Cybersicherheitsvorschriften für Medizinprodukte

Sytance · Aktualisiert 15. September 2026

Die Cybersicherheit von Medizinprodukten betrifft Angriffe, die die sichere und wirksame Verwendung eines Geräts beeinträchtigen könnten. Die regulatorischen Anforderungen betreffen die Produktkonzeption und die Art und Weise, wie der Hersteller den Schutz nach der Markteinführung aufrechterhält. Welche Vorschriften gelten, hängt vom Markt ab, auf dem das Gerät bereitgestellt wird.

Sicherheits- und Lebenszyklusregulierung

Eine Sicherheitsschwachstelle kann es einem Angreifer ermöglichen, einen klinischen Messwert zu verändern oder eine Gerätefunktion zu unterbrechen. Die Analyse muss die Auswirkungen auf den vorgesehenen Verwendungszweck des Geräts erläutern und anschließend bewerten, ob die Auslegung dieses Risiko kontrolliert. Neue Schwachstellen und Softwareänderungen können eine Aktualisierung der Bewertung erfordern.

Regulatorische Ebenen

Bei US-Einreichungen gelten die Anforderungen und Leitlinien der FDA; die technische Dokumentation für die EU behandelt MDR oder IVDR. Dasselbe Testergebnis kann beide unterstützen, wenn es für die eingereichte Gerätekonfiguration gilt. In jeder Akte ist jedoch zu erläutern, welche regulatorische Anforderung durch das Ergebnis gestützt wird.

FDA-Vormarkt

Erläutern Sie die Sicherheitskonzeption und Prüfung des Geräts. Bei Einreichungen für qualifizierende Cybergeräte sind außerdem die nach Abschnitt 524B erforderlichen Informationen aufzunehmen.

FDA-Nachmarkt

Bewerten Sie neue Schwachstellen, stellen Sie angemessene Korrekturen bereit und bestimmen Sie, ob eine Maßnahme im Feld gemeldet werden muss.

EU-MDR und MDCG

Erläutern Sie, wie die Softwaresicherheit die Sicherheit und Leistungsfähigkeit des Geräts unterstützt, und stellen Sie die Informationen bereit, die für die vorgesehene IT-Umgebung erforderlich sind.

Normen und Aufzeichnungen

IEC 81001-5-1 beschreibt die sichere Entwicklung und Wartung von Gesundheitssoftware. Produktaufzeichnungen zeigen, wie diese Aktivitäten auf ein Gerät angewendet wurden.

Cybersicherheitsaufzeichnungen

Die Aufzeichnungen erläutern verschiedene Teile der Analyse. So identifiziert eine SBOM beispielsweise eine im Gerät verwendete Komponente, während ein Bedrohungsmodell erläutert, wie ein Angreifer eine Schwachstelle ausnutzen könnte. Ein Testergebnis hilft anschließend festzustellen, ob die gewählte Schutzmaßnahme wirksam ist.

Die Sicherheitsarchitektur erläutert die Geräteabgrenzung, Datenflüsse, Vertrauensgrenzen, den Updatepfad und verbundene Systeme.
Die Bedrohungsmodellierung erläutert, wie Fehlgebrauch, Angriffspfade und versagende Kontrollen die Sicherheit oder Leistungsfähigkeit beeinträchtigen können.
SBOMs erfassen Softwarekomponenten, sodass die Überwachung von Schwachstellen und Entscheidungen über Updates nachvollziehbar sind.
Kennzeichnung und Nutzerinformationen erläutern die sichere Verwendung, Mindestanforderungen an die IT-Umgebung, den Umgang mit Updates und die geteilten Verantwortlichkeiten.