NIS2 für Chemie und Pharma: OT-Sicherheit und Lieferkettenpflichten

Chemieanlagen gehören zu den sicherheitskritischsten Produktionsumgebungen in Deutschland – nicht nur wegen der physischen Risiken durch gefährliche Stoffe, sondern zunehmend auch wegen ihrer Anfälligkeit für Cyberangriffe auf Prozessleitsysteme. Mit dem NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) gelten für weite Teile der Chemie- und Pharmaindustrie verbindliche Mindeststandards für die Cybersicherheit – für die meisten betroffenen Unternehmen erstmals. Die Besonderheit dieser Konstellation: Die Chemie ist ein Sektor des Anhangs II der NIS2-Richtlinie (im BSIG Anlage 2), während Hersteller pharmazeutischer Erzeugnisse (NACE C21) in Anhang I unter dem Gesundheitswesen geführt werden (im BSIG Anlage 1). Große Pharmahersteller können damit besonders wichtige Einrichtungen sein; Chemieunternehmen gelten allein aufgrund ihrer Chemietätigkeit höchstens als wichtige Einrichtungen. Was das konkret bedeutet und welche technischen sowie organisatorischen Maßnahmen betroffene Einrichtungen umsetzen müssen, erklärt dieser Leitfaden. Die übergeordneten NIS2-Sicherheitsanforderungen nach Artikel 21 bilden dabei den gemeinsamen technischen Rahmen für alle betroffenen Einrichtungen.

Chemie als Anhang-II-Sektor: Betroffenheit und Einstufung

Die NIS2-Richtlinie (EU) 2022/2555 unterscheidet zwei Gruppen von Sektoren. In Anhang I sind Sektoren mit hoher Kritikalität aufgeführt (Energie, Gesundheit, Wasser, digitale Infrastruktur u. a.); große Unternehmen dieser Sektoren gelten als wesentliche Einrichtungen (im BSIG „besonders wichtige Einrichtungen“) und werden intensiver beaufsichtigt, mittlere als wichtige Einrichtungen. Unternehmen der Anhang-II-Sektoren gelten ab der Größenschwelle als wichtige Einrichtungen – mit niedrigeren Bußgeldobergrenzen und in der Regel anlassbezogener Aufsicht (§§ 28, 62 BSIG).

Der Sektor Produktion, Herstellung und Handel mit chemischen Stoffen ist in Anhang II, Abschnitt 3 der NIS2-Richtlinie aufgeführt. Maßgeblich ist nicht allein ein NACE-Code, sondern die REACH-Verordnung (EG) Nr. 1907/2006. Das BSIG zieht den Kreis in Anlage 2 Nr. 3.1.1 enger als die Richtlinie: Erfasst sind Hersteller und Importeure im Sinne von Art. 3 Nr. 9 und 11 REACH von chemischen Stoffen und Gemischen, sofern ihre Tätigkeit in die NACE-Abteilung 20 (Herstellung von chemischen Erzeugnissen) fällt und sie der REACH-Registrierungspflicht nach Art. 6 unterliegen (Herstellung oder Einfuhr eines Stoffes ab 1 Tonne pro Jahr). Reine Händler und Formulierer, die nur zugekaufte Stoffe mischen, sind nach REACH in der Regel Händler bzw. nachgeschaltete Anwender und nicht ohne Weiteres erfasst – hier lohnt eine Einzelfallprüfung. Für erfasste Unternehmen gelten folgende Schwellenwerte (§ 28 BSIG):

Unternehmensgröße	Mitarbeiter	Jahresumsatz und Bilanzsumme	NIS2-Status
Mittleres Unternehmen	≥ 50	oder Umsatz und Bilanzsumme jeweils über 10 Mio. Euro	Wichtige Einrichtung (Anlage 2 BSIG)
Großunternehmen	≥ 250	oder Umsatz über 50 Mio. Euro und Bilanzsumme über 43 Mio. Euro	Wichtige Einrichtung (Anlage 2 BSIG)
Klein- und Kleinstunternehmen	< 50	und Umsatz oder Bilanzsumme höchstens 10 Mio. Euro	Grundsätzlich nicht direkt betroffen
Betreiber kritischer Anlagen	–	–	Besonders wichtige Einrichtung unabhängig von der Größe (§ 28 Abs. 1 Nr. 1 BSIG); Chemie selbst ist kein KRITIS-Sektor

