Cybersicherheit von Medizinprodukten nach EU-MDR und MDCG
Sytance · Aktualisiert
Die MDR und IVDR verlangen, Informationssicherheit bei der Softwareentwicklung und im Risikomanagement zu berücksichtigen. Aus der technischen Dokumentation des Herstellers muss hervorgehen, wie das Produkt in seiner Betriebsumgebung sicher bleibt und seine Zweckbestimmung erfüllt. MDCG 2019-16 enthält Leitlinien zur Anwendung dieser Anforderungen.
Cybersicherheitsanforderungen in Anhang I
Die MDR verwendet nicht die Formulierungen aus Abschnitt 524B. Nachweise zur Cybersicherheit stützen sich auf die allgemeinen Anforderungen an Sicherheit und Leistung, insbesondere auf die Regeln für Softwaregestaltung, Risikomanagement, Informationssicherheit, Schutz vor unbefugtem Zugriff, die vorgesehene Betriebsumgebung und die Gebrauchsanweisung.
Softwarelebenszyklus und Risikomanagement
Anhang I der MDR verlangt, dass Software unter Berücksichtigung des Stands der Technik sowie der Grundsätze des Entwicklungslebenszyklus, des Risikomanagements, der Verifizierung und Validierung entwickelt und hergestellt wird.
Informationssicherheit
Anhang I macht Informationssicherheit zu einem Bestandteil des Software-Risikomanagements. Wenn Cybersicherheit Sicherheit oder Leistung beeinflusst, muss die Bewertung diese Auswirkungen behandeln.
Mindestanforderungen an die IT
Hersteller müssen die Mindestanforderungen an Hardware, Merkmale des IT-Netzwerks und IT-Sicherheitsmaßnahmen angeben, die für den bestimmungsgemäßen Betrieb der Software erforderlich sind, einschließlich des Schutzes vor unbefugtem Zugriff.
Rückmeldungen aus der PMS
PMS-Daten sollten die Aufzeichnungen zu Nutzen-Risiko-Abwägung, Risikomanagement, Entwurf, Herstellung, Kennzeichnung, Gebrauchsanweisung (IFU), klinischer Bewertung, Präventiv- und Korrekturmaßnahmen, Gebrauchstauglichkeit, Leistung und Sicherheit aktualisieren.
Bei Produkten, die Software enthalten, oder bei Software, die selbst ein Produkt ist, wird die Software unter Berücksichtigung des Stands der Technik sowie der Grundsätze des Entwicklungslebenszyklus, des Risikomanagements einschließlich Informationssicherheit, der Verifizierung und Validierung entwickelt und hergestellt.
Verordnung (EU) 2017/745, Anhang I Nummer 17.2 (Original auf Englisch)
Anhang I macht Informationssicherheit zu einem Bestandteil des Software-Risikomanagements. Unbefugte Änderungen an klinischen Daten können beispielsweise eine Diagnose beeinflussen, während der Ausfall eines erforderlichen Dienstes die vorgesehene Funktion des Produkts verhindern kann. Bewerten Sie die Folgen in der tatsächlichen Einsatzumgebung des Produkts.
Status von MDCG 2019-16
MDCG 2019-16 wurde erstmals im Dezember 2019 veröffentlicht und im Juli 2020 als Revision 1 überarbeitet. Es handelt sich um offizielle MDCG-Leitlinien, die von der Europäischen Kommission zur Unterstützung einer einheitlichen Umsetzung der MDR und IVDR veröffentlicht wurden. Die Leitlinien sind rechtlich nicht bindend.
MDCG 2019-16 erläutert, wie Sicherheitsentscheidungen die Sicherheit und Leistung eines Produkts beeinflussen. Sie behandelt außerdem den Schutz, der von der Betriebsumgebung erwartet wird, und die Informationen, die Hersteller den Nutzern bereitstellen müssen. Diese Erläuterungen helfen, das Produktdesign mit den anwendbaren Anforderungen der MDR oder IVDR zu verknüpfen.
MDCG erläutert, dass eine Maßnahme zur Kontrolle von Cybersicherheitsrisiken die Sicherheit oder Leistung beeinflussen kann und eine Maßnahme zur Kontrolle von Risiken für die Sicherheit des Produkts die Cybersicherheit beeinflussen kann. Die Akte sollte daher beide Wirkungsrichtungen der Analyse zeigen, statt zwei voneinander getrennte Register zu führen.
