Cybersicherheit nach dem Inverkehrbringen von Medizinprodukten nach FDA
Sytance · Aktualisiert
Das Cybersicherheitsmanagement nach dem Inverkehrbringen bewertet neue Schwachstellen in bereits verwendeten Produkten. Hersteller müssen mögliche Patientenschäden ermitteln, über den Umgang mit dem Risiko entscheiden und den Nutzern die erforderlichen Maßnahmen mitteilen. Die Reaktion kann eine Softwarekorrektur, eine vorläufige Maßnahme oder eine Feldmaßnahme umfassen.
Lebenszyklusrisiko
Medizinprodukte können nach ihrer Freigabe noch viele Jahre verwendet werden. Die FDA-Leitlinien zur Überwachung nach dem Inverkehrbringen behandeln die in dieser Zeit auftretenden neuen Schwachstellen, Angriffstechniken, Komponentenprobleme und Änderungen der Einsatzumgebung.
Das Team benötigt Entwurfs- und Releaseaufzeichnungen, um eine neue Schwachstelle zu untersuchen. Ermitteln Sie, welche unterstützten Versionen die betroffene Komponente enthalten, wie die anfällige Funktion verwendet wird und welche Maßnahmen gelten. So kann das Team die tatsächlich von Kunden betriebenen Geräte bewerten.
Bewertung möglicher Patientenschäden
Die Entscheidung der FDA zu Cybersicherheitsrisiken nach dem Inverkehrbringen richtet sich danach, ob eine Schwachstelle Patientenschäden einschließlich Tod oder körperlicher Verletzung verursachen könnte. Datenschutz- oder Geschäftsrisiken können weiterhin relevant sein, sind in diesen Leitlinien jedoch nicht der Maßstab für Patientenschäden.
Lebenszykluspflege
Ein Prozess nach dem Inverkehrbringen überwacht Schwachstellenquellen, bewertet neue Informationen, validiert Korrekturen, kommuniziert mit Nutzern und aktualisiert eingesetzte Geräte über geplante und dringende Wege.
Verwendete Versionen
Dieselbe Schwachstelle einer Komponente kann je nach Version, Konfiguration, Einsatzumgebung und kompensierenden Maßnahmen unterschiedliche Risikofolgen haben. Die Bewertung muss diesen Kontext berücksichtigen.
Kontrolliertes und unkontrolliertes Risiko
Die FDA unterscheidet bei Schwachstellen im Bereich der Cybersicherheit nach dem Inverkehrbringen zwischen kontrolliertem und unkontrolliertem Risiko. Entscheidend ist nicht, ob eine Schwachstelle existiert. Entscheidend ist, ob das verbleibende Risiko eines Patientenschadens nach Berücksichtigung bestehender oder verfügbarer Maßnahmen akzeptabel ist.
Kontrolliertes Risiko
Kontrolliertes Risiko bedeutet, dass das Restrisiko eines Patientenschadens ausreichend gering oder akzeptabel ist. Regelmäßige Sicherheitsupdates, Patches und Änderungen bewährter Kennzeichnungspraxis fallen üblicherweise darunter, wenn sie nur kontrollierte Risiken betreffen.
Unkontrolliertes Risiko
Unkontrolliertes Risiko bedeutet, dass bestehende Maßnahmen ein nicht akzeptables Restrisiko für Patientenschäden zurücklassen. Die FDA empfiehlt eine zeitnahe Behebung. Nach 21 CFR 806.10 müssen Hersteller oder Einführer Korrekturen oder Rücknahmen, die zur Verringerung eines Gesundheitsrisikos oder zur Behebung eines Produktverstoßes mit möglichem Gesundheitsrisiko eingeleitet wurden, innerhalb von zehn Arbeitstagen nach Beginn melden. Ausnahmen und bereits nach Teil 803 oder 1004 eingereichte Meldungen sind zu berücksichtigen. Unabhängig davon beschreibt die FDA-Leitlinie Bedingungen, unter denen sie auf die Durchsetzung der Meldepflicht nach Teil 806 verzichtet; dadurch entfällt die gesetzliche Pflicht nicht.
Ein unkontrolliertes Risiko liegt vor, wenn wegen unzureichender Risikominderungen und kompensierender Maßnahmen ein nicht akzeptables Restrisiko für Patientenschäden besteht.
FDA-Leitlinien zur Cybersicherheit nach dem Inverkehrbringen, Dezember 2016 (Original auf Englisch)
Regelmäßige Updates und Patches
Die FDA behandelt viele Cybersicherheitsupdates und Patches als gewöhnliche Produktverbesserungen, wenn sie die Sicherheit erhöhen oder Schwachstellen beheben, die mit kontrollierten Risiken verbunden sind. Solche regelmäßigen Updates sind im Allgemeinen keine Korrekturen oder Rücknahmen, die nach 21 CFR Teil 806 gemeldet werden müssen.
Ein Update zur Verringerung eines unkontrollierten Risikos erfordert eine andere Meldebewertung. Gleiches gilt, wenn die Ausnutzung mit hinreichender Wahrscheinlichkeit schwerwiegende gesundheitliche Folgen oder den Tod verursachen kann. Auch wenn keine Meldung nach Teil 806 erwartet wird, muss der Hersteller das Update weiterhin validieren und seine Verteilung und Kommunikation steuern.
