Der PHAGRO | Bundesverband des pharmazeutischen Großhandels e. V. bedankt sich für die Möglichkeit zur Stellungnahme zum Referentenentwurf des Bundesministeriums des Innern (BMI) zur Rechtsverordnung nach § 4 Abs. 3 i.V.m. § 5 Abs. 1 KRITISDachG zur Bestimmung kritischer Anlagen nach dem KRITIS-Dachgesetz (Kritisverordnung / KritisV).
Der PHAGRO begrüßt grundsätzlich das Ziel des Verordnungsentwurfs, die Resilienz kritischer Versorgungsstrukturen zu stärken und die Vorgaben des KRITIS-Dachgesetzes zu konkretisieren. Die ausdrückliche Einbeziehung der Herstellung, des Vertriebs und der Abgabe versorgungsrelevanter Arzneimittel trägt der besonderen Bedeutung einer leistungsfähigen Arzneimittelversorgung für die öffentliche Daseinsvorsorge Rechnung.
Eine Niederlassung des vollversorgenden pharmazeutischen Großhandels ist bereits heute als kritische Infrastruktur einzustufen, denn, sie ist:
- nach der NIS-2-Richtlinie als integraler Bestandteil der Arzneimittelversorgungskette als kritische Einrichtung einzustufen,
- nach dem BSI-Gesetz (BSIG) eine besonders wichtige Einrichtung, welche kritische Dienstleistungen erbringt sowie
- nach der BSI-Kritisverordnung (BSI-KritisV), welche formale Kriterien zur Definition kritischer Anlagen im Vertrieb mit verschreibungspflichtigen Medikamenten festgelegt, eine kritische Anlage.
Als Teil dieser kritischen Infrastruktur bestehen aus Sicht des vollversorgenden pharmazeutischen Großhandels jedoch hinsichtlich verschiedener Regelungsaspekte des Verordnungsentwurfs noch Konkretisierungs- und Anpassungsbedarfe. Insbesondere sollten die Anforderungen für die betroffenen Unternehmen klarer, praktikabler und verhältnismäßiger ausgestaltet werden, um Rechtssicherheit zu schaffen und unnötige Doppelregulierungen zu vermeiden.
1. Schwellenwerte, Systemrelevanz und Wettbewerbsneutralität (§ 6 Abs. 1 Punkt 2. & 3. sowie Abs. 4 KritisV-E i. V. m. Anlage 5 Teil 3 Nr. 3.2.1 und 3.2.2)
Der Entwurf bestimmt Betriebs- und Lagerräume sowie Anlagen oder Systeme zum Vertrieb versorgungsrelevanter Arzneimittel als kritische Anlagen und sieht hierfür jeweils einen Schwellenwert von 4,65 Millionen umgeschlagenen verschreibungspflichtigen Arzneimittelpackungen pro Jahr vor. Nach Auffassung des PHAGRO führen die vorgesehenen Schwellenwerte dazu, dass faktisch ein Großteil der vollversorgenden pharmazeutischen Großhandelsstandorte und ihrer zentralen Vertriebsstrukturen vom Anwendungsbereich der Verordnung erfasst wird.
Dabei erfolgt keine Differenzierung nach der tatsächlichen regionalen Versorgungsbedeutung einzelner Standorte oder bestehenden Substitutionsmöglichkeiten innerhalb der Verbundnetze einzelner Unternehmen, d.h. der Möglichkeit, Versorgungsleistungen im Störungsfall durch andere Niederlassungen aufrechtzuerhalten. Gerade die dezentrale Struktur des vollversorgenden Pharmagroßhandels dient dazu, Ausfälle einzelner Standorte kompensieren und die Arzneimittelversorgung auch unter außergewöhnlichen Bedingungen flächendeckend sicherstellen zu können.