Als wichtige Einrichtung unterliegen Chemieunternehmen der nachgelagerten Aufsicht durch das BSI: Eine proaktive Überwachung ohne konkreten Anlass ist für wichtige Einrichtungen nicht vorgesehen. Rechtfertigen Tatsachen die Annahme eines Pflichtverstoßes, kann das BSI die Einhaltung jedoch überprüfen und Maßnahmen anordnen (§ 62 BSIG). Bei Verstößen etwa gegen Risikomanagement- oder Meldepflichten drohen wichtigen Einrichtungen Geldbußen von bis zu 7 Mio. Euro, bei mehr als 500 Mio. Euro weltweitem Gesamtumsatz bis zu 1,4 % dieses Umsatzes (§ 65 BSIG).

Wichtig für Chemiekonzerne mit Tochterunternehmen: Die Einstufung erfolgt je Rechtsträger; Gesellschaften, die auch Arzneimittel herstellen (NACE C21), sind gesondert zu prüfen. Daten verbundener Unternehmen werden bei der Größe grundsätzlich mitgezählt, es sei denn, die Gesellschaft ist in ihrer IT unabhängig von der Gruppe (§ 28 Abs. 4 BSIG). Pharmaeinheiten fallen unter andere Regeln – wie der folgende Abschnitt zeigt.

Pharmahersteller: Anhang I Gesundheit und die Doppeleinstufung im Konzern

Pharmazeutische Hersteller nehmen in der NIS2-Systematik eine besondere Stellung ein: Unternehmen, die pharmazeutische Erzeugnisse herstellen (NACE Rev. 2 Abschnitt C, Abteilung 21), sind im Anhang I, Abschnitt 5 (Gesundheitswesen) der NIS2-Richtlinie geführt – nicht in Anhang II. Im BSIG entspricht dem Anlage 1 Nr. 4.1.4. Das bedeutet:

• Ab 250 Mitarbeitern oder einem Jahresumsatz von über 50 Mio. Euro und einer Jahresbilanzsumme von über 43 Mio. Euro gelten sie als besonders wichtige Einrichtungen (wesentliche Einrichtungen im Sinne der Richtlinie). Das BSI kann ohne konkreten Anlass Audits oder Prüfungen durch unabhängige Stellen anordnen (§ 61 BSIG).
• Der Bußgeldrahmen ist höher: bis zu 10 Mio. Euro, bei einem weltweiten Gesamtumsatz von mehr als 500 Mio. Euro bis zu 2 % dieses Umsatzes (§ 65 BSIG).
• Mittlere Pharmaunternehmen (ab 50 Mitarbeitern oder mit Umsatz und Bilanzsumme von jeweils über 10 Mio. Euro) gelten demgegenüber als wichtige Einrichtungen.
• Ebenfalls in Anlage 1 stehen Arzneimittel-F&E (Nr. 4.1.3) und Hersteller von Medizinprodukten, die nach Art. 22 der Verordnung (EU) 2022/123 als kritisch für gesundheitliche Notlagen gelistet sind (Nr. 4.1.5); übrige Medizinprodukte-Hersteller fallen unter Anlage 2.
• Große Produktionsstätten für verschreibungspflichtige Arzneimittel können kritische Anlagen sein (bis zur neuen KRITIS-Verordnung gilt nach § 66 BSIG die BSI-Kritisverordnung fort: Schwellenwert 4.650.000 Packungen pro Jahr). Ihre Betreiber sind unabhängig von der Größe besonders wichtige Einrichtungen mit Zusatzpflichten (§§ 31, 39 BSIG). Das KRITIS-Dachgesetz erfasst ebenfalls das Gesundheitswesen, nicht aber die Chemie (§ 4 Abs. 1 KRITISDachG).

In der Praxis entsteht innerhalb großer Chemie-Pharma-Konzerne eine regulatorische Doppeleinstufung: Die chemische Produktion (NACE C20) unterliegt Anhang II, die pharmazeutische Produktion (NACE C21) Anhang I. Übt eine Gesellschaft beide Tätigkeiten aus, gilt sie bei Erreichen der Schwellen als besonders wichtige Einrichtung, sofern die Pharmatätigkeit nicht vernachlässigbar ist (§ 28 Abs. 3 BSIG). Die Einstufung nehmen die Unternehmen selbst vor – das BSI entscheidet darüber nicht im Registrierungsverfahren. In Zweifelsfällen empfiehlt sich eine dokumentierte rechtliche Prüfung.

