Cybersecurity- & Compliance-Beratung für Medizinprodukte

Jedes Produkt oder vernetzte System mit Software, programmierbarer Logik, Netzwerkschnittstellen, Drahtlosfunktionen, Wechselmedien, Cloud-Diensten, mobilen Anwendungen, Aktualisierungsmechanismen oder anderen ausnutzbaren Technologien kann ein Cybersicherheitsrisiko bergen und sollte in seiner vorgesehenen Betriebsumgebung bewertet werden. Der engere gesetzliche Begriff von FDA für ​Cyber-Device​ umfasst drei Elemente: vom Sponsor autorisierte Software, Internetkonnektivität und technologische Eigenschaften, die anfällig für Cybersicherheitsbedrohungen sein könnten. Ein Produkt kann auch dann ein Cybersicherheits-Risikomanagement benötigen, wenn es diese spezifische gesetzliche Definition nicht erfüllt.

Für eine Marktzulassungseinreichung, die unter Abschnitt 524B fällt, muss der Sponsor Informationen vorlegen, die belegen, dass das Cyber-Device die gesetzlichen Cybersicherheitsanforderungen erfüllt. Dazu gehören ein Plan zur Überwachung, Identifizierung und Behebung von Schwachstellen und Exploits nach dem Inverkehrbringen; Prozesse und Verfahren, die eine angemessene Sicherheit bieten sollen, dass das Produkt und die zugehörigen Systeme cybersicher sind und entsprechende Updates und Patches empfangen können; sowie eine Software-Stückliste (Software Bill of Materials, SBOM), die kommerzielle, Open-Source- und Off-the-Shelf-Komponenten abdeckt. FDA erläutert den Umfang in ihren FAQs zur Cybersicherheit von Medizinprodukten.

Die Nachweise sollten an das Cybersicherheitsrisiko des Produkts und die Art der Einreichung angepasst sein. Je nach Anwendbarkeit können sie Dokumentation zum Sicherheits-Risikomanagement, Bedrohungsmodellierung, Architekturansichten, Sicherheitsanforderungen und deren Rückverfolgbarkeit, Cybersicherheitstests, die Bewertung ungelöster Anomalien, eine SBOM, die Kennzeichnung sowie Pläne für Schwachstellenüberwachung, koordinierte Offenlegung, Updates und Patches umfassen. Die Leitlinie zur Cybersicherheit vor dem Inverkehrbringen von FDA aus dem Februar 2026 ist die aktuelle Quelle für deren Empfehlungen und die Behandlung von Abschnitt 524B.

Die EU-MDR behandelt Cybersicherheit im Rahmen von Sicherheit, Leistung, Risikomanagement, Software-Lebenszyklus, technischer Dokumentation und Pflichten nach dem Inverkehrbringen und nicht als separate Marktzulassung. Die anwendbaren Kontrollmaßnahmen hängen vom Produkt, der Zweckbestimmung, der Betriebsumgebung und dem Stand der Technik ab. Hersteller sollten Cybersicherheitsrisiken und -maßnahmen mit den Grundlegenden Sicherheits- und Leistungsanforderungen gemäß Anhang I verknüpfen und die entsprechenden Nachweise in der technischen Dokumentation aufrechterhalten. Die Europäische Kommission führt MDCG 2019-16 Rev.1 als ihre Leitlinie zur Cybersicherheit für Medizinprodukte auf.

Keine universelle Regel schreibt vor, dass jedes vernetzte Medizinprodukt ein Zertifikat nach IEC 81001-5-1 besitzen muss. IEC 81001-5-1:2021 definiert Lebenszyklusaktivitäten und -aufgaben für die Entwicklung und Aufrechterhaltung sicherer Gesundheitssoftware. Sie kann einen nützlichen Prozessrahmen und eine Nachweisquelle bieten, jedoch autorisiert die Anwendung der Norm ein Produkt nicht von selbst und ersetzt auch nicht die anwendbaren Anforderungen von FDA, der EU, des Qualitätsmanagementsystems, des Risikomanagements, der Software, der Prüfung und des Nach-Inverkehrbringens. Die anwendbare Konformitätserklärung sollte für das jeweilige Produkt und den jeweiligen Markt definiert werden.

Nein. Cybersicherheit erstreckt sich über den gesamten Produktlebenszyklus. Hersteller benötigen gelenkte Prozesse zur Überwachung von Schwachstellen und Bedrohungen, zum Empfang externer Meldungen, zur Bewertung von Sicherheit und Ausnutzbarkeit, zur koordinierten Offenlegung, zur Entwicklung und Validierung von Updates oder Patches, zur Kommunikation mit Anwendern, zur Beurteilung der Meldepflicht sowie zur Aktualisierung von Risiko-, Technik-, Kennzeichnungs- und Qualitätsunterlagen. Produktänderungen müssen ebenfalls bewertet werden, um festzustellen, ob eine neue behördliche Einreichung, die Einbindung einer Benannten Stelle oder eine andere marktspezifische Maßnahme erforderlich ist.