Der PHAGRO weist darauf hin, dass die Begründung in B. Besonderer Teil zu § 1 Abs. 1, zu Nr. 3 den Regelschwellenwert von 500.000 versorgten Personen ausdrücklich an der Kompensationsfähigkeit nationaler Notfallkapazitäten ausrichtet und Abweichungen im Einzelfall für zulässig erklärt. Diese im Entwurf selbst angelegte Möglichkeit sollte für den dezentral organisierten vollversorgenden pharmazeutischen Großhandel nutzbar gemacht werden, da die anlagenbezogene Substituierbarkeit im Großhandel regelhaft vollzogen und versorgungssichernd wirkt.
Darüber hinaus besteht die Gefahr unterschiedlicher regulatorischer Belastungen zwischen vollversorgenden pharmazeutischen Großhändlern und Marktteilnehmenden, die lediglich Teilsortimente vertreiben oder auf einzelne Marktsegmente spezialisiert sind, die jedoch in ihrem Teilversorgungsbereich eine erhebliche Versorgungsrelevanz aufweisen. Vor diesem Hintergrund sollte geprüft werden, ob die tatsächliche Versorgungsrelevanz einzelner Anlagen bei der Festlegung der Schwellenwerte und Erfassungskriterien stärker berücksichtigt werden kann.
2. Konkretisierung kritischer Anlagen und physischer Schutzmaßnahmen (§ 6 Abs. 1 Punkt 2. & 3. sowie Abs. 4 KritisV-E i. V. m. Anlage 5 Teil 3 Nr. 3.2.1 und 3.2.2)
Der Entwurf benennt Betriebs- und Lagerräume (Anlage 5 Teil 3 Nr. 3.2.1) sowie Anlagen und Systeme zum Vertrieb versorgungsrelevanter Arzneimittel (Anlage 5 Teil 3 Nr. 3.2.2) als kritische Anlagen. Gleichzeitig bleibt offen, welche konkreten Betriebsteile hiervon umfasst sein sollen. Anlage 5 Teil 1 Nr. 1.7 zählt zwar Wareneingang, Lagerung und Warenausgang und Anlage 5 Teil 1 Nr. 1.8 zählt ein zentrales Logistikmanagementsystem oder eine Anlage für den Vertrieb und die Disposition von versorgungsrelevanten Arzneimitteln ausdrücklich als Teil der betroffenen Betriebsteile auf; offen bleibt jedoch, welche weiteren Betriebsteile umfasst sind. Aus Sicht des PHAGRO besteht insoweit erheblicher Konkretisierungsbedarf, da die Abgrenzung der kritischen Anlage maßgeblich für die späteren Anforderungen an Schutzmaßnahmen, Dokumentation und Nachweisführung ist.
Darüber hinaus sollte klargestellt werden, welche Nachweise für die Umsetzung entsprechender Schutzmaßnahmen vorzuhalten sind, etwa Wartungsprotokolle, Prüfberichte, Alarmtests, Zutrittsrezertifizierungen oder Notfallübungen.
Eine frühzeitige Konkretisierung der Anforderungen würde den betroffenen Unternehmen die notwendige Planungssicherheit geben und eine einheitliche Umsetzung der regulatorischen Vorgaben ermöglichen.
3. Risikoanalysen, Resilienzmaßnahmen, Meldepflichten und Prüfverfahren (KRITISDachG i. V. m. KritisV-E)
Der Entwurf konkretisiert den Kreis der kritischen Anlagen, enthält jedoch nur begrenzte Aussagen zur praktischen Ausgestaltung der daraus folgenden Pflichten. Für die betroffenen Unternehmen bleibt insbesondere unklar, wie zentrale Begriffe wie Risikoanalyse, Resilienzmaßnahme oder erheblicher Vorfall in der Praxis auszulegen sind.
Dies betrifft insbesondere die Abgrenzung zwischen physischen Sicherheitsvorfällen, ITSicherheitsvorfällen, Notfällen und Krisen sowie die jeweils hieran anknüpfenden Meldepflichten. Ohne eine hinreichende Konkretisierung besteht die Gefahr uneinheitlicher Auslegungen und damit verbundener Rechtsunsicherheit.