Einen vergleichbaren Regulierungsschnittbereich – zwei Rahmenwerke, eine Unternehmensorganisation – kennt der Gesundheitssektor mit dem Zusammenspiel von MDR und NIS2. Wie Krankenhäuser und Gesundheitsdienstleister damit umgehen, erläutert der Leitfaden NIS2 im Gesundheitswesen.

Prozessleittechnik und OT-Sicherheit in der Chemieproduktion

Die größte technische Herausforderung für Chemie- und Pharmaunternehmen liegt in der Absicherung ihrer Operational Technology (OT) – also der Prozessleittechnik, die Produktionsanlagen direkt steuert. Während IT-Systeme primär Daten verarbeiten, steuern OT-Systeme physische Prozesse in Echtzeit: Temperaturregler, Drucksensoren, Ventilsteuerungen und Sicherheitsabschaltsysteme (Safety Instrumented Systems, SIS).

In chemischen Produktionsanlagen und Pharmabetrieben begegnen uns typischerweise folgende OT-Komponenten:

Systemtyp	Funktion	NIS2-relevantes Angriffsrisiko
Distributed Control System (DCS)	Zentrale Prozesssteuerung (Temperatur, Druck, Durchfluss)	Manipulation führt zu unkontrollierten Reaktionen oder Produktionsausfall
Safety Instrumented System (SIS)	Sicherheitsabschaltung bei Grenzwertüberschreitung	Deaktivierung durch Angriff beseitigt letzten physischen Schutzwall – Störfallpotenzial
SCADA-System	Fernüberwachung und -steuerung verteilter Anlagenteile	Remote-Zugriffsschnittstellen als Einfallstor; Datenmanipulation verfälscht Prozessparameter
Historian Server	Langzeitarchivierung von Prozessdaten	IT-OT-Kopplung als Übergangsbrücke für Angreifer vom IT- ins OT-Netz
Programmierbare Logiksteuerungen (SPS/PLC)	Steuerung einzelner Anlagenkomponenten	Firmware-Manipulationen schwer detektierbar; lange Betriebs- und Austauschzyklen
Manufacturing Execution System (MES)	Produktionsplanung und Chargensteuerung (v. a. Pharma)	Manipulation von Batch-Rezepturen oder Freigabeprotokollen; GxP-Compliance gefährdet

Das Gefahrenpotenzial ist nicht theoretisch: Der Triton/TRISIS-Angriff von 2017 – bei dem Angreifer das Safety Instrumented System einer Petrochemieanlage im Nahen Osten gezielt kompromittierten – zeigt, dass OT-Angriffe mit dem Potenzial physischer Schäden real sind. Nach Angaben des FBI ging die Anlage nur deshalb automatisch in einen sicheren Zustand, weil mehrere Sicherheitssteuerungen eine durch Softwarefehler der Schadsoftware verursachte Anomalie erkannten; erst die Untersuchung dieser Abschaltung deckte den Angriff auf. Der Fall gilt seither als Referenzszenario für OT-Risikoanalysen in der Prozessindustrie.

Die Risikomanagementmaßnahmen nach Artikel 21 NIS2 bzw. § 30 BSIG beziehen sich auf die IT-Systeme, Komponenten und Prozesse, die eine Einrichtung für ihre Dienste nutzt – in der Produktion in aller Regel einschließlich der Prozessleittechnik. Eine eigenständige OT-Risikobewertung schreibt das Gesetz nicht vor, sie ist aber empfehlenswert. Als Orientierung für OT-Cybersicherheit in der Prozessindustrie dienen unter anderem:

• IEC 62443: Internationale Normenreihe für industrielle Cybersicherheit; definiert Security Levels (SL 1–4) sowie ein Zones-and-Conduits-Modell zur OT-Netzsegmentierung
• NAMUR NE 153 („Automation Security 2020“): Empfehlung der Prozessindustrie zu Design, Implementierung und Betrieb sicherer Automatisierungssysteme
• BSI-Veröffentlichungen zur ICS-Security (u. a. BSI-CS 005 „Industrial Control System Security – Top 10 Bedrohungen und Gegenmaßnahmen“ und das ICS-Security-Kompendium): Handlungsempfehlungen des BSI für industrielle Steuerungssysteme
• KAS-51 „Leitfaden Maßnahmen gegen Eingriffe Unbefugter“: Leitfaden der Kommission für Anlagensicherheit zur Störfall-Verordnung, der ausdrücklich auch Cyberangriffe behandelt

