Vernetzte Medizinprodukte Cybersicherheit: Softwarebasierte Medizinprodukte vor Angriffen schützen

Anbieter zum Thema

TÜV Süd Product Service GmbH

CSA Group Bayern GmbH

NetModule AG

RECOM Power GmbH

Softwarebasiserte Medizinprodukte und medizinische Software ist zunehmend vernetzt. Deshalb müssen Hersteller und Entwickler die Cybersicherheit in allen Produktlebensphasen berücksichtigen. Ein umfassendes Risikomanagement kann dabei helfen.

Etwa jedes vierte medizinische Produkt ist bereits mit dem Internet verbunden oder an ein Krankenhausnetzwerk angeschlossen. Insgesamt waren es im Jahr 2017 rund 337 Millionen Geräte – die durchschnittliche Wachstumsrate (CAGR) bis zum Jahr 2030 wird auf jährlich 20,8 Prozent geschätzt [1]. Dazu gehören außerdem digitale Gesundheits-Anwendungen (DiGA), deren Entwicklung durch das deutsche „Digitale-Versorgung-Gesetz“ (DVG) und weitere europäische Initiativen unterstützt wird. In Deutschland nutzten etwa im Jahr 2020 20,4 Mio. Menschen Gesundheits- und Fitness-Apps [2].

Den Datenschutz gewährleisten

Vernetzte medizinische Geräte und Applikationen können beispielsweise bei der Vorsorge unterstützen, die Versorgung in ländlichen Gebieten verbessern oder dem medizinischen Personal im Krankenhaus zusätzliche Behandlungsmöglichkeiten bieten. Je mehr ein Medizinprodukt vernetzt ist, desto größer ist auch die Angriffsfläche für Hacker, die die Sicherheit der Patienten bzw. des Personals gefährden oder hochsensible Gesundheitsdaten preisgeben können.

Ein Beispiel ist die EHTERAZ-App, die in Katar zur Kontaktverfolgung in der Corona-Pandemie eingesetzt wurde. Amnesty International entdeckte darin eine kritische Schwachstelle, die es Cyberkriminellen ermöglicht hätte, auf hochsensible persönliche Daten von mehr als einer Million Nutzer zuzugreifen. Dazu gehören Namen, nationale ID, Gesundheitsstatus und Standortdaten. Die Sicherheitslücke konnte glücklicherweise geschlossen werden, bevor sie ausgenutzt wurde [3].

Cybersicherheit branchenübergreifend denken

Neben spezifischen Anforderungen gelten grundsätzliche branchenübergreifende Regeln, die im Zusammenhang mit der Cybersicherheit stehen. So definiert in Europa beispielsweise die Datenschutzgrundverordnung (DSGVO oder GDPR) hohe Anforderungen an Datenschutz und Datensicherheit. Abgesehen von hohen Strafen für Datenschutzverletzungen können erfolgreiche Cyberangriffe und öffentlich gewordene Sicherheitslücken auch die Gesundheit gefährden und den Ruf der Hersteller schädigen.

Zum Beispiel informieren das deutsche Bundesinstitut für Arzneimittel und Medizinprodukte (BfArM) und die US-amerikanische Food and Drug Administration (FDA) öffentlich und detailliert über bekannte Sicherheitslücken und -risiken bei Medizinprodukten. Dabei werden das jeweilige Produkt und der Hersteller namentlich genannt.

Viele Hersteller und Entwickler verfügen jedoch nur über wenig Erfahrung in einem so stark regulierten Markt wie der Medizintechnik. Je nach Region unterscheiden sich die Anforderungen an die Cybersicherheit, auch innerhalb der europäischen Union. Zugleich mangelte es lange an internationalen, industriespezifischen Standards und Leitfäden. Die Dringlichkeit effektiver Schutzmaßnahmen angesichts wachsender, digitaler Bedrohungen ist den Verantwortlichen jedoch zunehmend bewusst.

Medizinprodukte klassifizieren

Die Verordnungen (EU) 2017/46 über In-vitro-Diagnostika (IVDR) und (EU) 2017/745 – auch bekannt als Medizinprodukteverordnung bzw. Medical Device Regulation (MDR) – definieren die Anforderungen für alle Medizinprodukte in den Mitgliedsstaaten der Europäischen Union sowie in Norwegen, Island und Liechtenstein. Die MDR ersetzt seit dem 26. Mai 2021 die Richtlinien 93/42/EWG (MDD) und 90/385/EWG. Die IVDR hat in diesem Jahr die Richtlinie 98/79/EG (IVDD) abgelöst.

