3 Min. Lesezeit
Angesichts der Konvergenz verschiedener Technologien und der Vernetzung medizinischer Geräte mit verschiedenen Netzwerken steigt das Risiko von Cybersicherheitsangriffen, die den Betrieb der Geräte beeinträchtigen. Daher ist ein wirksames Cybersicherheitssystem für medizinische Geräte unerlässlich, um Cyberangriffe zu verhindern und den sicheren Betrieb der Geräte zu gewährleisten. Allen Akteuren im Bereich der Medizinprodukte wird empfohlen, ihre Cybersicherheitskonzepte über den gesamten Lebenszyklus der Medizinprodukte hinweg zu harmonisieren – angefangen bei der Produktkonzeption über Risikomanagementmaßnahmen, die Kennzeichnung der Produkte und die Anforderungen für Zulassungsanträge bis hin zum Informationsaustausch und zu Aktivitäten nach der Markteinführung.
Es gibt einige allgemeine regulatorische Grundsätze für die Cybersicherheit von Medizinprodukten bei deren Entwicklung, Regulierung, Nutzung und Überwachung. Diese Grundsätze sollen sich positiv auf die Patientensicherheit auswirken, wenn sie konsequent befolgt und umgesetzt werden. Lassen Sie uns diese hier näher betrachten.
Regulierungsgrundsätze für die Cybersicherheit von Medizinprodukten
Überlegungen vor der Markteinführung: Es gibt einige Aspekte, die ein Hersteller bei der Konzeption und Entwicklung eines Medizinprodukts vor dessen Markteinführung berücksichtigen muss; diese werden gemeinhin als „Aspekte vor der Markteinführung“ bezeichnet und umfassen unter anderem:
- Entwicklung von Sicherheitsfunktionen für das Produkt
- Die Anwendung anerkannter Risikomanagementstrategien
- Sicherheitstests
- Bereitstellung nützlicher Informationen für die Benutzer, damit diese das Gerät sicher bedienen können
- Ein umfassender Plan für Aktivitäten nach der Markteinführung
Risikomanagement für den gesamten Produktlebenszyklus (TPLC): Während des gesamten Lebenszyklus eines Medizinprodukts müssen Hersteller darauf achten, fundierte Risikomanagementprinzipien anzuwenden, die sowohl Sicherheits- als auch Schutzaspekte berücksichtigen. Im Rahmen des Risikomanagementprozesses für ein Medizinprodukt sollten folgende Punkte berücksichtigt werden:
- Ein Cybersicherheitsrisiko, das die Sicherheit und die grundlegende Leistungsfähigkeit von Geräten beeinträchtigt und
- Beeinträchtigt den klinischen Betrieb oder führt zu diagnostischen oder therapeutischen Fehlern
Hersteller müssen im Rahmen ihres Risikomanagementprozesses die folgenden Schritte durchführen:
- Alle Schwachstellen in der Cybersicherheit identifizieren
- Die damit verbundenen Risiken abschätzen und bewerten
- Die Risiken auf ein akzeptables Maß begrenzen
- Die Wirksamkeit der Risikokontrollen überwachen und bewerten
- Risiken durch koordinierte Offenlegung an wichtige Interessengruppen kommunizieren
Kennzeichnung: Im Zusammenhang mit Cybersicherheitsrisiken spielt die Kennzeichnung eine wichtige Rolle bei der Vermittlung der entsprechenden Sicherheitsinformationen an die Endnutzer. Sie umfasst die folgenden Elemente:
- Geräteanleitungen und Produktspezifikationen im Zusammenhang mit empfohlenen Maßnahmen zur Cybersicherheit
- für die vorgesehene Einsatzumgebung geeignet
- Beschreibung der Sicherungs- und Wiederherstellungsfunktionen sowie Vorgehensweisen zur Wiederherstellung von Konfigurationen
- Eine Liste der Netzwerkports und anderer Schnittstellen, über die voraussichtlich Daten empfangen und/oder gesendet werden,
- Beschreibung der Port-Funktionalität und Angabe, ob es sich um eingehende oder ausgehende Ports handelt
- Ausreichend detaillierte Systemdiagramme für die Endnutzer
Dokumentation für Zulassungsanträge: Die Hersteller von Medizinprodukten müssen die Aktivitäten im Bereich der Cybersicherheit klar dokumentieren und zusammenfassen. Zur Bewertung des Medizinprodukts vor dem Markteintritt kann die Zulassungsbehörde je nach Risikoklasse des Produkts diese Art von Dokumentation verlangen oder sie während der Phase nach der Markteinführung im Lebenszyklus des Produkts anfordern. Der Hersteller sollte eine klare Dokumentation vorlegen, in der die Konstruktionsmerkmale des Produkts, die Risikomanagementmaßnahmen, die Prüfungen, die Kennzeichnung sowie der Nachweis eines Plans zur Überwachung und Reaktion auf neu auftretende Bedrohungen während des gesamten Produktlebenszyklus beschrieben werden.
Überlegungen zur Zeit nach der Markteinführung: Im Laufe der Zeit ändern sich die Schwachstellen, und die vor der Markteinführung konzipierten und umgesetzten Kontrollmaßnahmen reichen möglicherweise nicht aus, um ein akzeptables Risikoprofil aufrechtzuerhalten. Daher ist ein Ansatz für die Zeit nach der Markteinführung sehr wichtig und notwendig, bei dem mehrere Interessengruppen eine Schlüsselrolle spielen. Der Ansatz nach der Markteinführung umfasst verschiedene Elemente und beinhaltet den Betrieb des Produkts in der vorgesehenen Umgebung, den Informationsaustausch, die koordinierte Offenlegung von Schwachstellen, die Verbesserung der Sicherheitsfunktionen, die Behebung von Schwachstellen, die Reaktion auf Vorfälle sowie ältere Produkte. Je nach Produktklasse muss ein Bericht zur Überwachung nach der Markteinführung (Post-Market Surveillance, PMS) erstellt werden, in dem die Ergebnisse und Schlussfolgerungen aller Datenanalysen aus dem Markt zusammengefasst werden.
Nachdem die Hersteller nun einige der Grundsätze der Cybersicherheit für Medizinprodukte kennen, wird ihnen empfohlen, einen klar definierten regulatorischen Rahmen für die Cybersicherheit von Medizinprodukten zu implementieren. Angesichts der zunehmenden Anzahl von Medizinprodukten, die mit dem Internet und anderen Netzwerken verbunden sind, besteht das Risiko, dass Hacker böswillige Aktivitäten ausüben könnten. Daher wird den Herstellern von Medizinprodukten geraten, wachsam zu bleiben und die bewährten regulatorischen Grundsätze für Cybersicherheit zu befolgen. Gibt es bei Ihrem Medizinprodukt-Portfolio Lücken in der Cybersicherheit? Wenden Sie sich an einen Experten für Medizinprodukte. Bleiben Sie auf dem Laufenden. Halten Sie die Vorschriften ein.