MDCG betrachtet Bedrohungsmodellierung als systematische Methode zur Ermittlung von Schwachstellen und Risiken in Geräten, Software, Systemen, Netzwerken und Prozessen. Bekannte Schwachstellen können zu vorhersehbaren Risiken werden, sobald der Hersteller sie kennt oder kennen müsste.
MDCG erwartet, dass Hersteller die vorgesehene IT-Umgebung und die dort erforderlichen Mindestmaßnahmen festlegen. Wenn das Produkt von einer Krankenhaus-Firewall, Zugriffsverwaltung, Härtung, Patchverwaltung, Segmentierung, Verschlüsselung oder anderen externen Maßnahmen abhängt, müssen diese Annahmen dokumentiert und kommuniziert werden.
Struktur der technischen Dokumentation
Aufzeichnungen zur Cybersicherheit gehören zur technischen Dokumentation nach MDR und zum System der Überwachung nach dem Inverkehrbringen. Ihre Gliederung sollte zeigen, wie der Hersteller die einschlägigen MDR-Anforderungen erfüllt.
- Risikomanagement: Sicherheitsbedrohungen, Schwachstellen, Risikokontrollen, Restrisiken, Wechselwirkungen mit der Sicherheit und Verifizierungsnachweise.
- Entwurf und Herstellung: sichere Architektur, Kontrollen des Softwarelebenszyklus, sicheres Programmieren, Konfigurationsmanagement, Aktualisierungsmechanismen und Annahmen zur Lieferkette.
- Verifizierung und Validierung: Prüfungen von Sicherheitsfunktionen, Schwachstellenscans, Fuzzing, Penetrationstests, Analyse sicheren Codes und gegebenenfalls Prüfung von Komponenten Dritter.
- Nutzerinformationen: sichere Konfiguration, Updateanweisungen, Kompatibilitätsbeschränkungen, Netzwerkports und -protokolle, Sicherung und Wiederherstellung, Protokollierung, Supportdauer und Informationen zur Außerbetriebnahme.
- PMS und Vigilanz: Überwachung neu auftretender Schwachstellen, Vorfälle im Feld, Probleme mit Komponenten Dritter, Änderungen der Bedrohungslage sowie Korrektur- und Präventivmaßnahmen.
MDCG erörtert Sicherheitsfunktionen, die unterschiedliche Probleme angehen. Authentifizierung und Autorisierung beschränken den Zugriff; Auditaufzeichnungen helfen bei der Untersuchung von Handlungen; Sicherung und Wiederherstellung ermöglichen den Betrieb nach einer Störung. Wählen und verifizieren Sie die für das jeweilige Produkt und seine Risiken erforderlichen Funktionen.
Unterschied zu FDA-Einreichungen
FDA- und EU-Dokumentationen verwenden häufig dieselben technischen Aufzeichnungen, folgen jedoch unterschiedlichen regulatorischen Anforderungen und Strukturen. Ein Bedrohungsmodell, eine SBOM, eine Sicherheitsarchitektur oder ein Penetrationstestbericht kann beide Rechtsordnungen unterstützen, wenn die Akte erläutert, wie die jeweiligen rechtlichen Anforderungen erfüllt werden.
Anwendbarkeit in der EU
Die MDR fragt nicht, ob ein Produkt die Definition eines Cybergeräts nach dem FD&C Act erfüllt. EU-Unterlagen sollten Sicherheit, Leistung, Informationssicherheit, Betriebsumgebung und Kontrollen nach dem Inverkehrbringen anhand der MDR-/IVDR-Begriffe erläutern.
Struktur der EU-Dokumentation
Die EU-Akte folgt den Anhängen II und III. Sie sollte Risikomanagementaufzeichnungen, allgemeine Sicherheits- und Leistungsanforderungen, Gebrauchsanweisungen und Überwachung nach dem Inverkehrbringen miteinander verknüpfen.
Pflichten zur Überwachung nach dem Inverkehrbringen
Artikel 83 der MDR verlangt, dass Hersteller während der gesamten Lebensdauer des Produkts aktiv und systematisch einschlägige Qualitäts-, Leistungs- und Sicherheitsdaten erheben, aufzeichnen und analysieren sowie die technische Dokumentation entsprechend aktualisieren.
Lebenszyklusnormen verwenden
IEC 81001-5-1 kann den Softwarelebenszyklus und den Cybersicherheitsprozess unterstützen; die Akte benötigt dennoch eine klare Zuordnung zur MDR. Eine anerkannte oder nützliche Norm hebt die Pflicht nach MDR nicht auf, den produktspezifischen Ansatz zu begründen.