versorgung mit Arzneimitteln durch direkte und additive hintereinander gelagerte Preis- und Volumeneinschnitte wird zwangsläufig dazu führen, dass neue Präparate gar nicht erst eingeführt werden. Auf diese Gefahr hatte auch die Finanzkommission Gesundheit hingewiesen. Zudem wird der Wert des AMNOG-Verfahrens ausgehöhlt, wenn von Krankenkassen einseitig die therapeutische Bedeutung von Innovationen und therapeutische Vergleichbarkeit der Substanzen ohne Berücksichtigung des Zusatznutzens in Selektivverträgen festgelegt werden soll. Die Frage der Sinnhaftigkeit einer Bewertung im Rahmen der Nutzenbewertung nach § 35a Sozialgesetzbuch (SGB) V schließt sich hier an. Innovationen stehen in Frage, ebenso Investitionen in Deutschland. Hinzu kommt die Amplifizierung durch die Preisreferenzierung aus den USA auf Deutschland, die den negativen Effekt vervielfacht. Richtiger wäre in diesem Zusammenhang, die Regeln zur Vertraulichkeit bei Erstattungsbeträgen zu vereinfachen und den 9%igen Abschlag zu streichen. Insgesamt gehen einige gewichtige Maßnahmen - der dynamische Herstellerabschlag, die Doppelregulierung durch Clusterausschreibungen neben dem AMNOG-System, das Preismoratorium, das Preis-Mengen-Modell - und die kumulative Wirkung dieser Maßnahmen im Regierungsentwurf in ihrer Eingriffstiefe deutlich über die vom Bundesverfassungsgericht am 7. Mai 2025 (Az.: 1 BvR 1507/23, 1 BvR 2197/23) gebilligten Maßnahmen des GKV-FinStG hinaus. Sie begegnen gewichtigen verfassungsrechtlichen Bedenken, wie das als Anlage beigefügte Kurzgutachten der Rechtsanwaltskanzlei Möhrle Happ Luther vom 29. Mai 2026 festgestellt hat. Nicht nachzuvollziehen sind auch die Belastungen im Bereich der Impfstoffe. Gerade in postpandemischen Zeiten, in denen die schnelle, verlässliche und resiliente Bereitstellung von Impfstoffen unbestritten von zentraler Bedeutung ist, ist es nicht nachvollziehbar, diesen Sektor mit Abschlägen und regulatorischen Eingriffen zu belasten. Dies steht im Widerspruch zu dem Ziel der Bundesregierung, sowohl die Wettbewerbsfähigkeit Deutschlands als auch der Europäischen Union im internationalen Umfeld zu stärken und die strategischen Abhängigkeiten zu reduzieren und die Arzneimittel- und Impfstoffverfügbarkeit sicherzustellen. Aus Sicht von Pharma Deutschland verkennt der Vorschlag zudem, dass mit dem bestehenden Impfstoffabschlag bereits ein effektives, zielgenaues Steuerungsinstrument vorhanden ist, das durch die Orientierung am gewichteten 4 Durchschnitt relevanter EU- und EWR-Staaten unter Berücksichtigung realer Umsätze und Kaufkraftparitäten eine präzise Preissteuerung und wirksame Ausgabenbegrenzung ermöglicht, ohne starre und marktferne Preisobergrenzen einzuführen. Auch für die homöopathischen und anthroposophischen Arzneimittel besteht kein Handlungsbedarf, denn bereits heute gibt es keine einheitliche, flächendeckende Erstattung, sondern bewusste, ökonomisch abgewogene Entscheidungen der einzelnen Kassen, ob und in welchem Umfang und unter welchen Bedingungen die Leistungen als Satzungsleistungen angeboten werden. Insgesamt stehen die vorgeschlagenen Maßnahmen im Widerspruch zu dem Ziel, den Pharmastandort zu stärken sowie Resilienz und Versorgungssicherheit in Deutschland zu erhöhen. Zugleich wirken sie europäischen Initiativen wie dem European Biotech Act entgegen. Pharma Deutschland bedankt sich für die Möglichkeit Stellung zu nehmen und nimmt nachfolgend zu ausgewählten Regelungsinhalten Stellung und unterbreitet ergänzende Vorschläge. Diese Vorschläge umfassen konkrete Maßnahmen - die Novellierung des OTC-Switchverfahrens und Pay- for-Performance Modelle -, die einen Beitrag zur Stabilisierung der GKV beitragen können. Diese Risikopartnerschaften zwischen pharmazeutischen Unternehmen und Krankenkassen können ergänzend den frühzeitigen Zugang zu therapeutischen Innovationen fördern, die nutzenbasierte Preisbildung stärken und eine nachhaltige Finanzierung im Sinne des Reformwillens der Bundesregierung unterstützen. 5 Stellungnahme zu den Vorschlägen: Die nachfolgenden Ausführungen stellen den derzeitigen Stand der Diskussion (26. Mai 2026) im Verband dar und beziehen sich auf die Vorschriften in Artikel 1 des Regierungsentwurfs und erfolgen in chronologischer Reihenfolge des Entwurfs. Zu Art. 1 Nr. 1, 8, 12a), 13a) und b) - Abschaffung Homöopathie als Satzungsleistung (§ 2 Abs. 1, § 11 Abs. 6, § 31 Abs. 1 Satz 1 und § 34 Abs. 1 und 3 SGB V) Geplante Regelung im Regierungsentwurf Homöopathische und anthroposophische Arzneimittel und Leistungen sollen als Satzungsleistung der GKV ausgeschlossen werden. Entsprechende Regelungen im SGB V (u. a. § 11 Abs. 6, § 34 Abs. 3, Verträge nach § 140) sollen gestrichen werden. Bewertung Pharma Deutschland e. V. lehnt die im Regierungsentwurf vorgesehene Streichung der Erstattungsfähigkeit homöopathischer und anthroposophischer Arzneimittel und ärztlicher Leistungen im Rahmen der freiwilligen Satzungsleistungen der gesetzlichen Krankenkassen entschieden ab. Die vorgeschlagenen Änderungen in §§ 2, 11, 31 und 34 SGB V sowie die zugrundeliegende Begründung werden der wissenschaftlichen, rechtlichen und versorgungspraktischen Realität dieser Arzneimittelgruppen nicht gerecht. Sie setzen ein politisches Signal, das sich langfristig weit über die Einsparungen dieses Gesetzes hinaus auswirken wird. Dieses Signal entzieht der Ausübung der betroffenen Therapierichtungen auf lange Sicht die Grundlagen und zerstört damit die Existenz der Hersteller. Dabei ist die inhaltliche Begründung falsch. Diese Vorgehensweise konterkariert das Prinzip einer evidenzbasierten Politik. Das langfristige Zerstörungspotential der aktuellen Maßnahme steht in keinem Verhältnis zum gemutmaßten Einsparpotential der Maßnahme. 6 1. Homöopathische und anthroposophische Arzneimittel sind wissenschaftsbasiert und arzneimittelrechtlich verankert Homöopathische und anthroposophische Arzneimittel sind arzneimittelrechtlich in Deutschland fest verankert. Der pauschale Hinweis im Regierungsentwurf, für homöopathische und anthroposophische Arzneimittel liege „keine hinreichende wissenschaftliche Evidenz der Wirksamkeit“ vor, ist schlichtweg falsch und bleibt in seiner Begründung methodisch nicht nachvollziehbar. Die Evidenzbasis der Homöopathie und die der anthroposophischen Medizin umfassen die wissenschaftliche Systematik der Therapiesysteme und neben der - anders als in der Gesetzesbegründung argumentiert - vorhandenen externen Evidenz aus Studien systematisch auch die Erfahrungen von Patienten sowie von Ärzten und ist damit mit dem Konzept der evidenzbasierten Medizin vereinbar [Sackett 1996; Hamre et al 2023]. Vor diesem Hintergrund ist die argumentative Basis einer fehlenden wissenschaftlichen Evidenz in der Begründung zu dieser Gesetzesänderung diffamierend und sachlich nicht haltbar. Bei gesetzlichen Änderungen mit Auswirkungen dieser Tragweite ist es essenziell, dass der Gesetzgeber selbst evidenzbasiert vorgeht. 2. Ausschluss der Erstattung nach § 31 Abs. 1, § 11 Abs. 6 bzw. § 34 SGB V Der Gesetzesentwurf schließt die Erstattung homöopathischer und anthroposophischer Arzneimittel und ihrer Therapierichtungen im § 11 Abs. 6, § 31 Abs. 1 Satz 1 sowie im § 34 SGB V aus. Das einseitige Herauslösen homöopathischer und anthroposophischer Arzneimittel sowie von Leistungen der Therapien ist diskriminierend. Eine fachliche Diskussion der Kriterien auch im Vergleich zu anderen, weiterhin erstattungsfähigen Arzneimitteln und Maßnahmen hat nicht stattgefunden. Die Logik des Erstattungssystems wird an dieser Stelle einseitig zu Lasten von Homöopathie und anthroposophischer Medizin gesprengt. 3. Die Erstattung homöopathischer und anthroposophischer Arzneimittel ist gesellschaftlich gewünscht und entlastet die GKV Allensbach-Daten belegen eine breite Nutzung und Wertschätzung homöopathischer und anthroposophischer Arzneimittel sowie eine relative Mehrheit für deren Erstattungsfähigkeit. 43 % der Befragten und 63 % der Homöopathie-Anwender befürworten ausdrücklich, dass homöopathische Arzneimittel und Therapien als Leistung der GKV erhalten bleiben. Dieser Wunsch 7 wurde durch eine Bundestagspetition mit einer das Quorum zur Anhörung im Petitionsausschuss weit überschreitenden Anzahl an Unterschriften aus dem Jahr 2024 unterstrichen. Die im Entwurf vorgesehene Streichung würde den Versorgungspluralismus und die Wahlfreiheit der Versicherten deutlich einschränken, ohne einen nennenswerten Beitrag zur Lösung der Finanzierungsprobleme der GKV zu leisten. Die Ausgaben der GKV für Homöopathie und anthroposophische Medizin liegen zudem bei lediglich rund 0,03 % der Gesamtausgaben der gesetzlichen Krankenversicherung. Selbst wenn man die im Entwurf genannten Einsparungen von rund 50 Mio. € unterstellt, handelt es sich im Kontext der GKV- Gesamtausgaben um einen marginalen Beitrag, der für die Stabilität der Beitragssätze faktisch ohne Relevanz ist. Zudem hat ein systematischer Review zur Kosteneffektivität der Homöopathie gezeigt, dass fast alle eingeschlossenen Studien eine vergleichbare oder bessere klinische Wirksamkeit bei ähnlichen oder geringeren Kosten gegenüber den Kontrollgruppen berichten [Ostermann et al 2024]. So können homöopathische und anthroposophische Arzneimittel die GKV durchaus entlasten. Zuletzt ist abzusehen, dass, sollte die Erstattung homöopathischer und anthroposophischer Arzneimittel gestrichen werden, andere Arzneimittel verordnet werden und das Einsparpotenzial real deutlich kleiner sein wird. 4. Satzungsleistungen sind heute bereits eine eigenverantwortliche Ermessensentscheidung der Krankenkassen – es braucht kein gesetzliches Verbot Seit 2012 können die Krankenkassen nach § 11 Abs. 6 SGB V in ihrer Satzung zusätzliche Leistungen, insbesondere auch die Erstattung nicht verschreibungspflichtiger, apothekenpflichtiger Arzneimittel der besonderen Therapierichtungen, vorsehen. Über die konkrete Ausgestaltung entscheiden die einzelnen Krankenkassen in eigener Verantwortung; die Satzungsleistungen dienen ausdrücklich dem Wettbewerb und der Profilbildung im Interesse der Versicherten. Mehr als die Hälfte der gesetzlichen Krankenkassen nutzt diese Möglichkeit und erstattet ärztlich verordnete Arzneimittel der besonderen Therapierichtungen – darunter homöopathische und anthroposophische Arzneimittel – bis zu definierten Budgets. 8 Damit gilt bereits heute: es gibt keinen Anspruch auf eine einheitliche, flächendeckende Erstattung, sondern bewusste, ökonomisch abgewogene Entscheidungen der einzelnen Kassen, ob, in welchem Umfang und unter welchen Bedingungen homöopathische und anthroposophische Leistungen als Satzungsleistungen angeboten werden. Die Entscheidung, ob eine Krankenkasse ihren Versicherten entsprechende Angebote macht, obliegt ausschließlich der Selbstverwaltung der Kasse. Ein gesetzliches Verbot dieser Leistungen stellt deshalb einen tiefen Eingriff in die Gestaltungsfreiheit der Krankenkassen und den vom Gesetzgeber bislang ausdrücklich gewollten Kassenwettbewerb dar – ohne dass hierfür eine Notwendigkeit ersichtlich wäre. 5. Die Versorgung von Kindern mit homöopathischen und anthroposophischen Arzneimitteln muss erhalten bleiben Kinder sind eine besonders vulnerable Gruppe. Ihnen stehen generell weniger Arzneimittel zur Verfügung, da Studien an Kindern an besonders hohe ethische Standards geknüpft sind. Homöopathische und anthroposophische Arzneimittel werden vor allem bei dieser Patientengruppe gerne angewendet, weil sie besonders verträglich und nebenwirkungsarm sind. Insbesondere im Hinblick auf das Konzept von „Delayed Prescription“ im Zusammenhang mit der Verringerung des fehlinduzierten Einsatzes von Antibiotika spielen sie eine berechtigte Rolle und sind versorgungsrelevant. In Versorgungsstudien konnte gezeigt werden, dass der Antibiotika-Einsatz verringert werden konnte, wenn Kinder bei homöopathisch arbeitenden Ärzten in Behandlung waren. Dies wurde für Kinder gezeigt [Securvita 2020] bzw. für Erwachsene und Kinder [Grimaldi-Bensouda et al. 2014]. Gerade im Fall von Kindern sollte das Prinzip der sozialen Gerechtigkeit Anwendung finden, damit die medizinische Versorgung von Kindern bzw. ggf. die Möglichkeit der Vorbeugung einer weiterführenden Behandlung mit einem Antibiotikum nicht von den finanziellen Möglichkeiten ihrer Eltern abhängt. Forderung von Pharma Deutschland Vor dem Hintergrund dieser Argumente fordert Pharma Deutschland: 1. Die Begründungslage im Regierungsentwurf grundlegend zu überarbeiten und die arzneimittelrechtliche Systematik, die vorhandene Evidenz, die hohe Akzeptanz in der Bevölkerung sowie die gesundheitsökonomischen Effekte sachgerecht zu berücksichtigen. 9 2. Die Möglichkeit, dass Krankenkassen homöopathische und anthroposophische Arzneimittel sowie entsprechende ärztliche Leistungen als zusätzliche Satzungsleistungen vorsehen mit der entsprechenden Erstattungsfähigkeit, sollte nach § 11 Abs. 6 und § 31 Abs. 1 SGB V beibehalten werden. Daher plädiert der Verband dafür, den letzten Satz im neuen § 11 Absatz 6 und den entsprechenden neuen Satz 1 in § 31 Abs. 1 SGB V zu streichen. 3. An der bisherigen Formulierung in § 2 SGB V festzuhalten, wonach Behandlungsmethoden und Arzneimittel der besonderen Therapierichtungen nicht ausgeschlossen sind, um den gesetzlichen Auftrag zur methodenneutralen, pluralen Versorgung nicht zu konterkarieren. Pharma Deutschland plädiert daher dafür, den im Entwurf gestrichenen Satz 2 in § 2 Abs. 1 SGB V beizubehalten. 4. Die Versorgung von Kindern mit homöopathischen und anthroposophischen Arzneimitteln zu sichern. Daher schlägt Pharma Deutschland nach Satz 5 folgende Ergänzung in § 34 Abs. 1 Satz 6 neu vor: „§ 34 Abs. 1 Satz 5 Ziffer 1 und 2 gilt auch für homöopathische und anthroposophische Arzneimittel.“ Insgesamt basieren die geplanten Änderungen im Regierungsentwurf auf falschen Annahmen und ignorieren das reale Bedürfnis der Patienten. Sie würden den Versorgungspluralismus einschränken, die Therapievielfalt und Versorgungsgerechtigkeit beeinträchtigen, die Selbstverwaltung der Krankenkassen schwächen und das Vertrauen in bewährte integrierte Versorgungsansätze unterminieren – bei im Verhältnis minimaler Budgetwirkung. Pharma Deutschland spricht sich daher klar gegen ein gesetzliches Verbot der Erstattung homöopathischer und anthroposophischer Arzneimittel und ärztlicher Leistungen aus und plädiert für die Sicherung des Status quo. Referenzen: Grimaldi-Bensouda L, et al. Management of upper respiratory tract infections by different medical practices, including homeopathy, and consumption of antibiotics in primary care: the EPI3 cohort study in France 2007–2008. PLoS One. 2014;9(3):e89990. 10 Hamre HJ, et al. Efficacy of homoeopathic treatment: systematic review of meta-analyses of randomised placebo-controlled homoeopathy trials for any indication. Syst Rev. 2023;12(1):191. Herman PM, Poindexter BL, Witt CM, Eisenberg DM. Are complementary therapies and integrative care cost-effective? A systematic review of economic evaluations. 2012. Ostermann T, Burkart J, de Jaegere S, Raak C, Simoens S. Overview and quality assessment of health economic evaluations for homeopathic therapy: an updated systematic review. Expert Rev Pharmacoecon Outcomes Res. 2024;24:117–142. Sackett DL. Evidence based medicine: what it is and what it isn’t. BMJ. 1996;312:71–72. Securvita 2020 https://www.securvita.de/fileadmin/inhalt/dokumente/auszuege_ SECURVITAL/202004/securvital_0420_6-11.pdf Art. 1 Nr. 14a) und c), Nr. 49c) – Abschaffung der „Leitplanken“ (§ 35a Abs. 1 S. 3 Nr. 7, Abs. 3 S. 5, 6 und § 130b Abs. 3 SGB V - alt) Geplante Regelung Es ist vorgesehen, den § 130b Abs. 3 SGB V auf den Stand vor dem GKV-FinStG zurückzuführen. Damit entfallen die Leitplanken und auch die mit dem Medizinforschungsgesetz installierten Regelungen zur Befreiung von den Leitplanken für Arzneimittel mit klinischen Prüfungen mit relevantem Anteil an Prüfungsteilnehmern in Deutschland. Eine Analogie zu der bisherigen Anreizsetzung zur Förderung von klinischen Studien in Deutschland soll zukünftig an den dynamischen Herstellerabschlag gekoppelt werden (Vgl. dazu Ausführungen zu dynamischem Herstellerabschlag). Bewertung Pharma Deutschland begrüßt die Abschaffung der mit dem GKV-FinStG eingeführten Leitplanken. Eine nutzenbasierte Preisfindung im Rahmen der Verhandlung des https://www.securvita.de/fileadmin/inhalt/dokumente/auszuege_%20SECURVITAL/202004/securvital_0420_6-11.pdf https://www.securvita.de/fileadmin/inhalt/dokumente/auszuege_%20SECURVITAL/202004/securvital_0420_6-11.pdf 11 Erstattungsbetrages nach §130b SGB V, wie sie das AMNOG grundsätzlich vorsieht, wird somit wieder gestärkt. Gleichzeitig wird diese Regelung allerdings durch die Anpassungen in § 130e SGB V zu Rabattverträgen für Arzneimittel mit patentgeschützten Wirkstoffen mit therapeutisch vergleichbarer Wirkung konterkariert (s.u.). In der Begründung zur Streichung der Leitplanken auf Seite 131 des Gesetzesentwurfes wird ausgeführt, dass nicht zweifelsfrei festzustellen sei, inwieweit die Leitplanken einen Beitrag zur Erreichung der Einsparziele, die mit Einführung des GKV-FinStG verbunden waren, leisten konnten. Gleichzeitig ist nur wenige Sätze später zu lesen, dass die mit Streichung der Leitplanken einhergehenden finanziellen Mehrbelastungen der GKV durch andere Instrumente wie die Stärkung des Preiswettbewerbs patentgeschützter Arzneimittel im gleichen Therapiegebiet, Preis-Mengen- Regelungen und dem dynamischen Herstellerabschlag zu kompensieren seien. Die finanziellen Mehrbelastungen sind aus Sicht von Pharma Deutschland nicht zu erkennen. Die Begründung zur Rechtfertigung der Einführung o.g. Sparinstrumente ist daher nicht nachvollziehbar. Zu Art. 1 Nr. 14b) und c), Nr. 50, Nr. 71 - Wegfall Kombinationsabschlag (§ 35a Abs. 1d, Abs. 3 S. 4; § 130e – alt), § 429 Geplante Regelung Der Entwurf sieht vor, den Kombinationsabschlag (§ 130e SGB V) und alle damit verbundenen notwendigen gesetzlichen Regelungen zur Ausgestaltung des Verfahrens (Feststellungsverfahren, Kombinationsbenennung) zu streichen. Darüber hinaus soll mit Ergänzung des § 429 SGB V eine Übergangsregelung geschaffen werden. Bewertung Pharma Deutschland begrüßt die Streichung des mit dem GKV-FinStG eingeführten Kombinationsabschlags und alle damit verbundenen gesetzlichen Regelungen. Dies leistet einen Beitrag, unnötige bürokratische Prozesse abzubauen und Abrechnungsstreitigkeiten zu vermeiden. Mit dem Verzicht auf diese Regelung wird zudem der Tatsache Rechnung getragen, dass die sog. 12 freien Kombinationen bereits in den Erstattungsbetragsverhandlungen Berücksichtigung finden können. Somit wird auf eine doppelte Rabattierung verzichtet. Zu Art. 1 Nr. 39, 50 - Wirtschaftlichkeitsprüfung (§ 106b SGB V i.V.m. § 130e SGB V) Geplante Regelung im Regierungsentwurf Künftig sollen in den Arzneimittelvereinbarungen auf Ebene der Kassenärztlichen Vereinigung (KV) rabattarzneimittelbezogene Verordnungsquoten für die nach § 130e Abs. 1 S. 1 SGB festgelegten Gruppen im Therapiegebiet enthalten sein. Das bedeutet, dass Vertragsärzte verpflichtet werden sollen, innerhalb der Gruppen bestimmte Rabattvertragsarzneimittel bevorzugt zu verordnen. Bewertung Analog zur Ablehnung von Selektivverträgen (§130e SGB V – s. Anmerkungen unten) lehnt Pharma Deutschland auch die hier vorgeschlagenen Verordnungsquoten für diesen Bereich ab. Die Verlagerung der Quoten selbst auf die regionale KV-Ebene führt zu unübersichtlichen, heterogenen Vorgaben in den einzelnen Kassenärztliche Vereinigungen (KV), was entgegen der Aussage in der Gesetzesbegründung zu erhöhtem Bürokratieaufwand für Ärzte und Krankenkassen führt. Neben zahlreichen bereits bestehenden Vorgaben für die wirtschaftliche Verordnungsweise müssen dann Quoten für den Einsatz innovativer Therapien erfüllt werden. Außerdem wird damit eine de facto Austauschbarkeit unterschiedlicher Substanzen als gegeben gesehen und der Patentschutz ausgehöhlt. Die Quoten per se dürfen zu keiner Beeinträchtigung des Patientenversorgung führen. So sieht es auch die Rechtsprechung des Bundessozialgerichts (BSG) (z.B. zu Zielquoten in Schleswig- Holstein v. 15. Juli 2020, Az.: B 6 KA 12/19 R), weil Ärzte immer eine gewisse „Beinfreiheit“ haben müssen, um die therapeutischen Bedürfnisse ihrer Patienten erfüllen zu können. Das erkennt wohl der Entwurf, wenn in der Begründung zur Höhe der Quoten ausgeführt wird, dass Quoten abhängig 13 sind von der tatsächlichen therapeutischen Vergleichbarkeit der geclusterten Arzneimittel. All das tangiert jedoch den Leistungsanspruch der Versicherten, der bundesgesetzlich normiert ist und nicht durch regionale Regelungen eingeschränkt werden darf. Die Verordnungen dieser Rabattarzneimittel sollen auch als Praxisbesonderheit zu seinen Gunsten anerkannt werden (§ 130e Abs. 2 SGB). Rabattvertragsarzneimitteln wohnt per se der Anschein der Wirtschaftlichkeit inne: dies ergibt sich bislang schon aus §§ 106b Abs. 4 Nr. 2, 129 Abs. 1 Satz 3 SGB V, denn der gesetzliche Ausschluss der Wirtschaftlichkeitsprüfung für Arzneimittel, für die Ärzte, die einem Rabattvertrag beigetreten sind, ist nur vor dem Hintergrund verständlich, dass durch die Rabattverträge das Wirtschaftlichkeitsgebot umgesetzt wird. Es ist irreführend, wenn man nun die Verordnung von Rabattvertragsarzneimitteln als Praxisbesonderheit kennzeichnet. Schließlich bewirkt die Regelung eine sachlich nicht gerechtfertigte doppelte Privilegierung von Rabattvertragsarzneimitteln, nämlich sowohl durch die verpflichtende Wirkstoffverordnung als auch durch deren Berücksichtigung als Praxisbesonderheit. Zu Art. 1 Nr. 48a) - Dynamischer Herstellerabschlag (§ 130a Abs. 1b, 1c) Geplante Regelung im Regierungsentwurf Es wird die Einführung eines dynamischen Herstellerabschlags für patentgeschützte Arzneimittel sowie die Möglichkeit zur Befreiung vom dynamischen Abschlag über einen „Deutschlandbonus“ vorgeschlagen. Dynamischer Herstellerabschlag Beim dynamischen Herstellerabschlag soll der geltende Abschlag von derzeit 7 Prozent ab Juli 2027 um eine dynamische Komponente ergänzt werden. Für den Zeitraum vom 1. Januar 2027 bis 30. Juni 2027 ist zunächst eine einmalige statische Anhebung um 3,5 Prozent vorgesehen. Mit der Einführung des dynamischen Herstellerabschlags soll das Prinzip der einnahmeorientierten Ausgabenpolitik im Arzneimittelsektor verankert werden. Die Einnahmenseite wird dabei über die 14 Entwicklung der beitragspflichtigen Einnahmen abgebildet. Leitgedanke ist eine Gegenüberstellung von “Ist”- und (hypothetischen) “Soll”-Ausgaben. Die Soll-Ausgaben berücksichtigen die Entwicklung von Ausgaben und beitragspflichtigen Einnahmen und bilden eine Ausgabengrenze. Bei Überschreiten dieser Grenze ist eine herstellerseitige Kompensation über einen Abschlag vorgesehen. Der Abschlag ist für jedes Kalenderjahr neu zu ermitteln. Begründet wird der Vorschlag mit der Entwicklung der Ausgaben im Patentmarkt. Ausgenommen vom dynamischen Abschlag sind Generika; Festbetragsarzneimittel; Biosimilars; patentfreie versorgungskritische Arzneimittel nach § 52b Absatz 3c Satz 1 AMG; patentfreie Kinderarzneimittel nach § 35 Absatz 5a Satz 1 SGB V, vom Preismoratorium befreite Arzneimittel und Reserveantibiotika. Ausgenommen sind zudem Arzneimittel mit neuen Wirkstoffen, für die der neu vorgeschlagene „Deutschlandbonus“ greift. Hiernach sollen neu eingeführte Arzneimittel mit klinischen Prüfungen in Deutschland und bei denen der Wirkstoff auch in Deutschland produziert wird vom dynamischen Abschlag ausgenommen werden. Die Befreiung kann beim BfArM für die Arzneimittel beantragt werden, die ab dem 1. Januar 2027 erstmalig in Deutschland in Verkehr gebracht werden. Die für die Befreiung notwendigen Anforderungen müssen kumulativ erfüllt sein: Bewertung Pharma Deutschland lehnt den dynamischen Herstellerabschlag entschieden ab. Der Vorschlag ist weder sachgerecht noch verhältnismäßig ausgestaltet. Innovationen sind das Ergebnis hoher Forschungs- und Entwicklungsinvestitionen und bilden die Grundlage für medizinischen Fortschritt und eine hochwertige Arzneimittelversorgung. Zusätzliche finanzielle Belastungen durch einen Herstellerabschlag untergraben die Ziele des frühen Zugangs zu Innovationen, langfristig die Versorgung, Innovationskraft sowie den Forschungsstandort Deutschland. Der Neuvorschlag für einen dynamischen Abschlag unterläuft jegliche Planbarkeit für Hersteller. Die Höhe des Abschlags ist abhängig von nicht sicher vorhersagbaren Variablen. Das gilt sowohl einnahme- als auch ausgabenseitig. Die fehlende Planbarkeit der tatsächlichen Abschlagshöhe führt zu erheblicher wirtschaftlicher Unsicherheit für die betroffenen Unternehmen. Es ist fraglich, ob ein derart intensiver Eingriff noch von der bisherigen Rechtsprechung des Bundesverfassungsgerichts gedeckt ist. So bestehen bereits erhebliche Zweifel an der Angemessenheit des dynamischen Abschlags trotz des angestrebten Gemeinwohlziels der 15 Kostenstabilität der gesetzlichen Krankenversicherung. Zumindest dürften nunmehr die Grenzen der Zumutbarkeit überschritten sein. Diese Maßnahme, die für den jeweils betroffenen pharmazeutischen Unternehmer kaum kalkulierbar ist, kann zu einer Instabilität der pharmazeutischen Industrie führen und so in der Folge die Versorgungssicherheit im Arzneimittelbereich gefährden. Pharma Deutschland weist auch darauf hin, dass es sich bei dem dynamischen Herstellerabschlag nicht um eine kurzfristige Maßnahme handelt. Im Gegenteil, es wird ein dauerhafter Mechanismus eingeführt, der nicht nur kurzfristig wirkt, und der Unternehmen damit der beschriebenen Unsicherheit dauerhaft aussetzt. Er stellt einen tiefgreifenden, strukturellen und unbegrenzten Eingriff in die Preisbildung patentgeschützter Arzneimittel dar. Für die Auswirkungen des dynamischen Herstellerabschlags auf die Versorgung gibt es zudem keinerlei Erfahrungen. Die Evaluationen einer Erhöhung des Herstellerabschlags im Zuge einer kurzfristigen Erhöhung über das GKV-FinStG können nicht direkt auf den dynamischen Herstellerabschlag übertragen werden. Die Finanzkommission selbst hat die Auswirkungen des dynamischen Herstellerabschlags in ihrem Bericht als nicht klar vorhersagbar benannt. Der dynamischen Herstellerabschlag nimmt die Ausgabenbegrenzung in den Fokus, blendet aber jegliche Auswirkung auf Versorgung, Zugang und auf den Innovationsstandort gänzlich aus. Aus dem vorgeschlagenen Berechnungsmodell ergibt sich eine nicht sicher vorhersagbare Abschlagshöhe. Abhängig von den Variablen der Berechnungsformel sind jedoch potenziell dramatische und unverhältnismäßige Abschlagshöhen von bis zu 50% im Jahr 2040 möglich. Im Kern sieht das Modell einen Abgleich von tatsächlichen Ausgaben und einem hypothetischen Soll- Wert vor. Für die Berechnung des Soll-Wertes wird in zwei Stufen vorgegangen. Die erstmalige Berechnung erfolgt auf Basis der tatsächlichen Ausgaben des Vorjahres, fortgeschrieben mit dem Zuwachs der beitragspflichtigen Einnahmen. In den Jahren danach wird der Soll-Wert des Vorjahres jeweils fortgeschrieben um den Zuwachs der beitragspflichtigen Einnahmen. Wird das im Gesetzesvorschlag eingebrachte Rechenmodell so umgesetzt, bedeutet das für Hersteller, dass sich der Abschlag in bislang ungekannte Höhen entwickeln kann. Bei der Betrachtung der Entwicklung der Abschlagshöhe über die Zeit mit einem Herstellerabschlag von 50% im Jahr 2040 ist klar zu sehen, dass es sich hier nicht um ein tragfähiges Vorhaben handelt, sondern der Gesetzentwurf gravierend auf die Industrie und die Arzneimittelversorgung der deutschen Patienten wirkt. Zur 16 Verdeutlichung: selbst wenn die gesamte pharmazeutische Industrie heute aufhören würde, neue Arzneimittel auf den deutschen Markt zu bringen, würde der Herstellerabschlag durch Demographie und den damit steigenden Arzneimittelverbrauch noch steigen. Dieses Vorgehen ist insbesondere im internationalen Kontext zu Entwicklungen in den USA in Hinblick auf Most Favored Nation (MFN) nicht nachvollziehbar. Abb. Simulation Dynamischer Herstellerabschlag bis 2040, eigene Berechnung nach Gesetzestext Der vorgeschlagene dynamische Herstellerabschlag ist eine Budgetierungsmaßnahme. Das Budget wird bestimmt durch einen rechnerisch ermittelten „Soll“-Wert. Die maßgeblichen Einflussfaktoren auf die rechnerischen Größen liegen jedoch völlig außerhalb des Einflussbereichs der einzelnen Hersteller (Beitragseinnahmen, Lohnentwicklung, gesamtwirtschaftliche und gesellschaftliche Rahmenbedingungen, aber auch die Gesamtausgabenentwicklung von Arzneimittel). Dennoch gilt, dass wenn die festgelegte Budgetgrenze überschritten wird, eine Kompensation durch alle betroffenen Hersteller erfolgt. Dabei ist es unerheblich, ob und in welchem Umfang ein einzelnes Unternehmen tatsächlich zur Überschreitung beigetragen hat. Auch die Kompensation für Morbiditätsrisiken und strukturelle Probleme wird gänzlich auf die Industrieseite verlagert. Damit werden Hersteller in Haftung genommen für Entwicklungen, die sie nicht beeinflussen können. 17 Das im Regierungsentwurf vorgesehene Verfahren zur Festlegung des Herstellerabschlags weist zudem erhebliche Umsetzungs-, Transparenz- und Beteiligungsdefizite auf. Im Vorschlag ist vorgesehen, dass der GKV-Spitzenverband dem BMG bis zum jeweils 15. Mai die Daten zur Berechnung liefert. Das BMG berechnet die Abschlagshöhe und gibt diese zum jeweils 1. Juni im Bundesanzeiger bekannt. Zeitgleich gibt das BMG die ihm übermittelten Berechnungsgrundlagen aus „Transparenzzwecken“ bekannt. Eine inhaltliche Prüfpflicht seitens des BMG ist nicht vorgesehen. Für Hersteller heißt das, dass Bekanntgabe und Geltung des Abschlags für den kommenden Gültigkeitszeitraum (Gültigkeit jeweils ab 1. Juli) extrem kurz sind. Bis zu diesem Zeitraum sind dem Hersteller die konkreten Berechnungsgrundlagen unbekannt und damit auch nicht überprüfbar. Hersteller werden als maßgeblich Betroffene des Abschlags bis zu diesem Zeitpunkt nicht in den Prozess eingebunden. Das ist für einen derart weitreichenden Eingriff in die Preisbildung inakzeptabel. Ein einseitig administrativ festgelegtes Verfahren wird den Anforderungen an ein rechtsstaatliches, transparentes und sachgerechtes Vorgehen nicht gerecht. Auch stellen sich grundsätzliche Fragen zur Haftung bei möglichen Fehlern in der Datenerhebung, -auswertung oder -berechnung. Zudem gilt, dass die geringen Vorlauffristen zwischen Bekanntgabe und Geltung entgegen jeglicher Planbarkeit stehen. Und all dies im Gesamtkontext eines aktuell stark volatilen globalen Marktumfeldes. Die Freistellung vom Abschlag über einen „Deutschlandbonus“ für Arzneimittel, die in Deutschland klinisch erprobt und produziert werden, ist für Unternehmen nicht erfüllbar. Das bedeutet nicht nur, dass Unternehmen keine Freistellung vom dynamischen Abschlag erreichen können, sondern es bedeutet auch, dass ein wichtiges kollektives Ziel, die Stärkung von Resilienz in der Versorgung, nicht erreicht werden kann. Unbenommen davon stehen die Anforderungen nicht im Einklang mit derzeitigen europäischen Bestrebungen zur Stärkung der Arzneimittelversorgung, insbesondere im Kontext des Critical Medicines Act. Vor diesem Hintergrund ist auch der Verweis in der Gesetzesbegründung des Kabinettentwurfs auf die Regelung nach ALBVVG im § 130a Absatz 8a SGB V kritisch zu bewerten, da dort ausdrücklich die EU‑ und EWR‑Ebene als maßgeblicher Referenzrahmen benannt wurde und nicht der nationale Produktionsstandort Deutschland. 18 Zu Art. 1 Nr. 48b) - Herstellerabschlag für Schutzimpfungen (§ 130a Absatz 2 SGB V) Geplante Regelung im Referentenwurf Mit der vorgesehenen Regelung soll der Herstellerabschlag nach § 130a Absatz 2 SGB V für Schutzimpfungen nach § 20i SGB V um einen zusätzlichen Rabatt in Höhe von 7 % für Impfstoffe mit Patent- oder Unterlagenschutz eingeführt werden. Bewertung Mit dem Entwurf soll für Schutzimpfungen nach § 20i SGB V für Impfstoffe mit Patent- oder Unterlagenschutz ein zusätzlicher Abschlag in Höhe von 7 Prozent eingeführt werden. Aus Sicht des Verbands ist diese Regelung abzulehnen. Sie verschärft den Preisdruck auf innovative Impfstoffe in einem Bereich, der für die gesundheitliche Prävention und die Versorgungssicherheit von besonderer Bedeutung ist, ohne die eigentlichen Ursachen unzureichender Impfquoten in Deutschland zu adressieren. Mit dem Vorschlag zu § 130a Absatz 2 SGB V wird der bisherige EU-/EWR-Referenzabschlag in seiner bisherigen Lenkungswirkung faktisch weitgehend entwertet. Der zusätzliche Abschlag i.H.v. 7% greift, wenn ein Impfstoff nicht in mindestens vier Mitgliedstaaten der Europäischen Union oder anderen Vertragsstaaten des Europäischen Wirtschaftsraums in Verkehr gebracht wird und ein Referenzabschlag deshalb nicht ermittelt, werden kann. Zugleich werden jedoch Impfstoffe, für die ein Referenzabschlag ermittelt werden kann, zusätzlich mit einem Abschlag i.H.v. 7% belastet und damit gegenüber der bisherigen Systematik schlechter gestellt. Diese Ausgestaltung kann Fehlanreize für Markteinführungen innerhalb der Europäischen Union setzen und damit auch Auswirkungen auf die Versorgung in anderen Mitgliedstaaten haben. Der gesundheitspolitische Handlungsbedarf liegt nicht in einer Überinanspruchnahme von Impfstoffen, sondern in einer weiterhin unzureichenden Impfquote, insbesondere bei Erwachsenen und älteren Menschen. Vor diesem Hintergrund sollte der Gesetzgeber die Stärkung der 19 Impfprävention in den Mittelpunkt stellen und verlässliche Rahmenbedingungen schaffen, um die Inanspruchnahme von Schutzimpfungen nachhaltig zu erhöhen. Erforderlich sind insbesondere Maßnahmen, die den Zugang zu Schutzimpfungen erleichtern und die Umsetzung von Impfempfehlungen beschleunigen. Dazu zählen niedrigschwellige Impfangebote in unterschiedlichen Versorgungsettings, die stärkere Einbindung von Apotheken als Zugangspunkt für Impfprävention, digitale Erinnerungs- und Recall-Systeme über die elektronische Patientenakte sowie schnellere und planbarere Prozesse von Zulassung und Empfehlung bis zur regionalen Erstattung. Ebenso sollten innovative Versorgungskonzepte unterstützt werden, die Co- Administration erleichtern, Präventionspfade vereinfachen und perspektivisch den Einsatz von Kombinationsimpfstoffen ermöglichen. Zusätzliche Abschläge setzen demgegenüber das falsche Signal. Sie schwächen Investitions- und Planungssicherheit in einem Bereich, in dem Deutschland mehr Innovation, mehr Versorgungssicherheit und mehr Anreize für Prävention braucht. Statt zusätzlicher Preisbelastungen sollte die Politik auf ein präventionsorientiertes Umfeld hinwirken, das Impfquoten erhöht, Versorgung vereinfacht und den Public-Health-Nutzen von Schutzimpfungen besser realisiert. Die vorgesehene Ergänzung des § 130a Absatz 2 SGB V sollte daher gestrichen werden. Pharma Deutschland schlägt alternativ eine Änderung der Verordnung über das Verfahren zum Risikostrukturausgleich in der gesetzlichen Krankenversicherung (Risikostruktur- Ausgleichsverordnung – RSAV) vor. Damit sollen die für Krankenkassen entstandenen Kosten über entsprechende Zuweisungen abgebildet werden. Gleichzeitig fördert der Vorschlag gezielt nachhaltige Vorsorge- und Früherkennungsmaßnahmen. Konkret wird hierfür in § 15 der Risikostruktur-Ausgleichsverordnung – RSAV – in einem neuen Absatz vorgesehen, dass die Leistungen für Schutzimpfungen nach § 20i Absatz 1 SGB V je Impfindikation zu einer Pauschale zusammengefasst werden, die auch die Impfstoffkosten enthält. Zudem bedarf es aus Sicht von Pharma Deutschland generell einer expliziten Einbindung der für die Wahrnehmung der wirtschaftlichen Interessen gebildeten maßgeblichen Spitzenorganisationen der pharmazeutischen Unternehmer auf Bundesebene bei der Regelung des Näheren. Analog zum 20 sogenannten „Leitfaden für Herstellerabschläge“ sind bei Festlegungen des GKV-Spitzenverbandes die Verbände ins Benehmen zu setzen. Dazu schlägt Pharma Deutschland vor, § 130a Absatz 2 Satz 6 SGB V wie folgt zu ändern: „Das Nähere regelt der Spitzenverband Bund der Krankenkassen im Einvernehmen mit den für die Wahrnehmung der wirtschaftlichen Interessen gebildeten maßgeblichen Spitzenorganisationen der pharmazeutischen Unternehmer auf Bundesebene.