Cybersicherheit von Medizinprodukten

Sytance · Aktualisiert 6. Oktober 2026

Die Cybersicherheit von Medizinprodukten betrifft Bedrohungen, die während der gesamten Lebensdauer die Sicherheit und Leistungsfähigkeit des Geräts beeinträchtigen können. Hersteller verwenden Designaufzeichnungen, Bedrohungsmodelle, SBOMs und Tests zur Bewertung dieser Risiken und erhalten den Schutz anschließend durch Updates, Nutzerinformationen und Überwachung nach der Markteinführung aufrecht. Die regulatorischen Anforderungen unterscheiden sich zwischen den Vereinigten Staaten und der Europäischen Union.

Regulatorische Anforderungen und technische Arbeiten

Beginnen Sie bei einer Einreichung in den USA mit den FDA-Leitlinien vor dem Inverkehrbringen und den Kriterien aus Abschnitt 524B. Für die EU-Konformitätsbewertung gelten zunächst die Anforderungen der MDR oder IVDR. Die technischen Seiten erläutern die unterstützenden Arbeiten – von Architektur und Risikobewertung bis hin zu Tests und Wartung nach der Markteinführung.

FDA-Nachweise vor dem Inverkehrbringen

Die FDA empfiehlt zu erläutern, wie das Gerät sicher konzipiert und geprüft wurde und wie seine Cybersicherheitsrisiken nach der Markteinführung verwaltet werden. Abschnitt 524B enthält zusätzliche gesetzliche Anforderungen für Einreichungen zu Cybergeräten, die die Kriterien erfüllen.

FDA-Management nach dem Inverkehrbringen

Die Leitlinien der FDA zum Nachmarkt erläutern, wie neu entdeckte Schwachstellen bewertet und bestehende Kontrollen auf ihre Angemessenheit geprüft werden. Das daraus entstehende Risiko für die Patientensicherheit beeinflusst die Dringlichkeit von Abhilfemaßnahmen und die einschlägigen Meldeüberlegungen.

EU-MDR- und MDCG-Nachweise

MDR und IVDR behandeln Informationssicherheit im Rahmen der Softwareentwicklung und des Risikomanagements. Die technische Dokumentation und Gebrauchsanweisungen müssen die sichere Verwendung in der vorgesehenen IT-Umgebung erläutern. MDCG 2019-16 enthält Leitlinien zur Anwendung dieser Anforderungen.

Lebenszyklusaufzeichnungen

IEC 81001-5-1 beschreibt Aktivitäten zur sicheren Entwicklung und Wartung von Gesundheitssoftware. Die technischen Seiten erläutern, wie Architektur, Komponenteninformationen und Testergebnisse zur Bewertung eines Geräts und zu seiner Wartung nach der Markteinführung beitragen.

Lesereihenfolge

Cybersicherheit vor FDA-Markteinreichung für Einreichungsinhalte, Abschnitt 524B, Sicherheitsarchitektur, Tests, Kennzeichnung und Managementpläne.
FDA-Management nach dem Inverkehrbringen für die Überwachung von Schwachstellen, kontrollierte und unkontrollierte Risiken, routinemäßige Updates, koordinierte Offenlegung und Korrekturmaßnahmen im Feld.
EU-MDR- und MDCG-Cybersicherheit für Software- und Sicherheitsanforderungen aus Anhang I, Nachweise zur vorgesehenen Betriebsumgebung, Nutzerinformationen, PMS und Vigilanz.
IEC 81001-5-1 für den Prozess des sicheren Lebenszyklus von Gesundheitssoftware, der FDA- und EU-Nachweise unterstützen kann, ohne eines der beiden Regelwerke zu ersetzen.
SBOMs und Bedrohungsmodellierung für die zwei Aufzeichnungen, die am häufigsten miteinander verwechselt werden, und dafür, wie sie mit Architektur, Tests und Überwachung nach der Markteinführung zusammenhängen.

Unterschiedliche regulatorische Anforderungen

US-amerikanische und europäische Einreichungen können sich auf dasselbe Gerätedesign und dieselben Testergebnisse stützen, aber die rechtlichen Anforderungen unterscheiden sich. So legt Abschnitt 524B Inhalte für qualifizierende US-Einreichungen zu Cybergeräten fest. Cybersicherheitsarbeiten in der EU richten sich nach den anwendbaren Anforderungen von MDR oder IVDR. Erläutern Sie, wie die technischen Aufzeichnungen die Anforderungen des jeweiligen Marktes erfüllen.