Wie sichern Life-Sciences-Unternehmen ihre Informationssysteme nach ISO/IEC 27001 ab, ohne den Anschluss an GxP- und Cybersecurity-Pflichten zu verlieren?
Wir prüfen Ihre IT-Sicherheit strukturiert gegen ISO/IEC 27001 und die Life-Sciences-spezifischen Risiken in Pharma, Biotech, MedTech und IVD, decken Lücken in Zugriffsmanagement, Incident Response und Datensicherung auf und begleiten den Aufbau eines belastbaren ISMS bis zur Zertifizierung. Die entscheidende Schwachstelle ist selten die Norm selbst, sondern die Abgrenzung: Wo ISO/IEC 27001 endet und die regulatorisch geforderten Kontrollen aus EU-GMP-Leitfaden Annex 11 und 21 CFR Part 11 beginnen, entsteht die Lücke, die in der Inspektion sichtbar wird.
- Pharma
- Biotech
- MedTech
- IVD
Überblick
Warum ist IT-Sicherheit in Life Sciences besonders kritisch?
IT-Audits & ISMS-Aufbau für Pharma, Biotech, MedTech & IVD · ISO/IEC 27001, GMP-Leitfaden Annex 11, 21 CFR Part 11
Zuletzt aktualisiert: 2026-06-13
Life-Sciences-Unternehmen sind hochattraktive Angriffsziele und unterliegen gleichzeitig strenger regulatorischer Aufsicht über ihre IT-Systeme. Klinische Daten, Zulassungsunterlagen und geistiges Eigentum haben hohen Wert, während GxP-relevante Systeme nach EU-GMP-Leitfaden Annex 11 und 21 CFR Part 11 nachweisbar kontrolliert sein müssen. Vier Hebel, an denen Programme am häufigsten hängenbleiben:
- Daten und IP als Angriffsziel: Klinische Daten, Zulassungsunterlagen und Studienergebnisse sind hochwertige Ziele für Ransomware und Industriespionage. Ein Verlust gefährdet nicht nur den Betrieb, sondern auch die Datenintegrität, die nach 21 CFR Part 11 und EU-GMP-Leitfaden Annex 11 nachweisbar bleiben muss.
- OT- und Produktionssysteme: GMP-kritische Produktions- und Steuerungssysteme (OT/SCADA) sind historisch gewachsen und oft nicht gegen moderne Cyberangriffe gehärtet, obwohl sie unter den Geltungsbereich des EU-GMP-Leitfadens Annex 11 fallen.
- Regulatorischer Druck bei Medizinprodukten: MDR (EU) 2017/745 und IVDR (EU) 2017/746 fordern für vernetzte Produkte explizite Cybersecurity-Nachweise; MDCG 2019-16 und IEC 81001-5-1 konkretisieren die Erwartungen über den gesamten Produktlebenszyklus.
- Anforderungen aus der Lieferkette: Großkunden und Partner setzen eine ISO/IEC-27001-Zertifizierung zunehmend als vertragliche Voraussetzung; zugleich verlangen GxP-Pflichten eine dokumentierte Bewertung von IT-Dienstleistern und Cloud-Anbietern.
Leistungen
Wie wir Sie unterstützen
IT-Sicherheitsaudit & Gap-Analyse
Strukturiertes IT-Audit gegen die Anforderungen aus ISO/IEC 27001 und Life-Sciences-spezifische IT-Risiken. Wir bewerten Netzwerkarchitektur, Zugriffsmanagement, Incident Response und Datensicherungskonzepte und liefern einen priorisierten Findings-Bericht mit Maßnahmenliste.
ISMS-Implementierung nach ISO/IEC 27001
Aufbau eines vollständigen Informationssicherheits-Managementsystems: Risikobewertung, Security Policy, Asset Management, Access Control und Business Continuity, abgebildet gegen die Kontrollen aus ISO/IEC 27001 Annex A. Ergebnis ist ein zertifizierungsreifes ISMS inklusive Statement of Applicability.
Cybersecurity für Medizinprodukte
Beratung zu den Cybersecurity-Anforderungen aus MDR (EU) 2017/745 und IVDR (EU) 2017/746 sowie MDCG 2019-16 und IEC 81001-5-1. Wir integrieren die Sicherheitsaktivitäten nachweisbar in Design Controls und Risikomanagement nach ISO 13485.
