2 Min. Lesezeit
Obwohl die Digitalisierung und das Internet der Dinge (IoT) die Leistung von Medizinprodukten verbessert haben, sind diese Geräte dadurch auch anfälliger für Cyber-Schwachstellen geworden. Schadsoftware und Spyware, die in die Geräte eindringen, nehmen zu. Hacker suchen gezielt nach Schlupflöchern in Geräten und zugehöriger Software, um diese zu manipulieren, Benutzerdaten zu gefährden und Fehlfunktionen zu verursachen. All dies erschwert die Bemühungen von Unternehmen, Benutzerdaten zu schützen und Schäden abzuwenden.
Um der Bedrohung der Cybersicherheit bei Medizinprodukten zu begegnen, haben alle Mitgliedsgesundheitsbehörden des International Medical Device Regulators Forum (IMDRF) Entwürfe von Leitlinien mit regulatorischen Vorgaben für die Phase vor dem Markteintritt veröffentlicht. Die australische Therapeutic Goods Administration (TGA) hat jedoch erkannt, dass auch in der Phase nach der Markteinführung Regulierungen erforderlich sind, und einen Entwurf vorgelegt, der den gesamten Lebenszyklus des Produkts (TPLC) abdeckt.
Für wen gilt diese Leitlinie?
Der von der TGA vorgeschlagene TPLC-Ansatz konzentriert sich auf die kontinuierliche Aktualisierung von Qualitätsmanagementsystemen, Risikomanagementverfahren und Änderungsprozessen. Da die Leitlinie sowohl die Phase vor als auch nach der Markteinführung abdeckt, richten sich die Vorschriften an verschiedene Beteiligte, die unten aufgeführt sind.
- Hersteller, die Software as a Medical Device (SaMD) entwickeln
- Hersteller von Produkten, die Softwarekomponenten mit Anfälligkeiten für Cybersicherheit enthalten
- Sponsoren, die für die Lieferung von Produkten in Australien verantwortlich sind
- Medizinische Fachkräfte, die Medizinprodukte zur Diagnose und Behandlung von Patienten einsetzen
- Klinische und biomedizinische Ingenieure, die für die Verwaltung von Geräten im Gesundheitswesen verantwortlich sind
- Allgemeine und IT-Verwaltungen, die für Systeme, Verfahren und Prozesse im Bereich der Gesundheitsdienste verantwortlich sind
- Verbraucher, die ein registriertes Medizinprodukt verwenden
- unter Anleitung ihres Gesundheits- und Medizinfachpersonals
- das keine medizinische Überwachung erfordert
Leitlinien für die Medizinprodukteindustrie:
Die Leitlinien helfen der Medizinprodukteindustrie nicht nur dabei, sich auf die Cybersicherheit vorzubereiten, sondern betonen auch, dass die Produkte im Australian Register of Therapeutic Goods (ARTG) eingetragen sein müssen, um im Land vermarktet werden zu können. Die Aufnahme in das ARTG erfordert jedoch Überlegungen, die den gesamten Lebenszyklus eines Medizinprodukts abdecken und in die folgenden vier Phasen unterteilt sind:
- Prä-Marktphase im Rahmen der Konformitätsbewertung
- Marktzulassung durch Aufnahme in das ARTG
- Post-Market-Überwachung
- End-of-Life / Einstellung der Unterstützung
In den Leitlinien wird zudem dargelegt, dass die Hersteller allein dafür verantwortlich sind, die Cybersicherheitsrisiken des Produkts sowohl in der Prä- als auch in der Post-Market-Phase zu bewerten und zu adressieren. Dabei müssen sie in beiden Phasen bestimmte Aspekte berücksichtigen, darunter:
- Überlegungen vor dem Markteintritt (Pre-market): Diese Überlegungen umfassen Risiken bei der Entwicklung und dem Design von Medizinprodukten. Sie sind sowohl allgemeiner als auch technischer Natur.
- Allgemeine Überlegungen wie Entwicklungsansatz, Anwendung von Normen, Risikomanagementstrategien, Lieferkettenbewertung und Bereitstellung von Informationen für Anwender
- Technische Überlegungen wie Leistungstests zur Cybersicherheit, modularer Designaufbau, Sicherheit der Betriebsplattform, neue Software sowie vertrauenswürdiger Zugriff und Inhaltsbereitstellung
- Überlegungen nach dem Markteintritt (Post-market): Im Rahmen der Marktüberwachung sind Hersteller und Sponsoren von Produkten verpflichtet, Cybersicherheitsrisiken kontinuierlich zu bewerten und entsprechend zu handeln. Dazu gehört, Risiken und Bedrohungen zu erkennen und bei ihrem Auftreten darauf zu reagieren.
Die Höhepunkte der Leitlinien:
Während andere Regulierungsbehörden der IMDRF Prinzipien zur Cybersicherheit vor dem Markteintritt aufgeführt haben, ist die TGA noch einen Schritt weiter gegangen und hat 15 „wesentliche Prinzipien“ aufgelistet, darunter den Fokus auf langfristige Sicherheit. Darüber hinaus wurden acht weitere wesentliche Prinzipien in die Leitlinien aufgenommen, um der Prävention von Schadsoftware zu dienen. Die Leitlinien heben das vom US National Institute of Standards and Technology entwickelte Rahmenwerk zur Cybersicherheit hervor. Sie enthalten zudem gängige Beispiele für Schwachstellen, bekannte Standards zur Stärkung der Sicherheit sowie Anweisungen für Endanwender, klinische Studien und Gesundheitseinrichtungen, die die Produkte verwenden.
Der Leitlinienentwurf umfasst eine umfassende Bandbreite an Informationen, um den TLPC-Ansatz für Medizinproduktehersteller umzusetzen. Die aktuelle Fassung dient jedoch der Kommentierung, und in zukünftigen Versionen sind Änderungen zu erwarten. Um konform und sicher zu bleiben, sollten Stakeholder rechtzeitig mit Hilfe eines Regulatory-Experten für Medizinprodukte die erforderlichen Schritte einleiten. Bleiben Sie konform.
