Medizinische Geräte und warum Cybersicherheit nicht verhandelbar ist

Dieser Artikel wurde ursprünglich in New Electronics veröffentlicht.

Um diese Bemühungen zu unterstützen, veröffentlichte die Food and Drug Administration (FDA) im Jahr 2005 ihre ersten Leitlinien zur Cybersicherheit von Medizingeräten, wobei der Schwerpunkt auf vernetzten Medizingeräten mit handelsüblicher Software (OTS) lag.

Dennoch haben sich die Premarket-Leitlinien der FDA im Laufe der Jahre erheblich weiterentwickelt und wurden von einem 9-seitigen Dokument im Jahr 2014 zu einem umfassenden 57-seitigen Leitfaden im Jahr 2023 erweitert. Allein diese Entwicklung zeigt die zunehmende Bedeutung der Cybersicherheit in der Medizingerätebranche.

Mit dem Consolidated Appropriations Act 2023 wurden jedoch die traditionell informellen Empfehlungen der FDA zur Cybersicherheit von Medizingeräten in formelle, gesetzesbasierte Anforderungen umgewandelt. In Verbindung mit den 2023 aktualisierten Leitlinien der FDA zur Cybersicherheit in Medizingeräten: Überlegungen zum Qualitätssystem und Inhalt von Einreichungen vor dem Inverkehrbringen bedeutet diese Entwicklung erhöhte Standards bei der Cybersicherheit von Medizingeräten. Zusammengenommen stellen diese Änderungen einen bedeutenden Fortschritt in der Regulierungslandschaft für die Cybersicherheit von Medizingeräten dar.

Sicherstellen, dass medizinische Geräte „cybersicher“ bleiben

Wie Initiativen auf der ganzen Welt zeigen, gelten diese Erwartungen nicht nur für die USA. Beispielsweise verpflichtet die EU-Richtlinie 2022/2555 über die Sicherheit von Netz- und Informationssystemen (NIS2) nun Hersteller von Medizinprodukten, einschließlich Chemikalien (APIs), Pharmazeutika und Medizingeräten, umfassende Maßnahmen zum Risikomanagement im Bereich der Cybersicherheit umzusetzen und Meldepflichten einzuhalten.

In Australien hat die Therapeutic Goods Administration (TGA) die Richtlinie „2022 Medical Device Cybersecurity Guidance for Industry“ herausgegeben, die einen Total Product Lifecycle (TPLC)-Ansatz für die Cybersicherheit vorschreibt. Dieser Ansatz erfordert, dass Hersteller Penetrationstests, Bedrohungsmodellierung und andere proaktive Maßnahmen in ihren Risikomanagement-Bewertungsprozess integrieren.

In Singapur führt das Cybersecurity Labelling Scheme for Medical Devices (CLS-MD) ein Bewertungssystem für Medizingeräte auf der Grundlage ihrer Cybersicherheitsbestimmungen ein. Im Rahmen dieses Systems werden Medizingeräte nach ihrer Cybersicherheitsrobustheit bewertet und gekennzeichnet, was wertvolle Informationen für die breite Öffentlichkeit und Gesundheitsdienstleister liefert. Dieses Kennzeichnungssystem ermöglicht fundierte Kaufentscheidungen und erlaubt es den Beteiligten, Medizingeräte zu identifizieren und auszuwählen, die hohe Cybersicherheitsstandards erfüllen.

Diese globalen Initiativen spiegeln einen wachsenden internationalen Konsens über die Bedeutung robuster Cybersicherheitsmaßnahmen in der Medizingeräteindustrie wider.

Die Vorteile der Vernetzung sind nicht ohne Schwächen

Wenn ein Medizingerät Software enthält, insbesondere wenn es elektronisch mit anderen Geräten oder Netzwerken verbunden werden kann, ist die Priorisierung der Cybersicherheit von entscheidender Bedeutung. Die Vernetzung von Medizingeräten in der modernen medizinischen Landschaft, erleichtert durch softwaregestützte intelligente Medizingeräte und den Wandel hin zu einem Internet der Dinge (IoT), bietet unbestreitbar den Vorteil einer bequemen und zeitnahen Versorgung.

Beispielsweise können Patienten mit Herzimplantaten aus der Ferne überwacht werden, wodurch die Notwendigkeit häufiger Arztbesuche verringert wird. Ebenso ermöglichen neue Tools zur Steuerung des Blutzuckerspiegels eine nahtlose Interaktion von Blutzuckermessgeräten und Insulinpumpen. Krankenhäuser setzen ebenfalls vermehrt vernetzte Geräte ein, um die Versorgung und Effizienz durch den nahtlosen Datenaustausch zu verbessern. Gleichzeitig werden Medizingeräte dadurch jedoch auch anfälliger für Cyberangriffe und Sicherheitsverletzungen, wenn es Schwachstellen in den Gesundheitssystemen gibt.

Die erhöhten Risiken entstehen dadurch, dass böswillige Akteure es auf Organisationen im Gesundheitswesen abgesehen haben, um anfällige Geräte auszunutzen, auf Patientenakten zuzugreifen, den Betrieb zu stören, Lösegeld zu fordern oder Netzwerke zu infiltrieren. Beispielsweise sind Geräte wie Insulinpumpen, Herzschrittmacher und Wearables einer erhöhten Anfälligkeit ausgesetzt, da sie Patientendaten in Echtzeit erfassen und Informationen sofort an Patienten und Ärzte übermitteln. Daher sind robuste Cybersicherheitsmaßnahmen unerlässlich, um diese kritischen Geräte zu schützen und die Patientensicherheit zu gewährleisten.