“ Zu Art. 1 Nr. 48c) - Verlängerung des Preismoratoriums und erweitertes Preismoratorium (§ 130a Abs. 3a SGB V) Geplante Regelung Der Entwurf sieht eine Verlängerung des Preismoratoriums bis zum 31. Dezember 2030 vor. Bewertung Herstellerabschläge stellen einen massiven Eingriff in das grundrechtlich geschützte Recht pharmazeutischer Unternehmen auf Berufsfreiheit aus Art. 12 Abs. 1 GG dar. Eine regelmäßige Prüfung der Verhältnismäßigkeit ist allein vor dem Hintergrund der Konformität mit dem Grundgesetz erforderlich. Sie sind daher gleichzeitig neben den parallel geltenden Preisinstrumenten, Rabattverträgen, Festbeträgen sowie Erstattungsbeträgen ein direkt wirkendes Mittel, die pharmazeutische Industrie zum Lastenausgleich strukturell bedingter Ineffizienzen im GKV-System heranzuziehen. Vor dem Hintergrund der bereits jährlich erbrachten Rabatte im Zuge des Preismoratorium spricht sich Pharma Deutschland gegen die beabsichtigte Verlängerung aus. Die zahlreichen Rückfragen aus den Mitgliedsunternehmen zeigen die Komplexität und damit Unsicherheiten und in der Preiskalkulation. Korrekte Preis- und Produktmeldungen bilden die Grundlage einer friktionsfreien Abrechnung von mehr als 600 Mio. Rezepten im Jahr. Daher sind die der Meldung bzw. Berechnung zugrunde liegenden Voraussetzungen kontinuierlich mit der Praxis abzugleichen. Bereits im Rahmen des Gesetzgebungsverfahren zum Gesetz für mehr Sicherheit in 21 der Arzneimittelversorgung (GSAV) hat der Bundesverband der Arzneimittel-Hersteller BAH (heute Pharma Deutschland) darauf hingewiesen, dass die Regelung des Inflationsausgleiches im Zusammenspiel mit dem Generikaabschlag nicht praxisgerecht ist. So sollten auch Arzneimittel den Inflationsausgleich nutzen können, die nach dem 1. August 2009 in Verkehr gebracht wurden und nicht über das sogenannte erweiterte Preismoratorium referenzierbar sind. Die damit verbundene Gleichbehandlung von Produkten im Wirkungsbereich des Preismoratoriums stärkt dieses grundrechtlich und baut Sondermechanismen und damit Bürokratie ab. Daher schlägt Pharma Deutschland vor, § 130a Absatz 3a Satz 2 wie folgt zu ändern: “Zur Berechnung des Abschlags nach Satz 1 ist der Preisstand vom 1. August 2009 oder der Preisstand der Markteinführung gemäß Satz 3 erstmalig am 1. Juli 2018 und jeweils am 1. Juli der Folgejahre um den Betrag anzuheben, der sich aus der Veränderung des vom Statistischen Bundesamt festgelegten Verbraucherpreisindex für Deutschland im Vergleich zum Vorjahr ergibt.” Darüber hinaus ist weiterhin eine Ablösung des Generikaabschlages wegen vorangegangener Inanspruchnahme der Inflationsausgleichsregelung nicht möglich. Dies entspricht nicht der Gesetzesintention und insbesondere der GKV-Spitzenverband nimmt einseitig eine Auslegung der Regelung über den Leitfaden Herstellerabschläge vor. Die damit verbundenen Unstimmigkeiten in den Planungen zum Inverkehrbringen von Arzneimitteln führen zu unnötigen Korrekturen und Rückabwicklungen seitens Krankenkassen und pharmazeutischer Unternehmen. Pharma Deutschland setzt sich daher für eine entsprechende Klarstellung im Gesetz ein. Auch mit Blick auf die Konsistenz der Abschlagsregelungen innerhalb des § 130a SGB V ist nicht nachvollziehbar, warum festbetragsgebundene Arzneimittel grundsätzlich dem Generikaabschlag unterliegen. Entsprechend schlägt Pharma Deutschland folgende Änderung des § 130a Absatz 3b Sätze 4 bis 6 SGB V vor: “Satz 2 zweiter Halbsatz gilt nicht für Preiserhöhungen, die sich aus der Anhebung des Preisstands vom 1. August 2009 nach Absatz 3a Satz 2 ergeben. Absatz 3a Satz 8 bis 11 gilt entsprechend. Satz 2 gilt nicht für ein Arzneimittel, dessen Abgabepreis nach Satz 1 im Zeitraum von 36 Monaten vor der Preissenkung erhöht worden ist; Preiserhöhungen vor dem 22 1. Dezember 2006 und Preiserhöhungen nach § 130a Abs. 3a Satz 2 und Satz 4 SGB V sind nicht zu berücksichtigen.“ Geplante Regelung Mit der Regelung des Entwurfes wird die Preisreferenzierung des sog. erweiterten Preismoratoriums über den pharmazeutischen Unternehmer hinaus auf einen pharmazeutischen Unternehmer im Gesamtmarkt erweitert. Bewertung Die geplante Änderung des erweiterten Preismoratoriums nach § 130a Absatz 3a Satz 4 SGB V führt die grundsätzliche und richterlich bestätigte Regelung der Preisreferenzierung innerhalb desselben pharmazeutischen Unternehmens ad absurdum und wird von Pharma Deutschland abgelehnt. In der Konsequenz wäre eine Preisreferenzierung eines Arzneimittels, das “dem neuen Arzneimittel in Bezug auf die Packungsgröße unter Berücksichtigung der Wirkstärke am nächsten kommt”, im gesamten Markt möglich. Damit werden alle aktuell berechneten Rabatte aufgrund des erweiterten Preismoratorium hinfällig und die gesamte Abrechnungssystematik nach § 300 SGB V wird chaotisiert. Die pU-eigene Preissouveränität innerhalb von Deutschland wird entschieden geschwächt. Zudem negiert die vorgeschlagene Regelung den Gesetzeszweck des § 130a Absatz 3a Satz 5 SGB V. Demnach gilt Satz 4 “entsprechend bei Änderungen zu den Angaben des pharmazeutischen Unternehmers oder zum Mitvertrieb durch einen anderen pharmazeutischen Unternehmer.” Die in der Begründung angeführten Umgehungsmöglichkeiten soll der Satz 5 auffangen. Die mit dem aktuellen Vorschlag intendierte Wirkung ist damit redundant. Die geplante Neuregelung unterstellt zudem, dass der Preis eines Arzneimittels linear zur Wirkstoffmenge skalierbar ist. Das ist pharmakologisch falsch. Ein konkretes Beispiel verdeutlicht dies eindrücklich: Ein “Arzneimittel 2400 I.E./ml” wurde speziell für Kleinkinder entwickelt, um das Risiko einer Vitamin-D-Überdosierung bei Säuglingen durch sichere Dosierbarkeit nahezu auszuschließen. Würde man den Preis linear am wirkstoffreicheren Standardprodukt XYZ festmachen, dürfte das “Arzneimittel 2400 I.E./ml” rechnerisch nur noch ca. 0,36 € kosten. Die tatsächlichen Produktionskosten – für GMP-gerechte Herstellung, kindgerechte Verpackung, Dosierhilfe und besondere Hilfsstoffe – liegen weit darüber. Das Produkt wäre nicht mehr 23 vermarktbar. Der pharmazeutische Unternehmer wäre damit gezwungen, es ersatzlos vom Markt zu nehmen. Dasselbe gilt für kindgerechte Säfte im Vergleich zu Tabletten sowie für jedes sinnvolle Repurposing von Wirkstoffen. Darüber hinaus stellt diese Regelung einen massiven Eingriff in die durch Art. 12 und Art. 14 GG geschützten Rechte der Unternehmen dar: die Kopplung des eigenen Produktpreises an ein fremdes Konkurrenzprodukt ist willkürlich und entwertet geleistete Innovationsinvestitionen in verfassungsrechtlich nicht hinnehmbarer Weise. Zu Art. 1 Nr. 49a) - Preis-Mengen-Regelung (§ 130b Abs. 1a SGB V) Geplante Regelung Der Entwurf sieht vor, Preis-Mengen-Regelungen als feste Abschlagsmechanismen im Sinne einer Auffanglösung zu installieren. Gemäß aktueller Rechtslage ist die Berücksichtigung von Mengenaspekten bei der Preisbildung bereits verpflichtend, jedoch wird kein konkretes Rabattmodell vorgeschlagen. Im Gesetzesentwurf ist eine Auffanglösung vorgesehen, die dann greift, wenn zwischen Hersteller und GKV keine Einigung erzielt wird. Mit der geplanten Neuregelung wird eine Schiedsstellenbefassung ausgeschlossen. Darüber hinaus sollen bestehende Vereinbarungen, die im Zuge des GKV-FinStG getroffen wurden, über ein Sonderkündigungsrecht (§ 130b Abs. 7a SGB V) zum 1. Februar 2027 neu verhandelt werden können. Bewertung: Pharma Deutschland lehnt ein im Gesetz festgeschriebenes Abschlagsmodell ab. Im Rahmen des GKV-Finanzstabilisierungsgesetzes wurde mit den sog. Leitplanken bereits ein Algorithmus ins Gesetz eingeführt, der nun richtigerweise wieder abgeschafft wird, da alle Algorithmen der individuellen Situation einer Substanz im AMNOG nicht gerecht werden können. Jeder durch den Gesetzgeber festgelegte Algorithmus konterkariert das Grundprinzip der nutzenbasierten 24 Preisfindung und nimmt beiden Verhandlungspartnern, GKV-SV und Industrie, Spielraum, eine Lösung im Rahmen der Verhandlung nach § 130b SGB V zu finden. Zurecht wird in der Begründung des Entwurfes ausgeführt, dass es sachgerecht ist, Verhandlungsspielräume auch zukünftig bei den beteiligten Parteien zu belassen. Eindeutig ist aber, dass mit der hier vorgeschlagenen Auffanglösung ein Zwangsmodell etabliert wird, welches jedwedes andere mögliche Modell in der Praxis zukünftig unmöglich macht. Der Grund hierfür liegt in der Verhandlungslogik. Das vorgegebene Model etabliert aus Sicht des GKV- SV einen Mindeststandard in Bezug auf eine Preis-Mengen-Vereinbarung. Für die Industrie stellt diese Formulierung aber eine Maximallösung dar. Insofern wird es keine individuellen Lösungen in der Verhandlung geben und der Gesetzestext zementiert die zukünftigen Preis-Mengen- Vereinbarungen. Auch zu beachten ist in diesem Zusammenhang die Doppelbelastung der pharmazeutischen Industrie aufgrund von Wechselwirkungen mit § 130e SGB V. Arzneimittel, welche unter Rabattvertrag sind, werden auf Grund der dahinter liegenden Steuerungsmechanismen ein Mengenwachstum erfahren. Dieses Mengenwachstum wird in bilateralen Verhandlungen zwischen Krankenkasse und Hersteller rabattbestimmend sein. Gleichzeitig muss aber bei Mengenwachstum ein zusätzlicher Mengenrabatt nach § 130b Abs. 1a bezahlt werden, was eine doppelte Belastung für die Unternehmen darstellt. Des Weiteren soll ein Sonderkündigungsrecht nach § 130b Abs. 7a Satz 1 SGB V für bestehende Verträge ermöglicht werden. Aus Sicht von Pharma Deutschland sollte dieses unter dem Gesichtspunkt der Planungssicherheit und des (unzulässigen) Eingriffs in die Vertragsfreiheit keinen Eingang in das Gesetz finden. Auf Grund üblicher kurzer Vertragslaufzeiten von Verträgen nach § 130b SGB V von ca. 1 bis 3 Jahren verbunden mit Sonderkündigungsrechten durch u.a. neue Nutzenbewertungen nach § 35a SGB V ist dieses auch aus bürokratischen Gründen nicht angezeigt. Pharma Deutschland plädiert dafür, zwar Preis-Mengen-Vereinbarungen grundsätzlich zu ermöglichen, diese aber als Soll-Vorschrift in der individuellen Verantwortung der Verhandlungspartner zu belassen, um die nutzenorientierte Preisfindung zu unterstützen. 25 Zu Art. 1 Nr. 49b) - Streichung der Praxisbesonderheiten (§ 130b Abs. 2 SGB V) Geplante Regelung im Referentenwurf Die Soll-Vorschrift zu einer Vereinbarung einer Praxisbesonderheit für Arzneimittel mit Zusatznutzen im AMNOG soll ersatzlos gestrichen werden. Bewertung Pharma Deutschland lehnt die Streichung der Praxisbesonderheit ab. Die aktuelle Regelung besagt, dass Arzneimittel mit einem Zusatznutzen als Praxisbesonderheit im Rahmen der Verhandlungen nach § 130b SGB V anerkannt werden sollen. In diesem Zusammenhang wird unter anderem vereinbart, dass die Praxisbesonderheit z.B. nur bei bestimmten Patientengruppen oder bei der Anwendung von Fachärzten oder in bestimmten Indikationen mit Zusatznutzen gilt. Dieses hilft gezielt, AMNOG-geregelte Arzneimittel da einzusetzen, wo der medizinische, durch den G-BA bestätigte, größte Patientenzusatznutzen besteht. Die Einführung der Regelung in § 130b Absatz 2 SGB V verfolgte das Ziel, die Verordnungssicherheit für Ärzte bei innovativen Arzneimitteln zu erhöhen, den therapeutischen Zusatznutzen in die Wirtschaftlichkeitsprüfung einzubeziehen und die Qualität der Versorgung zu verbessern sowie die GKV vor Fehlallokationen zu schützen, indem Arzneimittel zielgerichtet von qualifizierten Fachgruppen eingesetzt werden. Gründe, warum diese etablierte und unproblematische Regelung zum Nachteil der Versorgungsqualität nun gestrichen werden soll, sind nicht nachvollziehbar, denn die Gründe, die zur Einführung geführt haben, sind nach wie vor gegeben. Die Beibehaltung dieser Regelung wäre in Anbetracht einer qualitativ hochwertigen Versorgung wichtig. Wird die Regelung aufgehoben, erhöht sich die Rechtsunsicherheit und das Regressrisiko für verordnende Ärztinnen und Ärzte steigt. Änderungsvorschlag Erhalt der aktuellen Regelung zur Praxisbesonderheit nach §130b Abs. 2 SGB V. 26 Zu Art. 1 Nr. 50 - Rabattverträge für Arzneimittel mit patentgeschützten Wirkstoffen mit therapeutisch vergleichbarer Wirkung (§ 130e Abs. 1 SGB V (neu)) Der Gesetzesentwurf sieht vor, dass Krankenkassen in Therapiegebieten, in denen es „therapeutisch vergleichbare“ Arzneimittel gibt, Rabattverträge abschließen können. Die rabattierten Arzneimittel sollen von Leistungserbringern bevorzugt verordnet werden. Durch eine Quotenbildung in Verbindung mit Praxisbesonderheiten hätten Ärzte die Möglichkeit von potenziellen Regressen befreit zu werden, wenn sie Rabattvertragsarzneimittel verordnen. Grundsätzlich sollen Krankenkassen über die Gleichwertigkeit von patentgeschützten Arzneimitteln entscheiden. Das Vorhaben soll bis zum 31. Dezember 2030 pilotiert werden. Zunächst ist der Abschluss von Verträgen nur innerhalb fünf gesetzlich vorgegebener Wirkstoffgruppen zulässig: o Janus-assoziierte Kinase (JAK)-Inhibitoren o Calcitonin-Gene-Related-Peptide (CGRP)-Antagonisten o Poly-ADP-Ribose-Polymerase (PARP)-Inhibitoren o Proproteinkonvertase Subtilisin/Kexin Typ 9 (PCSK9)-Inhibitoren o Programmed Cell Death-1-Rezeptor/Programmed Cell Death-ligand-1 (PD-1/PDL1)- Inhibitoren Zur Evaluation der Pilotphase bis Ende 2030 soll der GKV-Spitzenverband dem Bundesministerium für Gesundheit einen Bericht über die Auswirkungen auf Qualität und Wirtschaftlichkeit der Versorgung sowie die Auswirkungen auf Arzneimittelausgaben vorlegen. Nach der Pilotphase sind die Krankenkassen mit der Gruppenbildung beauftragt. Bewertung Pharma Deutschland lehnt diese Regelung entschieden ab. Sie bedeutet einen Systembruch mit erheblichen und langfristigen Folgen für die Patientenversorgung in Deutschland. Die vorgeschlagenen Rabattverträge für Arzneimittel mit patentgeschützten Wirkstoffen sind nichts weniger als eine Fokusliste, bzw. eine Positivliste. Frühere Versuche, ein solches Instrument in Deutschland zu etablieren sind aus gutem Grund gescheitert. Mit dem AMNOG hat sich Deutschland 27 bewusst für eine nutzenbasierte Preisfindung entschieden. Dieses etablierte System würde durch die Neuregelung unterlaufen. Zum Nachteil für die Patientenversorgung mit innovativen Arzneimitteln. Innerhalb der betroffenen Gruppen würde der Preis zum dominierenden Auswahlkriterium. Medizinisch relevante Unterschiede zwischen Therapien, die für den Behandlungserfolg entscheidend sein können, würden systematisch ausgeblendet und die Therapievielfalt eingeschränkt. Bekannte Probleme der Generikaversorgung würden wiederholt, ausufernde Bürokratie weiter vorangetrieben. Die Annahme therapeutischer Vergleichbarkeit innerhalb der Wirkstoffgruppen greift zu kurz. Beispielsweise ist es in der Onkologie für den langfristigen Therapieerfolg oft entscheidend, verschiedene Wirkstoffe bereits ab der Erstlinientherapie strategisch und in der richtigen Sequenz einzusetzen. Ein System, das primär auf Rabatte schaut, ignoriert medizinische und pharmakologische Realitäten. Die innerhalb der Gruppen benannten Arzneimittel zeichnen sich durch Unterschiede in der Zulassung, Wirksamkeit, in den Nebenwirkungen und der Verträglichkeit aus. Betrachtet man beispielsweise verschiedene Tumortherapien, so stellt man fest, dass sich die Zulassung u.a. in Tumormutationen unterscheiden. Während für bestimmte Patientengruppen eine wirksame Therapie zur Verfügung steht, ist die jeweils vorgesehene Alternativtherapie bei bestimmten Mutationen nicht wirksam, da sie diese nicht adressiert. Wählt eine Krankenkasse nun die erste Therapie, können Patienten mit bestimmter Mutation durch den Arzt nur noch mit hohem Dokumentationsaufwand und großen wirtschaftlichen Risiken in Bezug auf Regresse therapiert werden. Im schlimmsten Fall werden sie falsch therapiert. Mit dem Vorschlag würde den Krankenkassen eine weitreichende Steuerungsmacht sowie langfristig die Kompetenz zur Bildung therapeutisch vergleichbarer Arzneimittelgruppen übertragen. Damit würden den Krankenkassen allein eine zentrale, für die Arzneimittelversorgung hochrelevante Aufgabe, zugewiesen. Die geplante Regelung stellt de facto eine Rationierungsmaßnahme dar. Es stellt sich die Frage nach der institutionenpolitischen Legitimation der Krankenkasse für eine solche Maßnahme. Kassenspezifische Rabattverträge bergen zudem das Risiko einer Fragmentierung der Versorgung, sodass nicht mehr alle Patientinnen und Patienten in Deutschland einen gleichberechtigten Zugang zu den für sie medizinisch notwendigen Therapien hätten. 28 Die hier vorgeschlagenen Regelungen unterlaufen die Nutzenbewertung des AMNOG. Deutschland hat sich mit dem AMNOG bewusst gegen eine Positivliste entschieden. Stattdessen wurde ein System eingeführt, das auf wissenschaftlicher Nutzenbewertung und anschließender Preisverhandlung basiert. Ziel war es, Innovationen schnell verfügbar zu machen, gleichzeitig Kosten zu kontrollieren und die Versorgungsqualität zu verbessern. Durch die neuen Rabattmechanismen entsteht faktisch eine dem AMNOG-Verfahren nachgelagerte Positivliste und führt dieses ad absurdum. Denn es setzen sich nicht mehr Arzneimittel mit dem größten Zusatznutzen in der Versorgung durch, sondern die Produkte derjenigen pharmazeutischen Unternehmen, die den höchsten Rabatt gewähren. Für die Patientenversorgung bedeutet das: nicht mehr die beste Therapie bestimmt die Verordnung, sondern die günstigste. Dieses widerspricht klar der Ausrichtung des AMNOG-Verfahrens, welches das Ziel hat, Arzneimittelkosten zu reduzieren und die Versorgungsqualität zu steigern. Wenn der Preis der alleinige Faktor hinsichtlich der Verordnung sein soll, wie es der Entwurf vorsieht, muss die Frage gestellt werden, ob man sich ein für alle Beteiligten aufwendiges und mit hohen Kosten und Ressourcen verbundenes Verfahren der Nutzenbewertung künftig noch leisten möchte. Auch die Anstrengungen des Gesetzes zur Stärkung der Arzneimittelversorgung in der GKV (GKV-Arzneimittelversorgungsstärkungsgesetz (AMVSG), welche zur Steigerung der Qualität in der Versorgung Nutzenbewertungsbeschlüsse in die Arzneimittelinformationssysteme der Ärzte integriert haben, scheinen demnach obsolet. Die langfristigen Folgen dieser Regelung für die Versorgung wären verheerend, auch vor dem Hintergrund zusätzlicher Folgekosten für das Solidarsystem, u.a. weil eine nicht individuell abgestimmte Arzneimittel-Therapie eine erfolgreiche Behandlung gefährdet und zusätzlich zu weiteren Leistungsansprüchen wie Krankenhausbehandlungen und weiterer Diagnostik führt. Vermeintliche Einsparungen werden folglich durch weitere Kosten konterkariert. Produkte, die nicht in Rabattverträgen berücksichtigt werden, verschwinden langfristig vom Markt oder es fehlt schlichtweg der Anreiz, sie überhaupt auf den Markt zu bringen. Welche nicht kurzfristig revidierbaren Folgen dies auf die Versorgungssicherheit hat, zeigt der Generikamarkt eindrücklich. Die vorrangige Verordnung rabattierter Arzneimittel verschiebt den Fokus von der medizinischen Therapieentscheidung hin zu wirtschaftlichen Vorgaben. Ärzte würden zunehmend auf die Rolle von Diagnostikern reduziert, während die eigentliche Arzneimitteltherapieentscheidung de facto von den Krankenkassen und damit nach rein finanziellen 29 Kriterien getroffen würde. Grundsätzlich ist fraglich, ob eine Krankenkasse selbst auf kollektiver, nicht patientenindividueller Ebene, in hoch komplexen Erkrankungen über die medizinische Erfahrung verfügt, diese Entscheidungen zu treffen, welche Arzneimittel in einem Cluster berücksichtigt werden und welche nicht. Selbst die Finanzkommission sah dies nicht und hat den G- BA als maßgebliche Institution angeführt. Internationale Erfahrungen zeigen zudem: wenn der Zugang zu innovativen Therapien stark eingeschränkt wird, entstehen Ausweichbewegungen. Menschen mit ausreichenden finanziellen Mitteln werden sich nicht mit dem eingeschränkten Standardangebot zufriedengeben. Das stärkt private Versorgungssysteme und verschärft die Zwei-Klassen-Medizin. Schon heute werden in der privaten Krankenversicherung mehr Innovationen verordnet als in der gesetzlichen. Neue Therapien erreichen diese Patienten häufig deutlich früher. Neben den medizinischen Problemen würde dieses Modell auch den Bürokratieaufwand exponentiell erhöhen. Viele Arzneimittel durchlaufen bereits heute auf europäischer Ebene ein komplexes HTA-Verfahren. Anschließend folgt in Deutschland die Nutzenbewertung nach § 35a SGB V sowie eine intensive Preisverhandlung mit dem GKV-Spitzenverband. Erst danach wird ein Erstattungsbetrag festgelegt. Mit dem vorgeschlagenen Modell würde dieser Prozess jedoch nicht enden. Stattdessen müssten Hersteller anschließend erneut mit einzelnen Krankenkassen verhandeln, um überhaupt auf deren Positivlisten zu gelangen. Eine einfache Rechnung verdeutlicht die Dimension, sollte nach Ende der Pilotphase dieses Modell Einzug in die breite Versorgung halten: Wenn beispielsweise 50 Unternehmen jeweils 50 patentgeschützte Arzneimittel mit derzeit rund 50 Krankenkassen verhandeln müssten, ergäbe das theoretisch 125.000 Einzelverträge, die zudem aus vergaberechtlichen Gründen regelmäßig – etwa alle zwei Jahre – erneuert werden müssten. Für Hersteller und Krankenkassen bedeutet das nicht nur einen enormen administrativen Aufwand, sondern es käme auch zu einer faktischen Marktabschottung – einer vierten Hürde durch Krankenkassen ohne Kontrahierungszwang – ein Szenario, das erhebliche wettbewerbs- und vergaberechtliche Fragen aufwerfen würde, insbesondere im Bereich innovativer Therapien. 30 Änderungsvorschlag Streichung der geplanten Neuregelung des §130e SGB. Art. 1 Nr. 55 a) und b) - Einführung mengenabhängiger Vergütungsbestandteile für Vergütungsbeträge digitaler Gesundheitsanwendungen (Art. 134 Abs. 1, S. 4 und 5 SGB V) Geplante Regelung im Referentenwurf Der Entwurf sieht mengenbezogene Abschläge für Vergütungsbeträge digitaler Gesundheitsanwendungen (DiGA) vor. Bewertung Mit der Digitalisierungsstrategie „Gemeinsam Digital 2026“ hat das BMG ein klares gesundheitspolitisches Leitbild formuliert: die digitale Transformation soll konsequent vorangetrieben und DiGA als integraler Bestandteil digital unterstützter Versorgungsprozesse etabliert werden. Dieses Ziel findet sich ausdrücklich auch im Entwurf des Gesetzes für Daten und digitale Innovation im Gesundheitswesen wieder, der darauf abzielt, die gesetzlichen Rahmenbedingungen für DiGA gezielt weiterzuentwickeln und zugleich Bürokratie abzubauen. Vor diesem Hintergrund werden die Vorschläge, die auf mengenabhängige Abschläge der Vergütungsbeträge für DiGA abzielen, von Pharma Deutschland kritisch bewertet. Sie stehen in einem grundlegenden Spannungsverhältnis zu den erklärten Zielen der Digitalstrategie des BMG und gefährden den jungen und innovativen Versorgungszweig der DiGA in seiner Entwicklung und Existenz. DiGA sind systemrelevant für die zukünftige Sicherstellung der gesundheitlichen Versorgung. Bereits heute ist absehbar, dass die analoge Versorgungsstruktur in den kommenden Jahren an ihre Grenzen geraten wird. Rund 43 Prozent der niedergelassenen Ärzte sind über 60 Jahre alt und 31 werden in den nächsten fünf bis sieben Jahren größtenteils aus der Versorgung ausscheiden. Digitale Therapieangebote sind daher unverzichtbar, um Versorgungsengpässe abzufedern, den Zugang zu medizinischen Leistungen zu sichern und die wachsenden Bedarfe einer alternden Gesellschaft zu adressieren. DiGA erfüllen hierfür besondere Voraussetzungen: Sie werden nur dann in die Versorgung aufgenommen, wenn ein positiver Versorgungseffekt – entweder in Form eines medizinischen Nutzens oder patientenrelevanter Struktur- und Verfahrensverbesserungen – nachgewiesen ist. Darüber hinaus ermöglichen sie einen flächendeckenden, niedrigschwelligen und zeitnahen Zugang zu Therapien, insbesondere in strukturschwachen und unterversorgten Regionen. Eine Regulierung, die erfolgreiche Anwendungen durch mengenabhängige Abschläge finanziell entwertet, konterkariert diesen versorgungspolitischen Mehrwert. Eine Mengenausweitung ist immer ein Indikator dafür, dass sich eine DiGA in der Versorgung etabliert hat und bestehende Versorgungslücken füllt. Der Stellenwert in der Versorgung wird durch mengenabhängige Abschläge nicht berücksichtigt. Mengenabhängige Abschläge basieren auf der Grundannahme, dass mit steigender Nachfrage sinkende Grenzkosten entstehen, die abgeschöpft werden könnten. Diese Logik greift bei DiGA jedoch nicht. Entgegen der Gesetzesbegründung des GKV-Beitragssatzstabilisierungsgesetzes, fallen bei DiGA gleichwohl auch nach initialer Entwicklung weiterhin hohe Kosten an. Insbesondere für regulatorische Aufwände (diverse Zertifikate und Verwaltungsakte), regelmäßig neue technische Vorgaben, die Weiterentwicklung der DiGA sowie auch für den Vertrieb, ist insbesondere der finanzielle Aufwand erheblich. Erschwerend haben zusätzliche Vorgaben – beispielsweise durch die Einführung der anwendungsbegleitenden Erfolgsmessung (AbEM) oder durch einschränkende Sicherheitsanforderungen seitens des Bundesamts für Sicherheit in der Informationstechnik (BSI) – die Kostenbasis zuletzt weiter erhöht. Mengenabhängige Abschläge würden daher keine tatsächlichen Effizienzgewinne abschöpfen, sondern pauschal Erlöse kürzen, ohne in einem sachgerechten Verhältnis zur Kosten- und Innovationslogik von DiGA zu stehen. Erschwerend kommt hinzu, dass durch verhandelte Preise und die AbEM bereits preisregulierende Mechanismen im DiGA-System implementiert sind und durch die bestehende BSI-Regulatorik zusätzlich regelhaft Versicherte von der Versorgung ausgeschlossen werden. Mit der Einführung der AbEM wurden erfolgsabhängige Preisbestandteile von mindestens 20 Prozent etabliert, die ihre erhebliche finanzielle Steuerungswirkung noch nicht entfalten konnten. Ein mengenabhängiger 32 Abschlag höhlt darüber hinaus die nutzenbasierte Preisbildung, die durch die AbEM eingeführt wurde, dadurch aus, dass sich gute Nutzenergebnisse positiv, gleichzeitig aber durch die vermehrte Nutzung durch Abschläge negativ auf den Preis auswirken. Zuletzt wird das Versorgungspotenzial durch versorgungsferne Sicherheitsvorgaben des BSI eingeschränkt. Versicherte, die ein Android Betriebssystem in der Version Android 13 oder älter verwenden, sollen keinen Zugang mehr zu DiGA erhalten, sodass bis zu 45% der Versicherten von der DiGA-Versorgung ausgeschlossen werden. Die eRezept-App ist hingegen ab Android 8 verwendbar. Besonders problematisch ist auch, dass mengenbezogene Abschläge erfolgreiche Versorgung faktisch sanktionieren. Hohe Verordnungszahlen sind regelmäßig Ausdruck von Wirksamkeit, Akzeptanz bei Ärztinnen und Ärzten sowie Patientinnen und Patienten und einer gelungenen Integration in bestehende Versorgungsprozesse. Wenn steigende Nachfrage automatisch zu sinkender Vergütung führt, entsteht ein systemisch falscher Anreiz: Je besser eine DiGA wirkt und angenommen wird, desto geringer wird ihre Refinanzierbarkeit. Dies unterminiert nicht nur die Versorgungsqualität, sondern auch die Bereitschaft der Hersteller, in Skalierung, Weiterentwicklung und indikationsübergreifende Versorgungslösungen zu investieren. Weiterhin darf das Wachstum von Einzelfällen nicht als Blaupause für eine ansonsten auf das Schließen von Versorgungslücken ausgerichtete Branche dienen. Der DiGA-Bericht des GKV- Spitzenverbandes 2025 (März 2026) ist eindeutig: die maßgebliche Kritik fokussiert sich auf eine DiGA, sodass die jetzt aufgezeigten doppelten Preisregulierungsmechanismen, die noch zu den nicht sichtbaren AbEM-Kostenkontrollen hinzukommen, nur darauf ausgelegt sind, das exponentielle Wachstum dieser einen DiGA zu beherrschen. Es muss vielmehr darum gehen, nachhaltige Anreizsysteme für eine gezielte Entwicklung von DiGA zu etablieren, solange man wahrhaftig daran festhalten möchte, das neue Versorgungsfeld den Patienten zukunftsfähig bereitzustellen. Zusätzliche bürokratieträchtige Instrumente werden von Pharma Deutschland daher abgelehnt. 33 Vorschläge für weitere gesetzliche Änderungen Aus Sicht von Pharma Deutschland bleiben wichtige weitere Maßnahmen, die zu weiteren Effizienzgewinnen und einer nachhaltigen Systementwicklung beitragen könnten, im Gesetzesentwurf bislang unberücksichtigt. Insbesondere die Verbesserung des OTC-Switch- Verfahrens sowie die Nutzung von Pay-for-Performance Modellen bieten Ansatzpunkte zur gezielten Entlastung der GKV-Finanzen. Eine Berücksichtigung dieser Ansätze würde den Gesetzentwurf sinnvoll ergänzen. Vorschlag für eine Verbesserung und Vereinfachung des sog. OTC-Switch- Verfahrens Nach Auffassung von Pharma Deutschland könnten weitere Maßnahmen zur Effizienzsteigerung in der Arzneimittelversorgung bei gleichzeitiger Einsparung von Ressourcen im Gesundheitswesen und von Ausgaben der gesetzlichen Krankenkassen führen. Dazu wäre das heutige Verfahren zur Entlassung von Wirkstoffen aus der Verschreibungspflicht (das sog. OTC-Switch-Verfahren) zu reformieren. Pharma Deutschland schlägt konkret vor, das bisherige wirkstoffbezogene Verfahren um ein produktbezogenes Verfahren zu ergänzen. Es sollte zukünftig einem pharmazeutischen Unternehmer auch möglich sein, eine Änderung des Verschreibungsstatus eines Arzneimittels beim Bundesinstitut für Arzneimittel und Medizinprodukte (BfArM) im Rahmen eines Antrags auf Neuzulassung oder eines Änderungsantrags einer bestehenden Zulassung zu stellen. Folglich hätte das BfArM im Rahmen des Antragsverfahrens für eine individuelle Zulassung über den Verschreibungsstatus zu entscheiden. Vergleichbare Verfahren sind bereits in einigen EU- Mitgliedstaaten etabliert. Mit diesem produktbezogenen Switch-Verfahren käme es zu einer Verfahrensbeschleunigung und zu größerer Transparenz sowie zu einem rechtsmittelfähigen Zulassungsbescheid. Damit würde die Planbarkeit für die pharmazeutischen Unternehmer verbessert, ebenso ihre Teilhabe. Würde zusätzlich eine Marktexklusivität von drei Jahren gewährt (beginnend mit dem Datum der Erteilung der Zulassung/ Genehmigung der Änderung), könnte das 34 die Bereitschaft der Unternehmen, in die Entwicklung innovativer rezeptfreier Arzneimittel und OTC- Switches zu investieren, deutlich erhöhen. Der jeweilige Verwertungsschutz sollte jedem Unternehmen gewährt werden, das unabhängig von einem weiteren Unternehmen mit seinen individuell gewonnenen Daten einen Antrag gestellt hat. Vor diesem Hintergrund wird angeregt, entsprechende Änderungen bzw. Ergänzungen im Arzneimittelgesetz (AMG) und der Verordnung über die Verschreibungspflicht von Arzneimitteln (Arzneimittelverschreibungsverordnung – AMVV) vorzunehmen. Die konkreten Anpassungen und Formulierungen sind ausgearbeitet, wurden im Zuge des Stellungnahmeverfahrens zum Apothekenversorgung-Weiterentwicklungsgesetz (ApoVWG) vorgelegt und können jederzeit nochmals nachgereicht werden. Die gilt auch für Erläuterungen zum Einsparpotenzial, das durch mehr Selbstmedikation gehoben werden könnte. OTC-Switches bilden hierfür einen wichtigen Hebel. Insgesamt sollte Selbstmedikation als tragende Säule der Gesundheitsversorgung anerkannt und ausgebaut werden, nicht zuletzt dazu, dass die Gesundheitsversorgung und die GKV finanzierbar bleiben. Ein besseres Verfahren für die OTC-Switches wäre dabei ein wichtiges Signal an die pharmazeutischen Unternehmen, in dieser Hinsicht zu investieren. Pay-for-Performance Modelle als Risikopartnerschaft nutzen Im Gesetzesentwurf nicht adressiert werden risikobasierte Vergütungsmodelle. Sie können für geeignete Fälle den frühen Zugang zu innovativen Therapien sicherstellen und tragen gleichzeitig zu einer langfristig tragfähigen Finanzierbarkeit im GKV-System bei. Solche Modelle teilen das finanzielle Risiko zwischen Hersteller und GKV. Sie können einen sinnvollen Baustein zur Weiterentwicklung des AMNOG-Systems leisten und stärken das Prinzip einer nutzenbasierten Preisfindung. Für nachhaltige und zukunftsfähige Lösungsansätze braucht es Maßnahmen, die die Finanzierbarkeit des Gesundheitssystems im Blick halten, aber andererseits bestehende Rahmenbedingungen für den Standort Deutschland und auch die Patientenversorgung nicht 35 nachhaltig verschlechtern. Pay-for-Performance als Risikopartnerschaft bietet eine Chance, diese Ziele in Einklang zu bringen. Unternehmen übernehmen bei diesen Risikopartnerschaften bewusst zusätzliche finanzielle Verantwortung. Risikopartnerschaften in besonderen Therapiesituationen sind für den Erhalt eines frühzeitigen Zugangs zu Innovationen besonders relevant. Sie können dann sinnvoll sein, wenn Erfahrungswerte für neue Therapien fehlen. Gerade innovative Arzneimittel für kleine Patientengruppen, etwa bei seltenen Erkrankungen oder hochspezialisierten Therapien, sind häufig mit hohen Entwicklungsrisiken und Arzneimittelkosten verbunden. Hier bietet die Industrie an, preislich stärker ins Risiko zu gehen durch Vergütungsmodelle, bei denen die Höhe der Erstattung direkt an den tatsächlichen Therapieerfolg gekoppelt ist. Outcome-basierte Modelle schaffen Transparenz, fördern evidenzbasierte Entscheidungen und stellen sicher, dass Innovation dort honoriert wird, wo sie messbaren Nutzen für Patientinnen und Patienten bringt. Wichtige Voraussetzung: die Modelle sind einfach und rasch umsetzbar, z.B. durch einfaches Monitoring von Folgeverordnungen. Sie sind über die Nutzung vorhandener Datenquellen außerhalb von klinischen Studien, wie z.B. mit Verordnungsdaten umsetzbar. Zur besseren Umsetzung einer Erstattung in Form von messbaren Therapieerfolgen sind nur wenige Änderungen im SGB V und anhängenden Gesetzen nötig. Eine Grundvoraussetzung ist ein verbindliches und klares Aufgreifkriterium für die Anwendung von Outcome-basierten Modellen im Gesetz zu schaffen. Besonders geeignet sind Outcome-basierte Modelle bei Arzneimitteln bei denen auf Grund von z.B. beschleunigtem Zulassungsverfahren verbunden mit einem hohen Wert für den Patienten auf Seiten der Europäischen Zulassungsbehörde (EMA) und Unsicherheit über den Patientenzusatznutzen im Rahmen der Nutzenbewertung herrscht. Eine Voraussetzung für Risikopartnerschaften im Arzneimittelbereich ist also die Bewertung dieser Arzneimittel in einer Art und Weise, die diese Unsicherheit berücksichtigt. Konkret sollte folgende Änderungen im § 35a SGB V zur Bewertung des Nutzens von Arzneimitteln mit neuen Wirkstoffen durchgeführt werden: • Integration von Arzneimitteln in besonderen Therapiesituationen und Anerkennung der „bestverfügbaren Evidenz“. • Unabhängiges Aufgreifkriterium für besondere Therapiesituationen ist die EMA- Zulassung z.B. als Conditional Approval oder beschleunigtes Zulassungsverfahren 36 Nach einer Verankerung „besonderer Therapiesituationen“ im § 35a SGB V sollte eine Verknüpfung konsequent im § 130b SGB V fortgeführt werden, um die Nutzenbewertung und die Preisverhandlung zu verzahnen. Bonn/Berlin/ 18. Juni 2026

ZukunftsDialog Europäische Gesundheit zum Auftakt der irischen EU-Ratspräsidentschaft. Pharma Deutschland Hauptgeschäftsführerin Dorothee Brakmann nimmt an der Diskussion teil.

