2 Min. Lesezeit
Mit dem technologischen Fortschritt nimmt der Einsatz von Netzwerktechnologien bei medizinischen Geräten zu. Die vernetzten medizinischen Geräte speichern und übertragen Patientendaten und stellen hohe Anforderungen sowohl an den Datenschutz als auch an die Genauigkeit. Daher wird die Cybersicherheit medizinischer Geräte auch weiterhin im Fokus der Aufsichtsbehörden und Hersteller stehen.
Bei der Entwicklung eines Medizinprodukts müssen sich die Hersteller bewusst sein, dass dieses absolut sicher gegen jegliche Art von Cyberbedrohungen sein muss und dass solche Vorfälle, die Folgen für die Datenintegrität und den Datenschutz der Patienten haben könnten, minimiert werden müssen. Daher haben die weltweiten Aufsichtsbehörden verschiedene Normen und Anforderungen entwickelt, um die Hersteller bei der Entwicklung sicherer und effizienter Medizinprodukte zu unterstützen. In diesem Blogbeitrag wollen wir einige der bewährten Verfahren für die Cybersicherheit medizinischer Geräte näher betrachten, die in den Normen IEC 62304 und ISO 14971 zu finden sind.
IEC 62304 – Norm für den gesamten Lebenszyklus von Software für Medizinprodukte
Die als Norm für funktionale Sicherheit bekannte IEC 62304 regelt die Praktiken für den Entwurf und die Wartung von Software für Medizinprodukte über den gesamten Produktlebenszyklus hinweg. Sie gilt sowohl für „ SaMD “ (Software als Medizinprodukt) als auch für Medizinprodukte, deren Funktionalität eingebettete Software umfasst. Eine der bewährten Vorgehensweisen dieser Norm ist die Einbindung von Sicherheitsmaßnahmen bereits zu Beginn der Entwicklung. Die sicherheitsrelevanten Prozesse werden anhand der Richtlinien zur Software-Sicherheitsklassifizierung der Norm festgelegt und wirken sich auf die Anforderungen des gesamten Softwarezyklus aus. Die drei (03) Sicherheitsklassen für softwarebezogene Medizinprodukte sind:
- Klasse A: Es besteht keine Gefahr von Verletzungen oder Gesundheitsschäden.
- Klasse B: Eine Verletzung ist möglich, jedoch nicht schwerwiegend.
- Klasse C: Es besteht die Wahrscheinlichkeit von Tod oder schweren Verletzungen.
Die Norm IEC 62304 umfasst neun (09) Teile, in denen die verschiedenen Aspekte eines Medizinprodukts beschrieben werden, wie im Folgenden näher erläutert wird:
- Teil 1: Geltungsbereich
- Teil 2: Normative Verweise
- Teil 3: Begriffe und Definitionen
- Teil 4: Allgemeine Anforderungen
- Teil 5: Softwareentwicklungsprozess
- Teil 6: Softwarewartungsprozess
- Teil 7: Prozess zum Software-Risikomanagement
- Teil 8: Prozess zum Software-Konfigurationsmanagement
- Teil 9: Prozess zur Behebung von Softwareproblemen
ISO 14971 – Norm für das Risikomanagement bei Medizinprodukten
Diese internationale Norm konzentriert sich in erster Linie auf das Risikomanagement bei Medizinprodukten; sie dient der Patientensicherheit und gewährleistet einen sicheren Kontakt zwischen dem Produkt und dem Patienten bzw. Endnutzer. Die sicherheitsrelevanten Verfahren in den verschiedenen Phasen des Produktlebenszyklus müssen anhand der Dokumentation nachgewiesen und entsprechend umgesetzt werden. Die wesentlichen Bestandteile der Risikomanagement-Richtlinien sind die Risikoanalyse und die Risikominderung. Es sollte vorausschauend geprüft werden, auf welche Weise die angeschlossenen Geräte ausfallen könnten und welche Folgen diese Ausfälle haben könnten. Dies trägt dazu bei, die notwendigen Sicherheitsvorkehrungen zu integrieren, um das Gefahrenpotenzial zu mindern. Die AAMI (Association for the Advancement of Medical Instrumentation) hat einen technischen Bericht mit der Bezeichnung TIR57:2016 veröffentlicht, der sich auf die Norm ISO 14971 bezieht und die Grundsätze der Sicherheit von Medizinprodukten darlegt. Dieser Bericht schlägt eine Brücke zwischen Sicherheitsrisiken (einschließlich Verstößen gegen die Daten- und Systemsicherheit sowie einer verminderten Wirksamkeit) und den in der Norm ISO 14971 beschriebenen sicherheitsbezogenen Risikomanagementpraktiken.
TIR57:2016 enthält Leitlinien zur Durchführung von Cybersicherheits-Risikobewertungen für Medizinprodukte und zum Management von Risiken durch Sicherheitsbedrohungen, die sich auf die Vertraulichkeit, Integrität und Verfügbarkeit des Produkts oder der vom Produkt verarbeiteten Informationen auswirken. Zudem enthält die Norm IEC 80002-1:2009 für Medizinproduktesoftware Leitlinien zur Anwendung der ISO 14971 auf Medizinproduktesoftware und konzentriert sich auf die Risikoanalyse, das Risikomanagement, die Risikobewertung und die Risikokontrollen, soweit diese für Medizinproduktesoftware relevant sind.
Da die Zahl der mit dem Netzwerk verbundenen medizinischen Geräte zunimmt, müssen die Hersteller schließlich die vorgeschlagenen regulatorischen Standards einhalten, um Cybersicherheitsrisiken zu vermeiden oder zu mindern. Um die besten Lösungen für das vollständige Lebenszyklusmanagement Ihrer vernetzten medizinischen Geräte zu erhalten, wenden Sie sich an Freyr – einen bewährten Experten für regulatorische Fragen in diesem Bereich. Bleiben Sie auf dem Laufenden. Halten Sie die Vorschriften ein.