Störfallrecht und NIS2: Wenn Cyberangriffe physische Folgen haben

Betriebsbereiche, in denen gefährliche Stoffe oberhalb bestimmter Mengenschwellen vorhanden sind, unterliegen zusätzlich der SEVESO-III-Richtlinie 2012/18/EU und ihrer deutschen Umsetzung durch die Zwölfte Verordnung zur Durchführung des Bundes-Immissionsschutzgesetzes (12. BImSchV, Störfall-Verordnung). Betreiber müssen Vorkehrungen gegen Störfälle treffen und dabei ausdrücklich auch Eingriffe Unbefugter als Gefahrenquelle berücksichtigen (§ 3 Abs. 2 Nr. 3 12. BImSchV). Zudem müssen sie ein Konzept zur Verhinderung von Störfällen durch ein Sicherheitsmanagementsystem (SMS) nach Anhang III umsetzen (§ 8 12. BImSchV).

Die Schnittmenge mit NIS2 ist konzeptionell bedeutsam: Ein erfolgreicher Cyberangriff auf ein DCS oder SIS kann zu einem Störfall im Sinne der 12. BImSchV führen. Für Betriebe, die zugleich unter das BSIG fallen, entstehen damit parallele Pflichten, die sinnvollerweise koordiniert umgesetzt werden:

Aspekt	SEVESO III / 12. BImSchV	NIS2 / BSIG
Schutzziel	Verhütung physischer Störfälle; Schutz von Menschen und Umwelt vor gefährlichen Stoffen	Schutz von Netz- und Informationssystemen vor Cyberbedrohungen
Auslöser der Meldepflicht	Ereignis, das die Kriterien des Anhangs VI Teil 1 der 12. BImSchV erfüllt (§ 19 12. BImSchV)	Erheblicher Sicherheitsvorfall, z. B. mit schwerwiegenden Betriebsstörungen oder finanziellen Verlusten (§ 2 Nr. 11, § 32 BSIG)
Zuständige Behörde (DE)	Nach Landesrecht zuständige Immissionsschutzbehörde	Bundesamt für Sicherheit in der Informationstechnik (BSI)
Sicherheitsdokumentation	Konzept mit SMS (§ 8); obere Klasse zusätzlich Sicherheitsbericht (§ 9) und Alarm- und Gefahrenabwehrpläne (§ 10 12. BImSchV)	Risikomanagementmaßnahmen und deren Dokumentation nach Art. 21 NIS2 / § 30 BSIG
Cyber-Schnittmenge	Eingriffe Unbefugter sind Gefahrenquelle (§ 3 Abs. 2 Nr. 3); erfüllt ein Cyber-Ereignis Anhang VI Teil 1 → unverzügliche Mitteilung an die Behörde	OT-Angriff mit schwerwiegenden Betriebsstörungen = in der Regel erheblicher Sicherheitsvorfall → Meldung innerhalb 24/72 Stunden an BSI

Für Betreiber von Störfallanlagen empfiehlt sich daher eine integrierte Betrachtung beider Regelwerke: Das Sicherheitsmanagementsystem nach 12. BImSchV sollte Cyberangriffs-Szenarien (Kompromittierung von SIS, DCS oder SCADA) als explizite Gefährdungspfade in HAZOP- (Hazard and Operability Study) und LOPA-Analysen (Layer of Protection Analysis) aufnehmen. Gleichzeitig sollte die NIS2-Risikoanalyse die physischen Konsequenzen eines OT-Angriffs bewerten – nicht nur den Systemausfall, sondern die nachgelagerten Sicherheitsrisiken für Beschäftigte und Umwelt als Schadensmaßstab.