Eine „Sicherheitskorrekturmaßnahme im Feld“ (FSCA, Field Safety Corrective Action) bezeichnet eine von einem Hersteller aus technischen oder medizinischen Gründen ergriffene Korrekturmaßnahme zur Verhinderung oder Verringerung des Risikos eines schwerwiegenden Vorkommnisses im Zusammenhang mit einem auf dem Markt bereitgestellten Produkt. Bereits Ende April 2026 war die FSCA-PDF-Datei mit extrahierbarer XML-Datei aus IT-technischer Sicht vollständig fertiggestellt, einschließlich der Geschäftsregeln, und stand zur Kommentierung offen. Basierend auf dem hier erhaltenen Feedback der Industrie hat die Europäische Kommission weitere Anpassungen vorgenommen, eine aktualisierte Version des FSCA-PDF sowie zugehörige Dateien entwickelt und zusätzliche Tests durchgeführt. Vor der Veröffentlichung ist jetzt noch eine finale Kommentierung möglich. Sie werden bis zum 3. Juli 2026 , 12 Uhr, an Heike Wollersen ( wollersen@pharmadeutschland.de ) erbeten.

Please wait... If this message is not eventually replaced by the proper contents of the document, your PDF viewer may not be able to display this type of document. You can upgrade to the latest version of Adobe Reader for Windows®, Mac, or Linux® by visiting http://www.adobe.com/go/reader_download. For more assistance with Adobe Reader visit http://www.adobe.com/go/acrreader. Windows is either a registered trademark or a trademark of Microsoft Corporation in the United States and/or other countries. Mac is a trademark of Apple Inc., registered in the United States and other countries. Linux is the registered trademark of Linus Torvalds in the U.S. and other countries. Report Form Field Safety Corrective Action Medical Devices Vigilance System 1 Administrative information 1.2 Type of report 2 Submitter of the report Status of submitter 3 Manufacturer information 4 Authorised representative information 5 National contact point information 6 Medical device information Risk class(es) of device(s) when placed on the market 6.1 6.2 MDD/AIMDD IVDD 6.3 MDR Type (Multiple choice) IVDR Type (Multiple choice) 6.4       Does the device fulfil any of the following cases:       - “for this device a scientific opinion has been asked in accordance with Article 52(9) MDR or Article 52(10) MDR”,        - “for companion diagnostic a competent authority or European Medicines Agency (EMA) was consulted in accordance with           section 5.2 of Annex IX IVDR or section 3.k of Annex X IVDR." Competent authority name or European Medicines Agency  which delivered the scientific opinion or was consulted by the notified body Name(s) of the medicinal substance(s) / product(s), tissue(s), cell(s) of human origin or their derivative(s) associated with the device Unique Device Identification (UDI) Categorisation of device Description of device and commercial information 7 Description of the FSCA Coding with IMDRF terms is a mandatory requirement 7.2 Is there suspicion or confirmation of a relationship between the FSCA and the medicinal substance(s) / product(s), tissue(s), cell(s) of human origin or their derivative(s) associated with the device? 7.3 IMDRF Medical device problem codes Choice 1 (most relevant) Choice 2 Choice 3 Choice 4 Choice 5 Choice 6 IMDRF 'Medical device problem codes'                                              ( Annex A) 7.4 IMDRF Cause Investigation findings Choice 1 (most relevant) Choice 2 Choice 3 Choice 4 Choice 5 Choice 6 IMDRF 'Cause Investigation findings'                                              ( Annex C) 7.5 IMDRF Cause investigation conclusions  Choice 1 (most relevant) Choice 2 Choice 3 Choice 4 Choice 5 Choice 6 IMDRF 'Cause Investigation conclusions'                          ( Annex D) 7.6 IMDRF Health impact codes Choice 1 (most relevant) Choice 2 Choice 3 Choice 4 Choice 5 Choice 6 IMDRF 'Health impact codes'                                              ( Annex F) 7.11 Attached please find FSN Status 7.12 Market distribution of device (region/country) The code XI is used for Northern Ireland Candidate Countries 8 Comments Submission of this report does not, in itself, represent a conclusion by the manufacturer and/or authorised representative or the National Competent Authority that the content of this report is complete or accurate, that the medical device(s) listed failed in any manner and/or that the medical device(s) caused or contributed to the alleged death or deterioration in the state of the health of any person. I affirm that the information given above is correct to the best of my knowledge. NOTE: Please do not print this form but send it electronically by clicking the 'Send XML-data by E-Mail' and attach a copy of the form on this email. By hitting the button 'Send XML data by E-Mail' the data will be extracted, written into an XML file and attached on a pre-filled email. Please check your out box whether the email has been sent as the time stamp on this form IS NOT an indicator for correct sending of the email. You should save the form within your system before hitting the button 'Send XML data by E-Mail' as after that the form is write-protected and cannot be used for the submission of follow-up or final reports. Textfields printable summary SB-xxxxx 4.0 2000-02-24 FSCA Report Form SANTE-BI@ec.europa.eu SANTE BI 2026-06-22 Version 4.0 - SB-xxxxx Link all fields of Section 3 with the XSD + update code 07-03-25 Update the links and code of all fields of section 1 & 2 06-03-25 Repair the XSL file (IN & OUT) - 05-03-25 Starting project version 4: 24-02-2025 SANTE.R.4 4.0 2026-06-22 Version: 4.0 (SB-xxxxx) btnImport: btnExportXml: btnNewCase: btnTestData: btnFixSave: XMLVersion: formVersion: SB_NBR: ncaName: reportType: dd.mm.yyyy z.B. 12.01.2007: mfrInternalNo: ncaReportNo: ncaIncidenceReportNo: ncaCoordinating: statusReporter: reporterOtherText: delete manufacturer information: mfrName: mfrSRN: mfrContactName: mfrAddress: mfrPostcode: mfrCity: mfrPhone: mfrFax: mfrEmailAddress: mfrCountry: delete Authorised Representative Information: ARName: ARSRN: ARContactPerson: ARAddress: ARPostCode: ARCity: ARPhone: ARFax: AREmailAddress: pg 2 - S1.3.3.g: AR Country ISO 3166-1 alpha-2: delete submitter’s information: National Contact Point: ncpContactPerson: ncpOrgAddress: ncpOrgPostcode: ncpOrgCity: ncpOrgPhone: ncpOrgFax: ncpOrgEmail: pg 2 - S1.3.2.g: Country ISO 3166-1 alpha-2: delete device information: deviceClassMarket_Y: deviceClassMDD: deviceClassIVDD: deviceClassMDR: deviceClassMDRType1: deviceClassMDRType2: deviceClassMDRType3: deviceClassMDRType4: deviceClassMDRType5: deviceClassMDRType6: deviceClassMDRType7: deviceClassMDRType8: deviceClassMDRType9: deviceClassMDRType10: deviceClassMDRType11: deviceClassIVDR: deviceClassIVDRType1: deviceClassIVDRType2: deviceClassIVDRType3: deviceClassIVDRType4: deviceClassIVDRType5: deviceClassIVDRType6: deviceClassIVDRType7: deviceClassIVDRType8: DeviceFulfill: CompetentAuthName: RelevantName: udiDI: udiPI: udiDIBasic: udiDIUnitUse: nomenclatureSystem: nomenclatureCode: nomenclatureCodeDefinedInText: brandName: modelNum: catalogNum: serialNum: batchNum: yyyy-mm-dd e.g. 2007-12-31: yyyy-mm-dd e.g. 2007-12-31: nbIdNum: deviceSoftwareVer: deviceAccessories: fscaBackground: RelationShip_Y: RelationShip_N: imdrfCodeChoice1: imdrfCodeChoice2: imdrfCodeChoice3: imdrfCodeChoice4: imdrfCodeChoice5: imdrfCodeChoice6: imdrfInvestigationFindingsCodeChoice1: imdrfInvestigationFindingsCodeChoice2: imdrfInvestigationFindingsCodeChoice3: imdrfInvestigationFindingsCodeChoice4: imdrfInvestigationFindingsCodeChoice5: imdrfInvestigationFindingsCodeChoice6: imdrfInvestigationConclusionCodeChoice1: imdrfInvestigationConclusionCodeChoice2: imdrfInvestigationConclusionCodeChoice3: imdrfInvestigationConclusionCodeChoice4: imdrfInvestigationConclusionCodeChoice5: imdrfInvestigationConclusionCodeChoice6: imdrfHealthImpactCodeChoice1: imdrfHealthImpactCodeChoice2: imdrfHealthImpactCodeChoice3: imdrfHealthImpactCodeChoice4: imdrfHealthImpactCodeChoice5: imdrfHealthImpactCodeChoice6: fscaDescription: fscaAdvice: fscaProgress: fscaTimeSchedule: fscaAttachmentFSNEnglish: 0 fscaAttachmentFSNNational: 0 fscaAttachmentFSNOther: 0 fscaAttachmentStatus: fscaAttachmentOtherText: distribution_all: Austria: Belgium: Bulgaria: Switzerland: Cyprus: Czech Republic: Germany: Denmark: Estonia: Spain: Finland: France: Greece: Croatia: Hungary: Ireland: Iceland: Italy: Liechtenstein: Lithuania: Luxembourg: Latvia: Malta: Netherlands: Norway: Poland: Portugal: Romania: Sweden: Slovenia: Slovakia: Turkey: Northern Ireland: distributionOutsideEU: Serbia: Macedonia: Montenegro: Albania: additionalComments: Signaturesfeld1: bt_Print: bt_Email: bt_Check: TF_06_04a: TF_06_04b: TF_06_05: TF_06_06: TF_06_07: TF_06_08: TF_06_11: TF_06_12: TF_06_13: TF_06_14: TF_06_16: TF_06_21: TF_07_01: TF_07_07: TF_07_08: TF_07_09: TF_07_10: TF_07_11: TF_07_12: TF_08_00:

Bei strahlendem Wetter an der Außenalster kamen zahlreiche Mitglieder, Gäste und Wegbegleiter des Landesverbandes Nord von Pharma Deutschland zur diesjährigen Mitgliederversammlung in Hamburg zusammen. Die Veranstaltung machte einmal mehr deutlich, wie stark der Zusammenhalt im Norden ist – und wie wichtig der persönliche Austausch in bewegten gesundheitspolitischen Zeiten bleibt. Im Rahmen der Mitgliederversammlung wurden wichtige Beschlüsse gefasst und der Vorstand des Landesverbandes Nord neu gewählt. Pharma Deutschland gratuliert Dr. Kristina Duwensee (Allergopharma) und Dr. Christoph Willers (medac) herzlich zur Wahl in den Vorstand des Landesverbandes Nord. Der LV Nord freut sich auf die gemeinsame Arbeit und die Fortsetzung des konstruktiven Austauschs im Norden. Ein besonderer Schwerpunkt des Abends lag auf der aktuellen gesundheitspolitischen Lage. Andreas Storm, Vorstandsvorsitzender der DAK-Gesundheit, diskutierte gemeinsam mit Jörg Wieczorek, Vorstandsvorsitzender von Pharma Deutschland, und Dorothee Brakmann, Hauptgeschäftsführerin von Pharma Deutschland, über die Zukunft der gesetzlichen Krankenversicherung, Versorgungssicherheit und Innovationsfähigkeit des Pharmastandorts Deutschland. Deutlich wurde: Die finanzielle Lage der gesetzlichen Krankenversicherung erfordert Handlungsfähigkeit. Gleichzeitig dürfen Maßnahmen zur kurzfristigen Stabilisierung nicht zulasten von Versorgungssicherheit, Innovation und verlässlichen Rahmenbedingungen für die pharmazeutische Industrie gehen. Gerade für forschende Unternehmen, den Mittelstand und die industrielle Arzneimittelproduktion in Deutschland sind Planbarkeit und faire politische Rahmenbedingungen entscheidend. Viele Unternehmen der pharmazeutischen Industrie blicken mit Sorge auf aktuelle gesundheitspolitische Entwicklungen. Umso wichtiger ist der direkte Dialog zwischen Krankenkassen, Politik, Verband und Industrie. Nachhaltige Lösungen entstehen nicht durch einseitige Belastungen, sondern durch eine faire Lastenverteilung, strukturelle Reformen und den gemeinsamen Blick darauf, was Patientinnen und Patienten am Ende wirklich brauchen. Der Landesverband Nord dankt allen Mitgliedern, Gästen und Wegbegleitern, die diesen Abend so besonders gemacht haben. Die Mitgliederversammlung hat gezeigt: Der Norden steht zusammen – konstruktiv, lösungsorientiert und mit klarem Blick nach vorn.

Die Erste Verordnung zur Änderung der Digitale Pflegeanwendungen-Verordnung vom 22. Juni 2026 bringt eine Flexibilisierung der Zulassungsverfahren für DiPA sowie eine Erhöhung der Transparenz. Kern der Novelle ist die Implementierung eines eigenständigen Erprobungspfads nach § 78a Absatz 6a des SGB XI. Hersteller können nun im Antragsverfahren explizit bestimmen, ob sie eine dauerhafte Aufnahme in das Verzeichnis oder eine befristete Aufnahme zur Erprobung anstreben. Für Letztere ist anstelle des vollständigen Nachweises des pflegerischen Nutzens eine plausible Begründung mittels systematischer Datenauswertungen zur Nutzung der Anwendung sowie die Vorlage eines wissenschaftlichen Evaluationskonzepts erforderlich. Die Erprobungsphase ist auf die Dauer des im behördlichen Bescheid festgelegten Zeitraums befristet, wobei eine einmalige Verlängerung um bis zu zwölf Monate bei nachgewiesener Erforderlichkeit beantragt werden kann. In der Verordnung wird zudem klargestellt, dass ein pflegerischer Nutzen auch dann vorliegt, wenn pflegende Angehörige oder ehrenamtlich Tätige durch die digitale Anwendung entlastet werden oder dies der Stabilisierung der häuslichen Versorgungssituation dient. Flankierend dazu wurden die datenschutzrechtlichen Vorgaben hinsichtlich der Erhebung personenbezogener Daten präzisiert. Verfahrensseitig sieht die Neuregelung vor, dass das Bundesinstitut für Arzneimittel und Medizinprodukte (BfArM) den Eingang vollständiger Antragsunterlagen innerhalb von 21 Tagen bestätigen muss. Für die behördlichen Entscheidungen sind gestaffelte Gebührenrahmen implementiert worden. Die Verordnung tritt verbindlich zum 1. Juli 2026 in Kraft.

Mit einem Beschluss zur Sicherung von Innovationskraft, Versorgungssicherheit und Wettbewerbsfähigkeit des Pharma- und Chemiestandorts Deutschland setzen die Länder ein wichtiges industrie- und gesundheitspolitisches Signal. Sie unterstreichen die zentrale Bedeutung der pharmazeutischen Industrie und der eng verflochtenen chemischen Industrie für Arzneimittelversorgung, Forschung, industrielle Wertschöpfung, Beschäftigung und Exportstärke. Angesichts geopolitischer Risiken, globaler Lieferkettenabhängigkeiten, steigender Energie- und Produktionskosten sowie wachsender regulatorischer Belastungen bitten die Länder die Bundesregierung, die Rahmenbedingungen am Standort gezielt zu verbessern. Dazu zählen insbesondere innovationsfreundliche Preisbildungs-, Erstattungs- und regulatorische Vorgaben, bessere Nutzungsmöglichkeiten von Gesundheitsdaten für Forschung sowie eine praxisgerechte Umsetzung des EU-Pharmapakets ohne zusätzliches nationales Gold-Plating. Zugleich adressiert der Beschluss die Stärkung resilienter europäischer Produktions- und Lieferketten, die Berücksichtigung von Versorgungssicherheitsaspekten bei öffentlichen Beschaffungen sowie eine ausgewogene Umsetzung der EU-Kommunalabwasserrichtlinie. Der von der Bundesregierung initiierte Pharma- und Medizintechnikdialog wird ausdrücklich begrüßt; die Länder erwarten, dass daraus eine ressortübergreifend kohärente Pharma- und Medizintechnikstrategie entsteht. Pressemitteilung Ministerpräsidentenkonferenz diskutiert Rahmenbedingungen für starken Pharma-Standort Bundesländer stellen strategische Bedeutung der Arzneimittelversorgung heraus und formulieren Erwartungen an die Pharmastrategie Mehr erfahren

Die Ausschussmitglieder treffen sich online.

Seite -- TLP Amber - © 2024 BRANCHENSPEZIFISCHER SICHERHEITSSTANDARD PHARMA Version 3.0.2 Stand 25.Juli 2024 Die Verbände der pharmazeutischen Industrie sowie des pharmazeutischen Großhandels - TLP Amber - Seite I - freigegeben - In den B3S Pharma haben die nachfolgend genannten Beteiligten ihre Expertise eingebracht. Die Beteiligten werden in alphabetischer Reihenfolge aufgeführt. Name Unternehmen Oliver Anspach Sanacorp Pharmahandel GmbH Manuel Atug HiSolutions AG Manuel Gärtner Takeda GmbH Thomas Likas Takeda GmbH James Hess Alliance Healthcare Deutschland GmbH Andreas Vesper STADA Arzneimittel AG Daniel Jedecke HiSolutions AG Martin Karl Junghans HiSolutions AG Boban Krsic Fresenius SE & Co. KGaA Thomas Linsenmaier Kehr Sven Milstein PHOENIX Group Marc Nowak NOWEDA Apothekergenossenschaft eG Dr. Michael Otto Alliance Healthcare Deutschland GmbH Matthias Merk Sanofi-Aventis Deutschland GmbH Lutz Schütte PHOENIX Group Dr. Dirk Spingat Bayer AG Vanessa Weber HiSolutions AG André Windsch HiSolutions AG Dominik Stihl BioNTech SE Tabelle 1: Liste der namentlich genannten Beteiligten - TLP Amber - Seite II - freigegeben - EINLEITUNG Das im Juli 2015 in Kraft getretene IT-Sicherheitsgesetz (IT-SiG) verpflichtet „Betreiber Kritischer Infrastrukturen“ (KRITIS) dazu, alle für die Erbringung kritischer Dienstleistungen (kDL) erforderlichen IT-Systeme nach dem Stand der Technik abzusichern. Die Einhaltung der Anforderungen aus dem zweiten Gesetz zur Erhöhung der Sicherheit informationstechnischer Systeme (IT-Sicherheitsgesetz 2.0) ist dem Bundesamt für Sicherheit in der Informationstechnik (BSI) gegenüber alle zwei Jahre im Rahmen einer Prüfung gemäß § 8a BSI-Gesetz (BSIG) durch eine qualifizierte prüfende Stelle nachzuweisen. Dabei können auch branchenspezifische Sicherheitsstandards (B3S) berücksichtigt werden. Ein B3S gibt Hilfestellungen in der Umsetzung des § 8a BSIG und erleichtert den Betreibenden die Identifikation geeigneter Vorkehrungen. Des Weiteren werden branchenspezifische Anforderungen aufgezeigt. Das vorliegende Dokument stellt die Basis für eine Prüfgrundlage zur Erbringung von Nachweisen gemäß § 8a Absatz 3 BSIG dar. Die HiSolutions AG hat den vorliegenden B3S in Zusammenarbeit mit den Verbänden der pharmazeutischen Industrie (VfA, Pharma Deutschland, BPI, Pro Generika) sowie dem PHAGRO | Bundesverband des pharmazeutischen Großhandels (PHAGRO) entwickelt, um die Mindestanforderungen gemäß § 8a BSIG für die folgenden Anlagenkategorien nach der „Verordnung zur Bestimmung Kritischer Infrastrukturen nach dem BSI- Gesetz“ (BSI-KritisV) im Sektor Gesundheit zu definieren:  Produktionsstätte  Betriebs- und Lagerraum  Anlage oder System zum Vertrieb von verschreibungspflichtigen Arzneimitteln Die Verbände der pharmazeutischen Industrie (vfa, Pharma Deutschland, BPI, Pro Generika) sowie der Bundesverband des pharmazeutischen Großhandels (PHAGRO) haben sich regelmäßig mit dem BSI über etwaige Anpassungserfordernisse ausgetauscht. Die Beteiligten kamen auch unter Einbeziehung des Praxisberichts zum B3S-Pharma vom 30.08.2021, der die praktische Anwendung des B3S beleuchtet, zu dem Ergebnis, dass sich der bestehende B3S-Pharma in der praktischen Anwendung bewährt hat. Vor diesem Hintergrund soll auf Basis des etablierten B3S-Pharma erneut die Eignungsfeststellung beantragt werden. Der vorliegende B3S basiert auf den Empfehlungen der „Orientierungshilfe zu Inhalten und Anforderungen an branchenspezifische Sicherheitsstandards (B3S)“, den „Anforderungen nach § 8a Absatz 5 BSIG - Grundsätzliche Anforderungen im Nachweisverfahren (GAiN)“ sowie der „Orientierungshilfe zum Einsatz von Systemen zur Angriffserkennung“ des BSI. Des Weiteren orientiert sich das Dokument an den etablierten Maßnahmen der DIN ISO/IEC 27000-Familie, der DIN ISO/IEC 31000-Familie und ist an die branchenspezifischen Bedürfnisse angepasst. Die Normen sind nicht Bestandteil des vorliegenden B3S. Sollten die Normen durch Anwendende dieses B3S zur Identifizierung weiterer Maßnahmen oder für weitere Erläuterungen herangezogen werden, so sollten die Normen jeweils in der aktuell gültigen Fassung verwendet werden. Im Rahmen der Umsetzung und auch bei der Nachweiserbringung nach BSIG können, sofern vorhanden, bereits etablierte Prozesse und Maßnahmen aus den „Richtlinien für gute Arbeitspraxis“ (GxP, Good x = Anwendungsbereich Practice), wie zum Beispiel dem „Good Manufacturing Practice“ (GMP) genutzt werden. Durch die alleinige Anwendung der Methoden und Anleitungen der GxP wird allerdings kein vollständiges Informationssicherheitsmanagementsystem (ISMS) etabliert. Um ein ISMS im Rahmen dieses B3S Pharma für eine angemessene Umsetzung des BSIG zu nutzen, wird ergänzend auf die Norm DIN ISO/IEC 27001 verwiesen. Fortlaufende Aktualisierungen des B3S Pharma sind aufgrund der Schärfung einiger Regeln durch das BSI und des unterschiedlichen Feedbacks der Marktbeteiligten notwendig. - TLP Amber - Seite III - freigegeben - Änderungshistorie: Version Datum Hinweis 2.2 30.08.2021 Ursprüngliche, freigegebene Version 3.0 07.05.2024 Mit den Vertretern der Verbände abgestimmt 3.0.1 20.06.2024 Anpassung an die Umbenennung der Pharma Deutschland Redaktionelle Anpassungen nach Feedback BSI 3.0.2 25.07.2024 Redaktionelle Anpassungen nach Feedback BBK Tabelle 2 Änderungshistorie - TLP Amber - Seite IV - freigegeben - INHALTSVERZEICHNIS EINLEITUNG II TEIL I 8 GELTUNGSBEREICH, GEFÄHRDUNGSANALYSE UND RISIKOMANAGEMENT 8 1 GELTUNGSBEREICH UND SCHUTZZIELE 9 1.1 Geltungsbereich 9 1.1.1 IT-Systeme, Prozesse und Komponenten 9 1.1.2 Produktionsstätten 11 1.1.3 Betriebs- und Lagerraum 11 1.1.4 Anlage oder System zum Vertrieb von verschreibungspflichtigen Arzneimitteln 11 1.2 Extern erbrachte Leistungen 12 1.2.1 IT-Betrieb 13 1.2.2 Auslagerung von Prozessen oder Teilprozessen der kDL an Externe 14 1.2.3 Lieferkette 14 1.3 Gesetzlicher und regulatorischer Rahmen 14 1.4 Schutzziele 15 1.4.1 KRITIS-Schutzziele 15 1.4.2 Ableitung des KRITIS-IT-Schutzbedarfs aus den KRITIS-Schutzzielen 17 1.5 Anpassungen am Geltungsbereich 18 2 BRANCHENSPEZIFISCHE GEFÄHRDUNGSLAGEN 19 2.1 All-Gefahrenansatz 19 2.2 Branchenspezifische Relevanz von Bedrohungen und Schwachstellen 19 2.2.1 Bedrohungskategorien 19 2.2.2 Schwachstellenkategorien 21 2.3 Benennung von Bedrohungen und Schwachstellen 22 2.3.1 Bedrohungen 22 2.3.2 Schwachstellen 24 3 RISIKOMANAGEMENT UND REIFEGRADBETRACHTUNGEN 26 3.1 Anpassung eines vorhandenen Risikomanagements 26 3.2 Aufbau eines Risikomanagements 27 3.3 Reifegrad- und Umsetzungsgradbetrachtungen 27 TEIL II 29 SICHERHEITSANFORDERUNGEN NACH STAND DER TECHNIK UND VORGEHENSWEISEN 29 4 ABZUDECKENDE THEMEN 30 - TLP Amber - Seite V - freigegeben - 4.1 Allgemeine Anforderungen und Maßnahmen zur Gewährleistung der Informationssicherheit 31 4.1.1 Informationssicherheitsmanagementsystem (ISMS) 31 4.1.2 Asset-Management 32 4.1.3 Vorfallerkennung und -bearbeitung 34 4.1.4 Notfall- und Continuity-Management für die kDL 43 4.1.5 Branchenspezifische Technik 43 4.1.6 Bauliche/physische Sicherheit 43 4.1.7 Überprüfung im laufenden Betrieb 45 4.1.8 Externe Informationsversorgung und Unterstützung 45 4.1.9 Lieferunternehmen, Dienstleistende und Dritte 46 4.1.10 Technische Informationssicherheit 46 4.1.11 Personelle und organisatorische Sicherheit 47 4.2 Spezifische Maßnahmen zur Behandlung der branchenrelevanten Bedrohungen und Schwachstellen 47 4.2.1 Maßnahmen zu A1.1 Hacking und Manipulation und A1.9 Schadprogramme 47 4.2.2 Maßnahmen zu A1.5 Missbrauch (Interne Tatbegehende) 50 4.2.3 Maßnahmen zu A1.6 Ausfall für IT-Betrieb erforderlicher externer Dienstleistender 50 4.2.4 Maßnahmen zu A1.7 Unbefugter Zugriff 50 4.2.5 Maßnahmen zu A1.8 Diebstahl, Verlust, Zerstörung von IT oder IT-relevanten Anlagen und Anlagenteilen sowie A1.13 Beschädigung oder Zerstörung verfahrenstechnischer Komponenten, Ausrüstung und Systeme 51 4.2.6 Maßnahmen zu A1.11 Gezielte Störung/Verhinderung von Diensten und A1.12 Advanced Persistent Threat 51 4.2.7 Maßnahmen zu A1.14 Ausfall von Basisinfrastrukturen mit direktem Bezug zur IT 52 4.2.8 Maßnahmen zu AP.1, AL.1 und AV.1 Verdeckte Manipulationen 52 4.2.9 Maßnahmen zu A2.1 Organisatorische Mängel 52 4.2.10 Maßnahmen zu A2.2 Technische Schwachstellen in Software, Firmware und Hardware 53 4.2.11 Maßnahmen zu A2.3 Technisches Versagen von IT-Systemen, Anwendungen oder Netzen (sowie Verlust von gespeicherten Daten) 54 4.2.12 Maßnahmen zu A2.4 Menschliche Fehlhandlungen, menschliches Versagen 55 4.2.13 Maßnahmen zu A2.5 Infrastrukturelle Mängel 55 4.2.14 Maßnahmen zu A2.6 Verwendung ungeeigneter Netze/Kommunikationsverbindungen, sonstige Schwächen in der Kommunikationsarchitektur 55 4.2.15 Maßnahmen zu A2.7 Verkopplung von Diensten (Beeinträchtigung eines Dienstes durch Störung anderer Dienste) 56 4.2.16 Maßnahmen zu A*2.1 Fehlende Detektion 56 4.2.17 Maßnahmen zu A*2.2 Fehlende Reaktion 56 - TLP Amber - Seite VI - freigegeben - 5 ANWENDUNGSHINWEISE FÜR DEN BETREIBENDEN 57 5.1 Anpassung des branchenspezifischen Sicherheitsstandards durch den Betreibenden 57 5.2 Realisierungsplan des Betreibenden 57 5.3 Fortschreibung und Erfahrungen der Anwendenden 57 5.4 Hinweis zur Prüfung 58 TEIL III 59 NACHWEISBARKEIT DER UMSETZUNG 59 6 NACHWEISBARKEIT DER UMSETZUNG 60 ANHANG A TYPISCHE ABLÄUFE BEI DER HERSTELLUNG VON ARZNEIMITTELN 61 A.1 Herstellung von festen Arzneimitteln (z.B. Tabletten) 61 A.2 Herstellung von flüssigen Arzneimitteln 63 A.3 Herstellung von Blutkonserven 64 ANHANG B TYPISCHE ABLÄUFE BEIM VERTRIEB VON ARZNEIMITTELN 66 B.1 Bestelleingang 66 B.2 Verarbeitung der Bestellung 66 B.3 Vorbereitung der Bestellung zum Versand 66 ANHANG C AUFBAU EINES RISIKOMANAGEMENTS 67 C.1 Gestaltung des Risikomanagements 67 C.2 Risikomanagement als Prozess 68 C.2.1 Identifizierung von Gefährdungen 69 C.2.2 Risikoanalyse 69 C.2.3 Bewertung der Risiken 70 C.2.4 Angemessene Behandlung der Risiken 71 C.2.5 Unterstützende Risikomanagementprozesse 71 C.3 Prozessorientierte Risikoanalyse 72 ANHANG D VERWEISE AUF WEITERE MAßNAHMEN IN DER DIN ISO/IEC 27002 73 D.1 Weitere Maßnahmen für Kapitel 4.1.2 Asset-Management 73 D.2 Weitere Maßnahmen für Kapitel 4.1.3 Vorfallerkennung und -bearbeitung 74 D.3 Weitere Maßnahmen für Kapitel 4.1.4 Notfall- und Continuity-Management für die kDL 74 D.4 Weitere Maßnahmen für Kapitel 4.1.6 Bauliche/physische Sicherheit 75 D.5 Weitere Maßnahmen für Kapitel 4.1.7 Überprüfung im laufenden 76 D.6 Weitere Maßnahmen für Kapitel 4.1.8 Externe Informationsversorgung und Unterstützung 76 D.7 Weitere Maßnahmen für Kapitel 4.1.9 Lieferunternehmen, Dienstleistende und Dritte 77 D.8 Weitere Maßnahmen für Kapitel 4.2.1 Maßnahmen zu A1.1 Hacking und Manipulation und A1.9 Schadprogramme 77 - TLP Amber - Seite VII - freigegeben - D.9 Weitere Maßnahmen für Kapitel 4.2.2 Maßnahmen zu A1.5 Missbrauch (Interne Tatbegehende) 78 D.10 Weitere Maßnahmen für Kapitel 4.2.7 Maßnahmen zu A1.14 Ausfall von Basisinfrastrukturen mit direktem Bezug zur IT 79 D.11 Weitere Maßnahmen für 4.2.9 Maßnahmen zu A2.1 Organisatorische Mängel 79 D.12 Weitere Maßnahmen für 4.2.10 Maßnahmen zu A2.2 Technische Schwachstellen in Software, Firmware und Hardware 80 D.13 Weitere Maßnahmen für 4.2.11 Maßnahmen zu A2.3 Technisches Versagen von IT-Systemen, Anwendungen oder Netzen (sowie Verlust von gespeicherten Daten) 81 D.14 Weitere Maßnahmen für 4.2.12 Maßnahmen zu A2.4 Menschliche Fehlhandlungen, menschliches Versagen 81 D.15 Weitere Maßnahmen für 4.2.13 Maßnahmen zu A2.5 Infrastrukturelle Mängel 81 D.16 Weitere Maßnahmen für 4.2.14 Maßnahmen zu A2.6 Verwendung ungeeigneter Netze/Kommunikationsverbindungen, sonstige Schwächen in der Kommunikationsarchitektur 82 ANHANG E LISTE ZUSÄTZLICHER SZA MAßNAHMEN IN DER PLANUNGSPHASE 83 ANHANG F GLOSSAR 84 - TLP Amber - Seite 8 - freigegeben - TEIL I GELTUNGSBEREICH, GEFÄHRDUNGSANALYSE UND RISIKOMANAGEMENT - TLP Amber - Seite 9 - freigegeben - 1 GELTUNGSBEREICH UND SCHUTZZIELE 1.1 Geltungsbereich Der Geltungsbereich des vorliegenden B3S umfasst die kritischen Dienstleistungen des KRITIS-Sektors Gesundheit für die Produktion, die Lagerung und den Vertrieb verschreibungspflichtiger Arzneimittel zur Anwendung am oder im menschlichen Körper sowie von Blut- und Plasmakonzentraten. Es ist zu berücksichtigen, dass die Anwendung des BSIG den Schutz der Gesamtbevölkerung in Deutschland adressiert. Daher ist die Produktion von Arzneimitteln für das Ausland bei der Bewertung bzw. Bestimmung des Erreichens des Schwellenwertes einer Anlage zur Produktion verschreibungspflichtiger Arzneimittel nicht zu betrachten. Folglich gilt die Anlage eines Arzneimittel-herstellenden Unternehmens, das insgesamt zwar über dem Schwellenwert liegt, sich durch Abzug der Arzneimittel, die für das Ausland hergestellt wurden, aber unterhalb des Schwellenwertes befindet, nicht als kritisch im Sinne des BSIG. Die Anwendung erfolgt in den Bereichen Lager und Vertrieb auf identische Art und Weise, d. h. es werden auch dort allein die verschreibungspflichtigen Arzneimittel in die Bestimmung des Erreichens des Schwellenwertes aufgenommen, die für das Inverkehrbringen in Deutschland vorgesehen sind. In den nachfolgenden Kapiteln werden die einzelnen Anlagen gemäß BSI-KritisV, Anhang 5, Teil 1 beschrieben. Im Rahmen der regulären Anpassungen des B3S wurden in diesem B3S die folgenden Anwendungsschwerpunkte bearbeitet:  Angleichung an die ISO 27001 (2022)  Einarbeitung der OH SzA  Einarbeitung der GaiN  Einarbeitung der aktuellen Bedrohungslage  Kleine Anpassungen an den Maßnahmen 1.1.1 IT-Systeme, Prozesse und Komponenten In den Geltungsbereich fallen die für die Produktion, Lagerung und den Vertrieb von verschreibungspflichtigen Arzneimitteln notwendigen IT-Systeme, Prozesse und Komponenten. In der nachfolgenden Tabelle 4 ist eine Auflistung der kritischen für die Erbringung der kDL eingesetzten IT-Systeme und Komponenten enthalten. Die IT- Systeme und Komponenten sind nach Produktion sowie Lagerung und Vertrieb unterteilt. Die Auflistung muss bei der Anwendung des B3S Pharma individuell geprüft werden, da sie weder vollständig noch allgemeingültig für alle Betreibenden im Bereich Pharma ist. In Tabelle 3 Basis IT/OT-Systeme der kDL werden typische übergreifende IT/OT-Systeme der kDL definiert. Diese sind typischerweise bei fast allen Betreibenden vorzufinden und daher auch zu prüfen. Die Systeme der Priorität 1 sind meist für alle Betreibenden essenziell und sollen daher priorisiert Anwendungshinweis BSIG und KritisV fokussieren sich auf den Schutz von IT-Systemen, Prozessen und Komponenten, die für eine Erbringung der kritischen Dienstleistung durch die kritische Infrastruktur (KRITIS) notwendig sind. Die Meldepflichten des BSIG beziehen sich auf IT-Störungen. Anwendungshinweis 1 Geltungsbereich - TLP Amber - Seite 10 - freigegeben - betrachtet werden. Die Systeme der Priorität 2 können ebenfalls wichtig für die Erbringung der kDL sein. Im Rahmen der Nachweiserbringung muss mit dem Prüfteam der genaue Geltungsbereich festgelegt werden. Die nachfolgenden Listen dienen daher als grobe Richtwerte. Basis IT/OT-Systeme der kDL Übergreifende Systeme  ERP-Anwendung für die Ressourcenplanung (z. B. SAP)  Serialisierungsanwendung  Verzeichnisdienste (z. B. Active Directory)  Speicherprogrammierbare Steuerung (SPS) zur Steuerung und Regelung von Maschinen  Anwendungen zur Überwachung und Steuerung von technischen Prozessen (z. B. ICS)  Systeme zur Angriffserkennung  Infrastruktur o Lokale Netzwerke und Telekommunikation o Übergreifendes Netzwerk (innerhalb eines Standorts oder zwischen verschiedenen Produktionsstätten) o Clients und Server Tabelle 3 Basis IT/OT-Systeme der kDL Typische Kernsysteme der kDL Produktion Lagerung und Vertrieb Priorität 1  Labor-Informations-Management-Systeme (LIMS) für die Datenverarbeitung im analytischen Labor  Produktionsleitsystem (engl.: Manufacturing Execution System, kurz MES) zur Unterstützung des Fertigungs- und Produktionsmanagements  Prozessleitsysteme (PLT) zum Führen verfahrenstechnischer Anlagen  Kühlkette Priorität 2 Priorität 1  Kühlkette  Kommissionierautomat  Lagerhaltungsysteme Priorität 2  Hochregallager  Unterstützende Technik zur Kommissionierung  Notwendige Teile der Warenwirtschaftssysteme sofern diese für die Erbringung der KDL-relevant sind  Gebäudeleittechnik - TLP Amber - Seite 11 - freigegeben -  Verpackungssysteme für die Verpackung der hergestellten Arzneimittel  Qualitätsmanagementsysteme  Gebäudeleittechnik Tabelle 4 Typische Kernsysteme der kDL 1.1.2 Produktionsstätten Unter einer Produktionsstätte für Arzneimittel zur Anwendung im oder am menschlichen Körper wird eine Betriebsstätte verstanden, die auf der Grundlage einer Herstellungserlaubnis nach § 13 des Arzneimittelgesetzes in der jeweils geltenden Fassung Hilfsstoffe und Hilfsmaterialien sowie Wirkstoffe zu verschreibungspflichtigen Arzneimitteln zur Anwendung im oder am menschlichen Körper nach § 48 Absatz 1 des Arzneimittelgesetzes in der jeweils geltenden Fassung verarbeitet. Die einzelnen Produktionsabläufe für feste Arzneimittel, flüssige Arzneimittel sowie Blutkonserven werden beispielhaft in Anhang A dargestellt. Auf weitere Unterformen der Herstellung wird in Anhang A nicht näher eingegangen, diese sind jedoch Bestandteil des B3S. Für die Prüfung gemäß § 8a BSIG müssen die Produktionsstätten des Betreibenden und alle relevanten Dienstleistende berücksichtigt werden, die an der Erbringung der kDL beteiligt sind. Beispielsweise handelt es sich hierbei um herstellende Unternehmen von eingesetzten IT-Komponenten, die Field Service-Tätigkeiten der IT- Komponenten in der Produktionsstätte durchführen. Dabei wird ein Prüfprotokoll pro Produktionsstätte verarbeitet. 1.1.3 Betriebs- und Lagerraum Unter einem Betriebs- und Lagerraum wird eine Einrichtung zur kurzzeitigen Lagerung von verschreibungspflichtigen Arzneimitteln, Blutspenden, Blut- und Plasmaderivaten sowie zur Weiterverarbeitung oder Aufbereitung von Blutspenden und Blut- und Plasmaderivaten zur Anwendung im oder am menschlichen Körper verstanden. Dabei kann beispielsweise ein Warenwirtschaftssystem zum Einsatz kommen, mit dem der Lagerbestand verwaltet wird. Für diverse pharmazeutische Produkte und temperaturkritische Materialien müssen bestimmte klimatische Bedingungen durchgehend eingehalten und nachgewiesen werden. Um diese Kühlkette sicherzustellen, werden beispielsweise Kühlhäuser und Kühl-Akkus eingesetzt. Zudem müssen sowohl die Temperatur als auch die Luftfeuchtigkeit in den Betriebs- und Lagerräumen überwacht und reguliert werden. Die zugehörige Raumüberwachung und Steuerung wird typischerweise durch ein entsprechendes Gebäudeleitsystem und Raum- Monitoring durchgeführt. 1.1.4 Anlage oder System zum Vertrieb von verschreibungspflichtigen Arzneimitteln Unter einer Anlage oder einem System zum Vertrieb von verschreibungspflichtigen Arzneimitteln wird ein Logistikmanagementsystem für den Vertrieb und die Disposition von verschreibungspflichtigen Arzneimitteln zur - TLP Amber - Seite 12 - freigegeben - Anwendung im oder am menschlichen Körper verstanden. Hierzu gehören im Allgemeinen zwei Prozesse: Der Bestellprozess als Teil des Vertriebssystems, beispielsweise über die MSV3 Schnittstelle und der Vertriebsprozess, welcher vom Wareneingang bis zum Warenausgang betrachtet wird. In Anhang B werden beispielhaft die unterschiedlichen, IT-gestützten Prozesse beim Vertrieb von Arzneimitteln beschrieben. 1.2 Extern erbrachte Leistungen In den nachfolgenden Kapiteln werden typische Dienstleistungen beschrieben, die extern vergeben sein können und deren Auslagerung Auswirkungen auf die kDL haben kann. In Abbildung 1 sind typische Schnittstellen zu Dienstleistenden mit potenziellem Einfluss auf die Erbringung der kritischen Dienstleistungen in der Pharmabranche dargestellt. Anwendungshinweis Der jeweilige Betreibende einer Kritischen Infrastruktur im Sinne des BSIG ist für die Umsetzung des § 8a Absatz 1 BSIG in der von ihm betriebenen Kritischen Infrastruktur verantwortlich. Sofern Teile der kritischen Dienstleistung an Dritte ausgelagert sind, liegt die Verantwortung für die Umsetzung des § 8a Absatz 1 BSIG weiterhin beim Betreibenden. Externe Dienstleistende unterliegen in Bezug auf die kDL den gleichen Anforderungen wie die Betreibenden. Anwendungshinweis 2 Verantwortlichkeit für externe Dienstleistende - TLP Amber - Seite 13 - freigegeben - Abbildung 1 Mögliche Schnittstellen zu externen Dienstleistenden mit Einfluss auf die kDL Der Bezug von sonstigen Dienstleistungen gilt nicht als Auslagerung in diesem Sinne, sofern er nicht direkt oder indirekt Teil der kritischen Dienstleistung ist. 1.2.1 IT-Betrieb Der Betrieb oder die Wartung von IT-Systemen, Prozessen und Komponenten kann an Dritte ausgelagert werden. Der Zugriff kann hierbei über diverse Schnittstellen und auf verschiedenste Weise erfolgen, wie zum Beispiel über ein Virtual Private Network (VPN). Folgende IT-Systeme, Prozesse und Komponenten könnten beispielsweise ausgelagert sein:  Rechenzentrum Der Betrieb eines Rechenzentrums kann an Rechenzentrumsbetreibende ausgelagert sein. Je nach Bedarf können unterschiedliche Betriebsmodelle gewählt werden. Einerseits kann es sich um eine reine Auslagerung der Hardware handeln, bei der die Verwaltung der Systeme und Software weiterhin durch den Betreibenden erfolgt. Andererseits können aber auch administrative Tätigkeiten vollständig oder in Teilen an Rechenzentrumsbetreibende ausgelagert werden.  