Darüber hinaus sollten die Anforderungen an Prüf- und Auditverfahren näher beschrieben werden. Dies betreffen insbesondere Prüfumfang, Prüffrequenz, Bewertungskriterien und die Anerkennung geeigneter Nachweise. Angesichts des in § 13 vorgesehenen Inkrafttretens „am Tag nach der Verkündung“ sowie der Übergangsregelung, wonach bereits bei Erreichen des Schwellenwerts im Kalenderjahr 2025 die KRITIS-Eigenschaft eintritt (Anlage 5 Teil 1 Nr. 4), sollten zudem angemessene Übergangsfristen für die Umsetzung der erheblichen organisatorischen und technischen Anpassungen vorgesehen werden.
4. Vermeidung von Doppelregulierung und Anerkennung bestehender Standards (Zusammenwirken von KRITISDachG, BSIG/NIS2 und KritisV-E)
Mit der KritisV werden die Anforderungen der physischen Resilienz nach dem KRITIS-Dachgesetz mit den Anforderungen der IT-Sicherheit nach dem BSIG und der NIS-2-Umsetzung verknüpft. Grundsätzlich ist ein kohärenter Ansatz zur Stärkung der Resilienz kritischer Infrastrukturen zu begrüßen.
Der vollversorgende pharmazeutische Großhandel unterliegt jedoch bereits heute umfangreichen regulatorischen Anforderungen in den Bereichen GDP, Informationssicherheit, Qualitätsmanagement, Notfallmanagement und betriebliche Sicherheit. Zahlreiche Unternehmen verfügen bereits über etablierte Prozesse, Zertifizierungen und Nachweissysteme.
Vor diesem Hintergrund sollte sichergestellt werden, dass bestehende und vorhandene Nachweise und Prüfungen aus anderen Regelungsbereichen angemessen berücksichtigt werden. Die Anerkennung vorhandener Standards und Zertifizierungen kann dazu beitragen, Doppelprüfungen zu vermeiden, Ressourcen effizient einzusetzen und den zusätzlichen administrativen Aufwand auf das notwendige Maß zu begrenzen. Dies sollte insbesondere für bestehende Nachweise aus den Bereichen KRITIS, ISO 27001, GDP, Brandschutz, Facility Management sowie Notfall- und Krisenmanagement gelten.
5. Externe Dienstleister, Verbundstrukturen, Transportprozesse und digitale Abhängigkeiten (§ 6 Abs. 4 KritisV-E i. V. m. Anlage 5 Teil 3 Nr. 3.2)
Der Betrieb pharmazeutischer Großhandelsstandorte erfolgt regelmäßig unter Einbindung spezialisierter externer Dienstleister. Dies betrifft unter anderem Sicherheitsdienste, Facility Management, Zutrittskontrollsysteme, Brandmelde- und Einbruchmeldesysteme, Gebäudeleittechnik, Notstromversorgung sowie Klima- und Versorgungstechnik. Der Entwurf enthält bislang keine hinreichenden Aussagen dazu, wie die jeweiligen Verantwortlichkeiten zwischen Betreibern kritischer Anlagen und externen Dienstleistern abzugrenzen sind.
Zudem bleibt offen, wie zentrale IT-Systeme, Logistiksysteme und Transportprozesse regulatorisch einzuordnen sind und welche Anforderungen für Unternehmen gelten, die eigene Transportstrukturen betreiben oder externe Logistikdienstleister einsetzen. Auch bei Verbundstrukturen mit mehreren Standorten und zentralisierten Systemen besteht weiterer Klarstellungsbedarf.
Darüber hinaus sollten digitale Abhängigkeiten von Cloud-Diensten, externen Plattformen und sektorspezifischen Infrastrukturen angemessen berücksichtigt werden. Dies gilt insbesondere für zentrale digitale Infrastrukturen der Arzneimittelversorgung (z. B. IFAArtikeldatenbank, EudraGMDP-Datenbank, securPharm), deren Ausfall erhebliche Auswirkungen auf die Lieferfähigkeit der betroffenen Unternehmen haben kann. Gerade in hochvernetzten Lieferketten können Ausfälle solcher Systeme erhebliche Auswirkungen auf die Versorgungssicherheit haben.