Lieferkettensicherheit: Besondere Risiken für Chemie und Pharma

NIS2 Artikel 21 Absatz 2 Buchstabe d (§ 30 Abs. 2 Nr. 4 BSIG) verpflichtet betroffene Einrichtungen zu Maßnahmen für die Sicherheit der Lieferkette. Für die Chemie- und Pharmaindustrie ist dieser Bereich aus zwei Gründen besonders exponiert:

1. Abhängigkeit von globalen Wirkstoff- und Rohstofflieferanten: Pharmazeutische Hersteller beziehen aktive pharmazeutische Wirkstoffe (API – Active Pharmaceutical Ingredients) und Vorprodukte häufig über globale Lieferketten, unter anderem aus Indien und China. Wie stark ein Cyberangriff die Arzneimittelproduktion treffen kann, zeigte NotPetya im Juni 2017: Der Pharmahersteller Merck & Co. bezifferte in seinem Jahresbericht die Folgen allein für 2017 auf Umsatzeinbußen von rund 260 Mio. US-Dollar und Aufwendungen von rund 285 Mio. US-Dollar (nach Versicherungserstattungen). Fällt ein Zulieferer auf ähnliche Weise aus, kann das ganze Lieferketten unterbrechen.

2. Digitale Lieferkette über spezialisierte Softwarezulieferer: Laborinformationsmanagementsysteme (LIMS), Manufacturing Execution Systems (MES), Prozessleitsystem-Softwarepakete und ERP-Integrationen werden häufig von spezialisierten Drittanbietern bereitgestellt oder als Managed Service betrieben. Jeder dieser Zulieferer mit Fernzugriff auf OT-relevante Systeme ist ein potenzieller Angriffsvektor im Sinne der NIS2-Lieferkettenpflichten.

Die vollständigen Anforderungen an die Sicherheit in der Lieferkette – von der vertraglichen Mindestabsicherung bis zur laufenden Lieferantenbewertung – erläutert der Leitfaden NIS2-Lieferkettensicherheit: Anforderungen und Implementierungsleitfaden.

Für Chemie- und Pharmaunternehmen bedeutet die NIS2-Lieferkettenpflicht konkret:

• Vertragliche Sicherheitsanforderungen an alle IKT-Zulieferer und kritischen OT-Komponentenlieferanten
• Security-Due-Diligence vor Vertragsabschluss mit neuen Zulieferern für Leittechniksoftware oder -hardware
• Strikte Regulierung von Fernzugriffen externer Wartungsdienstleister auf OT-Systeme (Jump-Server, zeitbegrenzte Sessions, vollständige Protokollierung)
• Regelmäßige Überprüfung kritischer Zulieferer auf sicherheitsrelevante Veränderungen (Eigentümerstruktur, bekannte Sicherheitsvorfälle, Software-Schwachstellen)

Die 10 NIS2-Sicherheitsmaßnahmen im Chemie- und Pharmakontext

Artikel 21 Absatz 2 NIS2 (in Deutschland § 30 Abs. 2 BSIG) definiert zehn verbindliche Mindestmaßnahmen für das Risikomanagement. Im Chemie- und Pharmasektor hat jede Maßnahme einen spezifischen operativen Ausdruck:

Art.-21-Maßnahme	Chemie-/Pharmaspezifische Umsetzung
Risikoanalyse und Sicherheitsrichtlinien	Separate OT-Risikoanalyse nach IEC 62443; Integration von Störfallszenarien (12. BImSchV/HAZOP) als Schadensmaßstab; Richtlinien für IT-OT-Konvergenzpunkte
Incident Management	ICS-spezifische Eskalationspfade; Koordination BSI-Meldepflicht (§ 32 BSIG) mit Störfallmeldung (§ 19 12. BImSchV) bei cyber-induzierten Prozessereignissen
Business Continuity und Backup	Backup von Prozessparameter-Konfigurationen (DCS-Rezepturen, SIS-Logik); Wiederanlaufplanung für Batch-Produktionsprozesse unter GMP-Anforderungen (Pharma)
Lieferkettensicherheit	Due-Diligence für API-Zulieferer und OT-Komponentenlieferanten; Sicherheitsklauseln in Wartungsverträgen; geregelte Fernzugriffsprotokolle
Sicherheit bei Erwerb und Wartung	Sicherheitsprüfung von Prozessleitsystem-Updates vor Einspielen in Produktionsnetze; Secure-by-Design-Anforderungen bei LIMS/MES-Implementierungen
Wirksamkeit der Sicherheitsmaßnahmen	OT-Penetrationstests (mit geplanten Wartungsfenstern, um Produktionsausfälle zu minimieren); Red-Teaming für IT-OT-Übergänge und Remote-Access-Schnittstellen
Schulung und Cyberhygiene	Schulungsprogramme für Prozessoperatoren und Leittechnik-Ingenieure; Sensibilisierung für Social Engineering speziell an OT-Zugangspunkten und beim Fernzugriff
Kryptographie und Verschlüsselung	Verschlüsselung der Kommunikation zwischen IT- und OT-Netz (Historian-Anbindung, MES-ERP-Integration); Absicherung von Engineering Workstations
Personalsicherheit, Zugriffskontrolle und Asset Management	Privileged Access Management für OT; Netzsegmentierung nach dem Zonen-und-Conduits-Modell der IEC 62443 (z. B. getrennte Zonen für Safety, Prozessleittechnik und Büro-IT); strikte Trennung von Engineering- und Produktionszugang; vollständiges OT-Asset-Inventar, ggf. mit Software-Stückliste (SBOM)
Multi-Faktor-Authentifizierung und gesicherte Kommunikation	MFA für Fernwartung und privilegierte OT-Konten; gesicherte Notfallkommunikation für Krisenstab und Leitwarte, auch bei Ausfall der Büro-IT