Cloud Über eine Cloud können virtualisierte Komponenten, Entwicklungsplattformen und/oder Anwendungen für eine Unterstützung der kDL bezogen werden. Beispielsweise kann ein ERP-System in der Cloud betrieben werden.  IT-Dienstleistung - TLP Amber - Seite 14 - freigegeben - Externe IT-Dienstleistende oder -herstellende Unternehmen können bei der Administration und/oder beim IT-Betrieb unterstützen. Hierbei ist zwischen einer Fernadministration und einer Administration vor Ort zu unterscheiden. Hierzu zählen unter anderem Auslagerungen im Bereich der Automationstechnik.  Internetzugang Typischerweise wird der Internetzugang durch eine externe Firma bereitgestellt. Er ist eine wichtige Schnittstelle für kritische IT-gestützte Systeme und Prozesse, wie zum Beispiel beim Bestellprozess über die MSV3 Schnittstelle.  Dienstleistungen in Bezug auf die Systeme zur Angriffserkennung Im Bereich der Detektion von Sicherheitsvorfällen können ggf. externe IT-Dienstleistende genutzt werden, welche die gesammelten Protokollierungsdaten auswerten. 1.2.2 Auslagerung von Prozessen oder Teilprozessen der kDL an Externe Es können durch die Betreibenden Prozesse oder Teilprozesse zur Erbringung der kDL ausgelagert werden. Beispielsweise kann dies durch eine Herstellfirma bei der Lagerung von Arzneimitteln vorgenommen werden. Hierbei muss im Einzelfall geprüft werden, bei wem die Verantwortung für die Erfüllung der gesetzlichen Vorgaben im Hinblick auf die kDL liegt. 1.2.3 Lieferkette Die Lieferkette muss im Rahmen anderer regulatorischer Anforderungen betrachtet werden, sofern diese für den Betreiber relevant sind. Diese Anforderungen sollten im Rahmen eines, über KRITIS hinausgehenden, Business Continuity Management Systems (BCMS) betrachtet werden. Folglich müssen für die Produktion alle IT-Systeme, Prozesse und Komponenten, die sich ausschließlich mit der Beschaffung und Verfügbarkeit von pharmazeutischen Rohstoffen und Arzneimitteln beschäftigen, nicht berücksichtigt werden. Das gilt selbst dann, wenn diese Rohstoffe zur Erbringung der kDL, also beispielsweise zur Herstellung von rezeptpflichtigen Medikamenten, essenziell sind. Für die Lagerung und den Vertrieb gilt dies entsprechend für verschreibungspflichtige Arzneimittel. Die IT-Systeme, Prozesse und Komponenten des Wareneingangs1 müssen weiterhin betrachtet werden. Wird hingegen dasselbe System für KRITIS-relevante und nicht KRITIS-relevante Dienstleistungen verwendet, so muss es als relevantes System klassifiziert werden. 1.3 Gesetzlicher und regulatorischer Rahmen Es werden die spezifischen Anforderungen aus § 8a Absatz 1 BSIG berücksichtigt. Weitere gesetzliche und regulatorische Maßnahmen sind unter anderem die Folgenden:  Gesetz über den Verkehr mit Arzneimitteln (Arzneimittelgesetz, AMG)2 – Dieses Gesetz regelt den Verkehr mit Arzneimitteln. Es definiert Anforderungen an die Arzneimittel und reguliert unter anderem deren Herstellung, Sicherung, Qualitätskontrolle und Überwachung.  Die Arzneimittelhandelsverordnung (AM-HandelsV)  Die Arzneimittel- und Wirkstoffherstellungsverordnung (AMWHV)3 – Hierbei handelt es sich um eine 1 Hierbei ist gemeint, dass der Verantwortungsbereich „ab der Bordsteinkante“ beginnt. 2 https://www.gesetze-im-internet.de/amg_1976/ (letzter Zugriff: 12.02.2024) 3 http://www.gesetze-im-internet.de/amwhv/ (letzter Zugriff: 12.02.2024) - TLP Amber - Seite 15 - freigegeben - Durchführungsverordnung des AMG in Deutschland.  Richtlinie 2011/62/EG4 vom 8. Juni 2011 – Fälschungsrichtlinie in Verbindung mit der Delegierten Verordnung (EU) 2016-1615, durch die ab Anfang 2019 die Kennzeichnung von Arzneimittelverpackungen verpflichtend geworden ist.  IT-Sicherheitsgesetz 2.0 (IT-Sig 2.0) vom 23.04.2021  Orientierungshilfe zu Inhalten und Anforderungen an branchenspezifische Sicherheitsstandards (B3S) gemäß § 8a Absatz 2 BSIG vom 23.02.2024  Orientierungshilfe zum Einsatz von Systemen zur Angriffserkennung vom 26.09.2022  Orientierungshilfe zu Nachweisen gemäß § 8a Absatz 3 BSIG vom 12.05.2023  Anforderungen nach § 8a Absatz 5 BSIG - Grundsätzliche Anforderungen im Nachweisverfahren (GAiN)  BSI KRITIS Verordnung (BSI-KritisV) vom 01.01.2024 1.4 Schutzziele Die für KRITIS zu betrachtenden IT-Schutzziele sind Vertraulichkeit, Integrität, Authentizität und Verfügbarkeit von Informationen und IT-Systemen, Komponenten und Prozessen. Diese müssen für die kDL zusätzlich zu den anderen relevanten Gesetzen und Anforderungen betrachtet werden. 1.4.1 KRITIS-Schutzziele Die KRITIS-Schutzziele für die kDL müssen zusätzlich zu allen relevanten Gesetzen und Anforderungen erfüllt werden. Für den Fall, dass bestehende Gesetze der Erhaltung der Versorgungssicherheit widersprechen, ist eine Lösung mit dem BSI und der zuständigen Aufsichtsbehörde abzustimmen. Unter Verfügbarkeit wird die Wahrscheinlichkeit der IT-Systeme, Prozesse und Komponenten sowie der mit ihnen verarbeiteten Daten verstanden, eine Aufgabe in der gewünschten Qualität und innerhalb des definierten Zeitrahmens zu erfüllen. Integrität bezeichnet die Sicherstellung der Korrektheit und Unversehrtheit selbiger. Unter Authentizität versteht man die Sicherstellung der Echtheit, Überprüfbarkeit und Vertrauenswürdigkeit beispielsweise einer Kommunikationsperson oder eines Rezeptes. Vertraulichkeit bezeichnet den Schutz vor unbefugter Preisgabe von Informationen. Die Besonderheit bei den KRITIS-Schutzzielen besteht darin, dass der Fokus auf der Versorgungssicherheit der Bevölkerung und damit auf der Funktionsfähigkeit der kritischen Dienstleistung liegt und nicht auf Aspekten wie Image, Knowhow oder monetären Schäden des Betreibenden. Daraus resultierend ist die Relevanz der KRITIS- Schutzziele zumeist in absteigender Reihenfolge: Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit. Für die Pharmabranche leitet sich die Versorgungssicherheit von der Annahme eines Durchschnittsverbrauchs von 9,3 Packungen verschreibungspflichtiger Arzneimittel pro versorgter Person pro Jahr und eines Regelschwellenwertes von 500.000 versorgten Personen ab (gemäß KritisV Anhang 5 Teil 2 Nr. 7). Ein signifikantes Unterschreiten führt oft zu einem Versorgungsengpass. Dieser hängt von verschiedenen Faktoren ab und wird anhand einiger Anwendungsbeispiele in Kapitel 5 dargelegt. Zusätzlich zur Verfügbarkeit der kDL im Allgemeinen wird auch festgelegt, welche Mindestqualität die kDL vorweisen muss. Ein Produkt unterschreitet die Mindestqualität, wenn es aufgrund von Richtlinien oder Gesetzen 4 https://eur-lex.europa.eu/LexUriServ/LexUriServ.do?uri=OJ:L:2011:174:0074:0087:DE:PDF (letzter Zugriff: 12.02.2024) 5 https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=celex%3A32016R0161 (letzter Zugriff: 12.02.2024) - TLP Amber - Seite 16 - freigegeben - nicht mehr verwendet oder in Umlauf gebracht werden darf oder seine Wirksamkeit nicht mehr im notwendigen Maß gegeben ist. Die Schutzziele sind zunächst unabhängig von der hierfür benötigten IT. Die folgende Liste enthält beispielhafte Anlagentypen mit ihren spezifischen Prozessen und muss durch den Anwendenden des B3S Pharma auf seine spezifischen Gegebenheiten angepasst und erweitert werden. Anlagen oder Systeme zur Produktion: Alle IT-Systeme, Prozesse und Komponenten, die für die Produktion notwendig sind, sollen so arbeiten, dass folgende Schwellenwerte nicht überschritten werden:  Ausfall von 50 % der üblichen Liefermenge einer Kalenderwoche  Ausfall von 15 % der üblichen Liefermenge eines Kalendermonats  Ausfall von 5 % der üblichen Liefermenge eines Kalenderjahres Die übliche Liefermenge muss, gemessen am entsprechenden Vorjahreszeitraum, mindestens den Schwellenwert der jeweiligen Anlage gemäß KritisV Anhang 5 Teil 3 erreichen oder überschreiten. Dazu muss Folgendes erfüllt sein:  Die Produktionssysteme sowie die erforderlichen Begleitprozesse müssen so arbeiten, dass die genannten Werte zur Liefermenge eingehalten werden können.  Die IT-Systeme der Freigabe- und Qualitätsabnahme-Prozesse müssen insoweit korrekt arbeiten, dass die genannten Werte zur Liefermenge nicht unterschritten werden.  Die IT-Systeme zur Unterstützung von Lagerwirtschaft und Transport müssen insofern korrekt arbeiten, dass durch sie keine Verzögerung des Verlassens der Produkte des Lagers entsteht, die zur Überschreitung der oben genannten Werte führt. Alle IT-Systeme, Prozesse und Komponenten, die für die Produktion notwendig sind, müssen insofern korrekt arbeiten, dass die festgelegten Spezifikationen für die Qualität der kDL eingehalten werden. Da die Spezifikationen für jedes Produkt der kDL unterschiedlich sind, wird auf die Verwendung von quantitativen Aussagen zur Qualität in diesem B3S verzichtet. Zu den Paramatern, die den Spezifikationen entnommen werden müssen, gehören unter anderem:  die Toleranzgrenzen für die Einhaltung der Rezeptur,  die Grenzwerte für die Temperatur und Luftfeuchtigkeit und  die notwendige Sterilität der Anlagen. Anwendungshinweis Wenn die Qualität eines Produktes aufgrund eines IT-Ausfalls nicht der Spezifikation entspricht, muss die zugehörige Produktion wie ein Produktionsausfall gewertet werden und unterliegt damit den Grenzwerten für die Verfügbarkeit. Die zulässige Ausfallzeit der Anlagen verlängert sich um die Dauer, die ein Produktionsausfall durch nicht gesetzlich vorgeschriebene Lagerbestände kompensiert werden kann. Anwendungshinweis 3 Qualität der kDL & Lagerbestände - TLP Amber - Seite 17 - freigegeben - Betriebs- und Lagerraum: Betriebs- und Lagerräume sollen so ausgelegt sein, dass durch sie keine Verzögerungen oder Fehler beim Verlassen der Produkte des Lagers entstehen, die zur Unterschreitung der Schwellenwerte für die Produktion oder den Vertrieb führen. Die Betriebs- und Lagerräume müssen die jeweiligen Spezifikationen zu den Umgebungsbedingungen der Produkte der kDL erfüllen. Betriebs- und Lagerräume müssen die Bestimmungen zur Umgebungsüberwachung einhalten. Anlagen oder Systeme zum Vertrieb: Alle IT-Systeme, Prozesse und Komponenten, die für den Vertrieb notwendig sind, sollen so arbeiten, dass folgende Schwellenwerte nicht überschritten werden:  Ausfall von 50 % der üblichen Liefermenge einer Kalenderwoche  Ausfall von 15 % der üblichen Liefermenge eines Kalendermonats  Ausfall von 5 % der üblichen Liefermenge eines Kalenderjahres Die Prozentwerte sind jeweils bezogen auf die Menge der ausgelieferten Packungen verschreibungspflichtiger Arzneimittel (kurz: RX-Packungen) des letzten Kalenderjahres. Dazu muss Folgendes erfüllt sein:  Das Bestellsystem muss so arbeiten, dass eine eingehende Bestellung in der notwendigen Güte verarbeitet werden kann.  Es muss immer mindestens ein Kommunikationsweg zur Übermittlung von eingehenden Bestellungen funktionsfähig sein.  Die Systeme zur Unterstützung von Lagerwirtschaft und Transport müssen insofern korrekt arbeiten, dass durch sie keine Verzögerung des Verlassens der Produkte des Lagers entsteht, die zur Überschreitung der oben genannten Werte führt. 1.4.2 Ableitung des KRITIS-IT-Schutzbedarfs aus den KRITIS-Schutzzielen Im Folgenden wird aus den im Kapitel 1.4.1 identifizierten KRITIS-Schutzzielen beispielhaft der KRITIS-IT- Schutzbedarf hergeleitet. Von den vier KRITIS-IT-Schutzbedarfskategorien Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit (VIVA) wurden die drei erstgenannten oftmals als wesentlicher KRITIS-IT-Schutzbedarf Anwendungshinweis Die Schutzziele sollten bei der Anwendung des B3S Pharma so angesetzt werden, dass durch einen IT-Vorfall mit KRITIS-Bezug ein zu meldender KRITIS-Vorfall entsteht, bevor der IT-Vorfall bestandsgefährdend für das Unternehmen wird. Denn ein wirtschaftliches Aus des Betreibenden stellt einen Totalausfall der kritischen Dienstleistung dar. Daher kann das Fortbestehen des Betriebes auch als KRITIS-Schutzziel gesehen werden. Anwendungshinweis 4 Ansetzen der Schutzziele - TLP Amber - Seite 18 - freigegeben - identifiziert. Für die oben identifizierten Schutzziele wurde Vertraulichkeit hingegen als nur gelegentliche KRITIS- IT-Schutzbedarfskategorie für den Bereich Pharma identifiziert. Daraus resultierend ist die Relevanz der KRITIS- Schutzziele zumeist in absteigender Reihenfolge: Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit. Die Vertraulichkeit dient vorrangig dem Schutz von Informationen, die verwendet werden könnten, um die relevanten IT-Systeme zu kompromittieren, wie beispielsweise Zugangsdaten bzw. Passwörter. Die KRITIS-IT-Schutzbedarfskategorien, resultierend aus den KRITIS-Schutzzielen, lauten wie folgt:  Die Integrität der verarbeiteten Informationen und der kritischen, IT-gestützten Systeme muss sichergestellt werden. Beispielsweise muss die Integrität von Rezepturen, sowohl für die automatisierte, als auch die manuelle Einwaage sichergestellt werden, da auch bei der manuellen Einwaage Fehler auftreten können, wenn die zugrundeliegende Rezeptur fehlerhaft ist.  Die Authentizität der IT-Systeme, Prozesse, Komponenten und Personen, die an der IT-gestützten Erbringung der kDL beteiligt sind, muss sichergestellt werden.  Die Verfügbarkeit der zu schützenden Informationen und der kritischen, IT-gestützten Systeme muss sichergestellt werden. Hierbei muss die Verfügbarkeit der in Tabelle 4 genannten IT-gestützten Systeme gewährleistet sein, sofern diese für die Erbringung der kDL notwendig sind.  Die Vertraulichkeit von Authentisierungsdaten der IT-Systeme und Komponenten, die an der IT- gestützten Erbringung der kDL beteiligt sind, muss sichergestellt werden. 1.5 Anpassungen am Geltungsbereich Bei der Anwendung dieses B3S müssen die enthaltenen Informationen und Maßnahmen auf ihren jeweiligen Geltungsbereich und ihre spezifischen Gegebenheiten angepasst werden. Dies kann sich auf den Umfang der Risikoanalyse sowie der umzusetzenden Maßnahmen auswirken. Falls es zum Erreichen des „Stand der Technik“ notwendig ist, kann es auch erforderlich sein, weiterführende Maßnahmen umzusetzen. Anwendungshinweis Um die Risikoanalyse und -bewertung zu vereinfachen und da die meisten Informationssicherheitsmanagementsysteme nur die Schutzziele Integrität, Vertraulichkeit und Verfügbarkeit kennen, kann die Authentizität im Rahmen der Integrität mitberücksichtigt werden. Anwendungshinweis 5 Betrachtung Schutzziel Authentizität - TLP Amber - Seite 19 - freigegeben - 2 BRANCHENSPEZIFISCHE GEFÄHRDUNGSLAGEN 2.1 All-Gefahrenansatz Der All-Gefahrenansatz beschreibt die Berücksichtigung aller bekannten Gefährdungen für IT-Systeme, Prozesse und Komponenten gleichermaßen. Dabei müssen mindestens die in Kapitel 2.2 genannten Bedrohungen und Schwachstellen behandelt werden. 2.2 Branchenspezifische Relevanz von Bedrohungen und Schwachstellen Die in der B3S-Orientierungshilfe6 empfohlenen Bedrohungs- (Anhang 5.1) und Schwachstellenkategorien (Anhang 5.2) basieren auf den im Lagebild des BSI7 verwendeten Gefährdungskategorien. Die folgenden Abschnitte konkretisieren diese für den Pharma-KRITIS-Bereich, müssen aber noch bei der Anwendung des B3S Pharma anhand der spezifischen Gegebenheiten präzisiert werden. Die im Rahmen der Lagebewertung des BSI festgestellten besonders zu berücksichtigenden Bedrohungsszenarien (Anhang 5.3) wurden im Rahmen dieser Bewertung mit einbezogen. 2.2.1 Bedrohungskategorien Die folgenden Abschnitte konkretisieren die allgemein beschriebenen Kategorien der B3S Orientierungshilfe für den Pharma-Bereich. Zudem geben sie eine initiale Einschätzung der Relevanz für die Erbringung der kDL an. Die Einschätzung und genauen Auswirkungen müssen aber noch bei der Anwendung des B3S Pharma anhand der spezifischen Gegebenheiten geprüft und präzisiert werden. Nr. Bedrohung Relevanz Erläuterungen zur Relevanzeinschätzung A 1.1 Hacking und Manipulation hoch Bei Manipulation von Systemen, die für Produktion, Lagerung oder Vertrieb von Arzneimitteln kritisch sind. A 1.2 Terroristische Akte (physisch mit Wirkung auf die IT oder direkt IT- bezogen) gering Klassische terroristische Akte würden nicht unbedingt primär die IT betreffen (siehe A 1.1). A 1.3 Naturgefahren mit Wirkung auf die IT gering bis hoch Dies stellt im Geltungsbereich des B3S Pharma eine indirekte Bedrohung dar, da Naturgefahren auch direkt nicht-IT bedrohen. Kann unter A 1.14 subsumiert werden. 6 Orientierungshilfe zu Inhalten und Anforderungen an branchenspezifische Sicherheitsstandards (B3S) gemäß § 8a Absatz 2 BSIG (Handlungsempfehlung für Autoren, Betreiber und Prüfer), Version 1.1 vom September 2021 https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/KRITIS/oh-b3s.pdf?__blob=publicationFile&v=6 (letzter Zugriff: 12.02.2024) 7 https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/Lageberichte/Lagebericht2023.html?nn =129410 (letzter Zugriff: 12.02.2024) - TLP Amber - Seite 20 - freigegeben - A 1.4 A 1.10 Identitätsmissbrauch (Phishing, Skimming, Zertifikatsfälschung) Social Engineering hoch Phishing und Social Engineering stellen speziell im Bereich der Fernwartung eine Bedrohung dar. Sonderfall von A 1.7. A 1.5 Missbrauch (interne Tatbegehende) hoch Mit wachsender Anzahl und Abhängigkeit von IT-gestützten Prozessen (typischerweise abhängig von der Betriebsgröße) können interne Tatbegehende einfacher und mehr Schaden durch Angriffe auf die IT verursachen als durch „nicht IT-gestützte Angriffe“, wie das physische Zerstören einzelner Systeme und Komponenten. A 1.6 Abhängigkeiten von Dienstleis- tenden und Herstellfirmen (Ausfall für IT-Betrieb erforderlicher externer Dienstleistender, unberechtigter Zugriff, versteckte Funktionen in Hard- und Software) hoch Aufgrund der hohen Verfügbarkeits- anforderungen ist insbesondere der Ausfall eine Bedrohung. Unberechtigter Zugriff wird unter A 1.4/A 1.10 bzw. A 1.7 betrachtet. A 1.7 Unbefugter Zugriff hoch Bei Zugriff auf Systeme, die für Produktion, Lagerung oder Vertrieb von Arzneimitteln kritisch sind. A 1.8 A 1.13 Manipulation, Diebstahl, Verlust, Zerstörung von IT oder IT- relevanten Anlagen und Anlagenteilen Beschädigung oder Zerstörung verfahrenstechnischer Komponenten, Ausrüstungen und Systeme hoch Aufgrund der starken Abhängigkeit bestimmter Prozesse von wenigen IT- Systemen. Manipulation kann abweichend in A 1.1/A 1.9 betrachtet werden. A 1.9 Schadprogramme mittel Die Auswirkungen von Schadprogrammen in der Pharmabranche sind vergleichbar mit anderen KRITIS-Sektoren. Bedrohungen durch Schadprogramme können daher unter A 1.1 mit behandelt werden. A 1.11 Gezielte Störung/Verhinderung von Diensten gering bis hoch Abhängig vom Vernetzungsgrad der kritischen Systeme. A 1.12 Advanced Persistent Threat (APT) hoch APTs können dazu verwendet werden, um spätere Manipulationen oder gezielte Unterbrechungen der kDL vorzubereiten. - TLP Amber - Seite 21 - freigegeben - A 1.14 Ausfall von Basisinfrastrukturen mit direktem Bezug zur IT (Sekundäreffekte, z. B. Strom und Telekommunikation) hoch Ohne die Basisinfrastruktur kann eine kDL der Pharma-Branche nicht in ausreichender Quantität erbracht werden. Tabelle 5 Bedrohungskategorien 2.2.2 Schwachstellenkategorien Alle in der Orientierungshilfe genannten Schwachstellen sind für den B3S Pharma relevant, wobei die Kritikalität von A 2.6 und A 2.7 vom Betriebsmodell abhängt. Nr. Bedrohung Relevanz Pharma-spezifisch A 2.1 Organisatorische Mängel hoch Diese können die Effektivität aller weiteren Maßnahmen unterhöhlen. A 2.2 Technische Schwachstellen in Software, Firmware und Hardware hoch Diese bieten den Einstiegspunkt für verschiedene Arten von Angriffen. A 2.3 Technisches Versagen von IT- Systemen, Anwendungen oder Netzen (sowie Verlust von gespeicherten Daten) hoch Aufgrund der hohen IT-Unterstützung bei kDL- relevanten Systemen und Prozessen sowie der hohen Verfügbarkeitsanforderungen sind IT- Ausfälle als kritisch anzusehen. A 2.4 Menschliche Fehlhandlungen, menschliches Versagen hoch Diese können im Geltungsbereich des B3S Pharma weitreichende Folgen haben, falls nur an wenigen Stellen organisatorische oder technische Gegenmaßnahmen wie das 4- Augen-Prinzip umgesetzt sind. A 2.5 Infrastrukturelle Mängel (baulich, Versorgung mit Strom etc.) hoch Ausfälle der Infrastruktur beeinträchtigen direkt die kDL und sind aufgrund der Verfügbarkeitsanforderungen von hoher Relevanz. A 2.6 Verwendung ungeeigneter Netze/ Kommunikationsverbindungen, sonstige Schwächen in der Kommunikationsarchitektur gering bis hoch Die Kritikalität hängt vom gewählten Betriebsmodell ab. Komplexe und/oder stark vernetzte Kommunikationsarchitekturen haben ein höheres Risiko als eine einfache Umgebung. A 2.7 Verkopplung von Diensten (Beeinträchtigung eines Dienstes durch Störung anderer Dienste) gering bis hoch Die Kritikalität hängt vom gewählten Betriebsmodell ab. Komplexe und/oder stark vernetzte Dienste haben ein höheres Risiko als eine einfache Umgebung. Tabelle 6 Schwachstellenkategorien - TLP Amber - Seite 22 - freigegeben - 2.3 Benennung von Bedrohungen und Schwachstellen Die nachfolgend aufgeführten Bedrohungen und Schwachstellen sind im Bereich der Produktion, der Lagerung und des Vertriebs von Arzneimitteln mindestens zu betrachten und zu bewerten. Die Listen sind nicht abschließend und ersetzen nicht, dass Betreibende ggf. zusätzlich erforderliche Themen berücksichtigen, wenn sich dies aus ihren kritischen Dienstleistungen, Prozessen, einer spezifischen Bedrohungslage oder ihrer IT- Infrastruktur ergibt. 2.3.1 Bedrohungen Nr. Bedrohung Beschreibung A 1.1 A 1.9 Hacking und Manipulation Schadprogramme Zu betrachten sind jegliche möglichen Manipulationen, die einen negativen Einfluss auf die kDL haben können. Die in Tabelle 4 genannten IT-Systeme und Prozesse können hiervon beispielsweise betroffen sein. Dabei sind versehentliche sowie insbesondere auch gezielte Manipulationen zu betrachten, einschließlich Manipulationen durch Schadsoftware. A 1.5 Missbrauch (Interne Tatbegehende) Zu bewerten sind mindestens die Szenarien, in welchen interne Tatbegehende einen Schaden an kritischen IT- gestützten Systemen einfach (mit weniger Aufwand) oder mit einem geringen Entdeckungsrisiko anrichten könnte. A 1.6*8 Ausfall für IT-Betrieb erforderlicher externer Dienstleistender Zu betrachten sind alle für kritische (Teil-) Dienstleistungen unabdingbaren Dienstleistenden in allen kritischen Kooperationsschritten. A 1.7 Unbefugter Zugriff Zu betrachten ist mindestens der Zugriff auf Systeme, die für Produktion, Lagerung oder Vertrieb von Arzneimitteln kritisch sind (siehe A 1.1/A 1.9). Zusätzlich ist das Szenario von Phishing und Social Engineering im Bereich der Fernwartung zu bewerten, sofern und wo eine solche genutzt wird oder werden kann. A 1.8* A 1.13 Diebstahl, Verlust, Zerstörung von IT oder IT-relevanten Anlagen und Anlagenteilen Beschädigung oder Zerstörung verfahrenstechnischer Komponenten, Ausrüstungen und Systeme Für alle für die Aufrechterhaltung der kDL notwendigen IT- gestützten Systeme, IT-relevanten Anlagen und Anlagenteile sowie alle relevanten verfahrenstechnischen Komponenten, Ausrüstungen und Systeme sind folgende Szenarien zu betrachten und zu bewerten:  Verlust (z. B. Diebstahl)  Zerstörung oder Beschädigung (z. B. Vandalismus oder Fehlkonfiguration) 8 Der Stern (*) kennzeichnet Anpassungen der ursprünglichen Bedrohung aus der Orientierungshilfe. - TLP Amber - Seite 23 - freigegeben - A 1.11 Gezielte Störung/Verhinderung von Diensten Abhängig vom Vernetzungsgrad der kritischen Systeme ist die Bedrohung durch gezielte Störung/Verhinderung von Diensten für alle exponierten9 Systeme und Anwendungen der kDL zu betrachten. A 1.12 Advanced Persistent Threat (APT) Bei der Bewertung der übrigen Bedrohungen ist zu berücksichtigen, dass bei einem Angriff per APT bereits kritische Daten (z. B. Passwörter oder Schlüsselmaterial) exfiltriert worden sein könnten oder möglicherweise eine dauerhafte Präsenz auf einem oder mehreren kritischen IT- Systemen (mit oder ohne direkter Möglichkeit zur Fernsteuerung (C&C)) eingerichtet wurde. (Beispiel: Stuxnet10, APT zur verdeckten Manipulation von Zentrifugen) A 1.14 Ausfall von Basisinfrastrukturen mit direktem Bezug zur IT (Sekundäreffekte, z. B. Strom und TK) Für alle IT-Systeme und Anwendungen ist der Ausfall folgender Basisinfrastrukturen zu bewerten:  Strom  TK  Netzwerk A* P.1 Verdeckte Manipulation von Produktion und PLT/Qualitätskontrolle Zu betrachten ist die Gefahr einer komplexen IT- Manipulation des Produktionsprozesses (z. B. Rezeptur, SPS, Einwaage) bei gleichzeitiger Täuschung von PLT und/oder Qualitätskontrolle, sodass die fehlerhaften Produkte nicht bemerkt werden. A* L.1 Verdeckte Manipulation von Warenwirtschaft/MFR/Lagersystem und Cross-Checks Zu betrachten ist die Gefahr einer komplexen IT- Manipulation des Lagerprozesses (z. B. Warenwirtschaft, MFR oder Lagersystem) bei gleichzeitiger Täuschung existierender Cross-Checks und/oder der Qualitäts- kontrolle, sodass die mangelnde Funktionsfähigkeit im Normalbetrieb nicht bemerkt wird, sondern erst im Krisen- /Notfall. A* V.1 Verdeckte Manipulation des Logistikprozesses Zu betrachten ist die Gefahr einer komplexen IT- Manipulation des Vertriebsprozesses (z. B. Logistiksystem, MFR, ERP), sodass die mangelnde Funktionsfähigkeit im Normalbetrieb nicht bemerkt wird, sondern erst im Krisen- /Notfall. Tabelle 7 Bedrohungen 9 „Exponiert“ meint hier jegliche Systeme mit Außenschnittstelle. Dies umfasst etwa auch Systeme mit Funkschnittstellen (beispielsweise Handscanner). 10 http://www.langner.com/en/wp-content/uploads/2013/11/To-kill-a-centrifuge.pdf (letzter Zugriff: 12.02.2024) - TLP Amber - Seite 24 - freigegeben - 2.3.2 Schwachstellen Alle in der Orientierungshilfe genannten Schwachstellen sind für den B3S Pharma relevant, wobei die Kritikalität von A 2.6 und A 2.7 vom Betriebsmodell abhängt. Die spezifische Kritikalität ist durch den Betreibenden begründet festzulegen. Nr. Schwachstelle Beschreibung A 2.1 Organisatorische Mängel Alle Prozesse sind auf Mängel zu prüfen, welche die IT- Sicherheit bzw. die Effektivität von IT- Sicherheitsmaßnahmen untergraben können. Dabei sind insbesondere auch fehlende organisatorische Regelungen festzustellen und zu bewerten. A 2.2 Technische Schwachstellen in Software, Firmware und Hardware Sicherheitslücken aller Art von Software, Firmware und Hardware sind zu berücksichtigen und zu bewerten, sofern sie die kDL beeinträchtigen können. Als besonders kritisch sind hier Altsysteme (engl. Legacy-System) oder Industriesysteme zu sehen. A 2.3 Technisches Versagen von IT- Systemen, Anwendungen oder Netzen (sowie Verlust von gespeicherten Daten) Zu betrachten ist ein mögliches technisches Versagen  von Systemen/Anwendungen in A 1.1,  von Netzen, welche für die kDL benötigt werden und  der primären Speichersysteme, verbunden mit dem Verlust aller o Rezepturen, o Logistikdaten, o Qualitätsdaten sowie o Kunden-/Partnerdaten. A 2.4 Menschliche Fehlhandlungen, menschliches Versagen Bei allen kritischen Prozessschritten ist die Möglichkeit menschlichen Versagens mit dem schlimmsten möglichen Fall zu bewerten. A 2.5 Infrastrukturelle Mängel (baulich, Versorgung mit Strom etc.) Aufgrund der Verfügbarkeitsanforderungen sind alle infrastrukturellen Mängel zu betrachten, die mit einer der Bedrohungen in 2.3.1 zusammenhängen. A 2.6 Verwendung ungeeigneter Netze/Kommunikationsverbindungen, sonstige Schwächen in der Kommunikationsarchitektur Je nach Betriebsmodell sind die Schwachstellen in der Absicherung folgender Bereiche zu betrachten:  Datenschnittstellen zu externen Dienstleistenden  Netze für Wartung durch Dritte  Schnittstellen zu Auftraggebende/Versorgungsempfangenden - TLP Amber - Seite 25 - freigegeben -  Schnittstellen zu Partnerinnen und Partner  Netze für Versorgung durch Dritte A 2.7 Verkopplung von Diensten (Beeinträchtigung eines Dienstes durch Störung anderer Dienste) Je nach Betriebsmodell sind die Schwachstellen in der Absicherung folgender Bereiche zu betrachten:  durch Dritte betriebene IT  externes RZ  Wartung durch Dritte  sonstige ausgelagerte (Teil-)Prozesse  Versorgung durch Dritte A* 2.1 Fehlende Detektion Bei mangelnder Detektion kann ein Angriff lange Zeit vorbereitet und geübt werden, sodass im entscheidenden Moment besonders effektiv zuschlagen werden kann. A* 2.2 Fehlende Reaktion Bei mangelnder Fähigkeit zur Reaktion auf IT- Sicherheitsvorfälle kann im Ernstfall die kDL nicht in notwendigem Umfang oder schnell genug wiederhergestellt werden. Tabelle 8 Schwachstellen - TLP Amber - Seite 26 - freigegeben - 3 RISIKOMANAGEMENT UND REIFEGRADBETRACHTUNGEN Im Rahmen des ISMS (siehe Kapitel 4.1.1) ist ein auf die in Kapitel 1.4.1 genannten KRITIS-Schutzziele ausgerichtetes Risikomanagement zu etablieren und zu betreiben. Der Risiko-Begriff beschreibt eine noch nicht eingetretene Unsicherheit in Bezug auf zuvor definierte Ziele. Dabei wirkt ein Risiko entweder als Chance oder als Gefahr. Im Kontext dieses Dokuments wird auf negative Auswirkungen (Gefahren) im Hinblick auf Versorgungsengpässe für verschreibungspflichtige Arzneimittel eingegangen. Somit ist das zu erreichende Ziel, eine möglichst hohe Versorgungssicherheit zu gewährleisten. Durch den Einsatz von Sicherheitsmaßnahmen können teilweise neue Risiken entstehen. Daher sollten im Rahmen der Risikoanalyse auch geplante Maßnahmen betrachtet werden. Im nachfolgenden Kapitel 3.1 werden die notwendigen Anpassungen eines vorhandenen Risikomanagements beschrieben. Sofern noch kein Risikomanagement in der Organisation etabliert ist, wird in Anhang C ein pragmatisches Risikomanagement erläutert. 3.1 Anpassung eines vorhandenen Risikomanagements Sofern bereits ein Risikomanagement etabliert ist, kann dieses auch auf die in Kapitel 1.4.1 genannten KRITIS- Schutzziele und die Ausrichtung des Risikomanagements nach KRITIS angepasst werden. Nachfolgend wird auf einzelne Aspekte des Risikomanagements für KRITIS eingegangen, für die unter Umständen das bestehende Risikomanagement anzupassen ist. Der Geltungsbereich des Risikomanagements muss alle für die Erbringung der kDL-relevanten IT-Systeme, Prozesse und Komponenten betrachten, auch wenn diese an Dritte ausgelagert wurden. Im Rahmen der Risikoidentifikation sind Prozesse zu etablieren oder anzupassen, die eine regelmäßige Überprüfung der Gefährdungslage auf neue Bedrohungen und Schwachstellen sicherstellen. In diesen Prozessen ist ebenfalls zu beachten, dass sich die Gefährdungslage aufgrund von Veränderungen an der Systemarchitektur, der Verfahren oder Technologie ändern kann. Alle identifizierten kDL müssen durch angemessene organisatorische und technische Vorkehrungen nach dem Stand der Technik abgesichert werden. Der dafür erforderliche Aufwand sollte dabei bezogen auf den Beitrag der Anlage zur Versorgungssicherheit der Bevölkerung und in einem angemessenen Verhältnis zu den Folgen eines Ausfalls oder einer Beeinträchtigung der betroffenen Kritischen Infrastruktur stehen. Diese Abwägung Anwendungshinweis Risikoakzeptanz: Risiken im Geltungsbereich dürfen gemäß § 8a BSIG nicht akzeptiert werden, sofern Sicherheitsvorkehrungen nach dem Stand der Technik möglich und angemessen sind. Erst für das verbleibende Restrisiko ist eine Risikoakzeptanz möglich. Risikotransfer: Ein Transfer der Risiken, z. B. durch Versicherungen, ist kein Ersatz für die Sicherheitsvorkehrungen gemäß § 8a BSIG. Auch bei Versicherung oder anderem Risikotransfer sind angemessene Sicherheitsvorkehrungen nach dem Stand der Technik vorzunehmen. Es steht den Betreibenden aber frei, sich zusätzlich z. B. aus betriebswirtschaftlichem Interesse zu versichern. Anwendungshinweis 6 Risikotransfer und Risikoakzeptanz - TLP Amber - Seite 27 - freigegeben - wirtschaftlicher Interessen gegenüber dem Anteil der Anlage zur Versorgungssicherheit der Bevölkerung ist durch die Betreibenden durchzuführen und zu dokumentieren. Die Betreibenden sind verpflichtet, Maßnahmen zur Verringerung der für die kDL- relevanten Risiken zu treffen. Risiken dürfen nicht allein aus rein wirtschaftlichen Gründen akzeptiert werden, da die Vermeidung von Versorgungsengpässen im Vordergrund steht. Die Verlagerung der Risiken mittels Versicherungen ist im Regelfall nicht zielführend, um die KRITIS-Schutzziele zu erreichen. Um die Wirksamkeit des Risikomanagementsystems zu bewerten, sollten die Betreibenden regelmäßig die Leistung des Risikomanagementsystems an ihrem Zweck, den Umsetzungsplänen, Indikatoren und dem erwarteten Verhalten messen. Des Weiteren müssen die Betreibenden überprüfen, ob das Risikomanagementsystem weiterhin geeignet ist, die Erreichung der Schutzziele zu unterstützen. 3.2 Aufbau eines Risikomanagements Sofern noch kein Risikomanagement etabliert ist, kann das im Anhang C beschriebene Risikomanagement verwendet werden. Das Risikomanagement ist angelehnt an DIN ISO/IEC 31000 und kann durch die Betreibenden zur Betrachtung von Unternehmensrisiken erweitert werden. Die DIN ISO/IEC 31000 wurde aufgrund ihrer hohen Verbreitung, Aktualität und Prozessorientierung als Basis gewählt. Das Risikomanagement kann sich allerdings auch an einem beliebigen anderen Risikomanagementstandard, wie beispielsweise der ISO/IEC 27005 oder dem BSI- Standard 200-3, orientieren. 3.3 Reifegrad- und Umsetzungsgradbetrachtungen Im Rahmen des ISMS (siehe Kapitel 4.1.1) und zur Unterstützung des kontinuierlichen Verbesserungsprozesses (PDCA-Zyklus) im ISMS sollten durch den Betreibenden zusätzlich zu den BC/DR Maßnahmen (siehe 4.1.4) und zur Umsetzung des ISMS selbst Key-Performance-Indicators (KPIs) zum ISMS sowie zum BCMS verwendet und im Rahmen der KRITIS-Prüfung (siehe: Nachweisdokument P gemäß § 8a Absatz 3 BSIG) bewertet werden. Dies sollte ebenfalls für die Umsetzung der Maßnahmen und die Umsetzung der Systeme zur Angriffserkennung (siehe Kapitel 4.1.3) realisiert werden. Anwendungshinweis Die KRITIS-Risikoanalyse muss nicht parallel zu vorhandenen Risikoanalysen durchgeführt werden. Vorhandene Analysen können um die KRITIS-relevanten Aspekte wie Schutzziele (Vertraulichkeit, Integrität, Verfügbarkeit und Authentizität), den Allgefahrenansatz und den Bewertungsfokus „Versorgungsausfall für die Bevölkerung“ erweitert werden, um Ressourcen zu schonen und konsistent zu agieren. Das für KRITIS geforderte Risikomanagement und ISMS können zusammen mit bestehenden Managementsystemen in einem integrierten Managementsystem (vergleiche Anwendungshinweis Kapitel 4.1.1) realisiert werden. Anwendungshinweis 7 Integrierte Risikoanalyse & integrierte Managementsysteme - TLP Amber - Seite 28 - freigegeben - Reifegradbetrachtungen zum Risikomanagement des Betreibenden können ebenfalls als KPIs in der KRITIS-Prüfung Verwendung finden. Anwendungshinweis Im Folgenden soll ein Beispiel für einen möglichen KPI für ein ISMS geben werden. KPI: Anzahl der erfolgreich bestandenen internen und externen Audits Beschreibung: Dieser KPI misst die Anzahl der erfolgreichen internen und externen Audits innerhalb eines definierten Zeitraums. Ein erfolgreiches Audit bedeutet, dass keine wesentlichen Nichtkonformitäten festgestellt wurden, die das ISMS gefährden könnten. Zielwert: 100% erfolgreiche Audits pro Jahr Messmethodik: Anzahl der erfolgreichen Audits / Gesamtanzahl der Audits * 100 Datenquelle: Auditberichte Verantwortlich: ISMS-Manager, Interne Revision Anwendungshinweis 8 Mögliche KPIs für ISMS und BCMS Anwendungshinweis Im Folgenden soll ein Beispiel für einen möglichen KPI für ein BCMS geben werden. KPI: Erfolgsquote der Notfallübungen Beschreibung: Dieser KPI misst den Prozentsatz der Notfallübungen, die erfolgreich abgeschlossen wurden. Eine erfolgreiche Übung bedeutet, dass die definierten Ziele und Anforderungen vollständig erreicht wurden. Zielwert: 90% Erfolgsquote pro Jahr Messmethodik: Anzahl erfolgreicher Übungen / Gesamtanzahl der Übungen * 100 Datenquelle: Übungsberichte, Feedback der Teilnehmer Verantwortlich: BCMS-Manager, Übungsleiter - TLP Amber - Seite 29 - freigegeben - TEIL II SICHERHEITSANFORDERUNGEN NACH STAND DER TECHNIK UND VORGEHENSWEISEN - TLP Amber - Seite 30 - freigegeben - 4 ABZUDECKENDE THEMEN Dieses Kapitel befasst sich mit den Themen, die im Rahmen der Umsetzung des § 8a BSIG durch Anwendende dieses B3S Pharma behandelt werden müssen. Dabei werden die Begriffe „muss“, „soll“ und „kann“ wie folgt verwendet:  „Muss“: Die entsprechenden Maßnahmen sind verbindlich umzusetzen und dürfen nicht ausgelassen werden. In begründeten Einzelfällen lässt sich die Umsetzung durch angemessene Übergangsmaßnahmen herauszögern. Dies muss dokumentiert werden.  „Soll/sollte“: Die entsprechenden Maßnahmen und Anforderungen sind zu beachten und in der Regel ebenfalls umzusetzen. Abschwächungen oder Auslassungen sind in begründeten Einzelfällen zulässig, müssen aber dokumentiert werden.  „Kann/könnte“: Die entsprechenden Abschnitte stellen Empfehlungen dar, die auch ohne Begründung ausgelassen werden dürfen. Die in diesem Kapitel genannten Maßnahmen stellen das zu erfüllende Minimum dar, um die Risiken für die kDL- relevanten IT-Systeme, Prozesse und Komponenten zu minimieren. Die Risiken werden durch die in Kapitel 2 genannten Bedrohungen und Schwachstellen verursacht. Sofern in der durchgeführten Risikoanalyse weitere Maßnahmenbedarfe identifiziert werden, sollten entsprechende Maßnahmen zeitnah umgesetzt werden. Für alle Maßnahmen kann die Verhältnismäßigkeit geprüft werden. Wenn der Aufwand zur Umsetzung einer Maßnahme nicht in angemessenem Verhältnis zu den potentiellen Auswirkungen steht, sollte die Verwendung alternativer Maßnahmen geprüft und dokumentiert werden. Sollte es keine verhältnismäßigen Maßnahmen geben, die den notwendigen Schutz erreichen, sollte die kDL mit verhältnismäßigen Maßnahmen so gut wie möglich abgesichert werden. Risiken im Geltungsbereich müssen gemäß § 8a BSIG behandelt werden und dürfen nicht akzeptiert werden, sofern Sicherheitsvorkehrungen nach dem Stand der Technik möglich und angemessen Anwendungshinweis Die verwendeten Begriffe sind entsprechend der Gesetzesbegründung des IT-Sicherheitsgesetzes zu verstehen. „Die Verpflichtung zur Berücksichtigung des Stands der Technik schließt die Möglichkeit zum Einsatz solcher Vorkehrungen nicht aus, die einen ebenso effektiven Schutz wie die anerkannten Vorkehrungen nach dem Stand der Technik bieten.“ [Zitat: BSI FAQ] Anwendungshinweis Maßnahmen gelten gemäß § 8a Absatz 1 Satz 3 BSIG dann als angemessen, wenn die Maßnahmen dem Stand der Technik entsprechen und wenn der zur Umsetzung erforderliche Aufwand nicht außer Verhältnis zu den Folgen eines Ausfalls oder einer Beeinträchtigung der kritischen Dienstleistung steht. Anwendungshinweis 9 Interpretation Stand der Technik (Allgemeine KRITIS-Hinweise des BSI) Anwendungshinweis 10 Angemessene Maßnahmen - TLP Amber - Seite 31 - freigegeben - sind. Erst für das verbleibende Restrisiko ist eine Risikoakzeptanz möglich. Bei akzeptierten Risiken muss regelmäßig geprüft werden, ob es neue, angemessene Maßnahmen gibt, um das Risiko ausreichend zu reduzieren. 4.1 Allgemeine Anforderungen und Maßnahmen zur Gewährleistung der Informationssicherheit Die nachfolgend aufgeführten Maßnahmen dienen dem Schutz der Informationssicherheit im Allgemeinen sowie dem Schutz der kDL-relevanten IT-Systeme, Prozesse und Komponenten und müssen entsprechend ihrer Kategorisierung (muss/soll/kann) im Geltungsbereich dieses B3S Pharma umgesetzt werden. Von der Unternehmensführung müssen die notwendigen personellen und monetären Ressourcen für die Umsetzung des B3S bereitgestellt werden. Die eingesetzten Personen müssen über die notwendigen Fachkenntnisse zur Umsetzung verfügen oder vorab entsprechend geschult werden. 4.1.1 Informationssicherheitsmanagementsystem (ISMS) „Betreiber Kritischer Infrastrukturen“ sind gem. § 8a Absatz 1 BSIG verpflichtet, ein angemessenes Sicherheitsniveau für IT-Systeme, Prozesse und Komponenten zu etablieren, sofern diese für die Erbringung der kritischen Dienstleistung notwendig sind. Zur Erreichung der Schutzziele muss im Rahmen eines ganzheitlichen Ansatzes ein geeignetes und angemessenes Informationssicherheitsmanagementsystem für kDL-relevante Bereiche, IT-Systeme, Prozesse und Informationen, beispielsweise nach DIN ISO/IEC 27001 oder vergleichbar, umgesetzt und gelebt werden. Das ISMS kann zertifiziert werden. Sofern weitere Managementsysteme beim Betreibenden existieren (z. B. GMP, GDP, Datenschutz- Managementsysteme (DSMS) oder Qualitätsmanagementsysteme (QMS)), sollte die Zusammenführung vorhandener und neu einzuführender Managementsysteme zu einem integrierten Managementsystem (IMS) geprüft und realisiert werden. Die Etablierung und Verbesserung der Informationssicherheit muss dabei als kontinuierlicher Prozess betrachtet werden und dem PDCA-Managementzyklus (Plan/Planen, Do/Implementieren, Check/Überprüfen, Act/Optimieren; siehe Abbildung 2 PDCA-Managementzyklus) folgen. Anwendungshinweis Das ISMS sollte nicht parallel zu bestehenden Managementsystemen aufgesetzt werden. Es kann EIN integriertes Managementsystem realisiert werden, da dadurch Ressourcen gespart und Unstimmigkeiten zwischen den Systemen vermieden werden können. Anwendungshinweis 11 Integriertes Managementsystem - TLP Amber - Seite 32 - freigegeben - Abbildung 2 PDCA-Managementzyklus Zur Umsetzung des ISMS auf allen Ebenen einer Organisation müssen geeignete Organisationsstrukturen für die Informationssicherheit vorhanden sein. Hierzu müssen Rollen definiert und Verantwortlichkeiten für die Informationssicherheit und die zugehörigen Prozesse festgelegt werden. Alle im Rahmen des ISMS festgelegten Vorgaben und Regelungen müssen schriftlich dokumentiert sowie von der Unternehmensleitung oder den zuständigen Verantwortlichen formell und verbindlich in Kraft gesetzt werden. Zudem muss sichergestellt werden, dass die entsprechenden Dokumente allen betroffenen Beschäftigten sowie relevanten externen Parteien bekannt und zugänglich gemacht werden. Um die Erreichung eines angemessenen Sicherheitsniveaus sicherzustellen und dieses ggf. zu optimieren, müssen alle Vorgaben und Maßnahmen in geplanten Abständen sowie nach erheblichen Änderungen an relevanten Systemen und Prozessen auf ihre bestehende Angemessenheit und Wirksamkeit überprüft werden. 4.1.2 Asset-Management Zur Identifikation, Klassifizierung und Inventarisierung von für die kDL maßgeblichen IT- Systemen, Prozessen und Komponenten muss ein angemessenes Asset-Management (Werte-Management) etabliert werden. Anwendungshinweis Zur Wahrung der Wirtschaftlichkeit können die Überprüfungen im Rahmen der Check-Phase stichprobenartig erfolgen. Stichproben müssen so gewählt werden, dass sie aussägekräftig für die zu überprüfende Maßnahme sind. Wie Stichproben gewählt werden, sollte dokumentiert sein. Anwendungshinweis 12 Check-Phase - TLP Amber - Seite 33 - freigegeben - Hierfür müssen insbesondere die Verantwortlichkeiten für jedes Asset (jeden Wert) klar und eindeutig, unter Kenntnisnahme durch die jeweiligen Verantwortlichen, zugewiesen werden. Die Verantwortlichen müssen sicherstellen, dass jedes Asset nachvollziehbar und schriftlich erfasst ist (z. B. in einem Asset- Register). Zudem sind sie für die Aktualität der Dokumentation bei Änderungen oder Auflösung des Assets verantwortlich. Um Daten und Informationen vor unberechtigtem Zugang zu schützen, müssen im Unternehmen Grundsätze und Regelungen zur Informationsklassifizierung und -handhabung beschrieben und angewendet werden. Die Klassifizierung von Informationen, Assets und Asset-Gruppen gemäß ihrer Kritikalität (z. B. aufgrund von gesetzlichen Nachweispflichten oder kDL-Relevanz) dient dazu, grundlegende Sicherheitsmaßnahmen für deren Schutz sowie Anweisungen für deren Handhabung festzulegen. Für die Handhabung jedes Assets, insbesondere von Geräten und Betriebsmitteln, müssen schriftlich dokumentierte Regelungen erstellt werden. Dabei können die gleichen Regelungen und Dokumente für mehrere Assets oder mehrere Asset-Gruppen gelten. Welche Regelungen bei der Benutzung eines Assets anzuwenden bzw. wo diese Regelungen nachzulesen sind, muss den jeweiligen Anwendenden bekannt sein. Nicht mehr benötigte Dokumente, Informationen und Datenträger sollten entsprechend ihrer Klassifizierung vernichtet bzw. zerstört werden. Insbesondere bei Geräten und Betriebsmitteln, die Speichermedien enthalten, sollte sichergestellt werden, dass jegliche sensiblen Daten vor ihrer Entsorgung oder Wiederverwendung entfernt oder unbrauchbar gemacht worden sind. Die Vernichtung sollte gemäß den Vorschriften der Norm DIN 66399 erfolgen. Weitere Informationen zur Umsetzung der Maßnahmen sowie zusätzliche Maßnahmen finden sich beispielsweise in der DIN ISO/IEC 27002. Die relevanten Kapitel sind im Anhang D.1 genannt. Anwendungshinweis Zur besseren Inventarisierung und Handhabung können Assets mit ähnlichem Einsatzzweck und ähnlicher Kritikalität in Asset-Gruppen zusammengefasst werden. Es können auch Assets verschiedener Kritikalität gruppiert werden. In diesem Fall sollte die Gruppe gemäß den höchsten Schutzanforderungen gehandhabt werden. Anwendungshinweis 13 Gruppieren von Assets Anwendungshinweis Zu den Regelungen zur Handhabung von Assets zählen beispielsweise Betriebshandbücher, Verfahrensanweisungen und unternehmensweite Regelungen. Die Regelungen sollten einfach für die jeweiligen Anwendenden zugänglich sein. Dazu können sie beispielsweise im Intranet veröffentlicht werden. Insbesondere bei Ausdrucken der Regelungen sollte auf die Aktualität und Gültigkeit geachtet werden. Anwendungshinweis 14 Regelungen zur Handhabung von Assets - TLP Amber - Seite 34 - freigegeben - 4.1.3 Vorfallerkennung und -bearbeitung Seit dem 1. Mai 2023 sind „Betreiber Kritischer Infrastrukturen“ gemäß § 8a Abs. 1a BSIG dazu verpflichtet, im Rahmen der Vorfallerkennung und -bearbeitung, Systeme zur Angriffserkennung (SzA) als integralen Bestandteil der angemessenen organisatorischen und technischen Vorkehrungen zu implementieren. Des Weiteren müssen sie den ordnungsgemäßen Einsatz dieser Systeme im Rahmen des Nachweises gemäß § 8a Absatz 3 BSIG ebenfalls belegen. Die Angemessenheit der organisatorischen und technischen Vorkehrungen wird anerkannt, wenn der erforderliche Aufwand für die Umsetzung nicht unverhältnismäßig im Vergleich zu den möglichen Auswirkungen einer Beeinträchtigung oder eines Ausfalls der Kritischen Infrastruktur steht. Zur Risikobehandlung müssen „Betreiber Kritischer Infrastrukturen“ im Rahmen eines Vorfallmanagements geeignete Prozesse zur Vorfallerkennung, -bearbeitung sowie -nachbereitung festlegen. Das Vorfallmanagement muss auf Grundlage von Risikoanalysen Maßnahmen zur Gefahrenabwehr sowie zur Auswirkungsminimierung definieren. Das Vorfallmanagement sollte im Rahmen eines IMS umgesetzt werden. Es bildet den Rahmen zur Detektion, Einstufung, Reaktion und Nachbereitung von Angriffen oder sonstigen IT-Vorfällen/Störungen. Hierzu müssen verantwortliche Personen benannt werden, welche Entscheidungen über das Vorgehen treffen können. Es muss sichergestellt sein, dass alle relevanten gesetzlichen und vertraglichen Bestimmungen bei der Protokollierung und Auswertung beachtet werden. Weiterhin muss im Rahmen der Risikobehandlung ein geeigneter Prozess zur Vorfallprävention etabliert sein. Dazu gehört unter anderem die Detektion und Meldung von erkannten Schwachstellen, potenziellen Bedrohungen oder sonstigen unsicheren System- oder Anlagenzuständen sowie die Definition von Meldewegen. Um Bedrohungen und Schwachstellen erkennen zu können, muss sich der Betreibende regelmäßig und in geeigneter Weise über mögliche Schwachstellen und Bedrohungen informieren. Die Informationen darüber sollten entsprechend aufbereitet werden und als Informationsgrundlage für das Risikomanagement in dieses einfließen. Sofern die Systeme zur Angriffserkennung neu eingeführt werden, muss sichergestellt werden, dass die Einführung der Systeme gemäß den Planungsvorgaben in Anhang E dokumentiert werden. Im laufenden Betrieb müssen die Umsetzungen der SzA Maßnahmen in den jeweiligen Betriebsdokumentationen berücksichtigt werden. Die folgenden Tabellen orientieren sich hinsichtlich der Auswahl der umzusetzenden Anforderungen an den Empfehlungen der „Orientierungshilfe zum Einsatz von Systemen zur Angriffserkennung“ des BSI in der Fassung vom 26. September 2022. Anwendungshinweis Der Begriff „neu“ beinhaltet den erstmaligen Aufbau von IT-Systemen zur Angriffserkennung sowie wesentliche Änderungen der SzA-Umgebung wie z. B. Dienstleister- oder Herstellerwechsel. Beim erstmaligen Aufbau müssen alle Maßnahmen der Planungsphase (siehe Anhang E) beachtet werden. Dienstleisterwechsel werden im Rahmen der Dienstleistungsteuerung behandelt. Bei wesentlichen Änderungen ist im Rahmen des Change Managements zu prüfen, welche Planungsschritte neu durchzuführen sind. Anwendungshinweis 15 Änderungen an Angriffserkennungssystemen - TLP Amber - Seite 35 - freigegeben - Protokollierung Titel Stufe Maßnahme Erhebung der Daten MUSS Der Betreibende muss alle zur wirksamen Angriffserkennung auf System- bzw. Netzebene notwendigen Protokoll- und Protokollierungsdaten erheben, speichern und für die Auswertung bereitstellen, um sicherheitsrelevante Ereignisse erkennen und bewerten zu können. Anpassung der Systeme zur Ermöglichung der Detektion/Reaktion SOLLTE Sind die bestehenden Systeme nicht in der Lage, auskömmliche Protokoll- und Protokollierungsdaten bereitzustellen, sollte die Protokollierungsinfrastruktur so angepasst und/oder durch zusätzliche Maßnahmen, Software oder Systeme ergänzt werden, dass Detektion und Reaktion im entsprechend der Erkenntnisse der Risikoanalyse notwendigen Rahmen möglich sind. Erstellung einer Sicherheitsrichtlinie für die Protokollierung MUSS Es muss eine spezifische Sicherheitsrichtlinie erstellt werden, welche konkrete Vorgaben macht, wie, wo und was zu protokollieren ist. Diese Richtlinie muss relevanten Personen bekannt sein und dient als Grundlage für die Umsetzung. Abweichungen bei der Umsetzung sind mit dem Informationssicherheitsbeauftragten (ISB) abzustimmen. Zudem muss regelmäßig überprüft werden, ob die Richtlinie umgesetzt wird. Konfiguration der Protokollierung auf System- und Netzebene MUSS Alle sicherheitsrelevanten Ereignisse müssen gemäß den Herstellervorgaben protokolliert werden. In angemessenen Intervallen muss stichpunktartig überprüft werden, ob die Protokollierung noch korrekt funktioniert. Die Ergebnisse der Überprüfung sind zu dokumentieren. Zentrale Sammlung der Daten in geeigneter Weise MUSS Alle gesammelten sicherheitsrelevanten Protokoll- und Protokollierungsdaten müssen an für den jeweiligen Netzbereich zentralen Stellen gespeichert werden. Die Anzahl an zentralen Stellen zur Speicherung muss möglichst gering gehalten werden und sich mindestens an funktionalen Einheiten orientieren, sodass der Zugriff auf die gespeicherten Daten einfach erfolgen kann. Die Protokollierungsinfrastruktur muss dazu ausreichend dimensioniert sein. Dafür müssen genügend technische, finanzielle und personelle Ressourcen verfügbar sein. Normalisierung und Bereitstellung der Daten MUSS Die gesammelten Protokoll- und Protokollierungsdaten müssen gefiltert, normalisiert, aggregiert und korreliert werden. Die so bearbeiteten Protokoll- und Protokollierungsdaten müssen geeignet verfügbar gemacht werden, damit sie ausgewertet werden können. Datenquellen von außen nach innen SOLLTE Für die Erzielung einer angemessenen Sichtbarkeit von Angriffen sollten die Protokollierungsdatenquellen auf Netzebene von außen (Netzgrenzen) nach innen (Netzbereiche) erschlossen werden. - TLP Amber - Seite 36 - freigegeben - Systemebene erschließen und Datenquellen nach Kritikalität priorisieren SOLLTE Die Systemebene (kritische Anwendungen und Applikationen) sollte ausgehend von den zentralen kritischen Systemen, wie z. B. Anwendungs- und Datenbankserver, Proxies, Gateways, Perimeterschutz, IPS/IDS, Web Application Firewalls (WAF), Anti- Malware-Komponenten, erschlossen werden. Die Priorisierung zur Auswahl der Protokollierungsdatenquellen sollte ausgehend von der Kritikalität der Systeme abgeleitet werden. Detektion Titel Stufe Maßnahme Erstellung einer Sicherheitsrichtlinie für die Detektion von sicherheitsrele- vanten Ereignissen MUSS Es muss eine spezifische Sicherheitsrichtlinie für die Detektion sicherheitsrelevanter Ereignisse erstellt werden. Diese Richtlinie muss relevanten Personen bekannt sein und dient als Grundlage für die Umsetzung. Abweichungen bei der Umsetzung sind mit dem ISB abzustimmen. Zudem muss regelmäßig überprüft werden, ob die Richtlinie umgesetzt wird. Festlegung von Meldewegen für sicherheitsrelevante Ereignisse MUSS Für sicherheitsrelevante Ereignisse müssen geeignete Melde- und Alarmierungswege und die jeweiligen zu informierenden Stellen festgelegt werden. Je nach Vorfall können dies verschiedene Meldewege sein (z. B. Ticketsystem oder direkter Anruf). Alle Personen, die für die Meldung bzw. Alarmierung relevant sind, müssen über ihre Aufgaben informiert sein. Alle Schritte des Melde- und Alarmierungsprozesses müssen ausführlich beschrieben sein. Die eingerichteten Melde- und Alarmierungswege müssen regelmäßig geprüft, erprobt und ggf. aktualisiert werden. Sensibilisierung der Mitarbeitenden MUSS Jeder Beschäftigte muss einen von ihm erkannten Sicherheitsvorfall unverzüglich den relevanten Personen melden. Einsatz von mitgelieferten Systemfunktionen zur Detektion MUSS Falls eingesetzte Systeme oder Anwendungen über Funktionen verfügen, mit denen sich sicherheitsrelevante Ereignisse detektieren lassen, dann müssen diese aktiviert und benutzt werden. Kontinuierliche Überwachung und Auswertung von Protokoll- und Protokollierungs- daten MUSS Alle Protokoll- und Protokollierungsdaten müssen kontinuierlich überwacht und ausgewertet werden. Es ist angebracht dies zu automatisieren, wenn bei relevanten Ereignissen eine unmittelbare Alarmierung der Verantwortlichen gewährleistet ist. Die Prüfung des Ereignisses und ggf. die Reaktion muss innerhalb einer der Erkenntnisse der Risikoanalyse entsprechend geringen Zeitspanne erfolgen. Es müssen Mitarbeitende des Betriebs bzw. Mitarbeitende von Dienstleistern benannt werden, die dafür zuständig sind. Müssen die verantwortlichen Mitarbeitenden aktiv nach sicherheitsrelevanten Ereignissen suchen, z. B. wenn sie IT-Systeme kontrollieren oder testen, müssen solche Aufgaben in entsprechenden Verfahrensanleitungen dokumentiert sein. Für die - TLP Amber - Seite 37 - freigegeben - Detektion von sicherheitsrelevanten Ereignissen müssen genügend personelle Ressourcen bereitgestellt werden. Einsatz zusätzlicher Detektionssysteme MUSS Es müssen Schadcodedetektionssysteme eingesetzt und zentral verwaltet werden. Anhand des Netzplans muss festgelegt werden, welche Netzsegmente durch zusätzliche Detektionssysteme geschützt werden müssen. Insbesondere müssen die im Netzplan definierten Übergänge zwischen internen und externen Netzen um netzbasierte Intrusion Detection Systeme (NIDS) ergänzt werden. Infrastruktur zur Auswertung von Protokoll- und Protokollierungs- daten und Prüfung sicherheitsrelevan- ter Ereignisse MUSS Damit die Protokoll- und Protokollierungsdaten korreliert und abgeglichen werden können, müssen sie alle zeitlich synchronisiert werden. Die gesammelten Ereignismeldungen müssen regelmäßig auf Auffälligkeiten kontrolliert werden. Damit sicherheitsrelevante Ereignisse auch nachträglich erkannt werden können, müssen die Signaturen der Detektions-/Präventionssysteme immer auf aktuellem Stand sein. Diese Anforderungen können durch den Einsatz eines Security Operation Center (SOC) und die Umsetzung eines Security Information und Event Management (SIEM) sowie von Intrusion Detection Systemen (IDS) und Intrusion Prevention Systemen (IPS) erreicht werden. Auswertung von Informationen aus externen Quellen MUSS Um neue Erkenntnisse über sicherheitsrelevante Ereignisse für den eigenen Informationsverbund zu gewinnen, müssen externe Quellen herangezogen werden. Da Meldungen über unterschiedliche Kanäle in eine Institution gelangen, muss sichergestellt sein, dass diese Meldungen von den Mitarbeitenden auch als relevant erkannt und an die richtige Stelle weitergeleitet werden. Informationen aus zuverlässigen Quellen müssen grundsätzlich ausgewertet werden. Alle gelieferten Informationen müssen danach bewertet werden, ob sie relevant für den eigenen Informationsverbund sind. Ist dies der Fall, müssen die Informationen entsprechend der Sicherheitsvorfallbehandlung eskaliert werden. Auswertung der Protokoll- und Protokollierungsdat en durch spezialisiertes Personal MUSS Sofern eine automatisierte Auswertung der Protokoll- und Protokollierungsdaten nicht möglich ist, müssen Mitarbeitende bzw. Mitarbeitende von Dienstleistern speziell damit beauftragt werden, alle relevanten Protokoll- und Protokollierungsdaten (bei einem Verdacht auf sicherheitsrelevante Ereignisse) auszuwerten. Die Auswertung der Protokoll- und Protokollierungsdaten sollte bei diesen höher priorisiert sein, als ihre übrigen Aufgaben. Dieses Personal sollte spezialisierte weiterführende Schulungen und Qualifikationen erhalten. Ein Personenkreis muss benannt werden, der für das Thema Auswertung von Protokolldaten verantwortlich ist. Zentrale Detektion und Echtzeitüberprü- MUSS Es müssen zentrale Komponenten eingesetzt werden, um sicherheitsrelevante Ereignisse zu erkennen und auszuwerten. Zentrale automatisierte Analysen mit Softwaremitteln müssen dazu eingesetzt werden, um alle in der Systemumgebung anfallenden Protokoll- und Protokollierungsdaten aufzuzeichnen, in Bezug - TLP Amber - Seite 38 - freigegeben - fungen von Ereignismeldungen zueinander zu setzen und sicherheitsrelevante Vorgänge sichtbar zu machen. Alle eingelieferten Protokoll- und Protokollierungsdaten müssen lückenlos in der Protokollverwaltung einsehbar und auswertbar sein. Die Daten müssen kontinuierlich ausgewertet werden. Werden definierte Schwellenwerte überschritten, muss automatisch alarmiert werden. Das zuständige Personal muss sicherstellen, dass bei einem Alarm nach fachlicher Bewertung und innerhalb einer der Erkenntnisse der Risikoanalyse entsprechend geringen Zeitspanne eine qualifizierte und dem Bedarf entsprechende Reaktion eingeleitet wird. Die Systemverantwortlichen müssen regelmäßig die Analyseparameter auditieren und anpassen, falls dies erforderlich ist. Zusätzlich müssen bereits überprüfte Protokoll- und Protokollierungsdaten regelmäßig hinsichtlich sicherheitsrelevanter Ereignisse automatisch untersucht werden. Aktuelle Informationen für Schwachstellen als Grundsatz MUSS Als eine zentrale Grundvoraussetzung für die effektive Detektion müssen zudem Informationen zu aktuellen Angriffsmustern für technische Verwundbarkeiten/Schwachstellen fortlaufend für die im Anwendungsbereich eingesetzten Systeme eingeholt werden. Dazu müssen fortlaufend Meldungen von Herstellfirmen (Hard- und Software), Behörden, Medien und weiteren relevanten Stellen geprüft werden und in dokumentierte Prozesse des Schwachstellen- managements sowie als Informationsgrundlage für das Risikomanagement einfließen. Baselining MUSS Bei der Umsetzung von Detektionsmechanismen sollte initial eine Kalibrierung durchgeführt werden, um festzustellen, welche sicherheitsrelevanten Ereignisse im Normalzustand auftreten (Baselining). Dazu sollte bewertet werden, ob dieser Normalzustand in Hinblick auf die Anzahl der falsch positiven Meldungen hingenommen werden kann oder ob Änderungen vorzunehmen sind. Die Kalibrierung sollte bei Änderungen innerhalb des Anwendungsbereichs oder der Bedrohungslage erneut durchgeführt werden. Ereignisse auf Sicherheitsvorfall und automatisierte Systeme auch manuell überprüfen MUSS Sicherheitsrelevante Ereignisse müssen überprüft und dahingehend bewertet werden, ob sie auf einen Sicherheitsvorfall (qualifiziertes sicherheitsrelevantes Ereignis) hindeuten. Die zur Angriffserkennung eingesetzten Systeme sollten in eindeutig zuordenbaren Fällen eine automatisierte Qualifizierung ermöglichen. Nur qualifizierte sicherheitsrelevante Ereignisse sollten den Prozess der Reaktion auslösen. Die Qualifizierung sollte in automatisiert nicht eindeutig zuordenbaren Fällen manuell durch festgelegte Verantwortliche vorgenommen werden. Basierend auf den gewonnenen Erkenntnissen der Qualifizierung müssen die Detektionsmechanismen nachjustiert werden. - TLP Amber - Seite 39 - freigegeben - Reaktion Titel Stufe Maßnahme Definition eines Sicherheitsvorfalls MUSS Ein Sicherheitsvorfall sollte präzise festgelegt und bestmöglich von Störungen abgegrenzt sein. Es ist wichtig, dass alle Mitarbeitenden, die in die Bearbeitung von Sicherheitsvorfällen involviert sind, mit dieser Definition vertraut sind. Erstellung einer Richtlinie zur Behandlung von Sicherheitsvorfällen MUSS Eine Richtlinie zur Behandlung von Sicherheitsvorfällen muss erstellt werden. In dieser Richtlinie sollten der Zweck und das Ziel klar definiert sein, und sämtliche Aspekte im Umgang mit Sicherheitsvorfällen müssen geregelt werden. Hierbei sind Verhaltensregeln für diverse Arten von Sicherheitsvorfällen einzubeziehen. Ebenso sollte die Richtlinie zielgruppenorientierte und praxisrelevante Handlungsanweisungen für alle Mitarbeitenden enthalten. Es ist wichtig, dass die Richtlinie allen Mitarbeitenden bekannt ist, mit dem IT-Betrieb abgestimmt wird und von der obersten Leitung verabschiedet wird. Darüber hinaus sollte die Richtlinie in regelmäßigen Abständen überprüft und aktualisiert werden. Festlegung von Verantwortlichkei- ten und Ansprech- personen bei Sicherheitsvorfällen MUSS Es ist erforderlich, klare Regelungen darüber zu treffen, welche Person für welche Verantwortlichkeiten im Falle von Sicherheitsvorfällen zuständig ist. Für sämtliche Mitarbeitenden müssen klare Aufgaben und Zuständigkeiten in dieser Hinsicht festgelegt werden. Insbesondere diejenigen, die mit der Bearbeitung von Sicherheitsvorfällen betraut sind, sollten über ihre spezifischen Aufgaben und Kompetenzen informiert werden. Dabei ist es wichtig zu klären, wer die Entscheidung über eine mögliche forensische Untersuchung trifft, welche Kriterien dabei angewendet werden und wann eine solche Untersuchung durchgeführt werden soll. Die Kontaktpersonen für sämtliche Arten von Sicherheitsvorfällen müssen allen Mitarbeitenden bekannt sein, und die dazugehörigen Kontaktinformationen sollten stets aktuell und leicht zugänglich sein. Informieren über Sicherheitsvorfälle MUSS Alle relevanten internen und externen Stellen müssen unverzüglich über einen Sicherheitsvorfall informiert werden. Hierbei ist zu überprüfen, ob die Einbindung der Datenschutzbeauftragten, des Betriebs- und Personalrats sowie der Rechtsabteilung erforderlich ist. Gleichzeitig müssen die Meldepflichten gemäß den Vorgaben für Behörden und regulierte Branchen berücksichtigt werden. Es ist außerdem sicherzustellen, dass die betroffenen Stellen umfassend über die notwendigen Maßnahmen informiert werden. Behebung von Sicherheitsvorfällen MUSS Um einen Sicherheitsvorfall erfolgreich zu beheben, muss die verantwortliche Person zunächst das Problem eingrenzen und die Ursache identifizieren. Daraufhin sind die notwendigen Maßnahmen auszuwählen, um das Problem zu lösen. Bevor diese Maßnahmen - TLP Amber - Seite 40 - freigegeben - umgesetzt werden können, ist die Zustimmung der IT- Betriebsleitung erforderlich. Nach der Umsetzung der Maßnahmen muss die Ursache behoben und ein sicherer Zustand wiederhergestellt werden. Es ist wichtig, eine aktuelle Liste von internen und externen Sicherheitsfachkräften zu führen, die bei Sicherheitsvorfällen zu den relevanten Themenbereichen für Fragen hinzugezogen werden können. Darüber hinaus müssen sichere Kommunikationsverfahren mit diesen internen und externen Stellen etabliert werden. Wiederherstellung der Betriebsumgebung nach Sicherheitsvorfällen MUSS Nach einem Sicherheitsvorfall müssen die betroffenen Komponenten aus dem Netzwerk entfernt oder gesperrt werden. Zudem ist die Sicherung aller relevanten Daten erforderlich, die Aufschluss über die Art und Ursache des Problems geben könnten. Eine gründliche Untersuchung der Betriebssysteme und Anwendungen auf Veränderungen muss auf allen betroffenen Komponenten durchgeführt werden. Die Originaldaten sollten von schreibgeschützten Datenträgern wiederhergestellt werden, wobei sämtliche sicherheitsrelevanten Konfigurationen und Patches ebenfalls berücksichtigt werden müssen. Wenn Daten aus Sicherungskopien eingespielt werden, ist sicherzustellen, dass diese nicht vom Sicherheitsvorfall betroffen waren. Nach einem Angriff müssen sämtliche Zugangsdaten auf den betroffenen Komponenten geändert werden, bevor diese wieder in Betrieb genommen werden. Bei der Wiederherstellung der sicheren Betriebsumgebung sollten Anwendende in die Anwendungsfunktionstests einbezogen werden. Nach Abschluss der Wiederherstellung müssen die Komponenten einschließlich der Netzübergänge gezielt überwacht werden. Aufbau von Organisationsstruk- turen zur Behandlung von Sicherheitsvorfällen SOLLTE Um angemessen mit Sicherheitsvorfällen umzugehen, ist es wichtig, geeignete Organisationsstrukturen festzulegen. Hierbei empfiehlt sich die Einrichtung eines Sicherheitsvorfall-Teams, dessen Mitglieder je nach Art des Vorfalls einberufen werden können. Selbst wenn das Sicherheitsvorfall-Team nur für einen spezifischen Fall zusammentritt, sollten im Vorfeld bereits passende Mitglieder benannt und in ihre Aufgaben eingewiesen sein. Es ist ratsam, regelmäßig zu überprüfen, ob die Zusammensetzung des Sicherheitsvorfall-Teams noch angemessen ist, und gegebenenfalls Anpassungen vorzunehmen. Eindämmen der Auswirkung von Sicherheitsvorfällen SOLLTE Während der Ursachenanalyse eines Sicherheitsvorfalls sollte gleichzeitig entschieden werden, ob es vorrangig ist, den entstandenen Schaden einzudämmen oder den Vorfall aufzuklären. Um die Auswirkungen eines Sicherheitsvorfalls abschätzen zu können, sind ausreichende Informationen erforderlich. Es empfiehlt sich daher, bereits im Vorfeld Worst-Case-Betrachtungen für ausgewählte Szenarien durchzuführen. Einstufung von Sicherheitsvorfällen SOLLTE Es ist ratsam, ein einheitliches Verfahren festzulegen, um Sicherheitsvorfälle und Störungen zu klassifizieren. Das Einstufungsverfahren für Sicherheitsvorfälle sollte in Abstimmung - TLP Amber - Seite 41 - freigegeben - zwischen dem Sicherheitsmanagement und dem Störungs- und Fehlerbehebungsprozess (Incident-Management) erfolgen. Festlegung der Schnittstellen der Sicherheitsvorfall- behandlung zur Störungs- und Fehlerbehebung SOLLTE Es ist wichtig, die Schnittstellen zwischen Störungs- und Fehlerbehebung, Notfallmanagement und Sicherheitsmanagement zu analysieren. Dabei sollten potenziell gemeinsam nutzbare Ressourcen identifiziert werden. Die Mitarbeitenden, die in der Störungs- und Fehlerbehebung tätig sind, sollten für die Bearbeitung von Sicherheitsvorfällen sowie für das Notfallmanagement sensibilisiert werden. Das Sicherheitsmanagement sollte darüber hinaus lesenden Zugriff auf die eingesetzten Werkzeuge im Incident- Management haben. Einbindung in das Sicherheits- und Notfallmanagement SOLLTE Die Behandlung von Sicherheitsvorfällen sollte mit dem Notfall- und Continuity-Management abgestimmt sein. Falls es in der Institution eine spezielle Rolle für Störungs- und Fehlerbehebung gibt, sollte auch diese in die Abstimmung einbezogen werden. Eskalationsstrategie für Sicherheitsvorfälle SOLLTE Es ist ratsam, eine Eskalationsstrategie zu formulieren, die zwischen den Verantwortlichen für Störungs- und Fehlerbehebung und allen relevanten Akteuren (u.a. Notfallmanagement, Sicherheitsmanagement etc.) abgestimmt wird. Schulung der Mitarbeitenden des Service Desks SOLLTE Den Mitarbeitenden des Service Desks sollten angemessene Werkzeuge zur Verfügung stehen, um Sicherheitsvorfälle zu erkennen. Sie sollten über das Schutzbedürfnis der betroffenen Systeme und Anwendungen informiert sein und ausreichend geschult werden, um die bereitgestellten Hilfsmittel eigenständig anwenden zu können. Dokumentation der Behebung von Sicherheitsvorfällen SOLLTE Die Behebung von Sicherheitsvorfällen sollte gemäß einem standardisierten Verfahren dokumentiert werden. Hierbei sollten alle durchgeführten Aktionen einschließlich der Zeitpunkte sowie die Protokolldaten der betroffenen Komponenten umfassend festgehalten werden. Dabei ist darauf zu achten, dass die Vertraulichkeit bei der Dokumentation und Archivierung der Berichte gewährleistet ist. Die relevanten Informationen sollten vor dem Abschluss des Vorfalls in die entsprechenden Dokumentations- systeme eingepflegt werden. Es ist empfehlenswert, im Vorfeld mit dem ISB die erforderlichen Anforderungen an die Qualitätssicherung zu definieren. Nachbereitung von Sicherheitsvorfällen SOLLTE Sicherheitsvorfälle sollten standardisiert nachbereitet werden. Die oberste Leitung sollte jährlich über Sicherheitsvorfälle informiert werden. Im Falle eines sofortigen Handlungsbedarfs ist die Leitung unverzüglich zu benachrichtigen. Weiterentwicklung der Prozesse durch Erkenntnisse aus Sicherheitsvorfällen und MUSS Nach der Analyse eines Sicherheitsvorfalls muss überprüft werden, ob die Prozesse und Abläufe im Rahmen der Behandlung von Sicherheitsvorfällen angepasst oder weiterentwickelt werden müssen. Hierbei ist es wichtig, dass alle beteiligten Personen ihre Erfahrungen im Zusammenhang mit dem Vorfall teilen. Es muss eine - TLP Amber - Seite 42 - freigegeben - Branchenentwick- lungen Überprüfung erfolgen, ob es neue Entwicklungen im Bereich Incident-Management und Forensik gibt und ob diese in die entsprechenden Dokumente und Abläufe integriert werden können. Falls Hilfsmittel und Checklisten verwendet werden, beispielsweise für Service-Desk-Beschäftigte, muss geprüft werden, ob diese um relevante Fragen und Informationen erweitert werden müssen. Automatische Reaktion auf sicherheitsrelevante Ereignisse MUSS Bei einem sicherheitsrelevanten Ereignis müssen die eingesetzten Detektionssysteme das Ereignis automatisch melden und in Netzen, in denen die kritische Dienstleistung durch eine automatische Reaktion nicht gefährdet wird, mit geeigneten Schutzmaßnahmen reagieren. In Netzen, in denen die kritische Dienstleistung durch die Umsetzung nicht gefährdet wird, muss es möglich sein, automatisch in den Datenstrom einzugreifen, um einen möglichen Sicherheitsvorfall zu unterbinden. Sollte eine automatische Reaktion nicht möglich sein, muss über manuelle Prozesse sichergestellt werden, dass der mögliche Sicherheitsvorfall unterbunden wird. Der Ausschluss von Netzen oder Netzsegmenten von einer automatischen Reaktion bzw. dem Eingriff in den Datenstrom muss schlüssig begründet sein. Behandlung von Sicherheitsvorfällen MUSS Festgestellte Sicherheitsvorfälle müssen behandelt werden. Meldepflicht nach § 8b Abs. 3 BSIG überprüfen MUSS Bei Störungen und Sicherheitsvorfällen muss überprüft werden, ob diese den Kriterien der Meldepflicht nach § 8b Abs. 3 BSIG entsprechen und die unverzügliche Meldung an das BSI notwendig ist. Ergreifung von automatisierten Maßnahmen bei angriffsbedingten Störungen SOLLTE Die eingesetzten SzA sollten automatisiert Maßnahmen zur Vermeidung und Beseitigung von angriffsbedingten Störungen ergreifen können, sofern das zu Grunde liegende sicherheitsrelevante Ereignis eindeutig qualifizierbar ist. Dabei muss gewährleistet sein, dass ausschließlich automatisiert ergriffene Maßnahmen nicht zu einer relevanten Beeinträchtigung der kritischen Dienstleistung des Betreibendens führen können. Unterstützung von nicht- automatisierten Ereignissen SOLLTE Die eingesetzten SzA sollten auch eine nicht-automatisierte Qualifizierung und Behandlung von Ereignissen unterstützen. Weitere Informationen zur Umsetzung der Maßnahmen sowie zusätzliche Maßnahmen finden sich beispielsweise in der DIN ISO/IEC 27002. Die relevanten Kapitel sind im Anhang D.2 genannt. - TLP Amber - Seite 43 - freigegeben - 4.1.4 Notfall- und Continuity-Management für die kDL Um auf Vorfälle und Schäden, welche die Erbringung der kDL gefährden und sich nicht verhindern lassen, angemessen reagieren zu können, muss jeder „KRITIS-Betreiber“ ein Notfall- und Continuity-Management der kDL implementieren. Das Notfall- und Continuity-Management der kDL ermöglicht in Notfall- und Krisensituationen eine Fortführung oder einen schnellen Wiederanlauf der kDL. Dazu sollte die Einrichtung eines Entscheidungsgremiums (Krisenstab), die Vorbereitung von Telefonlisten von Vorgesetzten und Spezialisten sowie die Bereitstellung eines Notfallhandbuches mit typischen Wiederanlaufverfahren geprüft und umgesetzt werden. Diese Maßnahmen sollten als Bestandteil eines integrierten Managementsystems eingebettet werden. Dadurch können Synergieeffekte ideal genutzt werden. Basierend auf der Risikoanalyse müssen die Anforderungen an die Informationssicherheit zur Aufrechterhaltung des ISMS und zur Erbringung der kDL in widrigen Situationen, beispielsweise Krisen, definiert werden. Anschließend müssen Maßnahmen, Prozesse und Verfahren festgelegt und dokumentiert werden (Notfallplan), um diese Anforderungen zu erfüllen. Die betroffenen Mitarbeitenden müssen für den Notfall geschult werden und sollten den Notfall praktisch üben, damit die Notfallmaßnahmen in Krisensituationen bekannt und eingeübt sind. Der Notfallplan muss in regelmäßigen Abständen auf Aktualität geprüft werden. Für den Notfall sollten Bereitschaftspläne erstellt werden, um die Verfügbarkeit der notwendigen Fachkräfte zu garantieren. Außerdem müssen für den Notfall die Kommunikation und Zusammenarbeit mit Behörden und Dienstleistenden geregelt und ein Wiederanlaufplan für die kDL erstellt werden. Für IT-Systeme, Prozesse oder Komponenten mit sehr hohen Verfügbarkeitsanforderungen muss unter Wahrung der Verhältnismäßigkeit für ausreichende Redundanz gesorgt werden, um die Erbringung der kDL gemäß den vorgegebenen Schutzzielen zu gewährleisten. Weitere Informationen zur Umsetzung der Maßnahmen sowie zusätzliche Maßnahmen finden sich beispielsweise in der DIN ISO/IEC 27002. Die relevanten Kapitel sind im Anhang D.3 genannt. 