Lesezeit: 5 Min.
Mit dem technologischen Fortschritt entwickeln sich auch die medizinischen Geräte weiter, die zur Lebenserhaltung eingesetzt werden. In Südkorea wurden zwar verschiedene Arten von medizinischen Geräten entwickelt, die kommunikationsfähig sind, doch geht diese Entwicklung mit dem Risiko von Cybersicherheitsbedrohungen einher, wie beispielsweise dem Hacken medizinischer Geräte und dem Verlust von Informationen. Diese Bedrohungen betreffen nicht nur Vermögensschäden, sondern auch das Leben der Patienten, weshalb der Schutz der Cybersicherheit medizinischer Geräte ein zentrales Anliegen ist.
Um diesen Bedenken Rechnung zu tragen, hat die südkoreanische Regierung Richtlinien für die Zulassung (Guide-0995-03 vom 13.07.2023) und die Prüfung von Medizinprodukten im Hinblick auf die Cybersicherheit erlassen. Die südkoreanischen Vorschriften für Medizinprodukte zielen darauf ab, dasSicherheitsmanagement vonkommunikationsfähigenMedizinproduktenzu gewährleisten, und unterstreichen damit die Bedeutung der Cybersicherheit für Medizinprodukte.
Warum sind Richtlinien zur Cybersicherheit erforderlich?
Medizinprodukte werden häufig in den Körper von Patienten implantiert, um lebenserhaltende Funktionen zu erfüllen. Das bedeutet, dass jede Bedrohung der Cybersicherheit schwerwiegende, sogar tödliche Folgen haben könnte. Die Leitlinien zur Cybersicherheit von Medizinprodukten zielen darauf ab, solche Bedrohungen zu verhindern, indem sichergestellt wird, dass die Produkte sicher sind und die von ihnen übertragenen Daten geschützt werden.
Wichtige Überlegungen zur Einführung neuer Richtlinien und Leitfäden
Bei der Einführung neuer Richtlinien und Leitfäden zur Cybersicherheit ist vor allem zu beachten, dass der Verwendungszweck des Medizinprodukts klar definiert, das Produkt entsprechend seinen Eigenschaften eingesetzt und ein Sicherheitsmanagement gewährleistet werden muss, sofern das Produkt über Kommunikationsfähigkeiten verfügt. Die Richtlinien, die auf eine internationale Harmonisierung abzielen, haben Überlegungen aus den vom International Medical Device Regulators Forum (IMDRF) festgelegten „Medical Device Cybersecurity Principles and Guidelines“ übernommen und angewendet („Principles and Practices for Medical Device Cybersecurity“, IMDRF [2020]).
Grundprinzipien der Cybersicherheit bei Medizinprodukten
Die Grundprinzipien der Cybersicherheit von Medizinprodukten umfassen eine Reihe von Leitlinien, in denen die wichtigsten Aspekte zur Gewährleistung der Cybersicherheit von Medizinprodukten dargelegt sind. Dazu gehören Verfügbarkeit, Vertraulichkeit und Integrität. Werfen wir einen kurzen Blick auf diese drei (03) Prinzipien:
- Verfügbarkeit bedeutet, dass die Daten autorisierten Benutzern sofort zur Verfügung gestellt werden.
- Vertraulichkeit bedeutet, die Daten vor unbefugtem Zugriff zu schützen.
- Integrität bedeutet, sicherzustellen, dass die Daten korrekt sind und nicht manipuliert wurden.
Diese Grundsätze spielen eine zentrale Rolle beim Cybersicherheitsmanagement von Medizinprodukten, da sie dazu beitragen, die Sicherheit der Produkte und der von ihnen übertragenen Daten zu gewährleisten.
Risikomanagementprozess für die Cybersicherheit von Medizinprodukten
Die Richtlinien legen fest, dass Hersteller in Südkorea geeignete Prozesse zum Risikomanagement im Bereich der Cybersicherheit von Medizinprodukten durchführen müssen. Hier sind einige wichtige Aspekte des Risikomanagementprozesses:
- Der Prozess sollte die Ermittlung potenzieller Cybersicherheitsbedrohungen, die Bewertung der mit diesen Bedrohungen verbundenen Risiken sowie die Entwicklung von Strategien zur Risikominderung umfassen.
- Die Hersteller sollten den Prozess im Risikomanagementbericht dokumentieren.
- Die Hersteller müssen ein systematisches Verfahren zur Überprüfung von Informationen zur Cybersicherheit während der Produktions- und Nachproduktionsphase einrichten und aufrechterhalten.
