IEC 81001-5-1: Sicherheitslebenszyklus für Gesundheitssoftware
Sytance · Aktualisiert
IEC 81001-5-1 ist eine Cybersicherheitsnorm für den Lebenszyklus von Gesundheitssoftware. Sie legt Prozesse für die sichere Entwicklung und Pflege fest, darunter Bedrohungsmodellierung, Updates und die Prüfung begleitender Dokumentation. Diese Aufzeichnungen können regulatorische Einreichungen für Medizinprodukte unterstützen.
Schwerpunkt Gesundheitssoftware
IEC 81001-5-1:2021 gilt für Gesundheitssoftware, einschließlich Software für Medizinprodukte. Ihr Anwendungsbereich ist weiter als der regulierter Medizinprodukte, und ihre rechtliche Wirkung hängt von der jeweiligen Rechtsordnung ab. Sie ist daher am besten als Prozessnorm für den Lebenszyklus zu behandeln, die eine regulatorische Dokumentation unterstützt, nicht als diese Dokumentation selbst.
Veröffentlichungsstatus
ISO und IEC führen IEC 81001-5-1:2021 als veröffentlichte Erstausgabe auf. ISO führt außerdem ein Projekt für eine zweite Ausgabe in Entwicklung; daher bleibt die Ausgabe von 2021 die aktuelle veröffentlichte Ausgabe, bis sie ersetzt wird. Die von der IEC im Dezember 2025 korrigierte Fassung berücksichtigt das Auslegungsblatt 1 (ISH1:2025); die aktualisierte Ausgabe behält die Nummer der ersten Ausgabe.
Anerkennung durch die FDA
Die FDA erkennt IEC 81001-5-1, Ausgabe 1.0 von 2021, als Konsensnorm 13-122 an. Diese Anerkennung kann FDA-Nachweise unterstützen, ersetzt jedoch weder die FDA-Leitlinien vor dem Inverkehrbringen noch die Pflichten nach Abschnitt 524B.
Verwendung in der EU
In einer EU-Dokumentation kann die Norm helfen, Nachweise zum Softwarelebenszyklus, zum Cybersicherheits-Risikomanagement und zur Instandhaltung zu strukturieren. Der Hersteller muss die Nachweise weiterhin den Anforderungen der MDR oder IVDR zuordnen.
Lebenszyklusaktivitäten
IEC 81001-5-1 integriert Cybersicherheit in den Softwarelebenszyklus. Sicherheitsaktivitäten werden während der Entwicklung geplant und durchgeführt, überprüft und dokumentiert und nach der Freigabe fortgeführt.
Die Norm verknüpft die sichere Entwicklung von Gesundheitssoftware mit einem Qualitätsmanagementsystem und einem Risikomanagementprozess. Die Nachweise sollten zeigen, wie Anforderungen, Entwurf, Umsetzung, Verifizierung, Validierung, Änderungssteuerung und Pflege rückverfolgbar bleiben.
Die Entwicklungsplanung legt fest, wie Sicherheitsanforderungen umgesetzt und überprüft sowie Änderungen dokumentiert werden. Sie definiert außerdem die Entwicklungsumgebung und Programmierpraktiken sowie die Zuständigkeit für Produktsupport und Sicherheitsupdates.
Das Bedrohungsmodell beschreibt die Software und ihre Schnittstellen, einschließlich Wartungs- oder Debugzugängen, die einen Angriffspfad eröffnen könnten. Es erläutert Angriffsbedingungen und vorgeschlagene Maßnahmen. Das Entwicklungsteam überprüft das Modell und aktualisiert es, wenn sich ein freigegebenes Produkt oder seine Bedrohungsumgebung ändert.
Der Lebenszyklus sollte ein Verfahren zur Entgegennahme, Analyse, Priorisierung und Lösung von Cybersicherheitsproblemen nach der Freigabe umfassen. Dazu gehören Schwachstellenbehandlung, Sicherheitswartung, Updates, Patches, Supportaufzeichnungen und Kommunikation mit Nutzern oder Betreibern.