4.1.5 Branchenspezifische Technik Alle im Rahmen des Risikomanagements abgeleiteten Maßnahmen müssen angemessene organisatorische und/oder technische Vorkehrungen zur Vermeidung, Verminderung oder Begrenzung der Risiken beinhalten. Im Gegensatz zu Standardsoftware für Office-Systeme, wie beispielsweise Windows und Linux für Client- bzw. Serversysteme oder SAP, für deren Absicherung häufig zahlreiche Standardsicherheitsmaßnahmen existieren, ist dies für branchenspezifische Technik nicht im gleichen Maße der Fall. Beispielsweise basieren viele ICS- Komponenten zwar auf den gleichen Betriebssystemen, Veränderungen benötigen aber meist die Freigabe durch die Hersteller, wodurch die Absicherung von ICS-Komponenten nicht mit der von Office-Systemen vergleichbar ist (vgl. BSI ICS-Kompendium11). Gleiches gilt für kritische Server-, Großrechner- oder Mainframe-Systeme, die oft nicht durch Standardschutzmaßnahmen zu schützen sind. Bei der Planung und Umsetzung von Maßnahmen muss daher insbesondere auch auf die Spezifika branchenspezifischer Informationstechnik und sonstiger branchenspezifischer Technik eingegangen werden. Bei der Erbringung der kDL kommt branchenspezifische Technik insbesondere in den in Kapitel 1.1.1 genannten Prozessen und Anwendungen zum Einsatz. 4.1.6 Bauliche/physische Sicherheit Um die für die Erbringung der kritischen Dienstleistung maßgeblichen IT-Systeme, Prozesse und Komponenten zu schützen, müssen bauliche (physische) Sicherheitsvorkehrungen gegen unberechtigten Zutritt sowie anderweitige 11 https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/ICS/ICS- Security_kompendium_pdf.pdf? blob=publicationFile (letzter Zugriff: 12.02.2024) - TLP Amber - Seite 44 - freigegeben - physische Beeinträchtigungen entsprechend der Risikoanalyse und -bewertung konzipiert und getroffen werden. Dabei sollte die Angemessenheit der Maßnahmen betrachtet werden. Für die kDL notwendige Bereiche müssen sichtbar und rechtlich eindeutig durch physische Barrieren begrenzt werden, um unberechtigtes Eindringen zu erschweren (beispielsweise durch Zäune, Mauern, einbruchshemmende Türen und Fenster). Mitarbeitende des Gebäudemanagements oder der Pforte sollten nach Betriebsschluss regelmäßig überprüfen, ob Fenster und Türen verschlossen sind. Die Installation einer geeigneten Einbruchmeldeanlage kann für bestimmte Bereiche die Überprüfung erleichtern oder unterstützen. Um zu gewährleisten, dass nur berechtigte Personen in relevante Bereiche der kDL gelangen können, muss eine wirksame Zutrittskontrolle eingerichtet werden. Zum Schutz vor nicht autorisiertem Zutritt/Zugang zu Betriebseinrichtungen und Betriebsmitteln müssen Schließsysteme oder andere Zutrittskontrollsysteme eingerichtet werden (abschließbare Türen/Schränke/Safes inklusive Schlüsselverwaltung). Zur Organisation von Zutritts- und Zugangsregeln sollten Schutzzonen mit definierten Sicherheitsanforderungen entsprechend des Schutzbedarfs der darin befindlichen Informationen und IT-Systeme und Komponenten festgelegt werden. Die Vergabe von Zutritts- und Zugangsrechten muss dokumentiert sowie verwaltet und überwacht werden. Gäste und betriebsfremde Personen, die kDL-relevante Bereiche betreten, sollten vorab in entsprechenden Örtlichkeiten (beispielsweise Pforte, Empfangshalle, Einfahrt) in Empfang genommen, an- und abgemeldet sowie als Gäste kenntlich gemacht werden. Weiterhin sollten sie in kDL-relevanten Bereichen durchgehend begleitet werden. Eine bereichs- oder standortspezifische Einweisung kann hilfreich sein. Bereiche, in denen sich regelmäßig betriebsfremde Personen aufhalten müssen, wie zum Beispiel Liefer- und Ladezonen, können geringeren Zutrittsbestimmungen unterliegen, wenn sie anderweitig geschützt werden. Dazu sollten diese Bereiche von anderen kritischen Bereichen isoliert werden. Die Übergänge zwischen diesen Bereichen sollten angemessen kontrolliert und geschützt werden. Außerdem sollte das Betreten und Verlassen der entsprechenden Bereiche überwacht werden. Damit betriebsfremde Personen einfacher erkannt werden können, sollten zum Betrieb gehörende Personen optisch erkennbar sein, beispielsweise an einem sichtbar getragenen Firmenausweis. In Unternehmen mit einer kleinen Anzahl an Mitarbeitenden kann darauf verzichtet werden. IT-Systeme, Prozesse und Komponenten mit sehr hohen Verfügbarkeitsanforderungen müssen vor dem Ausfall von Versorgungseinrichtungen, wie zum Beispiel der Stromversorgung, angemessen geschützt werden. Um dies zu erreichen, müssen die extern erreichbaren Versorgungsleitungen angemessen vor unautorisiertem Zugriff geschützt werden. Dieser Schutz kann beispielsweise durch eine unterirdische Verlegung sichergestellt werden. Weiterhin können zur Sicherstellung der Versorgung redundante Versorgungsleitungen, redundante Versorgungsquellen, unterbrechungsfreie Stromversorgungen (USV)- oder Netzersatzanlagen (NEA) zum Einsatz kommen. Weitere Sicherheit kann durch redundante Versorgungsleitungen und redundante Versorgungsquellen erreicht werden. Unter Berücksichtigung der jeweiligen Bauvorschriften und der in der Risikoanalyse identifizierten Bedrohungslage müssen Vorkehrungen zum Schutz vor Feuer und Explosionen getroffen werden. Weiterhin müssen Infrastruktureinrichtungen, insbesondere unterirdische Einrichtungen, vor Überschwemmungen geschützt sein (z. B. durch selbstständige Entwässerungen). Gebäude sollen mit Blitzschutzeinrichtungen, wie zum Beispiel Blitzableitern, ausgestattet sein. Alle für die kDL notwendigen Assets müssen angemessen vor physischen Beeinträchtigungen und fremdem Zugriff geschützt werden. Dabei ist jede Person mit Asset für ihre Systeme verantwortlich. Entsprechende Systeme dürfen nicht ohne vorherige Genehmigung vom Betriebsgelände entfernt werden und müssen auch außerhalb des Betriebs adäquat geschützt werden. Weitere Informationen zur Umsetzung der Maßnahmen sowie zusätzliche Maßnahmen finden sich beispielsweise in der DIN ISO/IEC 27002. Die relevanten Kapitel sind im Anhang D.4 genannt. - TLP Amber - Seite 45 - freigegeben - 4.1.7 Überprüfung im laufenden Betrieb Die Wirksamkeit der getroffenen Maßnahmen zum Schutz der für die Funktionsfähigkeit der kDL maßgeblichen IT- Systeme, Prozesse und Komponenten muss regelmäßig in geeigneter Weise überprüft werden. Diese regelmäßigen Überprüfungen sollten frühzeitig eingeplant werden, um eine Störung der normalen Geschäftsprozesse zu vermeiden. Weiterhin sollte nach den folgenden, ungeplanten Ereignissen geprüft werden:  Änderungen der Bedrohungs-/Gefährdungslage  nicht zuverlässig erklärbare Beeinträchtigungen der IT-Systeme oder Komponenten  erfolgreiche oder potenziell erfolgreiche Angriffe  Änderungen an den für die Funktionsfähigkeit der kDL maßgeblichen IT- oder Kommunikationssystemen Die Überprüfung sollte unabhängig sein und die Einhaltung der kDL-relevanten Richtlinien, Standards und Vorgaben abdecken. Die Überprüfung kann beispielsweise durch Bereichsverantwortliche oder explizit dafür ernannte Mitarbeitende erfolgen. Weitere Informationen zur Umsetzung der Maßnahmen sowie zusätzliche Maßnahmen finden sich beispielsweise in der DIN ISO/IEC 27002. Die relevanten Kapitel sind im Anhang D.5 genannt. 4.1.8 Externe Informationsversorgung und Unterstützung Zur Aufrechterhaltung und stetigen Verbesserung des Sicherheitsniveaus muss eine geeignete Verfahrensweise zur Beschaffung und Verarbeitung von externen sowie internen sicherheitsrelevanten Informationen festgelegt werden. Weiterhin sollten angemessene Kontakte mit Behörden und speziellen Interessengruppen, wie zum Beispiel sicherheitsorientierten Fachverbänden oder Fachkräfteforen, gepflegt werden. Dies gilt insbesondere für aktuelle Entwicklungen in der IT-Sicherheitslage des Pharma-Bereichs. Weitere Informationen zur Umsetzung der Maßnahmen sowie zusätzliche Maßnahmen finden sich beispielsweise in der DIN ISO/IEC 27002. Die relevanten Kapitel sind im Anhang D.6 genannt. Anwendungshinweis Hierbei ist das Einrichten einer Kontaktstelle gemäß § 8b Absatz 3 BSIG gesetzlich vorgeschrieben, um den Erhalt von Informationen durch das BSI gemäß § 8b Absatz 2 Nummer 4 BSIG sicherzustellen. Anwendungshinweis 16 Kontaktstelle BSI - TLP Amber - Seite 46 - freigegeben - 4.1.9 Lieferunternehmen, Dienstleistende und Dritte Sofern Leistungen an IT-Systemen, Prozessen oder Komponenten, welche für die Erbringung der kDL-relevant sind, durch Lieferunternehmen, Dienstleistende oder sonstige Dritte erbracht werden, müssen diese auf die Einhaltung der geltenden Informationssicherheitsanforderungen verpflichtet werden. Um diese zu steuern und zu überwachen, muss eine dokumentierte Verfahrensweise zum Lieferantenmanagement existieren. Weiterhin sollen die notwendigen Prüfrechte im Rahmen des Nachweisverfahrens mit Dienstleistenden vertraglich vereinbart werden. Alle IT-Systeme oder Komponenten, die von Lieferunternehmen bezogen werden, müssen vor ihrem Einsatz auf die Erfüllung der Informationssicherheitsanforderungen überprüft werden. Dienstleistende, die in den Betrieb der kDL oder die Wartung von hierfür relevanten IT-Systemen oder Komponenten eingebunden werden, sollten regelmäßig mindestens stichprobenartig überprüft werden. Sofern Supply-Chain-Partner (SCP) an Prozessen beteiligt sind, die für die Erbringung der kritischen Dienstleistung erforderlich sind, müssen für diese auch Ausfall-Szenarien im Rahmen des Continuity- Managements (Kapitel 4.1.4) betrachtet werden. Wenn ein SCP Dritte (Sub-Unternehmen) zur vollständigen oder teilweisen Vertragserfüllung beauftragt, ist der SCP vollumfänglich für die Koordination dieser Sub-Unternehmen in Bezug auf die vertragsgemäße Erfüllung verantwortlich (§ 278 BGB). Alle Sub-Unternehmen müssen dieselben Anforderungen erfüllen, die für den SCP gelten. Der SCP soll Sub-Unternehmen zudem schriftlich benennen und vor Beginn der Arbeiten vom „KRITIS-Betreiber“ genehmigen lassen. Weitere Informationen zur Umsetzung der Maßnahmen sowie zusätzliche Maßnahmen finden sich beispielsweise in der DIN ISO/IEC 27002. Die relevanten Kapitel sind im Anhang D.7 genannt. 4.1.10 Technische Informationssicherheit Spezifische technische Maßnahmen basieren auf der durchgeführten Bedrohungs- und Schwachstellenanalyse aus Kapitel 2.3. Daher sind diese nicht in diesem Kapitel beschrieben, sondern den jeweiligen Bedrohungen in Kapitel 4.2 zugeordnet. Diese decken alle notwendigen technischen Maßnahmen zur Risikobehandlung ab. Weitere Informationen zur Umsetzung der Maßnahmen sowie zusätzliche Maßnahmen finden sich beispielsweise in der DIN ISO/IEC 27002. Die relevanten Kapitel sind im Anhang D.8 bis D.16 genannt. Anwendungshinweis Im Rahmen der Lieferantenmanagements muss definiert werden, welche Prüfrechte jeweils passend sind. So kann bei einem Dienstleistenden, welcher lokal an den Anlagen des Betreibenden arbeitet, auf ein Prüfrecht verzichtet werden. Bei einer maßgeblichen Auslagerung (wie beispielsweise einem SAP-System) sollen Prüfrechte oder anderweitige Sicherheitsnachweise (wie beispielweise Zertifizierungen) eingefordert werden. Anwendungshinweis 17 Prüfrechte - TLP Amber - Seite 47 - freigegeben - 4.1.11 Personelle und organisatorische Sicherheit Spezifische technische Maßnahmen basieren auf der durchgeführten Bedrohungs- und Schwachstellenanalyse aus Kapitel 2.3. Daher sind diese nicht in diesem Kapitel beschrieben, sondern den jeweiligen Bedrohungen in Kapitel 4.2 zugeordnet. Diese decken alle notwendigen personellen und organisatorischen Maßnahmen zur Risikobehandlung ab. Weitere Informationen zur Umsetzung der Maßnahmen sowie zusätzliche Maßnahmen finden sich beispielsweise in der DIN ISO/IEC 27002. Die relevanten Kapitel sind im Anhang D.8 bis D.16 genannt. 4.2 Spezifische Maßnahmen zur Behandlung der branchenrelevanten Bedrohungen und Schwachstellen Ergibt sich aus der Bewertung der in Kapitel 2 aufgeführten Bedrohungen und Schwachstellen ein Handlungsbedarf, müssen Maßnahmen zur Risikoreduktion abgeleitet werden. Für einen adäquaten Schutz von Informationen und informationsverarbeitenden Systemen werden nachfolgend spezifische Maßnahmen zur Risikobehandlung aufgeführt. Bei der Planung und Umsetzung der zu ergreifenden Maßnahmen muss sichergestellt werden, dass diese wirksam und geeignet sind, um das Risiko ausreichend zu reduzieren. 4.2.1 Maßnahmen zu A1.1 Hacking und Manipulation und A1.9 Schadprogramme Um IT-Systeme und Netzwerke (inkl. Cloud-Systeme) vor Hacking, Manipulation oder dem Einbringen von Schadprogrammen zu schützen, müssen sie ausreichend vor unberechtigtem Zugriff und Zugang geschützt sein. Dabei sollten verschiedene, sich ergänzende Sicherheitstechniken auf verschiedenen Systemebenen zum Einsatz kommen, damit Sicherheitsbedrohungen nicht nur durch Einzelmaßnahmen, sondern das Zusammenwirken verschiedener Maßnahmen reduziert werden. Zugangs- und Zugriffsschutz lassen sich insbesondere durch eine geeignete Wahl der Architektur, also durch eine robuste und widerstandsfähige IT-Infrastruktur, erreichen. Diese sollte mithilfe einer Netzsegmentierung die IT- Systeme, Prozesse und Komponenten in Abhängigkeit ihres Schutzbedarfs in Zonen aufteilen. Die Kommunikation zwischen den Zonen muss untereinander über spezifische Festlegungen reglementiert werden (Zonenmodell). Zur Minimierung von Fehlfunktionen der IT, die sowohl vorsätzlich als auch nicht-vorsätzlich ausgelöst werden können, muss mindestens eine Trennung der kritischen Systeme zur Anlagensteuerung von anderen Systemen und insbesondere dem Extranet (Internet) erfolgen. Dies kann beispielsweise durch Firewalls oder die komplette Trennung von unsicheren Netzen erfolgen. Anwendungshinweis Die Reihenfolge der Zuordnung der Maßnahmen zu den jeweiligen Risikofeldern stellt keine Priorisierung dar, sondern dient einzig der strukturierten und systematischen Behandlung der Risiken. Anwendungshinweis 18 Priorisierung der Maßnahmen - TLP Amber - Seite 48 - freigegeben - Die kDL-relevante Kommunikation mit dem Extranet (Internet) sollte kryptografisch geschützt erfolgen. Hierbei sollte ein aktueller Kryptographie-Algorithmus12 angewendet werden. Zum Schutz vor Angriffen oder dem Einschleusen von Schadprogrammen sollten alle bekannten Infektionswege (Web- und E-Mail-Gateways, Datenübertragungssysteme mit Anbindung an das Internet, USB-Schnittstellen, mobile Datenträger etc.) über einen Malwareschutz oder eine Zugriffssperre abgesichert werden. Zusätzlich müssen Arbeitsplatzsysteme, die für die Erbringung der kDL notwendig sind, über eine geeignete und aktuell gehaltene Endpoint-Protection-Lösung verfügen. Für Produktionssysteme, wie zum Beispiel Großrechneranlagen, Individualsysteme oder Industriesteueranlagen, für die es keine entsprechenden Programme gibt oder auf denen diese Maßnahmen aus unterschiedlichen Gründen nicht eingesetzt werden können oder dürfen, sollte ein Malwareschutz über andere Mechanismen gewährleistet werden. Dies kann beispielsweise über die Trennung der entsprechenden Systeme vom Netzwerk, die Beschränkung des Netzwerkverkehrs zum System, eine Filterung auf Schadsoftware an der Firewall oder die Überprüfung aller anzusteckenden Geräte geschehen. Als Alternative kann auch der Datenverkehr von und zu entsprechenden Systemen überwacht und ggf. gefiltert werden. Als weitere Maßnahme zum Schutz kritischer Standardsysteme kann beispielsweise auch ein File Integrity Monitoring (FIM) oder ein Whitelisting der ausführbaren Dateien oder andere Maßnahmen realisiert werden. Dabei sollte der Nutzen eines Malwareschutzes gegen Risiken wie Ausfälle der kDL durch fehlerhafte Updates, False-Positives (Fehlalarme), Fehlkonfigurationen oder die zusätzliche Systemlast insbesondere bei transaktionsstarken Prozessen abgewogen werden. Weiterhin müssen technische Maßnahmen zur Detektion und Überwachung von sicherheitsrelevanten Ereignissen eingesetzt werden, um Bedrohungen schnellstmöglich zu erkennen sowie die Reaktionszeit auf Ereignisse zu verkürzen, sowie komplexe Angriffsführungen erfassbar zu machen. Dies muss über ein System zur Angriffserkennung (SzA) realisiert werden (Verweis Kapitel 4.1.3). Zusätzlich kann auch ein Angriffsverhinderungs- system (z. B. Spamfilter, DDoS-Schutz, IPS etc.) verwendet werden, welches erkannte Angriffe automatisiert zu verhindern versucht. Protokolle der Angriffserkennungssysteme müssen mindestens die folgenden Informationen enthalten:  Datum und synchronisierte Uhrzeit  Geräteidentität und Systembezeichnung  Art des Events oder Event-ID  Erfolg oder Misserfolg des Events Die Protokolldaten sollten vor Manipulation und unbefugtem Zugriff geschützt werden. Es muss darauf geachtet werden, dass Protokollinformationen nicht unbemerkt bearbeitet oder innerhalb ihrer Aufbewahrungsfrist gelöscht werden können. Das Anlegen und Verwalten der Protokolldaten sollte bei der Kapazitätssteuerung berücksichtigt werden. Für alle eingesetzten Logauswertungs-, Angriffserkennungs- oder Angriffsvermeidungssysteme müssen die zugrundeliegenden Erkennungsmuster und Regeln regelmäßig an die 12 z. B. BSI TR-02102 Kryptographische Verfahren: Empfehlungen und Schlüssellängen - TLP Amber - Seite 49 - freigegeben - aktuelle Gefährdungslage angepasst werden. Detailliertere Beschreibungen und Hinweise zur Protokollierung können beispielsweise der DIN ISO/IEC 27002, dem BSI IT-Grundschutz-Kompendium oder dem BSI ICS- Kompendium entnommen werden. Bei sehr hohen Risiken sollten technische Sicherheitslösungen von verschiedenen Anbietern eingesetzt werden, um potenzielle Schwachstellen in Lösungen einer Herstellfirma ausgleichen zu können. Um Fehlfunktionen oder Ausfälle einzelner informationstechnischer Komponenten zu kompensieren, sollten Systeme, die aufgrund der Risikoanalyse kritische Verfügbarkeitsanforderungen haben, durch angemessene Redundanzen abgesichert werden. Dabei sollte auf die Verhältnismäßigkeit geachtet werden. Die Zugriffsrechte auf Informationen und informationsverarbeitende Systeme müssen auf ein Mindestmaß beschränkt werden. Das bedeutet, Nutzende und Systemkomponenten dürfen nur die erforderlichen Privilegien und Zugriffsrechte haben, um ihre Aufgaben und Funktionen zu erfüllen. Sämtliche Zugriffsrechte müssen über ein Benutzer- und Zugriffsrechtemanagement verwaltet, kontrolliert und regelmäßig durch angemessene Stichproben überprüft werden. Dies kann auch über organisatorische Maßnahmen geschehen, solange diese das gleiche Sicherheitsniveau erreichen. Es muss sichergestellt sein, dass Nutzendeausschließlich Zugriff auf diejenigen Systeme und Netzwerke haben, zu deren Nutzung sie ausdrücklich berechtigt sind. Dies kann zum Beispiel durch eine authentifizierte Anmeldung am System mit Nutzernamen und Passwort erfolgen. Jede neu eingesetzte Software und Hardware sollte auf Schadsoftware geprüft und auf korrekte Funktionalität getestet werden. Des Weiteren muss sichergestellt werden, dass die Software sicher ist und wenn möglich integritätsgeschützt übertragen wird, bevor sie auf kritischen Systemen eingesetzt bzw. mit diesen verbunden wird. Hier sollten Vorgaben zur sicheren Installation und Konfiguration (z. B. Hersteller-Empfehlungen oder das BSI ICS- Security-Kompendium) angewendet werden. Weitere Maßnahmen, um Daten und Informationen vor unberechtigtem Zugang zu schützen, befinden sich unter den in Kapitel 4.1.6 aufgeführten Maßnahmen zum physischen Zugangsschutz sowie unter den in Punkt 4.1.2 beschriebenen Maßnahmen zum Asset-Management. Hier sollten insbesondere die Maßnahmen zur Informationsklassifizierung und -handhabung beachtet werden. Anwendungshinweis Eine weitere, informationstechnisch unabhängige Anlage, die noch freie Kapazitäten hat und damit den Ausfall einer Anlage kompensieren kann, erfüllt die Forderung nach Redundanz. Anwendungshinweis Unter Sicherheitsprüfung ist hier nicht zwangsläufig eine VS-Sicherheitsüberprüfung zu verstehen. Die hier geforderte Sicherheitsüberprüfung soll feststellen, ob einer Person eine kDL- kritische Aufgabe anvertraut werden kann. Dies kann beispielsweise die Überprüfung von Referenzen, das Anfordern von Führungszeugnissen oder ein polizeiliches Führungszeugnis beinhalten. Anwendungshinweis 19 Redundanz Anwendungshinweis 20 Sicherheitsüberprüfung - TLP Amber - Seite 50 - freigegeben - Weitere Informationen zur Umsetzung der Maßnahmen sowie zusätzliche Maßnahmen finden sich beispielsweise in der DIN ISO/IEC 27002. Die relevanten Kapitel sind im Anhang D.8 genannt. 4.2.2 Maßnahmen zu A1.5 Missbrauch (Interne Tatbegehende) Um die Möglichkeit zu vermeiden, Informationen zu missbrauchen oder unbefugt Änderungen an Berechtigungen vorzunehmen, müssen miteinander in Konflikt stehende Aufgaben und Verantwortlichkeitsbereiche voneinander getrennt sein. Mitarbeitende in kritischen Positionen, die zur Erbringung der kDL erforderlich sind, müssen einer Sicherheitsüberprüfung unterzogen werden. Diese sollte in angemessenem Verhältnis zu Gesetzen, Vorschriften, geschäftlichen Anforderungen und dem wahrgenommenen Risiko stehen. Weiterhin sollten alle Mitarbeitende ihre Arbeitsumgebung hinsichtlich Unterlagen, Wechseldatenträgern und Bildschirmsperre ordentlich verlassen, um die Möglichkeiten für Missbräuche zu reduzieren. Beim mobilen Arbeiten müssen die Regeln der Informationssicherheit ebenfalls eingehalten werden. Zur Ahndung von Informationssicherheitsverstößen und zur vorbeugenden Sensibilisierung sollte ein formal festgelegter Disziplinarprozess etabliert und bekanntgegeben werden. Für Tätigkeiten an besonders kritischen Systemen sollten weiterführende Maßnahmen eingeplant werden, wie zum Beispiel die Überprüfung und Freigabe kritischer Änderungen durch einen zweiten Administrator oder Entwickler, abhängig von der Art der Änderung. Weitere Maßnahmen, um sich gegen Missbrauch durch Innentäter zu schützen, befinden sich unter den in Kapitel 4.1.6 aufgeführten Maßnahmen zum physischen Zugangsschutz sowie unter den in Punkt 4.2.1 und 4.2.4 beschriebenen Maßnahmen zum Schutz vor unberechtigtem Zugriff und Zugang. Weitere Informationen zur Umsetzung der Maßnahmen sowie zusätzliche Maßnahmen finden sich beispielsweise in der DIN ISO/IEC 27002. Die relevanten Kapitel sind im Anhang D.9 genannt. 4.2.3 Maßnahmen zu A1.6 Ausfall für IT-Betrieb erforderlicher externer Dienstleistender Sofern externe Dienstleistende an Prozessen beteiligt sind, die für die Erbringung der kritischen Dienstleistung erforderlich sind, müssen für diese auch Ausfall-Szenarien im Rahmen des Continuity-Managements der kDL (Kapitel 4.1.4) betrachtet werden. Wenn ein Dienstleistender Dritte (Sub-Auftragnehmende) zur vollständigen oder teilweisen Vertragserfüllung beauftragt, ist der Dienstleistende vollumfänglich für die Koordination dieser Sub- Auftragnehmenden in Bezug auf die vertragsgemäße Erfüllung verantwortlich (§ 278 BGB). Alle Sub- Auftragnehmenden müssen dieselben Anforderungen erfüllen, die für den Dienstleistenden gelten. Der Dienstleistende muss Sub-Unterauftragnehmende zudem schriftlich benennen und vor Beginn der Arbeiten vom „KRITIS-Betreiber“ genehmigen lassen. Bei Systemen und Prozessen mit sehr hohen Verfügbarkeitsanforderungen sollte geprüft werden, ob ein alternativer Dienstleistender vorab identifiziert und eingeplant werden sollte, der im Falle eines Ausfalls die Erfüllung der Dienstleistung übernehmen kann. Weitere Maßnahmen, um die Auswirkungen von Dienstleisterausfällen zu begrenzen, befinden sich unter den in Kapitel 4.1.9 beschriebenen Maßnahmen zum Lieferantenmanagement. 4.2.4 Maßnahmen zu A1.7 Unbefugter Zugriff Um zu verhindern, dass unbefugt auf Informationen, Daten oder Systeme zugegriffen werden kann, muss ein angemessenes Benutzer- und Berechtigungsmanagement etabliert und dokumentiert werden. Dieses muss den gesamten Zyklus der Zugangs- und Zugriffsverwaltung von Regelungen zur Vergabe von Rechten, - TLP Amber - Seite 51 - freigegeben - Authentifizierungsmethoden, Überprüfung von Benutzerrechten bis hin zu Anpassung oder Entzug von Rechten enthalten. Abhängig von der Kritikalität von spezifischen Systemen oder Prozessen sollten weiterführende Maßnahmen, wie beispielsweise die verschlüsselte Authentifizierung oder die Zwei-Faktor-Authentifizierung eingeführt werden. Beim Zugriff von Mitarbeitenden und Dienstleistenden über einen Fernzugriff auf die Systeme zur Erbringung der kDL müssen eine Zwei-Faktor-Authentifizierung oder äquivalente Sicherheitssysteme genutzt werden. Der Zugriff muss hierbei überwacht werden. Weitere Maßnahmen, um sich vor unbefugtem Zugriff zu schützen, befinden sich unter den in Kapitel 4.1.2 aufgeführten Maßnahmen zur Informationsklassifizierung und -handhabung sowie unter den in Punkt 4.2.1 beschriebenen Maßnahmen zum Schutz vor Hacking und Manipulationen. 4.2.5 Maßnahmen zu A1.8 Diebstahl, Verlust, Zerstörung von IT oder IT-relevanten Anlagen und Anlagenteilen sowie A1.13 Beschädigung oder Zerstörung verfahrenstechnischer Komponenten, Ausrüstung und Systeme Die für die Funktionsfähigkeit der kDL maßgeblichen IT-Systeme müssen angemessen vor Beschädigung oder Zerstörung durch vorsätzliche Angriffe und Unfälle geschützt werden. Maßnahmen zum Schutz vor Diebstahl, Beeinträchtigungen durch Naturgefahren sowie vor mutwilliger Zerstörung befinden sich in den in Kapitel 4.1.6 aufgeführten Maßnahmen zum physischen Zugangsschutz. Maßnahmen, um einem Ausfall von Technik entgegenzuwirken oder einen solchen Ausfall zu kompensieren, befinden sich in den unter Punkt 4.2.1 und 4.2.4 beschriebenen Maßnahmen zum Schutz vor unberechtigtem Zugriff und Zugang. Im Rahmen des unter Punkt 4.1.2 beschriebenen Asset-Managements wird die erlaubte Mitnahme bzw. das Entfernen von Geräten, Betriebsmitteln, Informationen oder Software festgelegt. 4.2.6 Maßnahmen zu A1.11 Gezielte Störung/Verhinderung von Diensten und A1.12 Advanced Persistent Threat Maßgeblich für einen zielgerichteten Schutz ist die Klassifizierung der Werte entsprechend ihrer Kritikalität, wie sie im Rahmen des Asset-Managements (siehe Kapitel 4.1.2) durchgeführt wird. Maßnahmen, um die Wahrscheinlichkeit von erfolgreichen, gezielten Störungen oder Manipulationen von kritischen Diensten zu verringern, sind in den Kapiteln 4.2.1 und 4.2.4 beschrieben. Diese gezielten Störungen könnten beispielsweise durch Denial of Service-Angriffe oder APTs erfolgen. Anwendungshinweis 21 Äquivalente Sicherheitssysteme Anwendungshinweis Äquivalente Sicherheitssysteme können beispielweise das manuelle Steuern der Zugriffe (z. B. durch Freigaben der Sitzungen oder das Abschalten der Hersteller-Modems sein). - TLP Amber - Seite 52 - freigegeben - Im Rahmen der Risikoanalyse muss festgestellt werden, ob es kritische Systeme gibt, die zudem einer erhöhten Gefahr durch gezielte Störungen oder Manipulation von Diensten ausgesetzt sind. Für diese Systeme sollten umfassendere Schutzmaßnahmen als auf anderen, weniger risikobehafteten Systemen umgesetzt werden, damit das Risiko ausreichend verringert wird. 4.2.7 Maßnahmen zu A1.14 Ausfall von Basisinfrastrukturen mit direktem Bezug zur IT Alle eingesetzten IT-Systeme, die für die Erbringung der kritischen Dienstleistung relevant sind, müssen vor Ausfällen und Schäden aufgrund von Ausfällen der Basisinfrastruktur, insbesondere der Stromversorgung, geschützt werden. Strom- und sonstige Versorgungseinrichtungen müssen entsprechend der geltenden Vorschriften sowie der Spezifikationen der Herstellfirma eingerichtet sein und regelmäßig auf ordnungsgemäße Funktionalität überprüft werden. Weiterhin sollten sie, vor allem nach Bedarfsänderungen, auf eine ausreichende Auslegung überprüft werden (z. B. hinsichtlich der geschäftlichen Anforderungen und/oder Interaktion mit anderen Versorgungseinrichtungen). Hausinterne Stromkreise sollten zur besseren Absicherung segmentiert und einzeln abgesichert sein. Die Versorgung sollte über getrennte Zuführungen und Zuleitungswege, USV oder NEA geschützt werden. Strom- und Datenleitungen müssen auf geeignete Weise vor äußerlichen Beeinträchtigungen oder Beschädigungen geschützt sein. Das kann durch unterirdische oder nicht sichtbare Verlegung erreicht werden. Es sollten geeignete USV und Notstromaggregate für die Erbringung der kDL geplant und betrieben werden. Diese sollten regelmäßig auf ihre Funktionsfähigkeit geprüft werden. Je nach Risikoeinstufung ist die Überbrückung für wenige Minuten bis mehrere Tage auszulegen. Die Versorgung von Systemen mit sehr hohen Verfügbarkeitsanforderungen sollte durch angemessen redundante Versorgungseinrichtungen sichergestellt werden. Weitere Informationen zur Umsetzung der Maßnahmen sowie zusätzliche Maßnahmen finden sich beispielsweise in der DIN ISO/IEC 27002. Die relevanten Kapitel sind im Anhang D.10 genannt. 4.2.8 Maßnahmen zu AP.1, AL.1 und AV.1 Verdeckte Manipulationen Maßnahmen zur Absicherung gegen verdeckte Manipulation sind in den in Kapitel 4.1.6 aufgeführten Maßnahmen zum physischen Zugangsschutz sowie in den unter Punkt 4.2.1 und 4.2.4 beschriebenen Maßnahmen zum Schutz vor unberechtigtem Zugriff und Zugang aufgeführt. An der Erbringung der kDL beteiligte Systeme und Komponenten sollten regelmäßig auf Veränderungen beziehungsweise Manipulationen geprüft werden. Um verdeckte Manipulationen an der eigenen kDL-relevanten Produktion festzustellen, müssen geeignete Qualitätskontrollen durchgeführt werden. Die Maßnahmen, Systeme und Prozesse zur Qualitätskontrolle sind dabei von zentraler Bedeutung für den Schutz und müssen daher sorgfältig durch entsprechende dokumentierte Maßnahmen vor verdeckten Manipulationen geschützt werden. 4.2.9 Maßnahmen zu A2.1 Organisatorische Mängel Das Unternehmen muss geeignete organisatorische Strukturen schaffen, um die Informationssicherheit durchgehend in allen kDL-relevanten kritischen Geschäftsprozessen aufrecht zu erhalten. Die Wahrung der Informationssicherheit muss Aufgabe der Unternehmensleitung sein. Diese muss den Aufbau und Betrieb des ISMS unterstützen und alle hierfür erforderlichen Ressourcen bereitstellen. Wesentlich für die Umsetzung der Informationssicherheit ist eine klare Definition von Verantwortlichkeiten und Pflichten. Diese müssen mittels definierter Rollen festgelegt und zugeordnet sowie allen Mitarbeitenden bekannt gemacht werden. Dabei muss darauf geachtet werden, dass miteinander in Konflikt stehende Aufgaben - TLP Amber - Seite 53 - freigegeben - (beispielsweise die Durchführung und Überwachung einer Tätigkeit) nicht von der gleichen Person vorgenommen werden. Die Unternehmensleitung muss sich aktiv zur Informationssicherheit bekennen und von allen Beschäftigten und Auftragnehmenden die Einhaltung und Umsetzung eingeführter Informationssicherheitsvorgaben und -verfahren verlangen. Sämtliche Vorgaben müssen schriftlich in Richtlinien oder Verfahrensbeschreibungen dokumentiert und relevanten Personen bekanntgemacht werden. Zudem müssen wirksame Kontrollmechanismen zur Überprüfung und Aufrechterhaltung der Informationssicherheit in allen Geschäftsprozessen etabliert sein sowie in regelmäßigen Abständen auf ihre Wirksamkeit geprüft werden. Im Rahmen von Bewusstseins- und Schulungsmaßnahmen sollten alle für die Erbringung der kDL-relevanten Personen regelmäßig für die Informationssicherheit sensibilisiert sowie über die im Unternehmen geltenden Vorgaben informiert werden. Eine Verpflichtung zur Einhaltung der Vorschriften muss zudem Bestandteil in Arbeits-, Lieferanten- und sonstigen Verträgen oder vertragsrelevanten Dokumenten mit Beschäftigten und Auftragnehmenden sein. In diesen müssen auch fortbestehende Verantwortlichkeiten und Pflichten im Bereich der Informationssicherheit bei Änderung oder Beendigung des Vertrags- oder Beschäftigungsverhältnisses geregelt sein. Zur Berücksichtigung relevanter interner sowie externer Interessensgruppen sollte im Rahmen des ISMS ein Stakeholder-Management etabliert werden. Darin müssen Regelungen für die angemessene Kommunikation und den Kontakt mit interessierten Parteien festgelegt werden. Hierzu kann eine Kommunikationsmatrix erstellt werden. Weitere Informationen zur Umsetzung der Maßnahmen sowie zusätzliche Maßnahmen finden sich beispielsweise in der DIN ISO/IEC 27002. Die relevanten Kapitel sind im Anhang D.11 genannt. 