Praktische Implikationen für Entwickler

Die Cybersicherheitsleitlinien und der regulatorische Geltungsbereich der FDA umfassen eine breite Palette von Gerätesoftware-Funktionen, einschließlich Datenspeicherung, -übertragung und -analyse. Jedes medizinische oder diagnostische Gerät mit aktualisierbarer Software, einem USB-Anschluss oder sogar CD-Technologie wird jetzt als vernetztes Gerät eingestuft und fällt unter die neuen Vorschriften.

Sowohl die FDA als auch die NCSC-Secure-Design-Prinzipien des Vereinigten Königreichs betonen, wie wichtig es ist, dass Hersteller das breitere Ökosystem und die Vernetzung von Geräten berücksichtigen.

Anstatt isoliert betrachtet zu werden, sollten Sicherheitsziele in die gesamte Systemarchitektur von Medizingeräten integriert werden.

Hersteller von Medizingeräten (MDMs) sollten weit vor der Markteinführung eine Bedrohungsmodellierung für die Geräte durchführen, um Sicherheitsbedrohungen und Schwachstellen umgehend zu identifizieren, zu bewerten und zu priorisieren. So wird gewährleistet, dass die Geräte sicher sind, bevor sie auf den Markt kommen. Die Erstellung einer priorisierten Liste der wichtigsten Anliegen ermöglicht es Teams, kritische Probleme vor der Einreichung effektiv anzugehen und zu lösen. Zudem entsteht dadurch ein dokumentiertes Protokoll von Sicherheitsüberlegungen, das Teams in zukünftigen Iterationen systematisch abarbeiten können.

Es ist auch wichtig, systemische Probleme anzugehen, um nachträgliche Korrekturen im weiteren Verlauf zu vermeiden. Dies kann die Überarbeitung von Standardarbeitsanweisungen, die Anpassung des Qualitätsmanagementsystems und die Entwicklung umfassender Sicherheitsstrategien umfassen, die sich über den gesamten Entwicklungslebenszyklus erstrecken und sowohl Cybersicherheitsstandards als auch regulatorische Anforderungen erfüllen.

Letztendlich gefährdet die Nichteinhaltung der expliziten Kriterien der FDA für Cybersicherheitsmaßnahmen nicht nur die Patientensicherheit und die Datenintegrität, sondern birgt auch das Risiko von Verzögerungen beim Markteintritt, was zu finanziellen Verlusten und Reputationsschäden führen kann. Ebenso könnte in der EU eine Nichteinhaltung des Cyber Resilience Act durch die Hersteller dazu führen, dass Produkte vom Binnenmarkt genommen werden müssen, oder erhebliche Bußgelder nach sich ziehen, die mit denen der Datenschutz-Grundverordnung (DSGVO) vergleichbar sind.

Um das Risiko zu mindern, empfiehlt die FDA die Implementierung eines „Software Bill of Materials“ (SBOM)-Programms als grundlegendes Element ihrer Softwaresicherheit und ihres Lieferkettenmanagements. Das SBOM bietet eine umfassende Liste aller Softwarekomponenten innerhalb eines Geräts und ermöglicht so eine effective Verfolgung und Verwaltung von Schwachstellen.

Für Hersteller ist es von entscheidender Bedeutung, die Cybersicherheitsanforderungen und -erwartungen in den Zielmärkten zu verstehen und sich an ihnen auszurichten, um sich effektiv in der Regulierungslandschaft zurechtzufinden und die Sicherheit und Integrität ihrer Medizingeräte zu gewährleisten.

Vorbeugen ist besser als heilen

Es ist wichtig zu beachten, dass Cybersicherheit kein nachträglicher Gedanke sein sollte, sondern von Anfang an in das Fundament der Entwicklung von Medizingeräten einfließen muss.

Cybersicherheit muss in allen Bereichen des Unternehmens Priorität haben, einschließlich der Budget- und Ressourcenzuweisung, Schulungen usw. Es geht nicht nur darum, Vorschriften einzuhalten und Strafen zu vermeiden; es geht darum zu erkennen, dass der wahre Nutzen fortschrittlicher, vernetzter Geräte nur dann zum Tragen kommt, wenn Endbenutzer den Geräten vertrauen können, die so eng in ihr Leben integriert sind. Wenn die Software hinter diesen Geräten nicht von vornherein mit Blick auf die Cybersicherheit entwickelt wird, kann sie anfällig für Cyberbedrohungen werden und dadurch die Patienten, die auf sie angewiesen sind, denselben Risiken aussetzen. Das verfehlt den Zweck.

Bei der Entwicklung einer Sicherheitsstrategie müssen auch systemische Probleme berücksichtigt werden, um nachträgliche Korrekturen im weiteren Verlauf zu vermeiden. Wenn man solchen Prozessen die gebührende Bedeutung beimisst, können Entwickler potenzielle Risiken vorhersehen und frühzeitig Korrekturmaßnahmen ergreifen. Dies erspart ihnen letztendlich den Ärger durch mögliche Reputationsschäden, finanzielle Verluste, Marktverzögerungen und Risiken für die Patientensicherheit.