- Hersteller sollten Cybersicherheitsziele mit entsprechenden Funktionen und Stufen festlegen. Darüber hinaus müssen sie die Folgen der Risikobewertung und -bewältigung berücksichtigen.
- Der Schwerpunkt liegt auf der kontinuierlichen Erfassung und Analyse von Informationen über die Absichten interner und externer Kunden während des gesamten Lebenszyklus von Medizinprodukten. Darüber hinaus ist es wichtig, dass diese Informationen imRisikomanagement zur Cybersicherheit von Medizinprodukten berücksichtigt werden.
Anwendung der Cybersicherheitsanforderungen für Medizinprodukte
Die Leitlinien bestehen aus einer Tabelle mit Beispielen für Aspekte, die bei der Anwendung der Cybersicherheitsanforderungen für Medizinprodukte im Hinblick auf die Qualitätssicherung und die Einhaltung gesetzlicher Vorschriften zu berücksichtigen sind. Die Tabelle enthält drei (03) Kategorien von Aspekten – „wesentlich“, „mittel“ und „gering“ –, die im Folgenden näher erläutert werden:
- Wichtigster Aspekt: Der wichtigste Aspekt ist die Gefahr schwerer Verletzungen oder sogar des Todes von Patienten sowie dauerhafter Beeinträchtigungen der Körperfunktionen und dauerhafter Schäden an der Körperstruktur infolge von Cybersicherheitsverletzungen bei medizinischen Geräten.
- Mäßige Gewichtung: Die mäßige Gewichtung beruht darauf, dass Verstößegegen die Cybersicherheit von Medizinproduktenzu geringfügigen oder vorübergehenden Verletzungen von Patienten führen können, die möglicherweise eine medizinische Behandlung erfordern.
- Geringfügige Auswirkung: Die geringfügige Auswirkung besteht darin, dass Cybersicherheitsverletzungen bei Medizinprodukten den Patienten vorübergehende Unannehmlichkeiten oder reversible, geringfügige und kurzfristige Unannehmlichkeiten bereiten können, die keine medizinische Intervention erfordern.
Neben den oben genannten Kategorien enthält die Tabelle auch Überlegungen zur kabelgebundenen Kommunikation, zur drahtlosen Kommunikation sowie zu Cybersicherheitsrisiken, die durch Rechtsverletzungen entstehen.
Zwei (02) wichtige Checklisten für die Cybersicherheit von Medizinprodukten
Checkliste für Cybersicherheitsanforderungen an Medizinprodukte:
- Hersteller müssen dieses Checklistenformular verwenden, wenn sie ihre Medizinprodukte im Hinblick auf Cybersicherheitsanforderungen überprüfen.
- Sie sollten das Formular entsprechend den Eigenschaften ihrer jeweiligen Geräte ausfüllen.
- Das Formular dient als Grundlage für die Bestätigung, dass die Hersteller alle Anforderungen an die Cybersicherheit erfüllt haben.
- Die Checkliste umfasst das „Dokument zum Management von Cybersicherheitsrisiken“ und die „Daten zur Softwareverifizierung und -validierung“.
Die nachstehende Tabelle (Tabelle 1) veranschaulicht die Checkliste zur Cybersicherheit von Medizinprodukten in Südkorea.
Tabelle 1: Checkliste zur Cybersicherheit von Medizinprodukten in Südkorea
| Anforderungen an die Cybersicherheit | Anwendbarkeit des entsprechenden Geräts | Verwendete Methode zum Nachweis der Kompatibilität | Dokumentennummer oder das entsprechende beigefügte Dokument | |
| Sicherheitskommunikation | Die Hersteller sollten angeben, wie ihre Medizinprodukte über das Internet, Bluetooth usw. verbunden werden können, sowie die Konstruktionsmerkmale und die Sicherheit der übertragenen Daten darlegen. | XXX | XXX | XXX |
| Datenschutz bei Geräten | Die Hersteller müssen entscheiden, ob ihre Geräte eine Verschlüsselung oder einen geschützten Nachrichtenaustausch erfordern; außerdem müssen sie die Architektur auf Systemebene, um festzustellen, ob bestimmte Konstruktionsmerkmale erforderlich sind, um die Nichtabstreitbarkeit von Daten zu gewährleisten. | XXX | XXX | XXX |
| Geräteintegrität | Hersteller sollten Risiken für die Integrität von Geräten berücksichtigen, wie beispielsweise unbefugte Änderungen daran. Sie sollten sich vor Software, Viren, Spyware usw. in Acht nehmen. | XXX | XXX | XXX |
| Benutzerzertifizierung | Einige Beispiele für den Benutzerzugriff Zu den Kontrollmechanismen gehören Passwörter, Hardware-Schlüssel und die „Raw-Chain“-Authentifizierung, usw. | XXX | XXX | XXX |
| Software-Wartungsnummer | Hersteller sollten in Erwägung ziehen, den Nutzern alle Details zu den Updates, Zeitplänen und Anforderungen zur Verfügung zu stellen. | XXX | XXX | XXX |
Checkliste für die Erstellung bzw. Überarbeitung von Leitlinien/Handbüchern:
- Hersteller sollten diese Checkliste bei der Erstellung oder Überarbeitung von Richtlinien oder Leitfäden heranziehen.
