Cyberbeveiliging van medische hulpmiddelen volgens EU MDR en MDCG
Sytance · Bijgewerkt
De MDR en IVDR vereisen dat informatiebeveiliging wordt meegewogen bij softwareontwikkeling en risicobeheer. Uit de technische documentatie van de fabrikant moet blijken hoe het hulpmiddel veilig blijft en presteert zoals bedoeld in de bedrijfsomgeving. MDCG 2019-16 bevat richtsnoeren voor de toepassing van deze eisen.
Cyberbeveiligingseisen in bijlage I
De MDR gebruikt niet de bewoordingen van sectie 524B. Bewijs voor cyberbeveiliging is gebaseerd op de algemene eisen voor veiligheid en prestaties, met name de regels voor softwareontwerp, risicobeheer, informatiebeveiliging, bescherming tegen onbevoegde toegang, de beoogde bedrijfsomgeving en de gebruiksaanwijzing.
Softwarelevenscyclus en risicobeheer
Bijlage I bij de MDR vereist dat software wordt ontwikkeld en vervaardigd volgens de stand van de techniek, rekening houdend met de beginselen van de ontwikkelingslevenscyclus, risicobeheer, verificatie en validatie.
Informatiebeveiliging
Bijlage I maakt informatiebeveiliging onderdeel van software-risicobeheer. Als cyberbeveiliging de veiligheid of prestaties beïnvloedt, moet de beoordeling die gevolgen behandelen.
Minimale IT-eisen
Fabrikanten moeten de minimale hardware, kenmerken van het IT-netwerk en IT-beveiligingsmaatregelen vermelden die nodig zijn om de software zoals bedoeld te laten werken, waaronder bescherming tegen onbevoegde toegang.
PMS-terugkoppeling
PMS-gegevens moeten de dossiers over baten-risicoverhouding, risicobeheer, ontwerp, productie, etikettering, gebruiksaanwijzing (IFU), klinische evaluatie, preventieve en corrigerende maatregelen, bruikbaarheid, prestaties en veiligheid actualiseren.
Voor hulpmiddelen waarin software is opgenomen of voor software die zelf een hulpmiddel is, wordt de software ontwikkeld en vervaardigd volgens de stand van de techniek, rekening houdend met de beginselen van de ontwikkelingslevenscyclus, risicobeheer met inbegrip van informatiebeveiliging, verificatie en validatie.
Verordening (EU) 2017/745, bijlage I, punt 17.2 (oorspronkelijk Engels)
Bijlage I maakt informatiebeveiliging onderdeel van software-risicobeheer. Onbevoegde wijzigingen in klinische gegevens kunnen bijvoorbeeld een diagnose beïnvloeden, terwijl het uitvallen van een noodzakelijke service kan verhinderen dat het hulpmiddel de beoogde functie uitvoert. Beoordeel de gevolgen in de daadwerkelijke gebruiksomgeving van het hulpmiddel.
Status van MDCG 2019-16
MDCG 2019-16 is voor het eerst uitgegeven in december 2019 en in juli 2020 herzien als revisie 1. Het gaat om officiële MDCG-richtsnoeren die door de Europese Commissie zijn gepubliceerd ter ondersteuning van een consistente uitvoering van de MDR en IVDR. De richtsnoeren zijn juridisch niet bindend.
MDCG 2019-16 legt uit hoe beveiligingsbesluiten gevolgen hebben voor de veiligheid en prestaties van het hulpmiddel. De richtsnoeren behandelen ook de bescherming die van de bedrijfsomgeving wordt verwacht en de informatie die fabrikanten aan gebruikers moeten verstrekken. Deze uitleg helpt het productontwerp te koppelen aan de toepasselijke MDR- of IVDR-eisen.
MDCG licht toe dat een maatregel voor beheersing van cyberbeveiligingsrisico’s gevolgen kan hebben voor de veiligheid of prestaties en dat een maatregel voor beheersing van risico’s voor de veiligheid van het hulpmiddel gevolgen kan hebben voor de cyberbeveiliging. Het dossier moet daarom beide richtingen van de analyse tonen in plaats van twee gescheiden registraties bij te houden.
