/

Pharma & MedTech

NIS2 · MDR/IVDR · GxP · ISO 13485

Cybersicherheit für Pharma & MedTech

Arzneimittelhersteller, Medizinproduktehersteller und Diagnostikunternehmen bewegen sich in einem der dichtesten Regulierungsumfelder überhaupt: NIS2, MDR, IVDR, GxP, ISO 13485, FDA 21 CFR Part 11, EU-GMP Annex 11. Gleichzeitig sind sie attraktive Ziele für IP-Diebstahl, Produktionssabotage und Supply-Chain-Angriffe. Wir liefern Awareness, Phishing-Simulation, Vulnerability Management und Managed SOC — abgestimmt auf validierte Systeme und auditfeste Dokumentation.

DIE REALITÄT

Hohe IP-Werte, lange Produktionszyklen, extreme Stillstandskosten.

Ein einziger Tag Produktionsstillstand in einer pharmazeutischen Anlage kostet siebenstellige Beträge. Ein kompromittierter Forschungsdatenbestand bedeutet jahrelange Entwicklungsarbeit und Marktpositionen in den Händen von Wettbewerbern. Cybersicherheit ist in dieser Branche kein IT-Thema — sie ist ein Geschäftsrisiko ersten Ranges.

5,10 M$

durchschnittliche Kosten eines Data Breach im Pharma-Sektor — nach Healthcare und Finance der drittteuerste Sektor weltweit.

NIS2 + MDR

Parallele Pflichten aus NIS2 für Versorgungssicherheit und MDR/IVDR für Produktsicherheit — mit überlappenden, aber nicht identischen Dokumentationsanforderungen.

CSV-pflichtig

Jedes System, das GxP-relevante Daten verarbeitet, unterliegt Computer System Validation — jede Sicherheitsmaßnahme muss auditsicher dokumentiert und validiert werden.

Quellen: IBM Cost of a Data Breach Report 2024 · NIS2UmsuCG · MDR (EU) 2017/745 · EU-GMP Annex 11 · FDA 21 CFR Part 11.

DIE REALITÄT

Hohe IP-Werte, lange Produktionszyklen, extreme Stillstandskosten.

Ein einziger Tag Produktionsstillstand in einer pharmazeutischen Anlage kostet siebenstellige Beträge. Ein kompromittierter Forschungsdatenbestand bedeutet jahrelange Entwicklungsarbeit und Marktpositionen in den Händen von Wettbewerbern. Cybersicherheit ist in dieser Branche kein IT-Thema — sie ist ein Geschäftsrisiko ersten Ranges.

5,10 M$

durchschnittliche Kosten eines Data Breach im Pharma-Sektor — nach Healthcare und Finance der drittteuerste Sektor weltweit.

NIS2 + MDR

Parallele Pflichten aus NIS2 für Versorgungssicherheit und MDR/IVDR für Produktsicherheit — mit überlappenden, aber nicht identischen Dokumentationsanforderungen.

CSV-pflichtig

Jedes System, das GxP-relevante Daten verarbeitet, unterliegt Computer System Validation — jede Sicherheitsmaßnahme muss auditsicher dokumentiert und validiert werden.

Quellen: IBM Cost of a Data Breach Report 2024 · NIS2UmsuCG · MDR (EU) 2017/745 · EU-GMP Annex 11 · FDA 21 CFR Part 11.

REGULATORISCHER KONTEXT

Drei Regulierungsebenen — Versorgungssicherheit, Produktsicherheit, Prozessintegrität.

Pharma- und MedTech-Unternehmen stehen zwischen mehreren voneinander unabhängigen Regimen. NIS2 schützt die Versorgung der Bevölkerung mit Produkten und Diensten; MDR und IVDR schützen Patient:innen vor unsicheren Medizinprodukten; GxP und ISO 13485 schützen die Integrität der Prozesse, in denen diese Produkte entstehen. Alle drei verlangen unterschiedliche — aber miteinander kompatible — Nachweise.

01 · NIS2

Sektor hoher Kritikalität

Hersteller von Arzneimitteln und Medizinprodukten fallen explizit in den Sektor Gesundheit nach Anlage 1 BSIG (Sektor mit hoher Kritikalität nach NIS2 Anhang I). Ab 250 Mitarbeitenden oder 50 Mio. € Jahresumsatz und 43 Mio. € Bilanzsumme: besonders wichtige Einrichtung. Ab 50 MA oder 10 Mio. € Umsatz und Bilanzsumme: wichtige Einrichtung. Pflichten: Risikomanagement nach § 30 BSIG, Meldewesen nach § 32 BSIG, persönliche Haftung der Geschäftsleitung nach § 38 BSIG, Bußgelder bis 10 Mio. € oder 2 % Jahresumsatz (besonders wichtig) bzw. 7 Mio. € oder 1,4 % (wichtig) nach § 65 BSIG.

