Neue Standards in der Cybersicherheit medizinischer Geräte

Die sich entwickelnde Landschaft der Cybersicherheitsvorschriften für Medizinprodukte

Das Management der Cybersicherheit der eigenen Produkte durch Medizingerätehersteller ist für Regulierungsbehörden seit vielen Jahren eine zentrale Erwartung.

Um dabei in den USA zu unterstützen, hat die FDA im Jahr 2005 ihre erste Leitlinie zur Cybersicherheit von Medizinprodukten veröffentlicht. Sie befasste sich mit der Cybersicherheit für vernetzte Medizinprodukte, die Standardsoftware (OTS-Software) enthalten.

Darauf folgte im Jahr 2014 eine Leitlinie zum Inhalt von Premarket-Einreichungen für das Management der Cybersicherheit in Medizinprodukten sowie eine Leitlinie zum Postmarket-Management der Cybersicherheit in Medizinprodukten. Obwohl diese Empfehlungen nützlich waren, wurden sie im Nachhinein als unzureichend und wenig streng bewertet.

Seit der Verabschiedung des US-amerikanischen Consolidated Appropriations Act von 2023 und der im Jahr 2023 aktualisierten Leitlinie der FDA zu Cybersicherheit bei Medizinprodukten: Überlegungen zum Qualitätssystem und Inhalt von Premarket-Einreichungen liegt die Messlatte für die Cybersicherheit jedoch deutlich höher. Die Premarket-Leitlinie von 2023 ersetzt die Premarket-Leitlinie von 2014, die zuvor in den Jahren 2018 und 2022 in Form von Entwürfen aktualisiert worden war.

Im Laufe der Jahre haben sich die Premarket-Leitlinien der FDA erheblich weiterentwickelt – von dem recht überschaubaren, 9-seitigen Dokument aus dem Jahr 2014 hin zu der heute umfassenden, 57-seitigen Version von 2023.

Durch die Verabschiedung des Consolidated Appropriations Act von 2023 wurde der in der Vergangenheit weniger formelle „Empfehlungs-Ansatz“ in den FDA-Leitlinien zur Cybersicherheit von Medizinprodukten in gesetzlich verankerte Anforderungen und bindendes Recht überführt.

So schreibt beispielsweise Abschnitt 3305 des Consolidated Appropriations Act gesetzlich vor, dass der Sponsor (z. B. ein Medizingerätehersteller) eines Antrags oder einer Einreichung (z. B. einer 510(k)-Premarket-Einreichung) folgende Pflichten zu erfüllen hat:

1. Einen Plan zur Überwachung, Identifizierung und Behebung von Cybersicherheits-Schwachstellen und -Exploits nach dem Inverkehrbringen vorlegen, einschließlich einer koordinierten Offenlegung von Schwachstellen (Coordinated Vulnerability Disclosure) und damit verbundener Verfahren;
2. Prozesse und Verfahren konzipieren, entwickeln und pflegen, die hinreichende Gewähr dafür bieten, dass das Produkt und die damit verbundenen Systeme cybersicher sind, und nach dem Inverkehrbringen Updates und Patches für das Produkt und die zugehörigen Systeme bereitstellen zur Behebung von:
   • bekannten, inakzeptablen Schwachstellen in einem hinreichend begründeten, regelmäßigen Zyklus
   • und so schnell wie möglich außerhalb des regulären Zyklus kritischen Schwachstellen, die unkontrollierbare Risiken verursachen könnten
3. Dem Minister eine Software-Stückliste (Software Bill of Materials) vorlegen, die kommerzielle, Open-Source- und Standard-Softwarekomponenten (OTS) umfasst; und
4. sonstige Anforderungen erfüllen, die der Minister per Verordnung vorschreiben kann, um eine hinreichende Gewähr dafür zu bieten, dass das Produkt und die zugehörigen Systeme cybersicher sind.

Globaler Wandel zur Stärkung der Cybersicherheit von Medizinprodukten

Besonders bemerkenswert im Consolidated Appropriations Act sind die Anforderungen an den Postmarket-Cybersicherheitsplan und die Software-Stückliste (SBOM), die in der Vergangenheit bei Zulassungsanträgen in den USA kaum eine Rolle spielten. Diese verlangen bereits ab den frühesten Entwicklungsphasen eines Medizinprodukts erhebliche Anstrengungen. Zudem müssen Premarket-Einreichungen gemäß der neuen Leitlinie von 2023 nun auch Ergebnisse von Penetrationstests und Bedrohungsmodellierungen enthalten, was ebenfalls mit erheblichem Aufwand und Kosten verbunden ist.

Die gestiegenen Erwartungen an die Cybersicherheit beschränken sich nicht nur auf die USA. Die Richtlinie (EU) 2022/2555 zur Sicherheit von Netz- und Informationssystemen („NIS2“) schreibt nun Risikomanagementmaßnahmen im Bereich der Cybersicherheit und Berichtspflichten für Hersteller von medizinischen Produkten vor, einschließlich Chemikalien (APIs), Pharmazeutika und Medizinprodukten.

Ähnlich wie in den USA fordert auch der Leitfaden zur Cybersicherheit von Medizinprodukten für die Industrie 2022 der australischen Therapeutic Goods Administration einen Ansatz über den gesamten Produktlebenszyklus (Total Product Lifecycle, TPLC) hinweg. Zudem werden Penetrationstests und Bedrohungsmodellierungen als Teil des Risikomanagement- und Bewertungsprozesses eines Produkts verlangt.

Zudem kündigte Singapur 2022 Pläne für ein Kennzeichnungssystem zur Cybersicherheit für Medizinprodukte (Cybersecurity Labelling Scheme for Medical Devices – CLS-MD) an. Dieses Kennzeichnungssystem befindet sich derzeit in einer Testphase („Sandbox“). Es basiert darauf, dass Medizinprodukte anhand von vier Stufen von Cybersicherheitsvorkehrungen und -bewertungen klassifiziert werden.

Das Cybersicherheits-Label soll Aufschluss über das Sicherheitsniveau des jeweiligen Medizinprodukts geben. Obwohl die Teilnahme an diesem Programm derzeit noch freiwillig ist, verdeutlicht die Initiative, wie ernst die Regierung in Singapur das Thema Cybersicherheit bei Medizinprodukten nimmt.

Zusätzlich zu den oben genannten Beispielen gibt es weltweit ein stark geschärftes Bewusstsein für die Notwendigkeit, Medizinprodukte cybersicher zu halten. Dazu gehören auch globale Initiativen des internationalen Forums der Regulierungsbehörden für Medizinprodukte (IMDRF) zur Erstellung hervorragender technischer Dokumente über Grundsätze und Praktiken für die Cybersicherheit von Medizinprodukten, Grundsätze und Praktiken für die Cybersicherheit von Legacy-Medizinprodukten und Grundsätze und Praktiken für Software-Stücklisten zur Cybersicherheit von Medizinprodukten.

Wenn Sie ein Medizinprodukt mit Software entwickeln oder bereits auf dem Markt haben – insbesondere wenn das Produkt elektronisch mit anderen Geräten oder einem Netzwerk verbunden werden kann –, müssen Sie die Cybersicherheit ernst nehmen und die entsprechenden Anforderungen und Erwartungen in der jeweiligen Zielregion genau verstehen. Wenn Sie Unterstützung bei der Umsetzung Ihrer weltweiten Compliance-Vorgaben im Bereich Cybersicherheit wünschen, wenden Sie sich gerne an Pure Global.