MDCG beschouwt dreigingsmodellering als een systematische methode om kwetsbaarheden en risico's in hulpmiddelen, software, systemen, netwerken en processen te identificeren. Bekende kwetsbaarheden kunnen voorzienbare risico's worden zodra de fabrikant ervan weet of ervan had moeten weten.
MDCG verwacht dat fabrikanten de beoogde IT-omgeving en de minimaal vereiste maatregelen daarin definiëren. Als het hulpmiddel afhankelijk is van een firewall van het ziekenhuis, toegangsbeheer, hardening, patchbeheer, segmentatie, versleuteling of andere externe maatregelen, moeten deze aannames worden gedocumenteerd en gecommuniceerd.
Structuur van het technisch dossier
Cyberbeveiligingsregistraties maken deel uit van de technische documentatie volgens de MDR en het systeem voor postmarkettoezicht. De ordening ervan moet laten zien hoe de fabrikant aan de relevante MDR-eisen voldoet.
- Risicobeheer: beveiligingsdreigingen, kwetsbaarheden, risicobeheersmaatregelen, restrisico's, interactie met veiligheid en verificatiebewijs.
- Ontwerp en productie: beveiligde architectuur, beheersing van de softwarelevenscyclus, beveiligd programmeren, configuratiebeheer, updatemechanismen en aannames over de toeleveringsketen.
- Verificatie en validatie: tests van beveiligingsfuncties, kwetsbaarheidsscans, fuzztests, penetratietests, analyse van beveiligde code en beoordeling van componenten van derden indien relevant.
- Gebruikersinformatie: beveiligde configuratie, update-instructies, compatibiliteitsbeperkingen, netwerkpoorten en -protocollen, back-up en herstel, logging, ondersteuningsduur en informatie over buitengebruikstelling.
- PMS en vigilantie: bewaking van nieuw opkomende kwetsbaarheden, incidenten in het veld, problemen met componenten van derden, wijzigingen in het dreigingslandschap en corrigerende of preventieve maatregelen.
MDCG bespreekt beveiligingscapaciteiten die verschillende problemen aanpakken. Authenticatie en autorisatie beperken toegang; auditregistraties helpen handelingen te onderzoeken; back-up en herstel brengen de werking na een storing terug. Selecteer en verifieer de capaciteiten die nodig zijn voor het specifieke hulpmiddel en de bijbehorende risico's.
Anders dan FDA-indieningen
FDA- en EU-documentatie gebruiken vaak dezelfde technische registraties, maar volgen andere regelgevingsvereisten en structuren. Een dreigingsmodel, SBOM, beveiligingsarchitectuur of penetratietestrapport kan beide rechtsgebieden alleen ondersteunen als het dossier uitlegt hoe het aan de relevante wettelijke eisen voldoet.
Toepasselijkheid in de EU
De MDR vraagt niet of een hulpmiddel voldoet aan de definitie van cyberapparaat in de FD&C Act. EU-dossiers moeten veiligheid, prestaties, informatiebeveiliging, bedrijfsomgeving en postmarketmaatregelen toelichten volgens de begrippen van de MDR/IVDR.
Structuur van EU-documentatie
Het EU-dossier volgt bijlagen II en III. Het moet risicobeheerdossiers, algemene eisen voor veiligheid en prestaties, gebruiksaanwijzingen en postmarkettoezicht met elkaar verbinden.
Verplichtingen voor postmarkettoezicht
Artikel 83 van de MDR vereist dat fabrikanten gedurende de volledige levensduur van het hulpmiddel actief en systematisch relevante gegevens over kwaliteit, prestaties en veiligheid verzamelen, vastleggen en analyseren en de technische documentatie dienovereenkomstig bijwerken.
Levenscyclusnormen gebruiken
IEC 81001-5-1 kan de softwarelevenscyclus en het cyberbeveiligingsproces ondersteunen, maar het dossier moet nog steeds een duidelijke koppeling met de MDR bevatten. Een erkende of nuttige norm neemt de MDR-verplichting om de apparaatspecifieke aanpak te onderbouwen niet weg.