02 · MDR / IVDR

Produktsicherheit Medizinprodukte

MDR (EU) 2017/745 und IVDR (EU) 2017/746 verlangen für vernetzte Medizinprodukte explizit IT-Sicherheit als Teil der grundlegenden Sicherheits- und Leistungsanforderungen (Anhang I). Das MDCG 2019-16 Guidance konkretisiert Cybersecurity-Erwartungen für Hersteller. Ein Zwischenfall mit Sicherheitsauswirkung ist meldepflichtig an BfArM und die Benannten Stellen — innerhalb enger Fristen.

03 · GxP / ISO 13485

Validierte Systeme & QMS

Jedes System, das GxP-Daten verarbeitet (Produktion, Labor, Clinical Trials), unterliegt der Computer System Validation nach EU-GMP Annex 11 und FDA 21 CFR Part 11. Änderungen müssen Change-kontrolliert, Qualifizierungen (IQ/OQ/PQ) dokumentiert werden. ISO 13485 fordert ein Qualitätsmanagementsystem, das Cybersecurity als Risikofaktor systematisch berücksichtigt.

Rechtsquellen: NIS2UmsuCG · MDR (EU) 2017/745 · IVDR (EU) 2017/746 · MDCG 2019-16 · EU-GMP Annex 11 · FDA 21 CFR Part 11 · ISO 13485 · ISO 14971.

REGULATORISCHER KONTEXT

Drei Regulierungsebenen — Versorgungssicherheit, Produktsicherheit, Prozessintegrität.

Pharma- und MedTech-Unternehmen stehen zwischen mehreren voneinander unabhängigen Regimen. NIS2 schützt die Versorgung der Bevölkerung mit Produkten und Diensten; MDR und IVDR schützen Patient:innen vor unsicheren Medizinprodukten; GxP und ISO 13485 schützen die Integrität der Prozesse, in denen diese Produkte entstehen. Alle drei verlangen unterschiedliche — aber miteinander kompatible — Nachweise.

01 · NIS2

Sektor hoher Kritikalität

Hersteller von Arzneimitteln und Medizinprodukten fallen explizit in den Sektor Gesundheit nach Anlage 1 BSIG (Sektor mit hoher Kritikalität nach NIS2 Anhang I). Ab 250 Mitarbeitenden oder 50 Mio. € Jahresumsatz und 43 Mio. € Bilanzsumme: besonders wichtige Einrichtung. Ab 50 MA oder 10 Mio. € Umsatz und Bilanzsumme: wichtige Einrichtung. Pflichten: Risikomanagement nach § 30 BSIG, Meldewesen nach § 32 BSIG, persönliche Haftung der Geschäftsleitung nach § 38 BSIG, Bußgelder bis 10 Mio. € oder 2 % Jahresumsatz (besonders wichtig) bzw. 7 Mio. € oder 1,4 % (wichtig) nach § 65 BSIG.

02 · MDR / IVDR

Produktsicherheit Medizinprodukte

MDR (EU) 2017/745 und IVDR (EU) 2017/746 verlangen für vernetzte Medizinprodukte explizit IT-Sicherheit als Teil der grundlegenden Sicherheits- und Leistungsanforderungen (Anhang I). Das MDCG 2019-16 Guidance konkretisiert Cybersecurity-Erwartungen für Hersteller. Ein Zwischenfall mit Sicherheitsauswirkung ist meldepflichtig an BfArM und die Benannten Stellen — innerhalb enger Fristen.

03 · GxP / ISO 13485

Validierte Systeme & QMS

Jedes System, das GxP-Daten verarbeitet (Produktion, Labor, Clinical Trials), unterliegt der Computer System Validation nach EU-GMP Annex 11 und FDA 21 CFR Part 11. Änderungen müssen Change-kontrolliert, Qualifizierungen (IQ/OQ/PQ) dokumentiert werden. ISO 13485 fordert ein Qualitätsmanagementsystem, das Cybersecurity als Risikofaktor systematisch berücksichtigt.

Rechtsquellen: NIS2UmsuCG · MDR (EU) 2017/745 · IVDR (EU) 2017/746 · MDCG 2019-16 · EU-GMP Annex 11 · FDA 21 CFR Part 11 · ISO 13485 · ISO 14971.

TYPISCHE ANGRIFFSSZENARIEN

Vier Angriffsfelder, die spezifisch Pharma und MedTech treffen.

Die Bedrohungslandschaft ist anders als in anderen Branchen — IP, OT-Netzwerke, Clinical-Trials-Daten und tief integrierte Lieferketten schaffen eigene Angriffsmuster, die gezielte Verteidigung erfordern.

UNSERE LÖSUNGEN

Security, die validierte Systeme respektiert.

In GxP-regulierten Umgebungen scheitern Standard-Security-Werkzeuge an Change-Control und Validierungspflichten. Unser Programm ist darauf ausgelegt, Sicherheit zu erhöhen, ohne den Validierungsstatus Ihrer Systeme zu kompromittieren — und mit Dokumentation, die in Audits Bestand hat.