Sicherheitsdokumentation erläutert, wie die Software geschützt wird und welche externen Maßnahmen sie benötigt. Nutzer müssen wissen, wie sie diese Maßnahmen konfigurieren und pflegen, Sicherheitsupdates beziehen und Probleme melden. Komponenteninformationen unterstützen ihre Bewertung von Softwareabhängigkeiten.
Der Anwendungsbereich legt keine Inhalte für Begleitdokumentation fest. Dadurch entfallen Dokumentationsaktivitäten im Lebenszyklus jedoch nicht: ISH1:2025 erläutert die Prüftätigkeit in 4.1.9 und verweist auf Sicherheitsleitlinien in 5.8.2 und 5.8.7. Außerdem erläutert es Supportkategorien und die Risikoübertragung zwischen Herstellern und Betreibern. Die anwendbaren Medizinprodukteregeln bestimmen weiterhin den Inhalt der regulatorischen Nutzerinformationen.
Beziehung zu IEC 62443-4-1
IEC 81001-5-1 wurde entwickelt, um einen sicheren Lebenszyklus für Gesundheitssoftware zu unterstützen und dabei Konzepte aus IEC 62443-4-1 zu berücksichtigen. Die Einhaltung von IEC 81001-5-1 belegt nicht automatisch die vollständige Konformität mit IEC 62443-4-1 für ein Produkt industrieller Automatisierungs- und Steuerungssysteme.
- IEC 81001-5-1 zur Ausgestaltung des sicheren Lebenszyklus von Gesundheitssoftware verwenden.
- Konzepte aus IEC 62443-4-1 verwenden, wenn das Produkt oder die Kundenumgebung einen Ansatz für industrielle Steuerungssysteme erfordert.
- Die Nachweise produktspezifisch halten: bestimmungsgemäße Verwendung und Umgebung, Sicherheitsauswirkungen, Aktualisierungsmodell und Betreiberverantwortung sind wichtiger als allgemeine Verweise auf Normnamen.
Verwendung mit Vorschriften
Ein Hersteller kann Aufzeichnungen zum Lebenszyklus nach IEC 81001-5-1 nutzen, um die sichere Produktentwicklung nach FDA, Nachweise zum Softwarelebenszyklus und zum Cybersicherheits-Risikomanagement nach EU-MDR, die SBOM-Pflege, die Steuerung der Bedrohungsmodellierung, die Patchplanung und die Nutzerdokumentation zu stützen.
FDA
Ordnen Sie Aufzeichnungen nach IEC 81001-5-1 Themen der FDA-Leitlinien vor dem Inverkehrbringen zu, etwa SPDF, Bedrohungsmodellierung, Sicherheitsarchitektur, Sicherheitsprüfung, SBOM, Kennzeichnung und Cybersicherheitsmanagementplan.
EU-MDR und IVDR
Ordnen Sie Lebenszyklusaufzeichnungen den Anforderungen aus Anhang I an Software, Informationssicherheit und Betriebsumgebung zu und anschließend der technischen Dokumentation nach Anhang II sowie PMS-Nachweisen nach Anhang III.
SBOM und Komponentensicherheit
Die SBOM als fortlaufend gepflegtes Lebenszyklusartefakt verwenden, nicht als einmaligen Anhang einer Einreichung. Komponentenverzeichnis, Supportstatus und Schwachstellenüberwachung müssen auch nach der Freigabe aufeinander abgestimmt bleiben.
Updates nach dem Inverkehrbringen
Die Erwartungen der Norm an Instandhaltung und Problemlösung können die Schwachstellenbehandlung, Sicherheitsupdates, Patchvalidierung und Kundenkommunikation während der unterstützten Lebensdauer der Software stützen.
Quellen
- IEC, IEC 81001-5-1:2021 Sicherheit, Wirksamkeit und Sicherheit von Gesundheitssoftware und IT-Systemen im Gesundheitswesen
- IEC, IEC 81001-5-1:2021/ISH1:2025, Interpretationsblatt 1
IEC, IEC 81001-5-1:2021/ISH1:2025 Auslegungsblatt 1
- ISO, Normeintrag IEC 81001-5-1:2021
- ISO, Projekt IEC/AWI 81001-5-1, zweite Ausgabe
- FDA, anerkannte Konsensnorm 13-122