- Regelmäßige Sicherheitsupdates können Patches, Härtungsmaßnahmen und Kennzeichnungsaktualisierungen für sichere Konfiguration oder bewährte Verfahren umfassen.
- Ob ein Update regelmäßig ist, hängt vom Risiko für Patientenschäden ab, nicht davon, ob die technische Änderung klein ist.
- Derselbe Patch kann für eine Produktkonfiguration regelmäßig und für eine andere dringend sein, wenn sich das Restrisiko für Patientenschäden unterscheidet.
Prozess nach dem Inverkehrbringen betreiben
Der Prozess nach dem Inverkehrbringen benötigt festgelegte Zuständigkeiten und Ressourcen für Überwachung, Entgegennahme von Meldungen, Risikobewertung, Validierung von Korrekturen und Kundenkommunikation. Aufzeichnungen dieser Tätigkeiten unterstützen spätere Prüfungen durch die FDA.
Überwachen Sie Meldungen von Nutzern, Forschern und Komponentenlieferanten sowie interne Erkenntnisse und einschlägige Informationen zu Schwachstellen. Auch Änderungen der IT-Umgebung im Gesundheitswesen können die Betroffenheit des Geräts verändern. Leiten Sie die Informationen an Personen weiter, die ihre Auswirkungen auf unterstützte Produkte bewerten können.
Die FDA erwartet, dass die Schwachstellenbewertung Ausnutzbarkeit und Schwere möglicher Patientenschäden berücksichtigt. Bedrohungsmodellierung und Analyse von Sicherheitsrisiken sollten gemeinsam eingesetzt werden, damit das Team feststellen kann, ob eine Schwachstelle klinische Leistung, Verfügbarkeit, Integrität, Vertraulichkeit oder sicheren Betrieb beeinträchtigt.
Zu den Bedingungen, unter denen die FDA bei unkontrolliertem Risiko auf die Durchsetzung der Meldepflicht verzichtet, gehören die Kommunikation mit Kunden und der Nutzergruppe, vorläufige Maßnahmen und ein schnellstmöglicher Behebungsplan, spätestens jedoch 30 Tage nach Kenntnis der Schwachstelle. Schnellstmöglich, spätestens 60 Tage nach Kenntnis, sollte der Hersteller eine einsetzbare Korrektur validieren und verteilen oder eine langfristige kompensierende Maßnahme bereitstellen, die das Risiko akzeptabel macht; bei Bedarf ist eine Nachverfolgung bei Endnutzern vorzusehen. Zu den Bedingungen gehören außerdem, dass keine damit verbundenen schwerwiegenden unerwünschten Ereignisse oder Todesfälle bekannt sind, dass eine aktive Teilnahme an einer ISAO erfolgt und dass Kundenkommunikation weitergegeben wird.
Das ISAO-Konzept der FDA beschränkt sich nicht auf eine passive Mitgliedschaft. Der Hersteller sollte Informationen zu Schwachstellen und Bedrohungen austauschen, dokumentierte Richtlinien verwenden, eingehende Erkenntnisse in Risikobewertungen einbeziehen und rückverfolgbare Aufzeichnungen zu Kommunikation, Gegenmaßnahmen und Risikominderungen aufbewahren.
Verknüpfung mit Unterlagen vor dem Inverkehrbringen
Unterlagen aus der Phase vor dem Inverkehrbringen bilden den Ausgangspunkt für spätere Bewertungen. Ein Bedrohungsmodell aus dieser Phase dient als Grundlage für die Priorisierung nach dem Inverkehrbringen. Eine SBOM aus dieser Phase wird zum Komponentenverzeichnis für die Schwachstellenüberwachung. Eine Sicherheitsarchitektur aus dieser Phase dient als Karte, um festzustellen, ob eine neue Schwachstelle eine sicherheitsrelevante Funktion erreichen kann.
- Halten Sie die SBOM für vermarktete Konfigurationen aktuell und bewahren Sie den Versionskontext für eingesetzte Geräte auf.
- Aktualisieren Sie Bedrohungsmodelle, wenn sich Einsatzannahmen, Aktualisierungspfade, externe Dienste oder Schwachstellen ändern.
- Nutzen Sie Erkenntnisse nach dem Inverkehrbringen, um Risikomanagement, Kennzeichnung, Kundenanweisungen, Supportpläne und künftige Einreichungen vor dem Inverkehrbringen zu aktualisieren.
- Validieren Sie vor der Verteilung eines Patches die Korrektur und prüfen Sie Gerätefunktionen, die durch die Änderung betroffen sein könnten.
Quellen
- 21 CFR 806.10, Berichte über Korrekturen und Rücknahmen
21 CFR 806.10, Meldungen zu Korrekturen und Rücknahmen
- FDA, Postmarket Management of Cybersecurity in Medical Devices, endgültige Leitlinie, Dezember 2016
- FDA, Cybersecurity in Medical Devices: Quality Management System Considerations and Content of Premarket Submissions, endgültige Leitlinie, Februar 2026
- FDA, Cybersecurity in Medical Devices: Frequently Asked Questions