Mehr erfahren →IT-Lieferanten- & Cloud-Assessments
Auditierung von IT-Dienstleistern und Cloud-Anbietern gegen ISO/IEC 27001 und GxP-Anforderungen. Wir bewerten die Informationssicherheit von SaaS-Lösungen für eQMS, LIMS und weitere regulierte Anwendungen und liefern einen dokumentierten Lieferantenbewertungsbericht.
Mehr erfahren →Inspektions- & Zertifizierungsvorbereitung
Vorbereitung auf das Zertifizierungsaudit nach ISO/IEC 27001 und auf GxP-Inspektionen computergestützter Systeme. Wir führen Mock-Audits durch, schließen offene Findings und stellen die Konsistenz zwischen ISMS-Nachweisen und der CSV-Dokumentation her.
Wie wir zusammenarbeiten
Worauf es ankommt
In Life Sciences ist Informationssicherheit kein eigenständiges IT-Thema, sondern hängt an drei Anforderungen, die zusammenpassen müssen, und zwar in dieser Reihenfolge: Der ISMS-Scope nach ISO/IEC 27001 bestimmt, welche Systeme überhaupt betrachtet werden. Die Risikobewertung entscheidet, welche Kontrollen aus Annex A anwendbar sind und im Statement of Applicability begründet werden. Und die GxP-Kontrollen aus dem EU-GMP-Leitfaden Annex 11 und 21 CFR Part 11 legen fest, welche dieser Systeme zusätzlich nachweisbar validiert und auditiert sein müssen. Wer den Scope zu eng zieht, verliert genau die OT- und SaaS-Systeme als blinden Fleck, die in der Inspektion zuerst auffallen.
Genau hier setzen wir an: Die Gap-Analyse macht zu Beginn sichtbar, wo ISO/IEC 27001 und die GxP-Pflichten überlappen, bevor Controls implementiert und Lieferanten bewertet werden. Bei vernetzten Medizinprodukten kommt die frühe Verankerung der Cybersecurity-Anforderungen aus MDR (EU) 2017/745, MDCG 2019-16 und IEC 81001-5-1 in Design Controls und Risikomanagement nach ISO 13485 hinzu. Das verschiebt den Aufwand nach vorne, dorthin, wo Korrekturen günstig sind, statt in das Zertifizierungs- oder Inspektionsaudit, wo eine Lücke zwischen ISMS-Nachweisen und CSV-Dokumentation das Programm zurückwirft.
Unser Vorgehen
Unser Vorgehen
Schritt
Ergebnis
Scope & Risikoanalyse
Abgegrenzter ISMS-Geltungsbereich und Risikoinventar: Welche Systeme sind GxP-relevant, welche unterliegen ISO/IEC 27001, wo überlappen die Anforderungen.
Gap-Analyse
Findings-Bericht mit priorisierter Maßnahmenliste gegen ISO/IEC 27001 Annex A und gegen die Anforderungen aus EU-GMP-Leitfaden Annex 11 und 21 CFR Part 11.
ISMS-Aufbau
Implementierte Policies, Risikobehandlungsplan und Statement of Applicability; Controls aus Annex A umgesetzt und mit Nachweisen belegt.
Lieferanten- & Cloud-Bewertung
Dokumentierte Bewertung von IT-Dienstleistern und Cloud-Anbietern für eQMS-, LIMS- und SaaS-Systeme, anschlussfähig an die GxP-Lieferantenqualifizierung.
Mock-Audit
Probeaudit mit Findings, geschlossenen Lücken und auf Konsistenz geprüfter Dokumentation vor dem Zertifizierungs- oder Inspektionstermin.
Zertifizierung & Betrieb
Begleitetes Zertifizierungsaudit nach ISO/IEC 27001 und ein ISMS im laufenden Betrieb mit Internal Audit und Management Review.
Typische Stolperfallen
Woran Projekte häufig scheitern
Der ISMS-Scope und der GxP-Geltungsbereich werden nicht aufeinander abgestimmt.
Wer ISO/IEC 27001 isoliert betrachtet, übersieht, dass dieselben Systeme parallel den Kontrollanforderungen aus EU-GMP-Leitfaden Annex 11 und 21 CFR Part 11 unterliegen. In der Inspektion fallen die Brüche zwischen ISMS-Nachweisen und CSV-Dokumentation auf.
OT- und Produktionssysteme bleiben außen vor.