4.2.10 Maßnahmen zu A2.2 Technische Schwachstellen in Software, Firmware und Hardware Um das Risiko zu minimieren, dass fehlerhafte Software, Firmware oder Hardware ins Unternehmen eingebracht und verwendet wird, muss der Umgang, die Verwendung sowie die Veränderung von Software und Systemen beschrieben und geregelt sein. Dies gilt auch für die Dokumentation, die den Umgang mit der entsprechenden Software bzw. den entsprechenden Systemen betrifft, damit diese nicht falsch verwendet werden. Hierbei müssen zunächst Regeln für die Installation von Software durch die verschiedenen Rollen (z. B. Administration, Entwicklung, Office-User) festgelegt und umgesetzt sowie Verfahrensweisen zur Steuerung von Softwareinstallationen auf im Betrieb befindlichen Systemen definiert und implementiert werden. Weiterhin muss sichergestellt werden, dass Informationssicherheitsanforderungen in Entwicklungs- und Unterstützungsprozessen definiert sind. Entwicklungs- und Testsysteme sollten dabei von der Betriebsumgebung getrennt gehalten werden, um das Risiko unerwünschter Auswirkungen zu minimieren und unbefugten Zugriff auf oder Änderungen an Betriebssystemen zu verringern. Zudem muss ein wirksames Änderungsmanagement etabliert werden, welches die folgenden Aspekte beachtet: Anwendungshinweis Aufgrund des BSIG ist das BSI eine der interessierten Parteien. Weiterhin muss die Bevölkerung als interessierte Partei betrachtet werden, da es bei der Erbringung der kDL um ihre Versorgungssicherheit geht. Anwendungshinweis 22 Interessierte Parteien - TLP Amber - Seite 54 - freigegeben -  Der Umgang mit zeitkritischen Änderungen, wie zum Beispiel Sicherheitsupdates, muss vorab im Rahmen des Risikomanagements betrachtet und im Änderungsmanagement festgelegt werden.  Änderungen an Systemen, Hardware oder Software müssen dokumentiert werden.  Für nicht zeitkritische Änderungen sollte der Zeitpunkt für die Änderung so gewählt werden, dass ein möglichst geringes Risiko für die kDL besteht.  Für neue Informationssysteme und signifikante Änderungen an Systemen, welche zur Erbringung der kDL benötigt werden (z. B. Neueinführungen, Release-Wechsel) müssen angemessene Risikoanalysen durchgeführt werden. Weiterhin müssen Abnahmetests und dazugehörige Kriterien festgelegt werden, um sicherzustellen, dass es keine negativen Auswirkungen auf die kDL gibt.  Für geringfügige Anpassungen und Patches sollten angemessene, kleinere Abnahmetests anhand von vordefinierten Kriterien erfolgen.  Änderungen an Systemen, Hardware oder Software sollten auf ein Mindestmaß beschränkt werden. Vor der Durchführung sollte auf Erfordernis und Alternativen geprüft werden. Vor der Übernahme von geänderten oder neuen Systemen in die Betriebsumgebung müssen diese mit ausgewählten Testdaten auf Funktionsfähigkeit und Fehlerfreiheit überprüft werden. Dies sollte in einer separierten Testumgebung geschehen. Weitere Informationen zur Umsetzung der Maßnahmen sowie zusätzliche Maßnahmen finden sich beispielsweise in der DIN ISO/IEC 27002. Die relevanten Kapitel sind im Anhang D.12 genannt. 4.2.11 Maßnahmen zu A2.3 Technisches Versagen von IT-Systemen, Anwendungen oder Netzen (sowie Verlust von gespeicherten Daten) Maßnahmen, um technisches Versagen von IT-Systemen, Anwendungen oder Netzen und dadurch verursachte negative Auswirkungen auf die kDL zu vermeiden, sind in den in Kapiteln 4.2.1 und 4.2.10 aufgeführten Maßnahmen zum Schutz von IT-Systemen und Netzwerken beschrieben. Die unter 4.1.6 angegebenen Maßnahmen zum Schutz vor schädlichen Umwelteinflüssen helfen zusätzlich, das Risiko technischen Versagens zu reduzieren. Um den Verlust von kDL-relevanten Daten bei technischen Ausfällen von kritischen Systemen zu begrenzen, sollten unter Beachtung geltender Gesetze sowie Informationsklassifizierungen und Handhabungsvorgaben regelmäßig Sicherheitskopien von Informationen, Software und Systemabbildern angefertigt (beispielsweise in Speicher- und Archivsystemen) und auf Gebrauchsfähigkeit getestet werden. Der Zeitpunkt für die Erstellung der Sicherheitskopie sollte so gewählt werden, dass die Erbringung der kDL so wenig wie möglich beeinträchtigt wird. Für den Fall von Informationssicherheitsvorfällen sollten zudem Verfahren und ggf. Ausnahmen für die Erstellung von Systemabbildern oder von kurzfristigen Datensicherungen angefertigt werden, um gegebenenfalls Daten rekonstruieren zu können. Die Sicherungen und Systemabbilder können beweissicher sein. Ferner sollte sichergestellt werden, dass alle Beschäftigten und sonstige (externe) Nutzende von Informationen und informationsverarbeitenden Systemen diese bei Beendigung ihres Beschäftigungsverhältnisses, ihres Vertrages oder einer sonstigen Vereinbarung an das Unternehmen zurückgeben. Wenn die entsprechenden Systeme und Informationen nicht vom Betrieb benötigt werden, können diese alternativ vernichtet oder gegebenenfalls den Nutzenden überlassen werden, solange dadurch keine vertraulichen Informationen gefährdet werden. Der Fall eines gravierenden oder langanhaltenden technischen Versagens mit erheblichen Auswirkungen auf die kDL wird durch die Vorgaben und Regelungen des Notfall- und Continuity-Managements (Kapitel 4.1.4) betrachtet. Weitere Informationen zur Umsetzung der Maßnahmen sowie zusätzliche Maßnahmen finden sich beispielsweise in der DIN ISO/IEC 27002. Die relevanten Kapitel sind im Anhang D.13 genannt. - TLP Amber - Seite 55 - freigegeben - 4.2.12 Maßnahmen zu A2.4 Menschliche Fehlhandlungen, menschliches Versagen Zur Verhinderung von Fehlhandlungen in Arbeitsabläufen oder bei der Bedienung oder Administration von Systemen muss sichergestellt werden, dass erforderliche Bedien- und Betriebsabläufe dokumentiert sind und den Personen, die sie benötigen, zur Verfügung stehen. Weiterhin muss im Rahmen des Personalmanagements darauf geachtet werden, dass Bedien-, Benutzer- und Administratortätigkeiten nur von ausreichend qualifiziertem Personal durchgeführt werden. Alle Beschäftigten des Unternehmens sowie Dienstleistende und Auftragnehmende, die Tätigkeiten an IT-Systemen durchführen, müssen regelmäßig zu den, für ihr berufliches Arbeitsgebiet relevanten, geltenden Richtlinien und Verfahren des Unternehmens geschult bzw. unterwiesen werden. Um zu verhindern, dass Aktionen nach Fehlhandlungen oder menschlichem Versagen abgestritten werden und nicht mehr nachvollziehbar sind, sollten zudem geeignete Maßnahmen zur Dokumentation von relevanten Handlungen sowie Informations- und Systemzugriffen eingerichtet werden. Die unter 4.2.1 aufgeführten Maßnahmen zur Protokollierung gewährleisten, dass Fehler besser erkannt und behoben werden können. Weitere Informationen zur Umsetzung der Maßnahmen sowie zusätzliche Maßnahmen finden sich beispielsweise in der DIN ISO/IEC 27002. Die relevanten Kapitel sind im Anhang D.14 genannt. 4.2.13 Maßnahmen zu A2.5 Infrastrukturelle Mängel Infrastruktureinrichtungen gehören auch zu den Assets eines Betreibenden. Daher gelten die in Kapitel 4.1.2 beschriebenen Maßnahmen zum Asset-Management auch für die Infrastruktureinrichtungen. Die unter Kapitel 4.1.6 aufgeführten Maßnahmen zum physischen Zutrittsschutz und Schutz vor Umwelteinflüssen senken auch das Risiko für infrastrukturelle Mängel. Die Verfügbarkeit der Betriebsstätten in allgemeinen Krisenlagen wird durch die Maßnahmen des Kapitels 4.1.4 Notfall- und Continuity-Management sichergestellt. Weiterhin sollte darauf geachtet werden, dass schweren infrastrukturellen Mängeln durch fortlaufende Instandhaltung entgegengewirkt wird. Änderungen an der Infrastruktur und den damit verbundenen informationsverarbeitenden Einrichtungen, Prozessen und Systemen müssen gesteuert werden. Weitere Informationen zur Umsetzung der Maßnahmen sowie zusätzliche Maßnahmen finden sich beispielsweise in der DIN ISO/IEC 27002. Die relevanten Kapitel sind im Anhang D.15 genannt. 4.2.14 Maßnahmen zu A2.6 Verwendung ungeeigneter Netze/Kommunikationsverbindungen, sonstige Schwächen in der Kommunikationsarchitektur Die Implementierung der Maßnahmen aus Kapitel 4.2.13 zur Vermeidung infrastruktureller Mängel hilft, um Schwachstellen durch die Verwendung ungeeigneter Netze und Kommunikationsverbindungen entgegenzuwirken. Das Gleiche gilt für die in Kapitel 4.2.1 aufgeführten Maßnahmen zum Schutz von Informationen in Netzwerken und den unterstützenden informationsverarbeitenden Einrichtungen. Um die Sicherheit von Informationen insbesondere bei externer Übertragung aufrecht zu erhalten, müssen formale Verfahren zur Informationsübertragung definiert und schriftlich dokumentiert werden. Es muss darauf geachtet werden, dass insbesondere Informationen, die über öffentliche Netzwerke (beispielsweise durch Anwendungsdienste) übertragen werden, hinsichtlich Vertraulichkeit, Integrität und Authentizität geschützt werden. Die Datenübertragung zwischen zwei Anwendungsdiensten sollte ebenfalls geschützt werden. Je nach Kritikalität können zum Schutz der Informationen, insbesondere bei deren externer Übertragung, auch kryptographische Maßnahmen definiert und eingesetzt werden. Dazu müssen Regelungen in Bezug auf den Schutz und die Lebensdauer kryptographischer Schlüssel definiert sein. - TLP Amber - Seite 56 - freigegeben - Weitere Informationen zur Umsetzung der Maßnahmen sowie zusätzliche Maßnahmen finden sich beispielsweise in der DIN ISO/IEC 27002. Die relevanten Kapitel sind im Anhang D.16 genannt. 4.2.15 Maßnahmen zu A2.7 Verkopplung von Diensten (Beeinträchtigung eines Dienstes durch Störung anderer Dienste) Alle IT-Systeme, Prozesse und Dienste der kDL sollten nach Möglichkeit so aufgebaut werden, dass sie auch im Falle der Beeinträchtigung eines anderen Dienstes nicht oder nicht lange beeinträchtigt sind. Dies kann beispielsweise über die in Kapitel 4.2.1 beschriebene redundante Auslegung erfolgen. Die Umsetzung der in Kapitel 4.1.9 beschriebenen Maßnahmen zum Lieferanten- und Dienstleistermanagement reduzieren das Risiko, dass einseitige Abhängigkeitsverhältnisse zwischen dem „KRITIS-Betreiber“ und seinen Dienstleistenden bestehen. 4.2.16 Maßnahmen zu A*2.1 Fehlende Detektion Die in Kapitel 4.1.3 beschriebenen Maßnahmen zur Vorfallerkennung und -bearbeitung senken das Risiko, dass Angriffe unentdeckt bleiben und so zu weiteren, gezielten und effektiveren Angriffen führen können. Dazu gehört unter anderem, dass im Rahmen des Vorfall- und Notfallmanagements geeignete Präventionsmaßnahmen zur Früherkennung von Schwachstellen und Angriffen etabliert werden. Weiterhin müssen alle Maßnahmen, Prozesse und Anforderungen des ISMS regelmäßig auf ihre Angemessenheit, Wirksamkeit sowie mögliche Verbesserungspotenziale überprüft werden. 4.2.17 Maßnahmen zu A*2.2 Fehlende Reaktion Die in Kapitel 4.1.3 beschriebenen Maßnahmen zur Vorfallerkennung und -bearbeitung senken das Risiko, dass große Schäden und Auswirkungen durch fehlende oder falsche Reaktionen auf Ereignisse entstehen. Dazu gehört beispielsweise, dass geeignete Maßnahmen zur Reaktion auf Vorfälle, Notfälle und Krisen definiert werden. Für den Fall, dass ein Not- oder Krisenfall nicht verhindert werden konnte, helfen die Maßnahmen aus Kapitel 4.1.4 zur Aufrechterhaltung der kritischen Prozesse sowie zur schnellstmöglichen Wiederaufnahme des Regelbetriebs, um angemessen auf den Vorfall zu reagieren. - TLP Amber - Seite 57 - freigegeben - 5 ANWENDUNGSHINWEISE FÜR DEN BETREIBENDEN 5.1 Anpassung des branchenspezifischen Sicherheitsstandards durch den Betreibenden Der vorliegende B3S gibt Handlungssicherheit in der Umsetzung von § 8a BSIG und muss von den jeweiligen Betreibenden auf ihre Anlagen angepasst werden. Der Betreibende muss gegebenenfalls zusätzliche Maßnahmen umsetzen, wenn diese für die Aufrechterhaltung der IT-Sicherheit der kDL notwendig sind. Beschriebene Maßnahmen, die für einen Betreibenden nicht relevant sind, können ausgenommen werden, sofern dies einschließlich Begründung dokumentiert wird. Um die Verwaltung von Daten und Prozessen zu vereinfachen und Doppelarbeit zu ersparen, sollte vermieden werden, mehrere Managementsysteme wie DSMS, QMS und ISMS gleichzeitig zu führen. Diese sollten in einem einzigen Managementsystem zusammengefasst werden. 5.2 Realisierungsplan des Betreibenden Als Prüfgrundlage können die Ergebnisse von anderen Prüfungen/Zertifizierungen etc. verwendet werden, um so ggf. den Prüfaufwand zu reduzieren. Falls die Ergebnisse anderer Prüfungen/Zertifizierungen verwendet werden sollen, müssen die Prüftermine aufeinander abgestimmt werden, da für die KRITIS-Berücksichtigung die verwendeten Ergebnisse nicht älter als ein Jahr sein dürfen. Die Prüfgrundlage sollte frühzeitig geplant und die prüfende Stelle frühzeitig informiert bzw. angefragt werden. Die KRITIS-Prüfung erfolgt gegen den IST-Zustand des Umsetzungsgrades der Maßnahmen. Alle nicht umgesetzten Anforderungen, inklusive des Behebungsplans, müssen durch den Betreibenden aufgeführt sowie dem Prüfenden und dem BSI zumindest für die Sicherheitsmängel bereitgestellt werden. 5.3 Fortschreibung und Erfahrungen der Anwendenden Für die Fortschreibung des B3S Pharma kann die Möglichkeit genutzt werden, die Erfahrungen und Kenntnisse der Anwendenden in den B3S einfließen zu lassen. Hierzu können Arbeitskreise gebildet werden, um den B3S Pharma regelmäßig auf einen aktuellen Stand zu bringen. Dies sollte mindestens vor der nächsten Eignungsprüfung geschehen, welche alle drei Jahre stattfindet. Anwendungshinweis Im Zweifelsfall sollte der Kontakt zum BSI gesucht werden. Das BSI kann bzgl. der Meldepflicht beraten. Bundesamt für Sicherheit in der Informationstechnik KRITIS-Büro Telefon: +49 (0)228 99 9582 6166 Telefax: +49 (0)228 99 10 9582 6166 E-Mail: kritis-buero@bsi.bund.de Anwendungshinweis 23 Melden von Vorfällen - TLP Amber - Seite 58 - freigegeben - 5.4 Hinweis zur Prüfung Das BSI selbst darf keine Betriebsstätte aufgrund von Mängeln schließen, kann aber die zuständige Aufsichtsbehörde informieren. Bei Unklarheiten kann das BSI KRITIS-Büro bzw. das entsprechende Fachreferat des BSI für den Gesundheitssektor kontaktiert werden. - TLP Amber - Seite 59 - freigegeben - TEIL III NACHWEISBARKEIT DER UMSETZUNG - TLP Amber - Seite 60 - freigegeben - 6 NACHWEISBARKEIT DER UMSETZUNG Nach § 8a Absatz 3 BSIG müssen die „Betreiber Kritischer Infrastrukturen“ alle zwei Jahre die Erfüllung der Anforderungen nach § 8a Absatz 1 BSIG auf geeignete Weise nachweisen. Der Nachweis kann durch Sicherheitsaudits, Prüfungen oder Zertifizierungen erfolgen. Die Betreibenden müssen dem BSI eine Aufstellung der relevanten, durchgeführten Audits, Prüfungen oder der Zertifizierung einschließlich der dabei aufgedeckten Sicherheitsmängel übermitteln. Hierbei sind die jeweiligen Vorlagen des BSI zu nutzen. Es sollte mit der prüfenden Stelle abgestimmt werden, dass zum Zeitpunkt der Einreichung die jeweils gültigen Dokumente genutzt worden sind. Diese sind auf der Homepage des BSI gelistet13. Um die Bearbeitung zu vereinfachen, sollen alle Nachweise ausschließlich per E-Mail (verschlüsselt) oder über das Bundesportal eingereicht werden. Nähere Informationen zur Prüfung und den nötigen Nachweisen finden sich in der Orientierungshilfe zu Nachweisen14 und werden in diesem B3S nicht weiter erläutert. 13 https://www.bsi.bund.de/DE/Themen/KRITIS-und-regulierte-Unternehmen/Kritische-Infrastrukturen/KRITIS- Nachweise/Nachweise-erbringen/nachweise-erbringen_node.html 14 Orientierungshilfe zu Nachweisen gemäß § 8a Absatz 3 BSIG (bund.de) (letzter Zugriff: 12.02.2024) Anwendungshinweis Der Betreibende muss selbstständig eine prüfende Stelle aussuchen und beauftragen, die wiederum ein Prüfteam zusammenstellt, um die Prüfung durchzuführen. Im Rahmen der Prüfung müssen die vom BSI zur Verfügung gestellten Nachweisdokumente ausgefüllt und vom Betreibenden an das BSI geliefert werden. Hierbei muss darauf geachtet werden, dass eine vollständige Liste der Sicherheitsmängel an das BSI ausgeliefert wird. Nach Auswertung der Dokumente kann das BSI bei Mängeln den vollständigen Prüfbericht einfordern und nach Abstimmung mit der zuständigen Aufsichtsbehörde die Beseitigung der Mängel veranlassen. Anwendungshinweis 24 KRITIS Prüfung - TLP Amber - Seite 61 - freigegeben - ANHANG A TYPISCHE ABLÄUFE BEI DER HERSTELLUNG VON ARZNEIMITTELN A.1 Herstellung von festen Arzneimitteln (z.B. Tabletten) Die Herstellung von festen Arzneimitteln wird anhand des Beispiels der Tablettenherstellung näher dargestellt. Die klassische Tablettenherstellung besteht aus der Vorbereitung und Einwaage der Substanzen, der Granulierung, der Mischung und der Tablettenpressung. Anschließend werden Tabletten einem Coating (Beschichtung/Ummantelung) unterzogen. Der Herstellungsprozess kann vollständig oder in Teilen durch IT unterstützt sein. Bei der vollständigen Unterstützung durch IT (siehe Referenzen Titel Referenz BSI Gesetz (BSIG) Stand: Zuletzt geändert durch Art. 12 G vom 23. Juni 2021 (BGBl. I S. 1982) Link: https://www.gesetze-im- internet.de/bsig_2009/BJNR282110009.html Abbildung 3 Beispiel: Herstellung von Tabletten mit vollständiger IT-Unterstützung - TLP Amber - Seite 62 - freigegeben - BSI ICS-Kompendium Link: https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/ICS/ICS- Security_kompendium_pdf.pdf? blob=publicationFile BSI IT-Grundschutz- Kompendium Link: BSI - IT-Grundschutz-Kompendium (bund.de) BSI Kritisverordnung (KritisV) Stand: Zuletzt geändert durch Art. 1 G v. 29. November 2023 I 339 Link: https://www.gesetze-im-internet.de/bsi- kritisv/BJNR095800016.html DIN ISO/IEC 27001 Fassung von 2022 DIN ISO/IEC 27002 Fassung von 2022 DIN ISO/IEC 31000 Fassung von 2018 Gesetz zur Erhöhung der Sicherheit informations- technischer Systeme (IT-SiG) Stand: 27. Mai 2021 Link: Bundesgesetzblatt BGBl. 25 Jahrgang 2021 Teil 1 Nr. 31 ISO/IEC 27005 Fassung von 2022 Orientierungshilfe zu Inhalten und Anforderungen an branchenspezifische Sicherheitsstandards (B3S) gemäß § 8a (2) BSIG Stand: Version 1.3 vom 23.02.2024 Link: Orientierungshilfe zu branchenspezifischen Sicherheitsstandards (B3S) gemäß § 8a Absatz 2 BSIG (bund.de) Orientierungshilfe zu Nachweisen gemäß § 8a (3) BSIG Stand: Version 1.2 vom 12.05.2023 Link: Orientierungshilfe zu Nachweisen gemäß § 8a Absatz 3 BSIG (bund.de) ) werden die in einem oder mehreren Systemen hinterlegten Parameter an die einzelnen Produktionsschritte übergeben. Zur Vollautomatisierung gehört der Einsatz eines Produktionsleitsystems. Das Produktionsleitsystem enthält unter anderem die Fertigungsablaufpläne für jedes Produkt und den Fertigungsablauf einzelner Produkte. Im Produktionsleitsystem wird die aktuelle Belegung der Ressourcen verwaltet. Die Steuerung der einzelnen Produktionsmaschinen oder Anlagen erfolgt über ein oder mehrere SPS-Systeme. Die Qualitätskontrolle erfolgt manuell nach jedem Produktionsschritt. - TLP Amber - Seite 63 - freigegeben - Abbildung 4 Beispiel: Herstellung von Tabletten mit teilweiser IT-Unterstützung Bei einer teilweisen Unterstützung der Produktion durch die IT (siehe Abbildung 4) können unterschiedliche Vorgänge unterstützt werden. Der Unterstützungsgrad der eingesetzten IT-Systeme und Komponenten kann hierbei je nach Anlage variieren. Beispielsweise kann die Raumtemperatur oder die Zusammensetzung der Raumluft durch die Gebäudeleittechnik überwacht werden. Dies wird auch Umgebungsüberwachung genannt. Auch können einzelne Maschinen im Prozess mit Hilfe von in einem Produktionsleitsystem hinterlegten Parametern arbeiten. Auch hier erfolgt die Qualitätskontrolle manuell nach jedem Produktionsschritt. A.2 Herstellung von flüssigen Arzneimitteln Die Herstellung von flüssigen Arzneimitteln wird anhand des Beispiels der Augentropfenherstellung näher dargestellt. Die Herstellung von Augentropfen (siehe Abbildung 5) kann vollständig oder teilweise durch die IT unterstützt werden. Bei der Herstellung ist sowohl auf eine sterile Erzeugung als auch auf den pH-Wert zu achten. Die für eine sterile Herstellung eingesetzten Mischanlagen müssen druck- und vakuumfest sein. Die Überwachung von pH- Wert, Druck, Temperatur, Durchfluss etc. kann durch die Prozessanlagen IT-gestützt durchgeführt werden. - TLP Amber - Seite 64 - freigegeben - Abbildung 5 Beispiel: Herstellung von Augentropfen mit IT-Unterstützung A.3 Herstellung von Blutkonserven Da die Versorgung von zu behandelnden Personen mit Blutkonserven nach Maß erfolgt, muss die sogenannte Vollblut-Konserve in ihre Komponenten zerlegt werden. Das System, in dem sich das Spenderblut befindet, bleibt während des gesamten Prozesses geschlossen. Das Spenderblut muss zudem innerhalb von sechs Stunden fertig verarbeitet werden. Im Herstellungsprozess (siehe Abbildung 6) wird zunächst bei der sogenannten Inline-Filtration das Vollblut gefiltert. Als nächstes kommt der Blutbeutel in eine Zentrifuge und das Plasma wird von den roten Blutkörperchen separiert. In einem weiteren Prozessschritt werden diese dann in einem Abpressautomaten komplett voneinander getrennt. Zum Abschluss wird das Plasma in einem Plasmaschockfroster bei minus 60° Celsius zu sogenanntem Fresh Frozen Plasma (FFP) schockgefroren. - TLP Amber - Seite 65 - freigegeben - Abbildung 6 Beispiel: Herstellung von Blutkonserven mit IT-Unterstützung - TLP Amber - Seite 66 - freigegeben - ANHANG B TYPISCHE ABLÄUFE BEIM VERTRIEB VON ARZNEIMITTELN B.1 Bestelleingang Die Bestellung von Arzneimitteln erfolgt in der Regel über die MSV3-Schnittstelle. In Ausnahmefällen erfolgt der Bestelleingang auch über andere Wege, wie zum Beispiel telefonisch, per E-Mail oder per Fax. B.2 Verarbeitung der Bestellung Die von den Schnittstellen übermittelten Bestellungen werden an die im Bestellprozess involvierten IT-Systeme und Komponenten weitergeleitet. B.3 Vorbereitung der Bestellung zum Versand Die Herausnahme der Arzneimittel zum Versand kann entweder voll automatisiert (z. B. mittels Roboter), teilautomatisiert (z. B. mittels Handscanner) oder manuell erfolgen. - TLP Amber - Seite 67 - freigegeben - ANHANG C AUFBAU EINES RISIKOMANAGEMENTS C.1 Gestaltung des Risikomanagements Das Risikomanagement beinhaltet Prozesse zur Lenkung und Steuerung der Aktivitäten zum Thema Risiken. Das hier beschriebene Risikomanagement ist angelehnt an DIN ISO/IEC 31000 und kann durch die Betreibenden zur Betrachtung von Unternehmensrisiken erweitert werden. Die DIN ISO/IEC 31000 wurde aufgrund ihrer hohen Verbreitung, Aktualität und Prozessorientierung als Basis gewählt. Das Risikomanagement kann sich allerdings auch an einem beliebigen anderen Risikomanagementstandard, wie beispielsweise der ISO/IEC 27005 oder dem BSI-Standard 200-3, orientieren. Das Risikomanagement muss auf die Ziele und Strategie der Organisation ausgerichtet werden. Der Betreibende soll durch das Risikomanagement in die Lage versetzt werden, systematisch Risiken, die zu einer Versorgungslücke führen können, frühzeitig zu erkennen und deren Behandlung einzuleiten. Die frühzeitige Erkennung und Behandlung von Risiken setzen ein Meldewesen voraus, welches in Anhang C.2.5 näher erläutert wird. Hierbei ist zu beachten, dass die Integration des Risikomanagements in eine Organisation ein dynamischer und iterativer Prozess ist, der an die Bedürfnisse und die Kultur der Organisation anzupassen ist. Im Nachfolgenden werden Rahmenbedingungen für ein funktionierendes Risikomanagement aufgeführt.  Unterstützung durch die Organisationsleitung Die Organisationsleitung zeigt die Unterstützung für das Risikomanagement durch die Bereitstellung von ausreichenden finanziellen und personellen Ressourcen.  Definition von Rollen im Risikomanagement Innerhalb der Organisation sollten Verantwortlichkeiten für das Risikomanagement benannt werden. Es sollte mindestens eine verantwortliche Person für das Risikomanagement geben. Je nach Größe des Betriebes kann es sinnvoll sein, weitere unterstützende Rollen zu benennen.  Festlegung des Geltungsbereichs für das Risikomanagement Der Geltungsbereich des Risikomanagements muss alle relevanten IT-Systeme, Prozesse und Komponenten betrachten, auch wenn diese an Dritte ausgelagert wurden.  Etablierung der Risikomanagementprozesse Die Prozesse zum Risikomanagement (siehe Kapitel C.2) sollten in die Organisation derart eingeführt werden, dass das Risikomanagement in die für die kDL erforderlichen und unterstützenden Prozesse eingebunden und gelebt wird. So könnte die Erhebung einer Risikobewertung im Zuge einer IT- Beschaffung zu einem Regelprozess werden.  Etablierung einer Risikomanagement-Richtlinie Der Betreibende sollte durch eine Richtlinie die Verpflichtung und Notwendigkeit des Risikomanagementsystems zum Ausdruck bringen und den Bezug zu den Unternehmenszielen herstellen. Die Richtlinie sollte klare Vorgaben für die Anwendung des Risikomanagementprozesses und den Umgang mit Risiken definieren.  Kontinuierliche Verbesserung des Risikomanagements Das Risikomanagement soll als eine Kernaufgabe verstanden und selbst kontinuierlich verbessert werden. Um die Wirksamkeit des Risikomanagementsystems zu bewerten, sollte der Betreibende regelmäßig die Leistung des Risikomanagementsystems an ihrem Zweck, den Umsetzungsplänen, Indikatoren und dem erwarteten Verhalten messen. Des Weiteren muss der Betreibende sicherstellen, dass das Risikomanagementsystem weiterhin geeignet ist, die Erreichung der Schutzziele zu unterstützen. - TLP Amber - Seite 68 - freigegeben - Bei der Gestaltung des Risikomanagementsystems müssen die gesetzlichen Bestimmungen, insbesondere § 8 BSIG, berücksichtigt werden. Der Betreibende ist für die Vermeidung von Versorgungsengpässen sowohl bei der selbst betriebenen Kritischen Infrastruktur als auch bei an Dritte ausgelagerten IT-Systemen, Prozessen und Komponenten verantwortlich. Die vertraglichen Vereinbarungen müssen demnach derart ausgestaltet werden, dass die Verfügbarkeit der kDL des Betreibenden gewährleistet wird. Die einzelnen Prozesse des Risikomanagements sowie alle unterstützenden Prozesse werden im nachfolgenden Kapitel näher beschrieben. C.2 Risikomanagement als Prozess Der Risikomanagementprozess besteht aus der Risikoabschätzung, welche die Teilprozesse Risikoidentifikation, Risikoanalyse und Risikobewertung beinhaltet. Auf Grundlage der Risikobewertung wird entschieden, wie die Art der Risikobehandlung erfolgen muss, damit eine angemessene Absicherung nach dem Stand der Technik gewährleistet wird. Die Risikoabschätzung wird durch unterstützende Prozesse lanciert. Diese sind Überwachung, Überprüfung, Aufzeichnung, Berichtserstattung, Kommunikation und Beratung. Im Folgenden werden die Prozessschritte des Risikomanagementsystems näher erläutert. Abbildung 7 Risikoprozess, in Anlehnung an DIN ISO/IEC 31000, 2018 - TLP Amber - Seite 69 - freigegeben - C.2.1 Identifizierung von Gefährdungen Der erste Schritt des Risikomanagementprozesses ist die Betrachtung der in Kapitel 2 genannten Gefährdungen. Diese Gefährdungen stellen nur mögliche Szenarien dar, die sich zu einem Risiko entwickeln können. Es ist bei der Risikoidentifikation zu beachten, dass auch anderweitige spezifische Bedrohungen und Schwachstellen existieren können, die nicht in Kapitel 2 aufgeführt wurden. Die in Kapitel 2 angegebenen Relevanzen zu den Bedrohungen und Schwachstellen sowie deren Kategorien sind durch den Betreibenden zu überprüfen und gegebenenfalls auf den eigenen Geltungsbereich anzupassen. Diese Bewertung ist regelmäßig zu überprüfen und sollte mindestens einmal im Jahr erfolgen. C.2.2 Risikoanalyse Nach der Identifizierung der Risiken müssen diese analysiert werden. Dabei ist unter anderem zu ermitteln, welche Interdependenzen sowie Verwundbarkeiten vorliegen, welchen Schaden ein Ereignis verursachen kann und wie hoch die Eintrittswahrscheinlichkeit ist. Die Analyse der Risiken liefert die Grundlage zur Risikobewertung und Risikobehandlung/Maßnahmenplanung. Die Schadenskategorien für das Klassifizieren des Schadens, der durch das Nichterreichen der KRITIS-Schutzziele entstehen kann, wird in Tabelle 6 beispielhaft dargestellt. Hierbei orientiert sich das Schadensausmaß an der Versorgungssicherheit. Klassifizierung Beschreibung Niedrig Der Verlust der Integrität, der Authentizität, der Verfügbarkeit oder der Vertraulichkeit führt zu einer geringen negativen Auswirkung auf den Geschäftsbetrieb des Betreibenden. Die Bevölkerung ist nicht betroffen. Mittel Der Verlust der Integrität, der Authentizität, der Verfügbarkeit oder der Vertraulichkeit führt zu einer negativen Auswirkung auf den Geschäftsbetrieb des Betreibenden. Die Bevölkerung ist hiervon betroffen. Die Versorgungssicherheit (gemäß KRITIS-Schutzzielen) ist weniger als 8 Stunden gestört. Hoch Der Verlust der Integrität, der Authentizität, der Verfügbarkeit oder der Vertraulichkeit führt zu einer negativen Auswirkung auf den Geschäftsbetrieb des Betreibenden. Die Bevölkerung ist hiervon betroffen. Die Versorgungssicherheit ist weniger als einen Werktag gestört. Sehr hoch Der Verlust der Integrität, der Authentizität, der Verfügbarkeit oder der Vertraulichkeit führt zu einer inegativen Auswirkung auf den Geschäftsbetrieb des Betreibenden. Die Bevölkerung ist hiervon betroffen. Die Versorgungssicherheit ist länger als einen Werktag gestört. Tabelle 9 Beispiel für die Klassifizierung des Schadensausmaßes Die Eintrittswahrscheinlichkeit gibt eine Einschätzung darüber ab, wie oft die Gefahr voraussichtlich eintreten wird. In die Eintrittswahrscheinlichkeit, dass eine Schwachstelle ausgenutzt wird, fließt beispielsweise ein, wie schwierig es für einen Dritten wäre, diese Schwachstelle auszunutzen. Die Eintrittswahrscheinlichkeit wird in der Regel in Zeitintervallen ausgedrückt (siehe Tabelle 7). Klassifizierung Beschreibung - TLP Amber - Seite 70 - freigegeben - Selten Mit einem Verlust der Integrität, der Authentizität, der Verfügbarkeit oder der Vertraulichkeit ist alle zehn Jahre oder seltener zu rechnen. Möglich Mit einem Verlust der Integrität, der Authentizität, der Verfügbarkeit oder der Vertraulichkeit ist alle fünf Jahre oder seltener zu rechnen. Häufig Mit einem Verlust der Integrität, der Authentizität, der Verfügbarkeit oder der Vertraulichkeit ist jährlich oder seltener zu rechnen. Sehr häufig Mit einem Verlust der Integrität, der Authentizität, der Verfügbarkeit oder der Vertraulichkeit ist mindestens einmal pro Jahr zu rechnen. Tabelle 10 Beispiel für die Klassifizierung der Eintrittswahrscheinlichkeit Die Analyse der Risiken kann durch Meinungsverschiedenheiten, unterschiedliche Risikoeinschätzungen und Beurteilungen beeinflusst werden. Diese Einflüsse sollten berücksichtigt, dokumentiert und gegebenenfalls den zuständigen Stellen gemeldet werden. Es ist wichtig, dass keine versteckten Annahmen gemacht werden, da dies dazu führen kann, dass Gefährdungen übersehen werden. Auch sollten subjektive Einflüsse vermieden werden. Daher sind alle Risikoanalysen derart schriftlich zu begründen, dass die Schritte durch qualifizierte Dritte nachvollzogen werden können. C.2.3 Bewertung der Risiken Die Risikobewertung dient als Entscheidungsgrundlage, ob weiterer Handlungsbedarf besteht, ob Möglichkeiten zur Risikobewältigung in Betracht gezogen werden sollten oder ob das Risiko einer weiteren Analyse unterzogen werden muss. Die Bewertung kann anhand folgender Grafik veranschaulicht werden: Abbildung 8 Beispiel einer 4x4-Risikomatrix - TLP Amber - Seite 71 - freigegeben - Das Ergebnis der Risikobewertung sollte durch das Risikomanagement dokumentiert und der Organisationsleitung vorgelegt werden, damit diese eine Entscheidung bezüglich des weiteren Vorgehens fällt. Die Haftung für die Auswirkung der getroffenen Entscheidung liegt ebenfalls bei der Organisationsleitung. Im Mittelpunkt der Bewertung sollte die Gewährleistung der Versorgung mit verschreibungspflichtigen Arzneimitteln stehen. Im Idealfall sollten keine Auswirkungen für die Bevölkerung entstehen. C.2.4 Angemessene Behandlung der Risiken Der Zweck einer angemessenen Risikobehandlung besteht darin, Optionen zur Risikoabsicherung abzuwägen und umzusetzen. Dabei geht es insbesondere darum, den gesetzlichen Anforderungen zu KRITIS gerecht zu werden. Alle identifizierten Risiken müssen durch angemessene organisatorische und technische Maßnahmen nach dem Stand der Technik behandelt werden, wenn der dafür erforderliche Aufwand nicht in einem unangemessenen Verhältnis zu den Folgen eines Ausfalls oder einer Beeinträchtigung der betroffenen Kritischen Infrastruktur steht. Diese Abwägung wirtschaftlicher Interessen gegenüber der Versorgungssicherheit ist durch die Betreibenden durchzuführen und zu dokumentieren. Die Betreibenden sind verpflichtet, Maßnahmen zur Verringerung der für die kritische Dienstleistung relevanten Risiken zu treffen. Risiken dürfen nicht allein aus rein wirtschaftlichen Gründen akzeptiert werden, da die Vermeidung von Versorgungsengpässen im Vordergrund steht. Risikobehandlungsmaßnahmen schließen sich nicht notwendigerweise gegenseitig aus oder sind unter allen Umständen angemessen. Daher können mehrere Maßnahmen durchgeführt werden. Eine Risikobehandlung kann auch neue Risiken mit sich bringen, die es zu bewerten gilt. Im Folgenden werden die Behandlungsalternativen Risikovermeidung, Risikoreduktion, Risikoakzeptanz und Risikotransfer erläutert.  Risikovermeidung Das Risiko kann gänzlich vermieden werden, indem die Risikoursache ausfindig gemacht und entfernt wird. Dies ist die effektivste Behandlungsalternative, um die Kritische Infrastruktur zu sichern.  Risikoreduktion Hierbei werden Maßnahmen ergriffen, das Risiko zu minimieren, sodass der mögliche Schaden nicht zu einem Versorgungsengpass führt. Das Restrisiko muss dokumentiert, an die Führungsebene kommuniziert und unter Beobachtung gestellt werden. Ein Restrisiko ist nur dann akzeptabel, wenn die Auswirkungen nicht zu einem Versorgungsengpass führen können.  