Umsetzungsfahrplan für Chemie- und Pharmaunternehmen

1. Einstufung und Registrierung klären: Prüfen Sie je Gesellschaft, ob eine Einrichtungsart nach Anlage 2 Nr. 3.1.1 BSIG (Chemie) oder Anlage 1 Nr. 4 BSIG (u. a. Pharma) vorliegt und welche Größenschwellen erreicht sind; bei gemischten Aktivitäten empfiehlt sich eine juristische Vorabklärung. Die Registrierungsfrist beim BSI endete am 6. März 2026 (§ 33 BSIG) – noch nicht registrierte Einrichtungen sollten dies über das BSI-Portal unverzüglich nachholen.
2. OT-Asset-Inventar und Gap-Analyse erstellen: Erfassen Sie alle OT-Systeme (DCS, SIS, SCADA, PLCs, Historian, MES) und bewerten Sie für jede Komponente den aktuellen Sicherheitsstatus gegenüber IEC 62443 Security Levels. Identifizieren Sie prioritäre Lücken, insbesondere bei Netzwerksegmentierung, Fernzugriffskontrollen und Patch-Management für Altsysteme.
3. Netzwerksegmentierung implementieren: Segmentieren Sie die Netze nach dem Zonen-und-Conduits-Modell der IEC 62443, etwa mit getrennten Zonen für Safety-Systeme (SIS), Prozessleittechnik (DCS/SCADA) und Büro-IT (MES/ERP). Unidirektionale Sicherheitsgateways (Data Diodes) können Safety-Systeme vor Rückwirkungen aus IT-Netzen schützen. Definieren Sie gesicherte Datenaustauschpunkte zwischen OT und IT.
4. Incident-Response-Plan mit Doppelmeldepflicht aufsetzen: Erarbeiten Sie einen ICS-spezifischen Incident-Response-Plan, der BSI-Meldepflichten (§ 32 BSIG: 24h/72h/1 Monat) und Störfallmeldepflichten (§ 19 12. BImSchV: unverzüglich an die zuständige Behörde, ergänzende Mitteilung spätestens innerhalb einer Woche) koordiniert. Definieren Sie Entscheidungsbäume: Ab welchem OT-Ereignis wird Produktion gestoppt, ab welchem werden Notfallsysteme aktiviert?
5. Lieferantensicherheit strukturieren: Führen Sie ein Lieferantenregister für alle kritischen IKT- und OT-Zulieferer ein. Ergänzen Sie Bestands- und Neuverträge um Sicherheitsklauseln, die sich an den NIS2-Anforderungen orientieren. Implementieren Sie ein Fernzugriffsmanagement mit Jump-Server, zeitbegrenzten Sessions und vollständiger Protokollierung für Wartungsdienstleister mit OT-Zugang.

Häufig gestellte Fragen

Gilt NIS2 für alle Chemieunternehmen in Deutschland?
Nein. Erfasst sind nur REACH-registrierungspflichtige Hersteller und Importeure der NACE-Abteilung 20 (Anlage 2 Nr. 3.1.1 BSIG) – und auch diese nur ab der Größenschwelle: mindestens 50 Mitarbeiter oder ein Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Mio. Euro (§ 28 Abs. 2 BSIG). Kleinere Chemieunternehmen sind grundsätzlich nicht direkt von NIS2 erfasst – können aber indirekt über Lieferantenanforderungen ihrer NIS2-pflichtigen Kunden betroffen sein.

