IEC 81001-5-1

Was ist IEC 81001-5-1?

IEC 81001-5-1:2021 definiert Lebenszyklus-Anforderungen für die Entwicklung und Instandhaltung von Gesundheitssoftware. Die Norm etabliert einen gemeinsamen Rahmen aus Prozessen, Aktivitäten und Aufgaben, die darauf abzielen, sowohl die resultierende Software als auch die für ihre Erstellung und Instandhaltung genutzten Lebenszyklus-Prozesse zu stärken.

Ihr Anwendungsbereich geht über einen einmaligen Schwachstellenscan oder Penetrationstest hinaus. Cybersecurity wird als eine Verantwortung über den gesamten Produktlebenszyklus hinweg behandelt, die mit Sicherheit und Wirksamkeit ausbalanciert werden muss.

Welche Produkte kann IEC 81001-5-1 abdecken?

Die Norm gilt für Gesundheitssoftware, eine Kategorie, die breiter gefasst ist als Software, die in jeder Rechtsordnung als reguliertes Medizinprodukt qualifiziert ist. Ein Hersteller muss daher sowohl feststellen, ob das Produkt in den Anwendungsbereich der Norm fällt, als auch, ob es in jedem Zielmarkt als Medizinprodukt oder Cyber-Device reguliert ist.

Die Anwendung der Norm bestimmt für sich genommen weder die Produktqualifizierung oder -klassifizierung noch den erforderlichen Einreichungspfad.

Wie steht IEC 81001-5-1 im Verhältnis zu anderen Software-Normen?

IEC 81001-5-1 passt Prinzipien für eine sichere Entwicklung, die mit IEC 62443-4-1 verbunden sind, an die Anforderungen von Gesundheitssoftware an. Sie kann zusammen mit Prozessen für den Medizinprodukt-Software-Lebenszyklus, das Risikomanagement, die Gebrauchstauglichkeit und das Qualitätssicherungssystem eingesetzt werden.

Die Abgrenzungen sollten klar dokumentiert werden: Eine Norm erfüllt nicht automatisch alle Anforderungen einer anderen, und Sicherheitsnachweise sollten mit der Produktarchitektur, den Sicherheitsrisiken, der vorgesehenen Betriebsumgebung und dem Instandhaltungsmodell verknüpft bleiben.

Was hat das Interpretationsblatt 2025 klargestellt?

Interpretationsblatt 1:2025 stellt bestehende Anforderungen im Zusammenhang mit wesentlichen Begleitinformationen zur Übertragung von Risiken von Software-Einheiten vom Hersteller auf die verantwortliche Organisation oder den Betreiber sowie Anforderungen zur Aufrechterhaltung der Produktsicherheit klar.

Die IEC-Basispublikation gibt nun an, dass die Inhalte des Interpretationsblatts enthalten sind. Teams, die eine ältere gelenkte Kopie verwenden, sollten sicherstellen, dass die Interpretation in ihrer Konformitätsbewertung berücksichtigt wird.

Erfüllt IEC 81001-5-1 die Cybersecurity-Anforderungen von FDA?

Nicht von selbst. Die Premarket-Cybersecurity-Leitlinie von FDA vom Februar 2026 befasst sich mit der Cybersecurity-Auslegung von Medizinprodukten, der Kennzeichnung, Erwägungen zum Qualitätssicherungssystem und der Einreichungsdokumentation. Gesetzliche Anforderungen gelten zudem für Produkte, die die US-Definition eines Cyber-Device erfüllen.

Hersteller sollten die Nachweise aus der Norm der Zielregulierungsbehörde zuordnen, anstatt eine pauschale Gleichwertigkeitsbehauptung aufzustellen. Der Cybersecurity-Service für Medizinprodukte von Pure Global unterstützt diese marktspezifische Zuordnung und Einreichungsstrategie.