Risikoakzeptanz und Risikotransfer Eine dauerhafte Risikoakzeptanz durch den Betreibenden ist keine zulässige Option im Sinne des BSIG. Die dauerhafte Auslagerung der Risiken durch Versicherungen ist ebenfalls keine zulässige Option. C.2.5 Unterstützende Risikomanagementprozesse Unterstützende Risikomanagementprozesse sind Überwachung, Überprüfung, Aufzeichnung, Berichterstattung, Kommunikation und Beratung. Der Zweck der Überwachung und Überprüfung besteht darin, die Qualität und Effektivität der Prozessgestaltung, -durchführung und -ergebnisse sicherzustellen und zu verbessern. Laufende Überwachung und regelmäßige Überprüfung der Risikomanagementprozesse und der Ergebnisse sollten ein Bestandteil des Risikomanagementprozesses sein. Die Überwachung und Überprüfung sollte in allen Phasen des Prozesses stattfinden. Sie umfasst die Planung, Sammlung und Analyse von Informationen, Aufzeichnung von Ergebnissen und die Bereitstellung von Feedback. Beispielsweise sind die Gefährdungen regelmäßig zu überprüfen, um sicherzustellen, dass die definierten Maßnahmen ausreichende Ausfallsicherheit gewährleisten. - TLP Amber - Seite 72 - freigegeben - Die Ergebnisse des Risikomanagementprozesses sind durch geeignete Mechanismen zu dokumentieren und an relevante Stellen zu melden. Im Rahmen von DIN ISO/IEC 27001 wären dies die „interessierten Parteien“. Informationen für die Entscheidungsfindung sollten bereitgestellt werden können und als Grundlage zur Verbesserung der Risikomanagementaktivitäten verwendet werden. Außerdem sollten sie als Unterstützung der Interaktion mit Beteiligten dienen. Entscheidungen über die Erstellung, Aufbewahrung und Handhabung dokumentierter Informationen sollten unter anderem ihre Verwendung, die Informationssensibilität und den externen und internen Kontext berücksichtigen. Informationen sollten gesammelt, zusammengestellt und daraufhin bewertet werden, ob eine Meldung an die Organisationsleitung erfolgen soll. Es wird empfohlen, dass mindestens die mittleren, hohen und sehr hohen Risiken an die Organisationsleitung gemeldet werden. Bei sehr hohen Risiken sollte eine ad hoc Meldung an die Organisationsleitung erfolgen. C.3 Prozessorientierte Risikoanalyse Sofern in der Organisation bereits Prozesse (teilweise auch Verfahren genannt) im Rahmen eines Prozess- oder Qualitätsmanagements definiert sind, kann die prozessorientierte Risikoanalyse angewendet werden. Die im Geltungsbereich befindlichen IT-Systeme und Komponenten werden innerhalb von definierten Prozessen, die ebenfalls zum Geltungsbereich gehören, verwendet. Somit können durch die Betrachtung des Prozesses gleichzeitig auch die beteiligten IT-Systeme und Komponenten mitbetrachtet werden. Hierdurch kann die Risikoanalyse effektiver durchgeführt werden, als wenn jedes IT-System, jede Komponente und jeder Prozess einzeln betrachtet werden würde. Hierzu sollten die im Geltungsbereich vorkommenden Prozesse der Organisation dokumentiert werden. Den jeweiligen Prozessen sind die beteiligten IT-Systeme und Komponenten zuzuordnen. Die Risikoanalyse (siehe Kapitel C.2.2) wird für den betrachteten Prozess durchgeführt. Die ermittelten Werte für Eintrittswahrscheinlichkeit und Schadensausmaß werden anschließend im Risikobewertungsschritt (siehe Kapitel C.2.3) evaluiert. Das Ergebnis der Risikobewertung wird anschließend auf die zum Prozess gehörenden IT-Systeme und Komponenten vererbt. - TLP Amber - Seite 73 - freigegeben - ANHANG D VERWEISE AUF WEITERE MAßNAHMEN IN DER DIN ISO/IEC 27002 D.1 Weitere Maßnahmen für Kapitel 4.1.2 Asset-Management Alle Maßnahmen basieren auf der ISO/IEC 27002:2022. Organisatorische Maßnahmen 5.9 Inventar der Informationen und anderer damit verbundener Werte 5.10 Zulässiger Gebrauch von Informationen und anderen damit verbundenen Werten 5.11 Rückgabe von Werten 5.12 Klassifizierung von Informationen 5.13 Kennzeichnen von Information 5.33 Schutz von Aufzeichnungen 5.34 Datenschutz und Schutz personenbezogener Daten (pbD) Tabelle 11 Organisatorische Maßnahmen Asset-Management Physische Maßnahmen 7.8 Platzierung und Schutz von Geräten und Betriebsmitteln 7.9 Sicherheit von Werten außerhalb der Räumlichkeiten 7.10 Speichermedien 7.11 Versorgungseinrichtungen 7.12 Sicherheit der Verkabelung 7.13 Instandhalten von Geräten und Betriebsmitteln 7.14 Sichere Entsorgung oder Wiederverwendung von Geräten und Betriebsmitteln Tabelle 12 Physische Maßnahmen Asset-Management Technologische Maßnahmen 8.1 Endpunktgeräte des Benutzers - TLP Amber - Seite 74 - freigegeben - 8.10 Löschung von Informationen 8.11 Datenmaskierung Begrenzung der Offenlegung sensibler Daten, Informationsklassifizierung und Handhabung Tabelle 13 Technologische Maßnahmen Asset-Management D.2 Weitere Maßnahmen für Kapitel 4.1.3 Vorfallerkennung und -bearbeitung Alle Maßnahmen basieren auf der ISO/IEC 27002:2022. Organisatorische Maßnahmen 5.24 Planung und Vorbereitung der Handhabung von Informationssicherheitsvorfällen 5.25 Beurteilung und Entscheidung über Informationssicherheitsereignisse 5.26 Reaktion auf Informationssicherheitsvorfälle 5.27 Erkenntnisse aus Informationssicherheitsvorfällen 5.28 Sammeln von Beweismaterial Tabelle 14 Organisatorische Maßnahmen Vorfallerkennung und -bearbeitung Personenbezogene Maßnahmen 6.8 Meldung von Informationssicherheitsereignissen Tabelle 15 Personenbezogene Maßnahmen Vorfallerkennung und -bearbeitung Technologische Maßnahmen 8.8 Handhabung von technischen Schwachstellen Tabelle 16 Technologische Maßnahmen Vorfallerkennung und -bearbeitung D.3 Weitere Maßnahmen für Kapitel 4.1.4 Notfall- und Continuity-Management für die kDL Alle Maßnahmen basieren auf der ISO/IEC 27002:2022. - TLP Amber - Seite 75 - freigegeben - Organisatorische Maßnahmen 5.29 Informationssicherheit bei Störungen 5.30 IKT-Bereitschaft für Business-Continuity Tabelle 17 Organisatorische Maßnahmen Notfall- und Continuity-Management Technologische Maßnahmen 8.14 Redundanz von informationsverarbeitenden Einrichtungen Tabelle 18 Technologische Maßnahmen Notfall- und Continuity-Management D.4 Weitere Maßnahmen für Kapitel 4.1.6 Bauliche/physische Sicherheit Alle Maßnahmen basieren auf der ISO/IEC 27002:2022. Physische Maßnahmen 7.1 Physische Sicherheitsperimeter 7.2 Physischer Zutritt 7.3 Sichern von Büros, Räumen und Einrichtungen 7.4 Physische Sicherheitsüberwachung 7.5 Schutz vor physischen und umweltbedingten Bedrohungen 7.6 Arbeiten in Sicherheitsbereichen 7.7 Aufgeräumte Arbeitsumgebung und Bildschirmsperren 7.8 Platzierung und Schutz von Geräten und Betriebsmitteln 7.9 Sicherheit von Werten außerhalb der Räumlichkeiten 7.10 Speichermedien 7.11 Versorgungseinrichtungen 7.12 Sicherheit der Verkabelung 7.13 Instandhalten von Geräten und Betriebsmitteln - TLP Amber - Seite 76 - freigegeben - 7.14 Sichere Entsorgung oder Wiederverwendung von Geräten und Betriebsmitteln Tabelle 19 Physische Maßnahmen bauliche/physische Sicherheit Technologische Maßnahmen 8.1 Endpunktgeräte des Benutzers Tabelle 20 Technologische Maßnahmen bauliche/physische Sicherheit D.5 Weitere Maßnahmen für Kapitel 4.1.7 Überprüfung im laufenden Alle Maßnahmen basieren auf der ISO/IEC 27002:2022. Organisatorische Maßnahmen 5.35 Unabhängige Überprüfung der Informationssicherheit 5.36 Einhaltung von Richtlinien, Vorschriften und Normen für die Informationssicherheit Tabelle 21 Organisatorische Maßnahmen Überprüfung im laufenden Betrieb Technologische Maßnahmen 8.34 Schutz der Informationssysteme während Audit-Prüfungen Tabelle 22 Technologische Maßnahmen Überprüfung im laufenden Betrieb D.6 Weitere Maßnahmen für Kapitel 4.1.8 Externe Informationsversorgung und Unterstützung Alle Maßnahmen basieren auf der ISO/IEC 27002:2022. Organisatorische Maßnahmen 5.5 Kontakt mit Behörden 5.6 Kontakt mit speziellen Interessengruppen 5.7 Informationen über die Bedrohungslage Tabelle 23 Organisatorische Maßnahmen externe Informationsversorgung - TLP Amber - Seite 77 - freigegeben - D.7 Weitere Maßnahmen für Kapitel 4.1.9 Lieferunternehmen, Dienstleistende und Dritte Alle Maßnahmen basieren auf der ISO/IEC 27002:2022. Organisatorische Maßnahmen 5.19 Informationssicherheit in Lieferantenbeziehungen 5.20 Behandlung von Informationssicherheit in Lieferantenvereinbarungen 5.21 Umgang mit der Informationssicherheit in der IKT-Lieferkette 5.23 Informationssicherheit für die Nutzung von Cloud-Diensten 5.22 Überwachung, Überprüfung und Änderungsmanagement von Lieferantendienstleistungen Tabelle 24 Organisatorische Maßnahmen Lieferanten, Dienstleister und Dritte D.8 Weitere Maßnahmen für Kapitel 4.2.1 Maßnahmen zu A1.1 Hacking und Manipulation und A1.9 Schadprogramme Alle Maßnahmen basieren auf der ISO/IEC 27002:2022. Organisatorische Maßnahmen 5.15 Zugangssteuerung 5.16 Identitätsmanagement 5.17 Authentisierungsinformationen 5.18 Zugangsrechte Tabelle 25 Organisatorische Maßnahmen Hacking und Manipulation Technologische Maßnahmen 8.2 Privilegierte Zugangsrechte 8.3 Informationszugangsbeschränkung 8.4 Zugriff auf den Quellcode 8.5 Sichere Authentisierung 8.7 Schutz gegen Schadsoftware - TLP Amber - Seite 78 - freigegeben - 8.11 Datenmaskierung 8.12 Verhinderung von Datenlecks 8.14 Redundanz von informationsverarbeitenden Einrichtungen 8.15 Protokollierung 8.16 Überwachung von Aktivitäten 8.17 Uhrensynchronisation 8.18 Gebrauch von Hilfsprogrammen mit privilegierten Rechten 8.20 Netzwerksicherheit 8.21 Sicherheit von Netzwerkdiensten 8.22 Trennung von Netzwerken 8.23 Webfilterung Tabelle 26 Technologische Maßnahmen Hacking und Manipulation D.9 Weitere Maßnahmen für Kapitel 4.2.2 Maßnahmen zu A1.5 Missbrauch (Interne Tatbegehende) Alle Maßnahmen basieren auf der ISO/IEC 27002:2022. Organisatorische Maßnahmen 5.3 Aufgabentrennung Tabelle 27 Organisatorische Maßnahmen Missbrauch (Innentäter) Personenbezogene Maßnahmen 6.1 Sicherheitsüberprüfung 6.4 Maßregelungsprozess 6.7 Remote-Arbeit Tabelle 28 Personenbezogene Maßnahmen Missbrauch (Innentäter) - TLP Amber - Seite 79 - freigegeben - Technologische Maßnahmen 8.1 Endpunktgeräte des Benutzers Tabelle 29 Technologische Maßnahmen Missbrauch (Innentäter) D.10 Weitere Maßnahmen für Kapitel 4.2.7 Maßnahmen zu A1.14 Ausfall von Basisinfrastrukturen mit direktem Bezug zur IT Alle Maßnahmen basieren auf der ISO/IEC 27002:2022. Physische Maßnahmen 7.11 Versorgungseinrichtungen 7.12 Sicherheit der Verkabelung Tabelle 30 Physische Maßnahmen Ausfall Basisinfrastruktur Technologische Maßnahmen 8.14 Redundanz von informationsverarbeitenden Einrichtungen Tabelle 31 Technologische Maßnahmen Ausfall Basisinfrastruktur D.11 Weitere Maßnahmen für 4.2.9 Maßnahmen zu A2.1 Organisatorische Mängel Alle Maßnahmen basieren auf der ISO/IEC 27002:2022. Organisatorische Maßnahmen 5.1 Informationssicherheitspolitik und -richtlinien 5.2 Informationssicherheitsrollen und -verantwortlichkeiten 5.3 Aufgabentrennung 5.4 Verantwortlichkeit der Leitung 5.5 Kontakt mit Behörden 5.6 Kontakt mit speziellen Interessengruppen 5.7 Informationen über die Bedrohungslage - TLP Amber - Seite 80 - freigegeben - 5.8 Informationssicherheit im Projektmanagement Tabelle 32 Organisatorische Maßnahmen organisatorische Mängel Personenbezogene Maßnahmen 6.1 Sicherheitsüberprüfung 6.2 Beschäftigungs- und Vertragsbedingungen 6.3 Informationssicherheitsbewusstsein, -ausbildung und -schulung 6.5 Verantwortlichkeiten bei Beendigung oder Änderung der Beschäftigung Tabelle 33 Personenbezogene Maßnahmen organisatorische Mängel Technologische Maßnahmen 8.6 Kapazitätssteuerung 8.32 Änderungsmanagement Tabelle 34 Technologische Maßnahmen organisatorische Mängel D.12 Weitere Maßnahmen für 4.2.10 Maßnahmen zu A2.2 Technische Schwachstellen in Software, Firmware und Hardware Alle Maßnahmen basieren auf der ISO/IEC 27002:2022. Technologische Maßnahmen 8.9 Konfigurationsmanagement 8.19 Installation von Software auf Systemen im Betrieb 8.25 Lebenszyklus einer sicheren Entwicklung 8.27 Sichere Systemarchitektur und Entwicklungsgrundsätze 8.28 Sichere Codierung 8.29 Sicherheitsprüfung bei Entwicklung und Abnahme 8.30 Ausgegliederte Entwicklung - TLP Amber - Seite 81 - freigegeben - 8.31 Trennung von Entwicklungs-, Prüf- und Produktionsumgebungen 8.32 Änderungsmanagement 8.33 Prüfinformationen Tabelle 35 Technologische Maßnahmen technische Schwachstellen D.13 Weitere Maßnahmen für 4.2.11 Maßnahmen zu A2.3 Technisches Versagen von IT-Systemen, Anwendungen oder Netzen (sowie Verlust von gespeicherten Daten) Alle Maßnahmen basieren auf der ISO/IEC 27002:2022. Technologische Maßnahmen 8.13 Sicherung von Information Tabelle 36 Technologische Maßnahmen technisches Versagen D.14 Weitere Maßnahmen für 4.2.12 Maßnahmen zu A2.4 Menschliche Fehlhandlungen, menschliches Versagen Alle Maßnahmen basieren auf der ISO/IEC 27002:2022. Organisatorische Maßnahmen 5.37 Dokumentierte Betriebsabläufe Tabelle 37 Organisatorische Maßnahmen menschliche Fehlhandlungen Personenbezogene Maßnahmen 6.3 Informationssicherheitsbewusstsein, -ausbildung und -schulung Tabelle 38 Personenbezogene Maßnahmen menschliche Fehlhandlungen D.15 Weitere Maßnahmen für 4.2.13 Maßnahmen zu A2.5 Infrastrukturelle Mängel Alle Maßnahmen basieren auf der ISO/IEC 27002:2022. - TLP Amber - Seite 82 - freigegeben - Physische Maßnahmen 7.13 Instandhalten von Geräten und Betriebsmitteln Tabelle 39 Physische Maßnahmen infrastrukturelle Mängel Technologische Maßnahmen 8.32 Änderungsmanagement Tabelle 40 Technologische Maßnahmen infrastrukturelle Mängel D.16 Weitere Maßnahmen für 4.2.14 Maßnahmen zu A2.6 Verwendung ungeeigneter Netze/Kommunikationsverbindungen, sonstige Schwächen in der Kommunikationsarchitektur Alle Maßnahmen basieren auf der ISO/IEC 27002:2022. Organisatorische Maßnahmen 5.8 Informationssicherheit im Projektmanagement 5.14 Informationsübermittlung Tabelle 41 Organisatorische Maßnahmen Kommunikationsarchitektur Personenbezogene Maßnahmen 6.6 Vertraulichkeits- oder Geheimhaltungsvereinbarungen Tabelle 42 Personenbezogene Maßnahmen Kommunikationsarchitektur Technologische Maßnahmen 8.24 Verwendung von Kryptographie 8.26 Anforderungen an die Anwendungssicherheit Tabelle 43 Technologische Maßnahmen Kommunikationsarchitektur - TLP Amber - Seite 83 - freigegeben - ANHANG E LISTE ZUSÄTZLICHER SZA MAßNAHMEN IN DER PLANUNGSPHASE Titel Stufe Maßnahme Berücksichtigung legaler Anforderungen MUSS Die zur Speicherung notwendigen Systeme und deren IT- Sicherheitsvorkehrungen müssen schon in der Planung bedacht werden. Da die Protokollierung teilweise auch datenschutzrechtlich relevante Datensätze beinhalten kann, muss der legale Umgang mit diesen bei der Planung einbezogen werden. Identifizierung maßgeblicher Systeme MUSS Im Rahmen der Planung müssen alle Systeme identifiziert werden, die zur Aufrechterhaltung der kritischen Dienstleistung maßgeblich sind, damit deren Protokoll- und Protokollierungsdaten später erfasst werden können. Bereinigte Dokumentation der Planungsphaseergebnisse MUSS Die Ergebnisse der Planungsphase müssen in einer geeigneten Form dokumentiert werden. Die Dokumentation muss alle Netzbereiche, die Protokoll- und Protokollierungsdatenquellen, deren Beziehungen untereinander und den Datenfluss der Protokoll- und Protokollierungsdaten im Anwendungsbereich umfassen. Hierbei ist ein angemessener Abstraktions- und Detailgrad zu wählen, sodass der effektive Einsatz von den SzA bewertet werden kann. Um dies zu unterstützen, sollte insbesondere eine Gruppierung gleicher Systemgruppen innerhalb der Dokumentation erfolgen. Darüber hinaus muss für jedes System bzw. für jede Systemgruppe dokumentiert werden, welche Ereignisse dieses bzw. diese protokolliert. Überprüfung der Protokollierung auf Vollständigkeit MUSS Nach erfolgreicher Umsetzung muss geprüft werden, ob alle geplanten Protokollierungsdatenquellen gemäß der Planung umgesetzt wurden. Berücksichtigung der Rahmenbedingungen bei der Auswahl von Detektionsmaßnahmen MUSS Bei der Auswahl und dem Einsatz von Detektionsmaßnahmen muss eine umfassende und effiziente Abdeckung der Bedrohungslandschaft erzielt werden. Dazu müssen die Ergebnisse der Risikoanalyse sowie die Größe und Struktur des Unternehmens in der Planung einbezogen werden. - TLP Amber - Seite 84 - freigegeben - ANHANG F GLOSSAR Begriff Erläuterung 4-Augen-Prinzip Durch das 4-Augen-Prinzip soll das Risiko von Fehlern und Missbrauch reduziert werden, indem wichtige Entscheidungen oder kritische Tätigkeiten nicht von einer Person getroffen oder durchgeführt werden. Advanced Persistent Threat (APT) Advanced Persistent Threat (zu Deutsch „fortgeschrittene, andauernde Bedrohung“) ist ein komplexer zielgerichteter und effektiver Angriff auf kritische IT-Infrastrukturen und vertrauliche Daten. Command & Control-Server (C&C-Server) Ein C&C-Server dient zur Fernsteuerung von Malware (Schadsoftware), beispielsweise in Bot-Netzen. Customer-Relationship- Management (CRM) Die Ausrichtung auf die Kundschaft sowie die systematische Gestaltung der Kundenbeziehungsprozesse sind Merkmale des Customer-Relationship- Managements. Die Dokumentation und Verwaltung von Kundenbeziehungen ist hierbei ein wichtiger Bestandteil. Distributed-Denial-of-Service (DDoS) DDoS ist eine verteilte Dienstblockade, welche eine Überlastung der IT- Infrastruktur durch unzählige, gleichzeitige Anfragen von verschiedenen Systemen hervorruft. Datenschutz Managementsystem (DSMS) Ein DSMS stellt eine Managementmethode dar, um die firmeninternen und gesetzlichen Datenschutzanforderungen zu planen, zu organisieren, zu steuern und zu kontrollieren. Endpoint Detection and Response (EDR) EDR erlaubt die kontinuierliche Überwachung von Systemprozessen auf Laptops, Servern, Mobiltelefonen, IOT-Geräten, zur Abwehr von Cyber- Bedrohungen. Enterprise-Resource- Planning (ERP) Durch ERP sollen Ressourcen wie Kapital, Personal, Betriebsmittel, Material und IT-Systeme optimal genutzt werden. ERP-Systeme können eine oder mehrere Anwendungen sein, die zur Unterstützung der Ressourcenplanung beitragen. Enterprise-Resource- Planning (ERP) Durch ERP sollen Ressourcen wie Kapital, Personal, Betriebsmittel, Material und IT-Systeme optimal genutzt werden. ERP-Systeme können eine oder mehrere Anwendungen sein, die zur Unterstützung der Ressourcenplanung beitragen. Gebäudeleittechnik (GLT) Als Gebäudeleittechnik wird die Anlage oder die Software bezeichnet, mit der Gebäude überwacht und gesteuert werden können. Hierbei dient die GLT- Software als Visualisierungswerkzeug der technischen Vorgänge innerhalb des Gebäudes. Die eigentliche Steuerung des Gebäudes erfolgt durch sogenannte DDC-Unterstationen (Direct Digital Control), welche zum Beispiel die Heizungs-, Lüftungs- und Lichtsteuerungen übernehmen. - TLP Amber - Seite 85 - freigegeben - Industrial Control Systems (ICS) Industrial Control System ist ein allgemeiner Begriff, der verschiedene Arten von Steuerungssystemen und die dazugehörigen Instrumente für die industrielle Prozesssteuerung umfasst. Intrusion Detection System (IDS) Intrusion Prevention System Intrusion Detection System ist ein IT-technisches System, welches automatisiert abnormales System- oder Zugriffsverhalten auf eine Organisation und deren kritischen IT-Komponenten detektiert, und einen Eventalarm auslöst, welcher dann in einem weiteren Schritt bewertet und behandelt werden kann. Ein Intrusion Prevention System liefert darüber hinaus die Möglichkeit einer automatisierten Antwort auf erkannte Bedrohungen. Labor-Informations- Managementsysteme (LIMS) LIMS sind Softwaresysteme zur Datenverarbeitung im analytischen Labor. Ihre Hauptaufgaben sind die Unterstützung von Arbeitsabläufen und die Datenverfolgung. Man-in-the-Middle-Angriff Dies ist eine Angriffsform in Rechnernetzen, bei der ein Angreifer physisch oder logisch zwischen zwei Kommunikationspartnern steht und den Datenverkehr beider abfängt und gegebenenfalls einsieht oder modifiziert. Materialflussrechner (MFR) Ein Materialflussrechner (oder Datenkonzentrator) ist eine Software zum Steuern der Daten- und Informationsflüsse in automatischen Anlagen und Hochregallagern. Multi-Faktor- Authentifizierung (MFA) Die Multi-Faktor-Authentifizierung (MFA) ist ein Sicherheitsverfahren, das darauf abzielt, den Zugriff auf ein System oder eine Anwendung zu schützen, indem mehrere Identitätsnachweise bei der Benutzung verlangt werden. Im Gegensatz zur herkömmlichen Ein-Faktor-Authentifizierung, die nur ein Element zur Überprüfung der Identität erfordert (typischerweise ein Passwort oder eine PIN), erfordert die MFA mindestens zwei oder mehr der folgenden Faktoren:  Wissensbasierte Faktoren: Etwas, das Nutzende wissen, wie beispielsweise ein Passwort, eine PIN oder die Antworten auf vordefinierte Sicherheitsfragen.  Besitzbasierte Faktoren: Etwas, das Nutzende besitzen, wie beispielsweise ein Smartphone, eine Hardware-Token oder eine Smartcard, die zur Authentifizierung verwendet werden können.  Biometrische Faktoren: Etwas, das einzigartig ist für Nutzende, wie beispielsweise Fingerabdrücke, Gesichtserkennung, Iris-Scan oder Stimmerkennung. MSV2 MSV2 bezeichnet eine genormte Datenverbindung zwischen den Warenwirtschaftssystemen der Apotheke und denen des pharmazeutischen Großhandels zur Abwicklung von Bestellungen. MSV3 MSV3 ersetzte Anfang 2015 die Datenverbindung MSV2 und bietet weitere Funktionalitäten, wie zum Beispiel die Abgabe mehrerer zeitgleicher Bestellungen. Des Weiteren reicht bei der MSV3 ein Internetanschluss aus, während bei MSV2 noch eine spezielle technische Ausstattung notwendig war. - TLP Amber - Seite 86 - freigegeben - Phishing Der Versuch eines Identitätsdiebstahl, bei dem versucht wird durch gefälschte Webseiten, E-Mails oder Kurznachrichten an persönliche Daten von Nutzenden zu gelangen. Prozessleittechnik (PLT) Die Prozessleittechnik besteht unter anderem aus dem Prozessleitsystem sowie speicherprogrammierbaren Steuerungen und stellt somit Mittel und Verfahren zur Steuerung, Regelung und Sicherung verfahrenstechnischer Anlagen dar. Qualitätsmanagementsystem (QMS) Ein QMS ist eine Managementmethode deren Ziel ein systematisches Qualitätsmanagement ist. Skimming Man-in-the-Middle-Angriff, wobei illegal Daten von Kredit- oder Bankkarten ausgespäht werden. (Teilmenge einer Bedrohung der Orientierungshilfe und somit dieses B3S, aber ohne KRITIS-Relevanz für den Bereich Pharma.) Social Engineering Zwischenmenschliche Beeinflussung mit dem Ziel der Preisgabe von vertraulichen Informationen (oder dem Ziel zum Kauf/Verkauf eines Produktes oder zur Freigabe von Finanzmitteln etc.). Speicherprogrammierbare Steuerung (SPS) Eine Speicherprogrammierbare Steuerung ist ein Gerät zur Steuerung und Regelung einer Maschine oder Anlage. Stuxnet Computerwurm, der speziell für den Angriff auf SCADA-Systeme des Herstellers Siemens entwickelt wurde. 2010 wurde mit Stuxnet das iranische Atomprogramm sabotiert. Virtual Private Network (VPN) VPN ist ein logisches privates Netzwerk auf einer öffentlich zugänglichen Infrastruktur. Nur die Kommunikationsbeteiligten, die zu diesem privaten Netzwerk gehören, können miteinander kommunizieren und Informationen und Daten austauschen. - TLP Amber - Seite 87 - freigegeben - VERZEICHNISSE Abkürzungen Abkürzung Erläuterung AMG Arzneimittelgesetz AM-HandelsV Arzneimittelhandelsverordnung APT Advanced Persistent Threat B3S Branchenspezifischer Sicherheitsstandard BSI Bundesamt für Sicherheit in der Informationstechnik BSIG BSI-Gesetz BSI-KritisV BSI-Kritisverordnung C&C Command & Control-Server CRM Customer-Relationship-Management DDC Direct Digital Control DDoS Distributed-Denial-of-Service DSMS Datenschutz Managementsystem ERP Enterprise Ressource Planning EU Europäische Union FAQ Frequently Asked Questions (häufig gestellte Fragen) FDA Food and Drug Administration FFP Fresh Frozen Plasma FIM File Integrity Monitoring GDP Good Distribution Practice GLT Gebäudeleittechnik GMP Good Manufacturing Practice GxP Good (x = Anwendungsbereich) Practice ICS Industrial Control System - TLP Amber - Seite 88 - freigegeben - IDS Intrusion Detection System IMS Integriertes Managementsystem IPS Intrusion Prevention System ISMS Informationssicherheitsmanagementsystem IT Informationstechnik IT-SiG IT-Sicherheitsgesetz kDL kritische Dienstleistung KRITIS Kritische Infrastruktur KritisV BSI-Kritisverordnung LIMS Labor-Informations-Management-Systeme LPM Loi de Programmation Militaire (Englisch: Military Program Law) MES Manufacturing Execution System MFR Materialflussrechner MHRA Medicines and Healthcare products Regulatory Agency MSV Medium Speed Version NEA Netzersatzanlagen PLT Prozessleittechnik QMS Qualitätsmanagementsystem Rx Verschreibungspflichtige Arzneimittel (Ausschreibung des Symbols) RZ Rechenzentrum SAIV Sicherstellung von Aktivitäten von lebenswichtiger Bedeutung SCADA Supervisory Control and Data Acquisition (Industrie Steuerungs- und Überwachungsanlage) SPS Speicherprogrammierbare Steuerung TK Telekommunikation USV Unterbrechungsfreie Stromversorgung - TLP Amber - Seite 89 - freigegeben - VIVA Vertraulichkeit, Integrität, Verfügbarkeit und Authentizität VPN Virtual Private Network VS Verschlusssache Abbildungsverzeichnis Abbildung 1 Mögliche Schnittstellen zu externen Dienstleistenden mit Einfluss auf die kDL................................... 13 Abbildung 2 PDCA-Managementzyklus ........................................................................................................................ 32 Abbildung 3 Beispiel: Herstellung von Tabletten mit vollständiger IT-Unterstützung............................................... 61 Abbildung 4 Beispiel: Herstellung von Tabletten mit teilweiser IT-Unterstützung .................................................... 63 Abbildung 5 Beispiel: Herstellung von Augentropfen mit IT-Unterstützung .............................................................. 64 Abbildung 6 Beispiel: Herstellung von Blutkonserven mit IT-Unterstützung ............................................................. 65 Abbildung 7 Risikoprozess, in Anlehnung an DIN ISO/IEC 31000, 2018 ..................................................................... 68 Abbildung 8 Beispiel einer 4x4-Risikomatrix ................................................................................................................ 70 Tabellenverzeichnis Tabelle 1: Liste der namentlich genannten Beteiligten .................................................................................................. I Tabelle 2 Änderungshistorie .......................................................................................................................................... III Tabelle 3 Basis IT/OT-Systeme der kDL ........................................................................................................................ 10 Tabelle 4 Typische Kernsysteme der kDL ..................................................................................................................... 11 Tabelle 5 Bedrohungskategorien .................................................................................................................................. 21 Tabelle 6 Schwachstellenkategorien ............................................................................................................................ 21 Tabelle 7 Bedrohungen ................................................................................................................................................. 23 Tabelle 8 Schwachstellen .............................................................................................................................................. 25 Tabelle 9 Beispiel für die Klassifizierung des Schadensausmaßes .............................................................................. 69 Tabelle 10 Beispiel für die Klassifizierung der Eintrittswahrscheinlichkeit ................................................................. 70 Tabelle 11 Organisatorische Maßnahmen Asset-Management.................................................................................. 73 Tabelle 12 Physische Maßnahmen Asset-Management.............................................................................................. 73 Tabelle 13 Technologische Maßnahmen Asset-Management .................................................................................... 74 Tabelle 14 Organisatorische Maßnahmen Vorfallerkennung und -bearbeitung ....................................................... 74 Tabelle 15 Personenbezogene Maßnahmen Vorfallerkennung und -bearbeitung ................................................... 74 Tabelle 16 Technologische Maßnahmen Vorfallerkennung und -bearbeitung.......................................................... 74 Tabelle 17 Organisatorische Maßnahmen Notfall- und Continuity-Management .................................................... 75 Tabelle 18 Technologische Maßnahmen Notfall- und Continuity-Management ....................................................... 75 Tabelle 19 Physische Maßnahmen bauliche/physische Sicherheit ............................................................................. 76 - TLP Amber - Seite 90 - freigegeben - Tabelle 20 Technologische Maßnahmen bauliche/physische Sicherheit ................................................................... 76 Tabelle 21 Organisatorische Maßnahmen Überprüfung im laufenden Betrieb......................................................... 76 Tabelle 22 Technologische Maßnahmen Überprüfung im laufenden Betrieb ........................................................... 76 Tabelle 23 Organisatorische Maßnahmen externe Informationsversorgung ............................................................ 76 Tabelle 24 Organisatorische Maßnahmen Lieferanten, Dienstleister und Dritte ...................................................... 77 Tabelle 25 Organisatorische Maßnahmen Hacking und Manipulation ...................................................................... 77 Tabelle 26 Technologische Maßnahmen Hacking und Manipulation ......................................................................... 78 Tabelle 27 Organisatorische Maßnahmen Missbrauch (Innentäter) .......................................................................... 78 Tabelle 28 Personenbezogene Maßnahmen Missbrauch (Innentäter) ...................................................................... 78 Tabelle 29 Technologische Maßnahmen Missbrauch (Innentäter) ............................................................................ 79 Tabelle 30 Physische Maßnahmen Ausfall Basisinfrastruktur ..................................................................................... 79 Tabelle 31 Technologische Maßnahmen Ausfall Basisinfrastruktur ........................................................................... 79 Tabelle 32 Organisatorische Maßnahmen organisatorische Mängel ......................................................................... 80 Tabelle 33 Personenbezogene Maßnahmen organisatorische Mängel ..................................................................... 80 Tabelle 34 Technologische Maßnahmen organisatorische Mängel ........................................................................... 80 Tabelle 35 Technologische Maßnahmen technische Schwachstellen ........................................................................ 81 Tabelle 36 Technologische Maßnahmen technisches Versagen ................................................................................ 81 Tabelle 37 Organisatorische Maßnahmen menschliche Fehlhandlungen.................................................................. 81 Tabelle 38 Personenbezogene Maßnahmen menschliche Fehlhandlungen .............................................................. 81 Tabelle 39 Physische Maßnahmen infrastrukturelle Mängel ...................................................................................... 82 Tabelle 40 Technologische Maßnahmen infrastrukturelle Mängel ............................................................................ 82 Tabelle 41 Organisatorische Maßnahmen Kommunikationsarchitektur .................................................................... 82 Tabelle 42 Personenbezogene Maßnahmen Kommunikationsarchitektur ................................................................ 82 Tabelle 43 Technologische Maßnahmen Kommunikationsarchitektur ...................................................................... 82 Anwendungsverzeichnis Anwendungshinweis 1 Geltungsbereich ........................................................................................................................ 9 Anwendungshinweis 2 Verantwortlichkeit für externe Dienstleistende .................................................................... 12 Anwendungshinweis 3 Qualität der kDL & Lagerbestände ......................................................................................... 16 Anwendungshinweis 4 Ansetzen der Schutzziele ........................................................................................................ 17 Anwendungshinweis 5 Betrachtung Schutzziel Authentizität ..................................................................................... 18 Anwendungshinweis 6 Risikotransfer und Risikoakzeptanz ........................................................................................ 26 Anwendungshinweis 7 Integrierte Risikoanalyse & integrierte Managementsysteme ............................................. 27 Anwendungshinweis 8 Mögliche KPIs für ISMS und BCMS ......................................................................................... 28 - TLP Amber - Seite 91 - freigegeben - Anwendungshinweis 9 Interpretation Stand der Technik (Allgemeine KRITIS-Hinweise des BSI) ............................ 30 Anwendungshinweis 10 Angemessene Maßnahmen .................................................................................................. 30 Anwendungshinweis 11 Integriertes Managementsystem ......................................................................................... 31 Anwendungshinweis 12 Check-Phase .......................................................................................................................... 32 Anwendungshinweis 13 Gruppieren von Assets .......................................................................................................... 33 Anwendungshinweis 14 Regelungen zur Handhabung von Assets ............................................................................. 33 Anwendungshinweis 15 Änderungen an Angriffserkennungssystemen .................................................................... 34 Anwendungshinweis 16 Kontaktstelle BSI.................................................................................................................... 45 Anwendungshinweis 17 Prüfrechte .............................................................................................................................. 46 Anwendungshinweis 18 Priorisierung der Maßnahmen ............................................................................................. 47 Anwendungshinweis 19 Redundanz ............................................................................................................................. 49 Anwendungshinweis 20 Sicherheitsüberprüfung ........................................................................................................ 49 Anwendungshinweis 21 Äquivalente Sicherheitssysteme .......................................................................................... 51 Anwendungshinweis 22 Interessierte Parteien ........................................................................................................... 53 Anwendungshinweis 23 Melden von Vorfällen ........................................................................................................... 57 Anwendungshinweis 24 KRITIS Prüfung ....................................................................................................................... 60 Referenzen Titel Referenz BSI Gesetz (BSIG) Stand: Zuletzt geändert durch Art. 12 G vom 23. Juni 2021 (BGBl. I S. 1982) Link: https://www.gesetze-im- internet.de/bsig_2009/BJNR282110009.html BSI ICS-Kompendium Link: https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/ICS/ICS- Security_kompendium_pdf.pdf? blob=publicationFile BSI IT-Grundschutz- Kompendium Link: BSI - IT-Grundschutz-Kompendium (bund.de) BSI Kritisverordnung (KritisV) Stand: Zuletzt geändert durch Art. 1 G v. 29. November 2023 I 339 Link: https://www.gesetze-im-internet.de/bsi- kritisv/BJNR095800016.html DIN ISO/IEC 27001 Fassung von 2022 DIN ISO/IEC 27002 Fassung von 2022 DIN ISO/IEC 31000 Fassung von 2018 - TLP Amber - Seite 92 - freigegeben - Gesetz zur Erhöhung der Sicherheit informations- technischer Systeme (IT-SiG) Stand: 27. Mai 2021 Link: Bundesgesetzblatt BGBl. 25 Jahrgang 2021 Teil 1 Nr. 31 ISO/IEC 27005 Fassung von 2022 Orientierungshilfe zu Inhalten und Anforderungen an branchenspezifische Sicherheitsstandards (B3S) gemäß § 8a (2) BSIG Stand: Version 1.3 vom 23.02.2024 Link: Orientierungshilfe zu branchenspezifischen Sicherheitsstandards (B3S) gemäß § 8a Absatz 2 BSIG (bund.de) Orientierungshilfe zu Nachweisen gemäß § 8a (3) BSIG Stand: Version 1.2 vom 12.05.2023 Link: Orientierungshilfe zu Nachweisen gemäß § 8a Absatz 3 BSIG (bund.de)