Sicherheitsarchitektur von Medizinprodukten

Sytance · Aktualisiert 6. Oktober 2026

Eine Sicherheitsarchitektur zeigt, wie das Medizinprodukt und seine verbundenen Systeme geschützt werden. Sie benennt Schnittstellen, die ein Angreifer erreichen könnte, und erläutert, wo Kontrollen den Zugriff beschränken, Daten schützen oder Softwareupdates verifizieren.

Architektur als Nachweis

Die FDA empfiehlt Architekturansichten, anhand derer prüfende Personen die Angriffsfläche des Geräts und die in das System integrierten Schutzmaßnahmen verstehen können. In einer EU-Akte stützen dieselben Entwurfsinformationen die geltenden Anforderungen der MDR oder IVDR. Die regulatorische Erläuterung kann abweichen; die zugrunde liegende Architektur sollte jedoch das tatsächliche Gerät und seine vorgesehene Umgebung beschreiben.

Zum Beispiel kann eine Fernwartungsverbindung vom Netzwerk eines Dienstleisters in ein Krankenhaus führen. Die Architektur sollte zeigen, welcher Endpunkt den Techniker authentifiziert und welcher Teil des Geräts Wartungsaktionen einschränkt.

Systemgrenze

Identifizieren Sie das Gerät und die externen Systeme, von denen es abhängt. Geben Sie an, welche Teile der Hersteller kontrolliert und welche von der Gesundheitseinrichtung oder einem anderen Anbieter abhängen.

Vertrauensgrenze

Kennzeichnen Sie Änderungen von Vertrauen oder Berechtigung. Ein Befehl aus einer mobilen App muss beispielsweise geprüft werden, bevor das Gerät damit eine klinische Einstellung ändert.

FDA-Architekturansichten

Die endgültigen FDA-Leitlinien vom Februar 2026 empfehlen Architekturansichten, deren Detaillierungsgrad der Gerätearchitektur und dem Cybersicherheitsrisiko entspricht. Jede Ansicht erläutert einen anderen Aspekt dazu, wie das System angegriffen und geschützt werden kann.

Gesamtansicht des Systems (Global System View)

Ansicht zu Schäden bei mehreren Patienten (Multi-Patient Harm View)

Ansicht zur Aktualisierbarkeit und Patchbarkeit (Updateability and Patchability View)

Ansichten zu Sicherheitsanwendungsfällen (Security Use Case Views)

Ansichten in der EU-Akte

MDR und IVDR schreiben keine Bezeichnungen für FDA-Ansichten vor. Architekturinformationen unterstützen die Bewertung der Softwaresicherheit und der Interaktion des Geräts mit seiner vorgesehenen IT-Umgebung. Sie sollten die Entwurfsannahmen hinter der Risikobewertung und die Bedingungen erläutern, die der Nutzer aufrechterhalten muss.

Eine Datenflussansicht zeigt, wo klinische Daten gelesen oder geändert werden können und welche Kontrollen sie auf diesem Weg schützen.
Eine Schnittstellenansicht benennt zulässige Verbindungen und die Prüfungen, die ihre Nutzung einschränken. Diese Angaben stützen die einschlägigen grundlegenden Sicherheits- und Leistungsanforderungen (GSPR).
Eine Ansicht zur Betriebsumgebung erläutert den erwarteten Schutz durch die Gesundheitseinrichtung, etwa die Beschränkung von Netzwerksegmenten, die einen Wartungsdienst erreichen können.
Eine Ansicht des Updatepfads erläutert, wie ein getesteter Patch die vorgesehenen Geräte erreicht und wie eine fehlgeschlagene Installation wiederhergestellt werden kann.

MDCG 2019-16 Rev.1 erläutert, wie Hersteller und Gesundheitseinrichtungen gemeinsam Verantwortung für einen sicheren Betrieb tragen. Die Leitlinie hilft, Entwurfsannahmen mit Mindestanforderungen an die IT und den mit dem Gerät bereitgestellten Sicherheitsinformationen zu verknüpfen.

Systemabhängigkeiten

Die Tiefe der Architektur sollte dem tatsächlichen Gerätesystem entsprechen. Ein einfaches lokales Gerät benötigt möglicherweise weniger Ansichten als ein cloudverbundenes, mobiles, vernetztes oder zentral verwaltetes System. Abhängigkeiten, die die Sicherheit des Geräts beeinflussen, sollten auch dann aufgenommen werden, wenn der Kunde das verbundene System betreibt.

Cloud- und Ferndienste

Nehmen Sie einen entfernten Dienst auf, wenn das Gerät für einen sicheren Betrieb von ihm abhängt. Der Ausfall eines Identitätsdienstes kann beispielsweise beeinflussen, wer auf das Gerät zugreifen kann und wie der lokale Zugriff wiederhergestellt wird.

Updatepfade

Die Updatearchitektur sollte den gesamten Weg von der Freigabe bis zum Gerät im Einsatz erläutern, einschließlich Authentizität, Integrität, Bereitstellungsfehler und Wiederherstellung.

Mobile Nutzung und Nutzung zu Hause

Das Telefon eines Patienten und sein Heimnetzwerk bringen Kontrollen mit sich, die der Hersteller möglicherweise nicht verwaltet. Erläutern Sie, welchen Schutz das Gerät selbst bietet und welche Einstellungen der Nutzer aufrechterhalten muss.

Gemeinsam genutzte klinische Infrastruktur

Ein zentrales Überwachungssystem oder Krankenhausinformationssystem kann viele Geräte verbinden. Zeigen Sie, wie ein Zugriff über dieses gemeinsam genutzte System andere Geräte oder Patienten beeinträchtigen könnte.

Architektur mit Risikokontrollen verknüpfen

Für jede wichtige Schnittstelle sollte die Architektur prüfenden Personen helfen, die adressierte Bedrohung und den Test zur Überprüfung des Schutzes zu finden. Beruht der Entwurf auf einer Netzwerkbeschränkung im Krankenhaus, müssen die Nutzerinformationen diese Beschränkung beschreiben, damit sie während der Nutzung aufrechterhalten werden kann.