Kennzeichnung zur Cybersicherheit von Medizinprodukten und Nutzerinformationen

Nutzerinformationen als Risikokontrolle

Die FDA behandelt Transparenz zur Cybersicherheit als Teil der sicheren und wirksamen Verwendung und Integration von Geräten. Je nach vorgesehenem Nutzer und Informationstyp können die Informationen in der Gerätekennzeichnung, Bedienungsanleitungen, Administratorleitfäden, Sicherheitsdokumentation für Kunden, einer MDS2, Onlineportalen oder anderen kontrollierten Kanälen bereitgestellt werden.

EU-Akten nach MDR und IVDR folgen einer anderen Rechtsstruktur. Der Hersteller muss Mindestanforderungen an Hardware, IT-Netzwerkeigenschaften und IT-Sicherheitsmaßnahmen angeben, die für den vorgesehenen Betrieb der Software erforderlich sind. MDCG 2019-16 erläutert anschließend, wie diese Angaben mit der vorgesehenen Betriebsumgebung, sicherer Konfiguration, Patches, Administratorinformationen und Zuständigkeiten von Gesundheitsdienstleistern zusammenhängen.

Bei Produkten, die Software enthalten, oder bei Software, die selbst ein Produkt ist, muss die Software unter Berücksichtigung des Stands der Technik sowie der Grundsätze des Lebenszyklus der Entwicklung, des Risikomanagements einschließlich Informationssicherheit, der Verifizierung und Validierung entwickelt und hergestellt werden.

Verordnung (EU) 2017/745, Anhang I Nummer 17.2 (englischer Originaltext)

Inhalte der FDA-Kennzeichnung

Die aktuellen Vormarkt-Leitlinien der FDA nennen Beispiele für Sicherheitsinformationen, die Nutzern helfen können, Cybersicherheitsrisiken zu verwalten. Der angemessene Detaillierungsgrad hängt von der Zielgruppe ab. Eine Patientenanweisung sollte nicht wie ein Leitfaden zur Härtung des Krankenhausnetzwerks formuliert sein, und ein Administratorhandbuch sollte betriebliche Details nicht hinter allgemeinen Sicherheitswarnungen verbergen.

Nutzerinformationen in der EU

Die EU-Akte sollte Nutzerinformationen mit Anhang I der MDR oder IVDR verknüpfen. Bei Software und programmierbaren Systemen sind insbesondere Stand der Technik, Risikomanagement, Informationssicherheit, Verifizierung, Validierung, Faktoren mobiler Plattformen, Mindestanforderungen an die IT und Schutz vor unbefugtem Zugriff relevant.

• Mindestanforderungen an Hardware und Arbeitsplatzsysteme für die vorgesehene Verwendung.
• Eigenschaften des IT-Netzwerks, einschließlich Segmentierung, Kommunikationspfade, kompatibler Dienste und unterstützter Protokolle.
• IT-Sicherheitsmaßnahmen wie Zugriffskontrollen, Erwartungen an den Schutz vor Schadsoftware, Firewallregeln, Annahmen zum Patchen, Protokollierung und Backups.
• Kompatibilitätsbeschränkungen für verbundene Geräte, mobile Plattformen, Cloud-Dienste, Browser, Betriebssysteme und Sicherheitstools.
• Risiken beim Betrieb außerhalb der vorgesehenen Betriebsumgebung.

MDCG 2019-16 erkennt außerdem an, dass detaillierte Sicherheitsinformationen teilweise außerhalb der Gebrauchsanweisung (IFU) stehen können, etwa in Administratoranleitungen, Handbüchern zum Sicherheitsbetrieb, MDS2-artigen Offenlegungen oder Installationsleitfäden. Die Informationen müssen dennoch kontrolliert, aktuell und mit der technischen Dokumentation konsistent sein.

Geteilte Verantwortung mit Gesundheitsorganisationen

MDCG 2019-16 beschreibt gemeinsame Zuständigkeiten der Personen, die ein Gerät bereitstellen und verwenden. Der Hersteller muss die externen Kontrollen kommunizieren, von denen sein Entwurf abhängt. Die Gesundheitseinrichtung benötigt anschließend genügend Informationen, um diese Kontrollen in ihrer eigenen Umgebung bereitzustellen und aufrechtzuerhalten.

Kommunikation zu Updates und Patches

Informationen zu Updates müssen bereits vor dem Auftreten einer Schwachstelle praktikabel sein. Die FDA erwartet nutzerbezogene Informationen zu vom Hersteller autorisierter Software und Firmware, zur Erkennung verfügbarer Updates, zu Support und Lebensende sowie zur Übertragung oder Kommunikation von Risiken bei Supportende. Cybergeräte nach Abschnitt 524B benötigen außerdem Pläne für Schwachstellen, Updates und Patches nach dem Inverkehrbringen.