2 Min. Lesezeit
Mit dem technologischen Fortschritt nimmt die Nutzung von Netzwerkverbindungstechnologien für Medizinprodukte zu. Die vernetzten Medizinprodukte speichern und übertragen Patientendaten und erfordern sowohl Datenschutz als auch Genauigkeit. Daher wird die Cybersecurity von Medizinprodukten für Aufsichtsbehörden und Hersteller auch in Zukunft im Fokus stehen.
Bei der Entwicklung eines Medizinprodukts müssen sich die Hersteller bewusst sein, dass es gegen jegliche Art von Cyberbedrohungen geschützt sein und solche Vorfälle mindern muss, die zu Folgen für die Integrität der Daten und die Privatsphäre der Patienten führen könnten. Daher haben globale Regulierungsbehörden verschiedene Standards und Anforderungen entwickelt, um die Hersteller bei der Entwicklung sicherer, geschützter und effizienter Medizinprodukte zu unterstützen. In diesem Blog schauen wir uns einige der bewährten Verfahren für die Cybersecurity von Medizinprodukten an, die in den Standards IEC 62304 und ISO 14971 zu finden sind.
Standard IEC 62304 für den gesamten Lebenszyklus von Medizinproduktesoftware
Der als funktionale Sicherheitsnorm bekannte Standard IEC 62304 umfasst Praktiken für das Design und die Wartung von Medizinproduktesoftware während des gesamten Produktlebenszyklus. Er gilt sowohl für SaMD (Software as a Medical Device) als auch für Medizinprodukte mit eingebetteter Software als Teil ihrer Funktionalität. Eine der bewährten Praktiken dieses Standards besteht darin, Sicherheitsmaßnahmen bereits zu Beginn der Entwicklung zu integrieren. Die sicherheitsrelevanten Prozesse werden anhand der Leitlinien des Standards zur Software-Sicherheitsklassifizierung bestimmt, die sich auf die Anforderungen des gesamten Softwarezyklus auswirken. Die drei (03) Sicherheitsklassen für softwarebezogene Medizinprodukte sind:
- Klasse A: Keine Verletzung oder Gesundheitsschädigung möglich.
- Klasse B: Eine Verletzung ist möglich, aber nicht schwerwiegend.
- Klasse C: Tod oder schwere Verletzung sind wahrscheinlich.
Es gibt neun (09) Teile der IEC 62304, die verschiedene Aspekte eines Medizinprodukts beschreiben, wie unten aufgeführt:
- Teil 1: Anwendungsbereich
- Teil 2: Normative Verweise
- Teil 3: Begriffe und Definitionen
- Teil 4: Allgemeine Anforderungen
- Teil 5: Softwareentwicklungsprozess
- Teil 6: Softwarewartungsprozess
- Teil 7: Prozess des Risikomanagements für Software
- Teil 8: Prozess des Konfigurationsmanagements für Software
- Teil 9: Prozess der Problemlösung für Software
ISO 14971 Norm für das Risikomanagement von Medizinprodukten
Diese internationale Norm konzentriert sich in erster Linie auf das Risikomanagement von Medizinprodukten. Sie dient dem Patientenschutz und gewährleistet einen sicheren Kontakt zwischen dem Produkt und dem Patienten oder Endanwender. Die sicherheitsbezogenen Verfahren in verschiedenen Phasen des gesamten Produktlebenszyklus müssen durch Dokumentation nachgewiesen und entsprechend umgesetzt werden. Die wesentlichen Bestandteile der Risikomanagement-Leitlinien sind Risikoanalyse und Risikominderung. Man sollte vorhersehen, auf welche Weise vernetzte Produkte versagen könnten und welche Folgen solche Ausfälle haben könnten. Dies hilft dabei, die notwendigen Sicherheitsvorkehrungen einzubauen, um das Potenzial für Gefahren zu mindern. Die AAMI (Association for the Advancement of Medical Instrumentation) hat einen technischen Bericht namens TIR57:2016 veröffentlicht, der sich auf ISO 14971 bezieht und die Grundsätze der Sicherheit von Medizinprodukten darstellt. Dieser Bericht stellt eine Verbindung her zwischen Sicherheitsrisiken (einschließlich Daten- und Systemschutzverletzungen sowie Leistungsminderung) und den in ISO 14971 beschriebenen Praktiken des sicherheitsbezogenen Risikomanagements.
TIR57:2016 bietet Leitlinien zur Durchführung von Risikobewertungen der Cybersicherheit von Medizinprodukten und zur Bewältigung von Risiken durch Sicherheitsbedrohungen, die die Vertraulichkeit, Integrität und Verfügbarkeit des Produkts oder der vom Produkt verarbeiteten Informationen beeinträchtigen. Darüber hinaus bietet die Norm IEC 80002-1:2009 für Medizinprodukt-Software Leitlinien zur Anwendung von ISO 14971 auf Medizinprodukt-Software und konzentriert sich auf Risikoanalyse, Risikomanagement, Risikobewertung und Risikokontrollen, wie sie für Medizinprodukt-Software anwendbar sind.
Da die Zahl der netzwerkverbundenen Medizinprodukte zunimmt, müssen sich die Hersteller schließlich an die vorgeschlagenen regulatorischen Standards halten, um Cybersicherheitsrisiken zu vermeiden oder zu mindern. Um die besten Lösungen für das vollständige Lebenszyklusmanagement Ihrer vernetzten Medizinprodukte zu erhalten, wenden Sie sich an Freyr – einen ausgewiesenen Experten für regulatorische Angelegenheiten in diesem Bereich. Bleiben Sie informiert. Bleiben Sie konform.
