Cyberbeveiligingsetikettering en gebruikersinformatie voor medische hulpmiddelen

Gebruikersinformatie als risicobeheersmaatregel

De FDA beschouwt transparantie over cyberbeveiliging als onderdeel van veilig en doeltreffend gebruik en integratie van hulpmiddelen. Afhankelijk van de beoogde gebruiker en het informatietype kan de informatie worden opgenomen in etikettering van het hulpmiddel, gebruikershandleidingen, beheerdershandleidingen, beveiligingsdocumentatie voor klanten, een MDS2, onlineportalen of andere gecontroleerde kanalen.

EU-dossiers volgen binnen de MDR en IVDR een andere wettelijke structuur. De fabrikant moet minimale vereisten vermelden voor hardware, kenmerken van het IT-netwerk en IT-beveiligingsmaatregelen die nodig zijn om software volgens de bedoeling te laten werken. MDCG 2019-16 licht vervolgens toe hoe deze informatie samenhangt met de beoogde gebruiksomgeving, veilige configuratie, patches, beheerdersinformatie en verantwoordelijkheden van zorgverleners.

Voor hulpmiddelen waarin software is opgenomen of voor software die zelf een hulpmiddel is, moet de software worden ontwikkeld en vervaardigd volgens de stand van de techniek, rekening houdend met beginselen van de ontwikkellevenscyclus, risicobeheer met inbegrip van informatiebeveiliging, verificatie en validatie.

Verordening (EU) 2017/745, bijlage I, punt 17.2 (Engelse brontekst)

FDA-inhoud voor etikettering

De actuele FDA-richtsnoeren voor vóór het in de handel brengen noemen voorbeelden van beveiligingsinformatie waarmee gebruikers cyberbeveiligingsrisico’s kunnen beheren. Het juiste detailniveau hangt af van de beoogde doelgroep. Een instructie voor een patiënt hoort niet te lezen als een handleiding voor netwerkversterking van een ziekenhuis en een beheerdershandleiding mag operationele details niet verbergen achter algemene veiligheidswaarschuwingen.

Gebruikersinformatie voor de EU

Het EU-dossier moet gebruikersinformatie koppelen aan bijlage I van de MDR of IVDR. Voor software en programmeerbare systemen zijn de relevante cyberbeveiligingspunten de stand van de techniek, risicobeheer, informatiebeveiliging, verificatie, validatie, factoren van mobiele platforms, minimale IT-vereisten en bescherming tegen onbevoegde toegang.

• Minimale hardware- en werkstationvereisten voor beoogd gebruik.
• Kenmerken van het IT-netwerk, waaronder segmentatie, communicatiepaden, compatibele diensten en ondersteunde protocollen.
• IT-beveiligingsmaatregelen zoals toegangsbeheer, verwachtingen voor bescherming tegen malware, firewallregels, aannames over patching, logboekregistratie en back-ups.
• Compatibiliteitsbeperkingen voor verbonden apparaten, mobiele platforms, clouddiensten, browsers, besturingssystemen en beveiligingstools.
• Risico’s van gebruik buiten de beoogde gebruiksomgeving.

MDCG 2019-16 erkent ook dat bepaalde gedetailleerde beveiligingsinformatie buiten de gebruiksaanwijzing kan staan, bijvoorbeeld in beheerdersinstructies, handleidingen voor beveiligingsactiviteiten, een MDS2-achtige openbaarmaking of installatiehandleidingen. De informatie moet wel gecontroleerd, actueel en consistent met het technisch dossier zijn.

Gedeelde verantwoordelijkheid met zorgorganisaties

MDCG 2019-16 beschrijft gedeelde verantwoordelijkheden tussen degenen die een hulpmiddel leveren en gebruiken. De fabrikant moet externe maatregelen communiceren waarvan het ontwerp afhankelijk is. De zorgorganisatie heeft vervolgens voldoende informatie nodig om die maatregelen in de eigen omgeving te leveren en te onderhouden.

Communicatie over updates en patches

Update-informatie moet praktisch zijn voordat een kwetsbaarheid optreedt. De FDA verwacht gebruikersinformatie over door de fabrikant geautoriseerde software en firmware, hoe gebruikers weten dat een update beschikbaar is, ondersteuning en einde levensduur en hoe risico’s bij het einde van ondersteuning worden overgedragen of gecommuniceerd. Cyberapparaten volgens artikel 524B moeten ook plannen hebben voor kwetsbaarheden, updates en patches na het in de handel brengen.