KONTINUIERLICHES TRAINING

Phishing Simulation as a Service

Branchenspezifische Köder: gefälschte Benannte-Stellen-Mitteilungen, CDMO-Rechnungen, Regulatory-Update-E-Mails, interne Clinical-Data-Anfragen. Pro Abteilung gemessen — R&D, QA, Production, Sales. Effektivitätsnachweis für Awareness-Verpflichtungen nach NIS2, MDR und ISO 13485.

MITARBEITER-RESILIENZ

Security Awareness Training

Rollenbezogene Trainings für R&D, Produktion, QA, Clinical, Regulatory Affairs und Vertrieb. Inhalte zu IP-Schutz, Insider-Risiken, Schulung zum richtigen Umgang mit USB-Sticks und Laboreinrichtungen. Schulungsnachweis direkt verwendbar für ISO 13485-, GxP- und NIS2-Audits.

ANGRIFFSFLÄCHE KENNEN

Schwachstellen-Management

Asset Discovery auch für OT-Netzwerke: SCADA, MES, Batch-Control, LIMS, LabWare. Passive Scanning-Modi für validierte Systeme, aktive Scans nur in definierten Wartungsfenstern mit Change-Control-Integration. Remediation-Tracking, das Qualifizierungsstatus nicht kompromittiert.

24/7 MANAGED SOC

Incident Detection & Response

Monitoring über IT- und OT-Segmente hinweg, Detection für APT-typische Muster (Lateral Movement, langsame Exfiltration, manipulierte Build-Pipelines). Vorbereitete Meldeunterlagen nach § 32 BSIG für NIS2 und MDR-Meldungen an BfArM/Benannte Stellen — innerhalb der engen MDR-Fristen.

WARUM ENTROPY CS

Cybersicherheit, die GxP, Validierung und Audits versteht.

Generische Security-Dienstleister brechen in regulierten Umgebungen am Validierungsstatus. Spezialisten für GxP-Validierung wiederum haben kein operatives Security-Programm. Wir kombinieren beide Welten.

Validierungskompatibel

Unsere Prozesse sind mit Change Control, Change Impact Assessment und Qualifizierungspflichten abgestimmt. Jede Sicherheitsmaßnahme ist auditierbar dokumentiert — keine Überraschungen bei der nächsten FDA-, EMA- oder BfArM-Prüfung.

IT- und OT-Perspektive

Wir bringen echtes Verständnis für die Besonderheiten von OT-Umgebungen mit — SCADA, MES, Lab-Automation, Batch-Control. Keine Brechstangen-Methoden, die Chargen zerstören oder Validierungsstatus kosten.

Compliance-Mehrfachnutzung

Die Evidenz aus unseren Services deckt gleichzeitig NIS2-Risikomanagement, MDR-Cybersecurity-Dokumentation, ISO-13485-QMS-Anforderungen und GxP-Validierungsnachweise ab. Einmal erzeugt, mehrfach genutzt.

Antworten speziell für Pharma & MedTech.

Antworten speziell für Pharma & MedTech.

Die Fragen, die wir regelmäßig von Quality, Compliance, IT-Leitungen und CISOs in Pharma- und MedTech-Unternehmen hören.

Wie vermeiden Sie, dass Security-Maßnahmen unsere validierten Systeme beeinträchtigen?

Wie vermeiden Sie, dass Security-Maßnahmen unsere validierten Systeme beeinträchtigen?

Welche NIS2-Kategorie gilt für uns?

Welche NIS2-Kategorie gilt für uns?

Wie gehen Sie mit Cybersecurity für unsere vernetzten Medizinprodukte um?

Wie gehen Sie mit Cybersecurity für unsere vernetzten Medizinprodukte um?

Wir haben FDA-relevante Systeme. Müssen wir 21 CFR Part 11 separat erfüllen?

Wir haben FDA-relevante Systeme. Müssen wir 21 CFR Part 11 separat erfüllen?

Wie adressieren Sie unsere Lieferketten-Risiken?

Wie adressieren Sie unsere Lieferketten-Risiken?

Was kostet das für einen mittelgroßen Hersteller?

Was kostet das für einen mittelgroßen Hersteller?

KOSTENLOSES RISK ASSESSMENT

30 Minuten. Ein ehrliches Bild Ihrer Sicherheitslage.

Jedes Gespräch beginnt mit einem kostenlosen Risk Assessment — 30 Minuten, keine Verpflichtung. Sie erhalten im Anschluss einen schriftlichen Report mit Ihrem Cybersecurity-Reifegrad, Risikobereichen und Sofortmaßnahmen.

KOSTENLOSES RISK ASSESSMENT

30 Minuten. Ein ehrliches Bild Ihrer Sicherheitslage.

Jedes Gespräch beginnt mit einem kostenlosen Risk Assessment — 30 Minuten, keine Verpflichtung. Sie erhalten im Anschluss einen schriftlichen Report mit Ihrem Cybersecurity-Reifegrad, Risikobereichen und Sofortmaßnahmen.