Pharma
- Was gilt
- EU-GMP Annex 11 gilt für computergestützte Systeme, 21 CFR Part 11 für elektronische Aufzeichnungen; Informationssicherheit: ISO/IEC 27001.
Wie sichern Life-Sciences-Unternehmen mit IT-Audits nach ISO/IEC 27001 ihre Informationssysteme ab, ohne den Anschluss an GxP- und Cybersecurity-Pflichten zu verlieren?
Wir prüfen Ihre IT-Sicherheit gegen ISO/IEC 27001, decken Lücken in Zugriffsmanagement, Incident Response und Datensicherung auf und begleiten das ISMS bis zur Zertifizierung. Die Lücke, die im Audit auffällt, entsteht dort, wo ISO/IEC 27001 endet und die Kontrollen aus Annex 11 und 21 CFR Part 11 beginnen.
Überblick
Warum ist IT-Sicherheit in Life Sciences besonders kritisch?
IT-Audits & ISMS-Aufbau für Pharma, Biotech, MedTech & IVD · ISO/IEC 27001, GMP-Leitfaden Annex 11, 21 CFR Part 11
Zuletzt aktualisiert: 18. September 2026
Life-Sciences-Unternehmen sind hochattraktive Angriffsziele und unterliegen gleichzeitig strenger regulatorischer Aufsicht über ihre IT-Systeme. Klinische Daten, Zulassungsunterlagen und geistiges Eigentum haben hohen Wert, während GxP-relevante Systeme nach EU-GMP-Leitfaden Annex 11 und 21 CFR Part 11 nachweisbar kontrolliert sein müssen.
- Daten und IP als Angriffsziel: Klinische Daten, Zulassungsunterlagen und Studienergebnisse sind hochwertige Ziele für Ransomware und Industriespionage. Ein Verlust gefährdet nicht nur den Betrieb, sondern auch die Datenintegrität, die nach 21 CFR Part 11 und EU-GMP-Leitfaden Annex 11 nachweisbar bleiben muss.
- OT- und Produktionssysteme: GMP-kritische Produktions- und Steuerungssysteme (OT/SCADA) sind historisch gewachsen und oft nicht gegen moderne Cyberangriffe gehärtet, obwohl sie unter den Geltungsbereich des EU-GMP-Leitfadens Annex 11 fallen.
- Regulatorischer Druck bei Medizinprodukten: MDR (EU) 2017/745 und IVDR (EU) 2017/746 fordern für vernetzte Produkte explizite Cybersecurity-Nachweise; MDCG 2019-16 und IEC 81001-5-1 konkretisieren die Erwartungen über den gesamten Produktlebenszyklus.
- Anforderungen aus der Lieferkette: Großkunden und Partner setzen eine ISO/IEC-27001-Zertifizierung zunehmend als vertragliche Voraussetzung; zugleich verlangen GxP-Pflichten eine dokumentierte Bewertung von IT-Dienstleistern und Cloud-Anbietern.
Branchen
Was das in Ihrer Branche heißt
Biotech
- Was gilt
- EU-GMP Annex 11, 21 CFR Part 11 und ISO/IEC 27001 gelten wie in Pharma.
MedTech
- Was gilt
- MDCG 2019-16 führt die Cybersicherheit unter der MDR (EU) 2017/745, IEC 81001-5-1 den Produktlebenszyklus.
IVD
- Was gilt
- IVDR (EU) 2017/746 trägt dieselbe Cybersicherheitslinie nach MDCG 2019-16.
Leistungen
Wie wir Sie unterstützen
IT-Sicherheitsaudit & Gap-Analyse
Strukturiertes IT-Audit gegen die Anforderungen aus ISO/IEC 27001 und Life-Sciences-spezifische IT-Risiken. Wir bewerten Netzwerkarchitektur, Zugriffsmanagement, Incident Response und Datensicherungskonzepte und liefern einen priorisierten Findings-Bericht mit Maßnahmenliste.
ISMS-Implementierung nach ISO/IEC 27001
Aufbau eines vollständigen Informationssicherheits-Managementsystems: Risikobewertung, Security Policy, Asset Management, Access Control und Business Continuity, abgebildet gegen die Kontrollen aus ISO/IEC 27001 Annex A. Ergebnis ist ein zertifizierungsreifes ISMS inklusive Statement of Applicability.
Inspektions- & Zertifizierungsvorbereitung
Vorbereitung auf das Zertifizierungsaudit nach ISO/IEC 27001 und auf GxP-Inspektionen computergestützter Systeme. Wir führen Mock-Audits durch, schließen offene Findings und stellen die Konsistenz zwischen ISMS-Nachweisen und der CSV-Dokumentation her.
Wie wir zusammenarbeiten
Worauf es ankommt
In Life Sciences hängt Informationssicherheit an drei Anforderungen, die aufeinander aufbauen. Der ISMS-Scope nach ISO/IEC 27001 bestimmt, welche Systeme überhaupt betrachtet werden. Die Risikobewertung entscheidet, welche Kontrollen aus Annex A anwendbar sind und im Statement of Applicability begründet werden.