- Sie müssen prüfen, ob der Inhalt von den übergeordneten Gesetzen abweicht und ob er neue Vorschriften festlegt bzw. verschärft oder sensible zivilrechtliche Klagen einschränkt.
- Falls die Antwort auf die Frage, ob damit neue Vorschriften eingeführt oder verschärft werden, „Ja“ lautet, sollten sie die Inhalte, die vom übergeordneten Gesetz abweichen, streichen und mit dem Prozess der Festlegung und Überarbeitung der Richtlinien und Leitfäden fortfahren.
- Die Checkliste umfasst die Angabe der Richtlinien oder Leitfäden sowie die Überprüfung der Punkte im Zusammenhang mit den Anwendungsaspekten.
Datenübermittlung im Bereich der Cybersicherheit von Medizinprodukten
Die Leitlinien legen konkrete Anforderungen für die Übermittlung von Daten zur Cybersicherheit von Medizinprodukten fest. Die übermittelten Daten müssen die folgenden Kriterien für die Zulassung von Medizinprodukten erfüllen:
- Die Daten müssen sich auf Medizinprodukte beziehen, die zur drahtlosen Kommunikation fähig sind oder über einen Kommunikationsweg verfügen.
- Zu den Daten zur Leistungsfähigkeit des Geräts müssen die Hersteller die „Daten zur Software-Verifizierung und -Validierung“ sowie den „Bericht zur Überprüfung der Konformität der Medizinprodukt-Software“ einreichen.
- Die übermittelten Informationen dürfen nicht gefälscht, fehlerhaft oder für Medizinprodukte zugelassen sein.
- Hersteller müssen Cybersicherheitsanforderungen umsetzen, um unbefugten Zugriff auf Medizinprodukte zu verhindern.
- Die Hersteller müssen die Einhaltung der Cybersicherheitsanforderungen für Medizinprodukte nachweisen, indem sie die „Checkliste für Cybersicherheitsanforderungen an Medizinprodukte“ sowie Unterlagen einreichen, die die Erfüllung der Anforderungen der Checkliste belegen.
- Hersteller können beantragen, bestimmte Anforderungen auf der Grundlage einer Risikoanalyse auszuschließen oder anzupassen; die entsprechenden Daten müssen gemäß Artikel 26 der Leitlinien zusammen mit dem „Dokument zum Risikomanagement im Bereich Cybersicherheit“ vorgelegt werden.
Insgesamt stellen die Leitlinien für die Zulassung und Überprüfung von Medizinprodukten im Hinblick auf die Cybersicherheit eine wertvolle Ressource für Hersteller, Anwender und Aufsichtsbehörden dar, da sie dazu beitragen, die Sicherheit und den Schutz von Medizinprodukten zu gewährleisten. Wenn Sie als Hersteller Ihre Medizinprodukte in Südkorea vertreiben möchten, müssen Sie sicherstellen, dass Ihre Produkte die in den Richtlinien dargelegten Cybersicherheitsanforderungen erfüllen.Unser Expertenteamunterstützt Sie gerne bei der Navigation durch die südkoreanischen Vorschriften für Medizinprodukte; es sorgt dafür, dass Ihre Produkte die Cybersicherheitsanforderungen erfüllen und dass Sie die für die Zulassung und Prüfung erforderlichen Daten einreichen.Kontaktieren Sie Freyr, um mehr darüber zu erfahren, wie wir Sie dabei unterstützen können, die Cybersicherheit Ihrer Medizinprodukte in Südkorea zu gewährleisten. Bleiben Sie auf dem Laufenden! Halten Sie die Vorschriften ein!
