Gewährleistung der Cybersicherheit von Medizinprodukten in Südkorea

Mit dem technologischen Fortschritt entwickeln sich auch die Medizinprodukte weiter, die zur Lebenserhaltung eingesetzt werden. In Südkorea wurden verschiedene Arten von kommunikationsfähigen Medizinprodukten entwickelt, womit jedoch auch das Risiko von Cybersicherheitsbedrohungen wie Hacking und Informationslecks einhergeht. Diese Bedrohungen gefährden nicht nur Eigentum, sondern auch das Leben von Patienten. Daher ist die Gewährleistung der Cybersicherheit von Medizinprodukten ein zentrales Anliegen.

Um diesen Bedenken zu begegnen, hat die südkoreanische Regierung Leitlinien für die Zulassung (Guide-0995-03 vom 13.07.2023) und Überprüfung der Cybersicherheit von Medizinprodukten erlassen. Die südkoreanischen Vorschriften für Medizinprodukte zielen darauf ab, das Sicherheitsmanagement von kommunikationsfähigen Medizinprodukten zu gewährleisten und unterstreichen damit die Bedeutung der Cybersicherheit für Medizinprodukte.

Warum sind Leitlinien zur Cybersicherheit erforderlich?

Medizinprodukte werden häufig in den Körper von Patienten implantiert, um lebenswichtige Funktionen zu unterstützen. Das bedeutet, dass jede Bedrohung der Cybersicherheit schwerwiegende, sogar tödliche Folgen haben kann. Die Leitlinien zur Cybersicherheit von Medizinprodukten sollen solchen Bedrohungen vorbeugen, indem sie sicherstellen, dass die Geräte geschützt sind und die von ihnen übertragenen Daten sicher sind.

Wichtige Aspekte bei der Erlassung neuer Leitlinien und Handbücher

Bei der Erlassung neuer Leitlinien und Handbücher zur Cybersicherheit ist es wichtig, den Verwendungszweck des Medizinprodukts klar zu definieren, das Produkt entsprechend seinen Eigenschaften anzuwenden und ein Sicherheitsmanagement zu gewährleisten, falls das Produkt kommunikationsfähig ist. Die Leitlinien, die auf eine internationale Harmonisierung abzielen, übernehmen und berücksichtigen die Grundsätze und Leitlinien zur Cybersicherheit von Medizinprodukten des International Medical Device Regulators Forum (IMDRF) (Principles and Practices for Medical Device Cybersecurity, IMDRF [2020]).

Grundprinzipien der Cybersicherheit von Medizinprodukten

Die Grundprinzipien der Cybersicherheit von Medizinprodukten umfassen eine Reihe von Richtlinien, die die wichtigsten Aspekte zur Gewährleistung der Cybersicherheit von Medizinprodukten darlegen. Dazu gehören Verfügbarkeit, Vertraulichkeit und Integrität. Schauen wir uns diese drei (03) Prinzipien kurz an:

• Unter Verfügbarkeit wird verstanden, dass autorisierten Benutzern die Daten sofort zur Verfügung stehen.
• Vertraulichkeit bedeutet, die Daten vor unbefugtem Zugriff zu schützen.
• Integrität bedeutet sicherzustellen, dass die Daten korrekt sind und nicht manipuliert wurden.

Diese Prinzipien sind von zentraler Bedeutung für das Cybersicherheitsmanagement von Medizinprodukten, da sie dazu beitragen, die Sicherheit der Geräte und der von ihnen übertragenen Daten zu gewährleisten.

Risikomanagementprozess für die Cybersicherheit von Medizinprodukten

Die Leitlinien legen fest, dass Hersteller angemessene Risikomanagementprozesse für die Cybersicherheit von Medizinprodukten in Südkorea durchführen müssen. Hier sind einige wichtige Aspekte des Risikomanagementprozesses:

• Der Prozess sollte die Identifizierung potenzieller Cybersicherheitsbedrohungen, die Bewertung der mit diesen Bedrohungen verbundenen Risiken und die Entwicklung von Strategien zur Risikominderung umfassen.
• Hersteller sollten den Prozess im Risikomanagementbericht dokumentieren.
• Hersteller müssen ein systematisches Verfahren zur Überprüfung von Cybersicherheitsinformationen während der Produktions- und Nachproduktionsphase einrichten und aufrechtzuerhalten.
• Hersteller sollten Cybersicherheitsziele mit entsprechenden Funktionen und Ebenen festlegen. Darüber hinaus müssen sie die Ergebnisse der Risikobewertung und -behandlung berücksichtigen.
• Besonderer Wert wird auf die kontinuierliche Erfassung und Analyse von Informationen über die Anforderungen interner und externer Kunden über den gesamten Lebenszyklus von Medizinprodukten hinweg gelegt. Darüber hinaus ist es wichtig, dass diese Informationen in das Risikomanagement für die Cybersicherheit von Medizinprodukten einfließen.

Anwendung der Anforderungen an die Cybersicherheit von Medizinprodukten

Die Leitlinien bestehen aus einer Tabelle mit Beispielen für Überlegungen zur Anwendung der Anforderungen an die Cybersicherheit von Medizinprodukten im Hinblick auf die Qualitätssicherung und die Einhaltung gesetzlicher Vorschriften von Medizinprodukten. Die Tabelle umfasst drei (03) Kategorien von Überlegungen – schwerwiegend, moderat und geringfügig –, die im Folgenden erläutert werden:

• Schwerwiegende Überlegung: Die schwerwiegende Überlegung ist die Möglichkeit einer schweren Verletzung von Patienten oder gar des Todes, einer dauerhaften Beeinträchtigung von Körperfunktionen und einer dauerhaften Schädigung der Körperstruktur aufgrund von Cybersicherheitsverletzungen bei Medizinprodukten.
• Moderater Aspekt: Der moderate Aspekt besteht darin, dass Verletzungen der Cybersicherheit von Medizinprodukten zu geringfügigen oder vorübergehenden Verletzungen der Patienten führen können, die möglicherweise medizinische Eingriffe erfordern.
• Geringfügiger Aspekt: Der geringfügige Aspekt besteht darin, dass Verletzungen der Cybersicherheit von Medizinprodukten vorübergehende Unannehmlichkeiten oder reversible, geringfügige und kurzfristige Beeinträchtigungen für Patienten verursachen können, die keinen medizinischen Eingriff erfordern.