Und die GxP-Kontrollen aus dem EU-GMP-Leitfaden Annex 11 und 21 CFR Part 11 legen fest, welche dieser Systeme zusätzlich nachweisbar validiert und auditiert sein müssen.
Ein zu eng gezogener Scope lässt genau die OT- und SaaS-Systeme als blinden Fleck zurück, die in der Inspektion zuerst auffallen.
Die Gap-Analyse benennt vorab, wo ISO/IEC 27001 und die GxP-Pflichten überlappen, bevor Controls implementiert und Lieferanten bewertet werden. Bei vernetzten Medizinprodukten kommt die frühe Verankerung der Cybersecurity-Anforderungen aus MDR (EU) 2017/745, MDCG 2019-16 und IEC 81001-5-1 in Design Controls und Risikomanagement nach ISO 13485 hinzu.
Eine Lücke zwischen ISMS-Nachweisen und CSV-Dokumentation kommt spätestens im Zertifizierungs- oder Inspektionsaudit ans Licht und wirft dann das Programm zurück.
Unser Vorgehen
Unser Vorgehen
Schritt
Ergebnis
01
Scope & Risikoanalyse
Abgegrenzter ISMS-Geltungsbereich und Risikoinventar: Welche Systeme sind GxP-relevant, welche unterliegen ISO/IEC 27001, wo überlappen die Anforderungen.
02
Gap-Analyse
Findings-Bericht mit priorisierter Maßnahmenliste gegen ISO/IEC 27001 Annex A und gegen die Anforderungen aus EU-GMP-Leitfaden Annex 11 und 21 CFR Part 11.
03
ISMS-Aufbau
Implementierte Policies, Risikobehandlungsplan und Statement of Applicability; Controls aus Annex A umgesetzt und mit Nachweisen belegt.
04
Lieferanten- & Cloud-Bewertung
Dokumentierte Bewertung von IT-Dienstleistern und Cloud-Anbietern für eQMS-, LIMS- und SaaS-Systeme, anschlussfähig an die GxP-Lieferantenqualifizierung.
05
Mock-Audit
Probeaudit mit Findings, geschlossenen Lücken und auf Konsistenz geprüfter Dokumentation vor dem Zertifizierungs- oder Inspektionstermin.
06
Zertifizierung & Betrieb
Begleitetes Zertifizierungsaudit nach ISO/IEC 27001 und ein ISMS im laufenden Betrieb mit Internal Audit und Management Review.
Typische Stolperfallen
Woran Projekte häufig scheitern
Der ISMS-Scope und der GxP-Geltungsbereich werden nicht aufeinander abgestimmt.
Wer ISO/IEC 27001 isoliert betrachtet, übersieht, dass dieselben Systeme parallel den Kontrollanforderungen aus EU-GMP-Leitfaden Annex 11 und 21 CFR Part 11 unterliegen. In der Inspektion fallen die Brüche zwischen ISMS-Nachweisen und CSV-Dokumentation auf.
OT- und Produktionssysteme bleiben außen vor.
SCADA- und Steuerungssysteme werden als reine Anlagentechnik behandelt und nicht in Risikobewertung und Asset Management des ISMS aufgenommen, obwohl sie GMP-kritisch sind und nach EU-GMP-Leitfaden Annex 11 als computergestützte Systeme zu kontrollieren sind.
Das Statement of Applicability nach ISO/IEC 27001 wird als Formalität ausgefüllt.
Werden Controls aus Annex A pauschal als anwendbar oder nicht anwendbar markiert, ohne die Begründung an die konkrete Risikobewertung zu binden, entstehen im Zertifizierungsaudit Abweichungen, weil der Nachweis für die einzelne Kontrolle fehlt.
Cloud- und SaaS-Anbieter werden über das Zertifikat des Dienstleisters abgehakt.
Ein vorgelegtes ISO/IEC-27001-Zertifikat ersetzt nicht die eigene, dokumentierte Bewertung der für eQMS oder LIMS relevanten Verantwortungsteilung und der GxP-relevanten Funktionen. Die GxP-Lieferantenqualifizierung verlangt den eigenen Nachweis.
Cybersecurity bei Medizinprodukten wird erst nach dem Design eingeplant.
Werden die Anforderungen aus MDR (EU) 2017/745, MDCG 2019-16 und IEC 81001-5-1 nicht früh in Design Controls und Risikomanagement nach ISO 13485 verankert, fehlen die Nachweise über den Produktlebenszyklus, und die Lücke wird im Konformitätsbewertungsverfahren sichtbar.
Qualitätsmanagement & Compliance
Betrifft Sie eine dieser Stolperfallen?
Im Erstgespräch ordnen wir Ihre Ausgangslage ein und sagen, was in Ihrem Fall zuerst zu klären ist. Unverbindlich, Antwort in der Regel innerhalb eines Werktags.
