NIS-2 für Apotheken:
Die Frist ist abgelaufen – was Du jetzt sofort tun musst.
Stell Dir einen ganz normalen Dienstag in Deiner Apotheke vor:
Das Warenwirtschaftssystem läuft, Rezepte werden gescannt, die Anbindung an die Telematikinfrastruktur (TI) für das E-Rezept funktioniert reibungslos und im Hintergrund arbeitet der Kommissionier-Automat. Vielleicht laufen parallel noch die Kassen, die Rezeptabrechnung, die Großhandels-Bestellungen, securPharm und die Kommunikation mit dem Rechenzentrum.
Kurz gesagt: Deine Apotheke ist heute ein hochdigitalisierter Gesundheitsbetrieb.
Doch was passiert, wenn genau diese Systeme plötzlich ausfallen – nicht unbedingt wegen eines Stromausfalls: Sondern durch einen Cyberangriff, Ransomware, Phishing oder einen gezielten Angriff auf Deine IT-Infrastruktur.
Und hier kommt die EU-Richtlinie NIS-2 ins Spiel.
Sie stärkt die Cybersicherheit in kritischen und wichtigen Einrichtungen, als auch deren Lieferketten – und dazu kann auch die Arzneimittelversorgung durch Apotheken gehören.
Wichtig: Die Schonfrist ist schon vorbei: Seit dem 6. März 2026 bist Du als betroffene Apotheke offiziell verpflichtet, Dich beim Bundesamt für Sicherheit in der Informationstechnik (BSI) zu registrieren.
Bist Du betroffen? Die Kriterien für Apotheken im Überblick
- 50 oder mehr Mitarbeiter beschäftigst,
- einen Jahresumsatz von mehr als 10 Millionen Euro erzielst
- Deine Jahresbilanzsumme ebenfalls über 10 Millionen Euro liegt.
Auch kleinere Apotheken können betroffen sein
- einer einzigen Notdienst-Apotheke in einer ländlichen Region
- einer versorgungsrelevanten Schwerpunkt-Apotheke
- einer Krankenhausapotheke
- besonderen Aufgaben in der Heim- oder Patientenversorgung
Warum Du Dich beim BSI melden musst
Bei der Registrierung hinterlegst Du Deine Stammdaten und Kontaktinformationen. Das hat einen sehr praktischen Grund:
Wenn es eine akute Bedrohung gibt – zum Beispiel eine neue kritische Sicherheitslücke in einem Apotheken-Warenwirtschaftssystem, einer TI-nahen Anwendung, einem Rezeptscan-Prozess, einer Kassenanbindung oder einer anderen in Apotheken weit verbreiteten Software – kann das BSI die richtigen Ansprechpartner in Deiner Apotheke direkt und schnell warnen.
Für Apotheken heißt das: Im Ernstfall kannst Du schneller reagieren, bevor der Betrieb stillsteht.
Die konkreten Anforderungen: Was Du jetzt in Deiner Apotheke umsetzen musst
Das Gesetz verlangt einen Katalog von 10 Cybersicherheits-Maßnahmen.
Auf dem Papier klingt das technisch. In der Praxis lässt sich das sehr gut auf den Apotheken-Alltag übertragen.
1. Risiken erkennen und bewerten
- Warenwirtschaftssystem
- Kassensystem
- Rezeptabrechnung
- TI-Anbindung / E-Rezept
- Kommissionierautomat
- Scanner
- Backoffice- und Buchhaltungsprozesse
- Bestell- und Großhandelsschnittstellen
2. Der Notfallplan für den Ernstfall
- Wer trennt betroffene Geräte vom Netz?
- Wer informiert den IT-Betreuer?
- Wer spricht mit dem Softwarehaus?
- Wer meldet den Vorfall intern?
- Wer übernimmt die Kommunikation nach außen?
- Wer kümmert sich um die Meldung an das BSI?
