Stellungnahme der ABDA – Bundesvereinigung Deutscher

Stellungnahme der
ABDA – Bundesvereinigung Deutscher Apothekerverbände
vom
12. November 2014
zum
Entwurf eines Gesetzes zur Erhöhung der Sicherheit informationstechnischer Systeme (IT-Sicherheitsgesetz)
(Aktenzeichen: ITII1-17002/7#2)
1
Stellungnahme der ABDA vom 12. November 2014 zum Entwurf eines IT-Sicherheitsgesetzes
Wir begrüßen das Ziel des Gesetzgebers, die Sicherheit informationstechnischer Systeme (ITSicherheit) in Deutschland zu erhöhen.
Im Rahmen der Umsetzung der im Entwurf dargestellten gesetzlichen Regelungen wird es zunächst darauf ankommen, die Unternehmen zu identifizieren, bei denen IT-Systeme derart
funktionsrelevant sind, dass ein Ausfall dieser Systeme mit einem Funktionsausfall des betroffenen Unternehmens einhergeht. Die Definition der „Kritischen Infrastrukturen“ in § 2 Absatz 10
Satz 1 BSI-Gesetz (neu) enthält keine Kriterien, die auf die Relevanz der IT-Systeme für das
Funktionieren der jeweiligen Unternehmen abstellt. Dies halten wir jedoch im Hinblick auf das
Apothekenwesen für ein relevantes Beurteilungskriterium:
Im Arbeitsalltag der öffentlichen Apotheke kommen IT-Systeme beispielsweise bei der Abrechnung mit Krankenkassen, der Bestellung von Arzneimitteln beim pharmazeutischen Großhandel
oder als Unterstützung im Rahmen der Beratung von Patienten bzw. der Lagerhaltung zum
Einsatz. Der Umfang des Einsatzes von IT-Systemen variiert jedoch von Apotheke zu Apotheke.
Die Störung oder der Ausfall der IT-Systeme der einzelnen Apotheke führt nicht zu einem Ausfall der Apotheke als Versorgungseinrichtung. Nach § 15 Absatz 1 der Apothekenbetriebsordnung (ApBetrO) ist der Apothekenleiter verpflichtet, Arzneimittel und apothekenpflichtige Medizinprodukte in einer Menge vorrätig zu halten, die mindestens dem durchschnittlichen Wochenbedarf entspricht, der zur Sicherstellung einer ordnungsgemäßen Arzneimittelversorgung der
Bevölkerung notwendig ist. Die Beratung von Patienten gemäß § 20 ApBetrO ist aufgrund der
Ausbildung des pharmazeutischen Personals der Apotheke auch ohne technische Unterstützung hinreichend gewährleistet. Damit ist die Funktionsfähigkeit der Apotheke auch bei einer
Beeinträchtigung der dort genutzten IT-Systeme sichergestellt.
Darüber hinaus hätte der IT-bedingte Ausfall einer Apotheke keine Auswirkungen auf weitere
Apotheken. Aufgrund der Eigentumsverhältnisse an Apotheken sind die jeweils genutzten ITLösungen in der Regel nicht über die jeweilige Apotheke hinaus vernetzt.
Die flächendeckende Arzneimittelversorgung der Bevölkerung in Deutschland wird durch ca.
21.000 voneinander unabhängige Apothekenbetriebsstätten sichergestellt. Auch im unwahrscheinlichen Fall des kompletten Ausfalls einzelner Betriebsstätten könnten andere Apotheken
diesen kompensieren. Dies zeigt sich nicht zuletzt dadurch, dass während der Zeiten des
Nacht- und Notdienstes eine zwar reduzierte, aber flächendeckende Arzneimittelversorgung
der Bevölkerung durch ca. 1.400 dienstbereite Apotheken sichergestellt wird.
Berücksichtigt man darüber hinaus den Umstand, dass es sich bei Apotheken überwiegend um
Betriebe handelt, die im Bereich der für Kleinstunternehmen geltenden Schwellenwerte angesiedelt sind und im Einzelfall um diese floaten können, erscheint es auch unter Verhältnismäßigkeitsgesichtspunkten gerechtfertigt, Apotheken generell auszunehmen.
Wirtschaftlich betrachtet besteht eine weitere Besonderheit darin, dass Apotheken aufgrund
ihres überwiegend preisgebundenen Sortiments kaum in der Lage wären, resultierende Kostenlasten individuell zu auszugleichen. Eine entsprechende Kompensation müsste durch eine
adäquate Erhöhung des Apothekenaufschlags nach § 78 Arzneimittelgesetz erfolgen.
Sowohl die dargestellte individuelle Betroffenheit der einzelnen Apotheke durch etwaige Cyberangriffe als auch die fehlende Systemrelevanz einzelner Ausfälle rechtfertigen eine Ausnahme
vom Anwendungsbereich der vorgesehenen Regelungen. Berücksichtigt man darüber hinaus,
die Nähe der durchschnittlichen Betriebsgrößen von Apotheken zur „Kleinunternehmerregelung“ nach § 8c BSI-Gesetz (neu) und die wirtschaftliche Betroffenheit, ist eine Ausnahme der
Apotheken vom Anwendungsbereich des Gesetzes auch unter Verhältnismäßigkeitsgesichtspunkten geboten.
2