Abgesehen von den vorgenannten Kategorien enthält die Tabelle auch Überlegungen zu Kabelkommunikation, drahtloser Kommunikation und durch Urheberrechtsverletzungen entstehenden Cybersicherheitsrisiken.

Zwei (02) wichtige Checklisten für die Cybersicherheit von Medizinprodukten

Checkliste für die Anforderungen an die Cybersicherheit von Medizinprodukten:

• Hersteller müssen dieses Checklistenformular verwenden, wenn sie ihre Medizinprodukte auf die Einhaltung der Cybersicherheitsanforderungen überprüfen.
• Sie sollten das Formular entsprechend den Eigenschaften ihrer jeweiligen Geräte ausfüllen.
• Das Formular dient als Grundlage für den Nachweis, dass die Hersteller alle Cybersicherheitsanforderungen erfüllt haben.
• Die Checkliste umfasst das „Dokument zum Cybersicherheits-Risikomanagement“ und die „Daten zur Software-Verifizierung und -Validierung“.

Die folgende Tabelle (Tabelle 1) veranschaulicht die Checkliste für die Cybersicherheit von Medizinprodukten in Südkorea.

Tabelle 1: Checkliste für die Cybersicherheit von Medizinprodukten in Südkorea

Checkliste für die Erstellung/Überarbeitung von Leitlinien/Handbüchern:

• Hersteller müssen diese Checkliste bei der Erstellung oder Überarbeitung von Leitlinien oder Handbüchern verwenden.
• Sie müssen prüfen, ob der Inhalt von übergeordneten Gesetzen abweicht, ob neue Vorschriften eingeführt oder verschärft werden oder ob sensible Verbraucherbeschwerden eingeschränkt werden.
• Wenn die Frage, ob neue Vorschriften eingeführt oder verschärft werden, mit „Ja“ beantwortet wird, sollten sie die Inhalte, die von den übergeordneten Gesetzen abweichen, löschen und mit dem Prozess zur Erstellung und Überarbeitung der Leitlinien und Handbücher fortfahren.
• Die Checkliste umfasst die Bezeichnung der Leitlinien oder Handbücher und die Überprüfung der Punkte im Zusammenhang mit den Anwendungsüberlegungen.

Datenübermittlung für die Cybersicherheit von Medizinprodukten

Die Leitlinien legen konkrete Anforderungen für die Einreichung von Daten im Zusammenhang mit der Cybersicherheit von Medizinprodukten fest. Die eingereichten Daten müssen die folgenden Kriterien für die Zulassung von Medizinprodukten erfüllen:

• Die Daten müssen sich auf Medizinprodukte beziehen, die über drahtlose Kommunikation verfügen oder einen Kommunikationspfad nutzen.
• Unter den Leistungsdaten müssen die Hersteller die „Software Verification and Validation Data“ (Daten zur Softwareverifizierung und -validierung) und den „Medical Device Software Conformity Verification Report“ (Prüfbericht zur Konformität von Medizinproduktesoftware) einreichen.
• Die eingereichten Informationen dürfen weder gefälscht noch fehlerhaft sein und müssen für Medizinprodukte zugelassen sein.
• Hersteller müssen Cybersicherheitsanforderungen als Gegenmaßnahme anwenden, um unbefugten Zugriff auf Medizinprodukte zu verhindern.
• Hersteller müssen die Einhaltung der Cybersicherheitsanforderungen für Medizinprodukte durch die Einreichung der „Medical Device Cybersecurity Requirements Checklist“ (Checkliste für die Cybersicherheitsanforderungen von Medizinprodukten) und der Unterlagen zur Überprüfung dieser Anforderungen nachweisen.
• Hersteller können beantragen, einige der Anforderungen durch eine Risikoanalyse auszuschließen oder zu ändern; die entsprechenden Daten müssen gemäß Artikel 26 der Leitlinien mit dem „Cyber Security Risk Management Document“ eingereicht werden.

Insgesamt stellen die Leitlinien für die Zulassung und Überprüfung der Cybersicherheit von Medizinprodukten eine wertvolle Ressource für Hersteller, Anwender und Aufsichtsbehörden dar, da sie zur Gewährleistung der Sicherheit von Medizinprodukten beitragen. Wenn Sie als Hersteller Ihre Medizinprodukte in Südkorea vertreiben möchten, müssen Sie sicherstellen, dass Ihre Produkte die in den Leitlinien dargelegten Cybersicherheitsanforderungen erfüllen. Unser Expertenteam unterstützt Sie gerne bei der Einhaltung der südkoreanischen Vorschriften für Medizinprodukte; es sorgt dafür, dass Ihre Produkte die Cybersicherheitsanforderungen erfüllen und dass Sie die erforderlichen Daten für die Zulassung und Prüfung einreichen. Kontaktieren Sie Freyr, um mehr darüber zu erfahren, wie wir Ihnen helfen können, die Cybersicherheit Ihrer Medizinprodukte in Südkorea zu gewährleisten. Bleiben Sie informiert! Bleiben Sie konform!