3. Betrieb aufrechterhalten und Daten sichern
- Sichere täglich alle wichtigen Daten
- lagere mindestens eine Sicherung außer Haus oder getrennt vom Hauptsystem
- verschlüssele die Datensicherungen
- prüfe regelmäßig, ob sich die Daten auch wirklich wiederherstellen lassen
- Artikel- und Lagerdaten
- Abverkaufsdaten
- Kundendaten
- Rezept- und Abrechnungsinformationen
- Kasseninformationen
- Buchhaltungs- und Belegdaten
4. Sicherheit bei Deinen IT-Partnern und Dienstleistern
- Softwarehäuser
- IT-Betreuer
- Cloud- und Hosting-Anbieter
- Kassen- und TI-Dienstleister
- Abrechnungs- oder Schnittstellenpartner
- Wie schützen sie ihre Systeme?
- Wie gehen sie mit Sicherheitsvorfällen um?
- Gibt es Notfall- und Wiederanlaufkonzepte?
- Wie werden Updates und Sicherheits-Patches ausgerollt?
5. Systeme aktuell halten
- Computer
- Server
- Kassen
- Warenwirtschaft
- Scanner
- Netzwerk-Komponenten
- WLAN-Technik
- und alle angeschlossenen Programme regelmäßig und zuverlässig aktualisiert werden.
6. Schutzmaßnahmen regelmäßig kontrollieren
- Läuft die Datensicherung wirklich sauber?
- Sind Benutzerrechte noch korrekt vergeben?
- Gibt es veraltete Zugänge?
- Funktioniert die Wiederherstellung?
- Sind Altgeräte oder alte Benutzerkonten noch aktiv?
- Sind TI-nahe und sensible Systeme ausreichend geschützt?
7. Dein Team schulen – denn der Mensch ist das wichtigste Sicherheits-System
- Wie erkenne ich Phishing-Mails?
- Wie gehe ich mit verdächtigen Anhängen um?
- Warum sind Patienten-, Rezept- und Abrechnungsdaten besonders sensibel?
- Warum dürfen keine Passwort-Zettel am Bildschirm kleben?
- Wie verhalte ich mich, wenn ein System plötzlich ungewöhnlich reagiert?
- Setze außerdem sichere Passwörter durch – idealerweise eine Kombination aus Zahlen, Groß- und Kleinbuchstaben und Sonderzeichen.
- Noch besser: Verwende, wo möglich, einen Passwort-Manager.
8. Daten verschlüsseln
- Datensicherungen verschlüsselt sind
- mobile Geräte abgesichert sind
- Dein Apotheken-WLAN sicher konfiguriert ist
9. Wer darf was? Zugriffe sauber regeln
- Jeder Mitarbeiter erhält ein eigenes Benutzerkonto
- keine gemeinsamen Logins
- keine geteilten Standard-Passwörter
- Zugriffsrechte nach Funktion und Verantwortung
- ausgeschiedene Mitarbeiter werden sofort deaktiviert
10. Wichtige Zugänge doppelt absichern
- Fernzugriffe auf das Warenwirtschaftssystem
- Administrator-Zugänge
- Cloud- oder Hosting-Portale
- zentrale E-Mail-Konten
- externe Wartungszugänge
- kritische Verwaltungs- und Backoffice-Zugänge
- ein Code per App
- eine Bestätigungsanfrage auf dem Smartphone
- ein zusätzlicher Sicherheits-Token
Was passiert bei einem tatsächlichen Angriff?
- Innerhalb von 24 Stunden musst Du dem BSI eine erste Warnung schicken.
- Nach 72 Stunden folgt ein detaillierter Bericht zur Ursache und den ersten Gegenmaßnahmen.
- Nach einem Monat musst Du einen vollständigen Abschlussbericht einreichen
- Harte Strafen bei Nichtbeachtung
- 7 Millionen Euro
- 1,4 Prozent des weltweiten Jahresumsatzes
verhängt werden – maßgeblich ist der höhere Betrag.
- weitergehende Prüfungen anordnen
- Nachweise verlangen
- organisatorische und technische Maßnahmen einfordern