Müssen Pharmaunternehmen sich als wesentliche oder wichtige Einrichtung registrieren?
Hersteller pharmazeutischer Erzeugnisse (NACE C21) gehören zu Anlage 1 BSIG (Gesundheitswesen). Große Unternehmen (ab 250 Mitarbeitern oder über 50 Mio. Euro Umsatz und über 43 Mio. Euro Bilanzsumme) gelten als besonders wichtige, mittlere (ab 50 Mitarbeitern oder Umsatz und Bilanzsumme jeweils über 10 Mio. Euro) als wichtige Einrichtungen; Betreiber kritischer Anlagen unabhängig von der Größe als besonders wichtige. Die Einstufung nehmen die Unternehmen selbst vor; registrieren müssen sich beide Kategorien beim BSI (§ 33 BSIG).

Was passiert, wenn ein Cyberangriff eine Störfallbedingung auslöst – gibt es Doppelmeldepflichten?
Das ist möglich. Erfüllt ein cyberinduziertes Ereignis die Kriterien des Anhangs VI Teil 1 der 12. BImSchV, ist es der zuständigen Behörde unverzüglich mitzuteilen, ergänzt spätestens nach einer Woche (§ 19 12. BImSchV). Ist es zugleich ein erheblicher Sicherheitsvorfall, gelten parallel die BSI-Meldepflichten nach § 32 BSIG (24 Stunden, 72 Stunden, ein Monat). Die Meldungen ersetzen einander nicht.

Sind Forschungs- und Entwicklungsabteilungen in Pharmaunternehmen ebenfalls NIS2-pflichtig?
Ja, sofern die Einrichtung (in der Regel der Rechtsträger) die Schwellenwerte erfüllt und als besonders wichtige oder wichtige Einrichtung gilt. Die Pflichten erfassen dann auch die F&E-Bereiche; eigenständige Arzneimittel-F&E-Gesellschaften sind zudem eine eigene Einrichtungsart der Anlage 1 (Nr. 4.1.3 BSIG). Forschungsnetzwerke mit Zugang zu proprietären Wirkstoffdaten und klinischen Studiendaten sind besonders attraktive Angriffsziele und sollten in der Risikoanalyse priorisiert behandelt werden.

Welche Normen gelten als Stand der Technik für OT-Sicherheit in der Chemiebranche?
Einen gesetzlichen Normenkatalog gibt es nicht; die Maßnahmen sollen den Stand der Technik einhalten und einschlägige Normen berücksichtigen (§ 30 Abs. 2 BSIG). In der Praxis werden vor allem die IEC-62443-Normenreihe (industrielle Cybersicherheit), die NAMUR-Empfehlung NE 153, die ICS-Security-Veröffentlichungen des BSI (u. a. BSI-CS 005) sowie für Störfallbetriebe der Leitfaden KAS-51 herangezogen. Sie eignen sich als Interpretations- und Nachweisgrundlage bei der Umsetzung von Artikel 21 NIS2.

Quellen

• NIS-2-Richtlinie (EU) 2022/2555, Anhang I und II – EUR-Lex Volltext
• BSIG (NIS2UmsuCG) – Gesetze-im-Internet, insbesondere §§ 28, 30, 32, 61, 62, 65 und Anlagen 1 und 2
• BSI-Kritisverordnung (BSI-KritisV), Anhang 5 Sektor Gesundheit – Gesetze-im-Internet
• SEVESO-III-Richtlinie (EU) 2012/18/EU – EUR-Lex Volltext
• 12. BImSchV (Störfall-Verordnung) – Gesetze-im-Internet
• Kommission für Anlagensicherheit: KAS-51 Leitfaden Maßnahmen gegen Eingriffe Unbefugter – kas-bmu.de
• BSI: Veröffentlichungen zur ICS-Security (u. a. BSI-CS 005, ICS-Security-Kompendium) – BSI.bund.de
• FBI Private Industry Notification: TRITON Malware Remains Threat to Global Critical Infrastructure ICS (2022) – ic3.gov
• Merck & Co., Inc.: Form 10-K für das Geschäftsjahr 2017 (Folgen des Cyberangriffs vom Juni 2017) – sec.gov
• ENISA Threat Landscape 2023 – enisa.europa.eu