FAQ
Häufige Fragen
Ein ISO/IEC-27001-konformes IT-Audit bewertet das gesamte Informationssicherheits-Managementsystem: die Risikobewertungsprozesse, die implementierten Kontrollen aus Annex A, das Management-Oversight, die Incident Response, die Geschäftskontinuität und die Lieferantensicherheit. In Life Sciences kommen die GxP-relevanten Systeme nach EU-GMP-Leitfaden Annex 11 hinzu.
ISO/IEC 27001 ist rechtlich nicht direkt vorgeschrieben. Regulatorisch geforderte Informationssicherheitsmaßnahmen entstehen jedoch aus dem EU-GMP-Leitfaden Annex 11 und 21 CFR Part 11 sowie für Medizinprodukte aus MDR (EU) 2017/745, MDCG 2019-16 und IEC 81001-5-1. ISO/IEC 27001 liefert dafür den strukturierten Rahmen und wird von Partnern oft vertraglich verlangt.
Ein GMP-Audit bewertet Qualitätssysteme, Dokumentation und Prozesse mit Blick auf die Patientensicherheit. Ein IT-Audit nach ISO/IEC 27001 fokussiert auf Informationssicherheit: Netzwerke, Zugriffsrechte, Datensicherheit und Cyber-Resilienz. Die Computer-System-Validierung im Rahmen von EU-GMP-Leitfaden Annex 11 bildet die Brücke zwischen beiden Welten.
21 CFR Part 11 regelt die Vertrauenswürdigkeit elektronischer Aufzeichnungen und Signaturen, insbesondere Zugriffskontrolle, Audit Trails und Datenintegrität. Viele dieser Anforderungen lassen sich über Kontrollen aus ISO/IEC 27001 Annex A umsetzen; das ISMS allein ersetzt jedoch nicht die spezifischen GxP-Nachweise, sondern liefert das Fundament dafür.
Nein. Ein Zertifikat des Anbieters belegt dessen ISMS, nicht die für Ihre eQMS-, LIMS- oder SaaS-Anwendung relevante Verantwortungsteilung und nicht die GxP-spezifischen Funktionen nach EU-GMP-Leitfaden Annex 11. Erforderlich bleibt eine eigene, dokumentierte Lieferanten- und Cloud-Bewertung als Teil der Lieferantenqualifizierung.
Quellen
- ISO/IEC 27001: Informationstechnik, Sicherheitsverfahren, Informationssicherheits-Managementsysteme, inkl. Annex A
- EU-GMP-Leitfaden Annex 11: Computergestützte Systeme
- FDA 21 CFR Part 11: Electronic Records; Electronic Signatures (Primärtext)
- Verordnung (EU) 2017/745 (MDR) und Verordnung (EU) 2017/746 (IVDR), Primärtexte
- MDCG 2019-16: Guidance on Cybersecurity for medical devices
- IEC 81001-5-1: Health software and health IT systems safety, effectiveness and security
Bildhinweis: Die Bilder auf dieser Seite wurden mit künstlicher Intelligenz erzeugt. Sie zeigen keine realen Personen, Orte oder Ereignisse.
Life Science Journal
Regulatorische Updates, direkt ins Postfach.
Neue Anforderungen, Behördenentscheidungen und Praxishinweise. Einmal monatlich, jederzeit abbestellbar.
Referenzprojekte
Wie das in der Praxis aussieht
Aktuelle Insights
Alle Insights →Berücksichtigte Verordnungen & Normen
- ISO/IEC 27001 (Informationssicherheits-Managementsystem)
- ISO/IEC 27001 Annex A (Kontrollen / Controls)
- EU-GMP-Leitfaden Annex 11 (Computergestützte Systeme)
- FDA 21 CFR Part 11 (Electronic Records; Electronic Signatures)
- MDR (EU) 2017/745 (Medical Device Regulation)
- IVDR (EU) 2017/746 (In-vitro-Diagnostika-Verordnung)
- MDCG 2019-16 (Guidance on Cybersecurity for medical devices)
- IEC 81001-5-1 (Health software, Security activities in the product life cycle)
- ISO 13485 (QM-System für Medizinprodukte)
- ISO 9001 (Qualitätsmanagementsysteme)
Angrenzende Themen
Computer System Validierung (CSV) →
GxP-Kontrolle computergestützter Systeme nach EU-GMP-Leitfaden Annex 11
Data Integrity Assurance →
ALCOA+ und Datenintegrität als Brücke zwischen ISMS und GxP
QA-Audits für IT-Systeme →
Lieferanten- und Cloud-Assessments für regulierte IT-Systeme
Cybersecurity für Medizinprodukte →
Cybersecurity für vernetzte Medizinprodukte nach MDCG 2019-16 und IEC 81001-5-1
Dazu ein konkretes Vorhaben?
Schildern Sie uns kurz Ihre Ausgangslage. Wir melden uns mit einer ersten Einschätzung, in der Regel innerhalb eines Werktags.
Lieber direkt? +49 89 4161170-0
info@theentourage.de
- Antwort i.d.R. innerhalb eines Werktags
- 4 Standorte: DE · CH · IT · US
- 100% Life Sciences