SCADA- und Steuerungssysteme werden als reine Anlagentechnik behandelt und nicht in Risikobewertung und Asset Management des ISMS aufgenommen, obwohl sie GMP-kritisch sind und nach EU-GMP-Leitfaden Annex 11 als computergestützte Systeme zu kontrollieren sind.
Das Statement of Applicability nach ISO/IEC 27001 wird als Formalität ausgefüllt.
Werden Controls aus Annex A pauschal als anwendbar oder nicht anwendbar markiert, ohne die Begründung an die konkrete Risikobewertung zu binden, entstehen im Zertifizierungsaudit Abweichungen, weil der Nachweis für die einzelne Kontrolle fehlt.
Cloud- und SaaS-Anbieter werden über das Zertifikat des Dienstleisters abgehakt.
Ein vorgelegtes ISO/IEC-27001-Zertifikat ersetzt nicht die eigene, dokumentierte Bewertung der für eQMS oder LIMS relevanten Verantwortungsteilung und der GxP-relevanten Funktionen. Die GxP-Lieferantenqualifizierung verlangt den eigenen Nachweis.
Cybersecurity bei Medizinprodukten wird erst nach dem Design eingeplant.
Werden die Anforderungen aus MDR (EU) 2017/745, MDCG 2019-16 und IEC 81001-5-1 nicht früh in Design Controls und Risikomanagement nach ISO 13485 verankert, fehlen die Nachweise über den Produktlebenszyklus, und die Lücke wird im Konformitätsbewertungsverfahren sichtbar.
FAQ
Häufige Fragen
Quellen
- ISO/IEC 27001: Informationstechnik, Sicherheitsverfahren, Informationssicherheits-Managementsysteme, inkl. Annex A
- EU-GMP-Leitfaden Annex 11: Computergestützte Systeme
- FDA 21 CFR Part 11: Electronic Records; Electronic Signatures (Primärtext)
- Verordnung (EU) 2017/745 (MDR) und Verordnung (EU) 2017/746 (IVDR), Primärtexte
- MDCG 2019-16: Guidance on Cybersecurity for medical devices
- IEC 81001-5-1: Health software and health IT systems safety, effectiveness and security
- https://theentourage.de/expertise/it-audits-iso-27001/ (bestehender Seiteninhalt, überarbeitet)
Life Science Journal
Regulatorische Updates, direkt ins Postfach.
Neue Anforderungen, Behördenentscheidungen und Praxishinweise. Einmal monatlich, jederzeit abbestellbar.
Referenzprojekte
Wie das in der Praxis aussieht
Passende Insights
Alle Insights →Berücksichtigte Verordnungen & Normen
- ISO/IEC 27001 (Informationssicherheits-Managementsystem)
- ISO/IEC 27001 Annex A (Kontrollen / Controls)
- EU-GMP-Leitfaden Annex 11 (Computergestützte Systeme)
- FDA 21 CFR Part 11 (Electronic Records; Electronic Signatures)
- MDR (EU) 2017/745 (Medical Device Regulation)
- IVDR (EU) 2017/746 (In-vitro-Diagnostika-Verordnung)
- MDCG 2019-16 (Guidance on Cybersecurity for medical devices)
- IEC 81001-5-1 (Health software, Security activities in the product life cycle)
- ISO 13485 (QM-System für Medizinprodukte)
- ISO 9001 (Qualitätsmanagementsysteme)
Angrenzende Themen
Computer System Validierung →
GxP-Kontrolle computergestützter Systeme nach EU-GMP-Leitfaden Annex 11
Data Integrity Assurance →
ALCOA+ und Datenintegrität als Brücke zwischen ISMS und GxP
Audits & QA for IT Systems →
Lieferanten- und Cloud-Assessments für regulierte IT-Systeme
Cybersecurity Embedded Systems →
Cybersecurity für vernetzte Medizinprodukte nach MDCG 2019-16 und IEC 81001-5-1
Dazu ein konkretes Vorhaben?
Schildern Sie uns kurz Ihre Ausgangslage. Wir melden uns mit einer ersten Einschätzung, in der Regel innerhalb eines Werktags.
Lieber direkt? +49 89 4161170-0
info@theentourage.de
- Antwort i.d.R. innerhalb eines Werktags
- 4 Standorte: DE · CH · IT · US
- 100% Life Sciences