Im Unterschied zu den vorherigen Richtlinien stellen die MDR und die IVDR auch Anforderungen an die Cybersicherheit der Medizinprodukte. So fordert sie unter anderem eine Entwicklung nach dem „allgemein anerkannten Stand der Technik“ auch hinsichtlich der IT-Sicherheit sowie Schutzmaßnahmen gegen unberechtigten Zugriff (Anhang I 17.2 und 17.4) [4]. Die MDR teilt Medizinprodukte je nach medizinischer Zweckbestimmung und Risikopotenzial in die Produktklassen I bis III ein, woraus sich weitere Anforderungen ergeben. Generell gilt, dass eine höhere Produktklasse auch einen höheren Zertifizierungsaufwand bedeutet.

Wie MDR die Software einstuft

Hersteller von Medizinprodukten der Klasse I mit Messfunktion (Im), sterilen Medizinprodukten (Is) und wiederverwendbaren chirurgischen Instrumenten (Ir) sowie der Klassen IIa, IIb und III unterliegen der fortlaufenden Überwachung durch Benannte Stellen. Die Klassifizierungsregel 11 der MDR stuft Software, die diagnostische oder therapeutische Entscheidungen unterstützt, grundsätzlich in die Klasse IIa ein. Können jedoch die Entscheidungen, die auf der Grundlage der mit der Software gewonnenen Informationen getroffen werden, zu einer gravierenden Verschlechterung des Gesundheitszustands eines Patienten oder einer Patientin führen, gehört das Medizinprodukt in die Klasse IIb. Ist in der Folge eine irreversible Schädigung oder sogar der Tod möglich, fällt das Produkt in die Kategorie III. Im Vergleich zur MDD ordnet die MDR nur noch wenige Software-Medizinprodukte der Klasse I zu, an die die wenigsten Anforderungen gestellt werden.

Der Marktzugang in Europa erfordert, dass Hersteller und Inverkehrbringer ihre Medizinprodukte in der europäischen Eudamed-Datenbank registrieren und das Produkt die in Anhang I definierten allgemeinen Sicherheits- und Leistungsanforderungen erfüllt. Das umfasst auch den Aufbau eines Sicherheitsrisikomanagements über den gesamten Produktlebenszyklus.

Sicherheitsrisiken managen

Der Leitfaden MDCG 2019-16 („Guidance on cybersecurity for medical devices“) spezifiziert die Anforderungen an die Cybersicherheit aus Anhang I der MDR bzw. IVDR [5]. Eine wesentliche Forderung ist, ein Sicherheitsrisikomanagementsystem zu etablieren und zu erhalten. Das kann zum Beispiel nach dem internationalen Standard für das Risikomanagement ISO 14971:2019 erfolgen. Die neueste Revision des Standards umfasst auch Cybersicherheitsrisiken und die Autoren weisen darauf hin, dass kein separater Risikomanagementprozess für die Cybersicherheit von Medizinprodukten nötig ist. Dies steht auch im Einklang mit dem MDCG-Leitfaden.

Die US-amerikanische FDA veröffentlicht eigene Richtlinien und Leitfäden wie beispielsweise „Postmarket Management of Cybersecurity in Medical Devices“. Dieser Leitfaden beleuchtet die Cybersecurity-Aspekte von bereits auf dem Markt befindlichen Produkten und ist damit nicht nur für jene Hersteller von Bedeutung, die auf den amerikanischen Markt zielen. Die FDA veröffentlicht zudem weitere freiwillige Konsensstandards, die Hersteller auf ihre Produkte anwenden können [6]. Indem sich Hersteller an gemeinsamen Normen und Spezifikationen orientieren, stellen sie sicher, dass ihr medizinisches Produkt den Stand der Technik abbildet und alle Anforderungen erfüllt. Dazu gehört beispielsweise auch der neu veröffentlichte technische Bericht IEC TR 60601-4-5:2021, der dabei hilft, weitere Sicherheitsanforderungen für medizinische Geräte einschließlich eigenständiger Medizinsoftware zu definieren.

Den gesamten Lebenszyklus betrachten

Weil neue Schwachstellen oft erst gefunden werden, nachdem das Medizinprodukt auf den Markt gebracht wurde, muss das Risikomanagement den gesamten Lebenszyklus umfassen – von der Produktentwicklung, über Bestimmungen zum Gebrauch bis zur Post-Market Phase. Dazu gehören die Überwachung nach dem Inverkehrbringen, ein Meldesystem und ein Problemlösungsprozess sowie mögliche Updates. Das ist vor allem deshalb wichtig, weil der Lebenszyklus medizinischer Geräte oft deutlich länger ist als bei gewöhnlicher Haushaltselektronik und privater Anwendersoftware.

Die Internationale Elektrotechnische Kommission (IEC) hat mit der Einführung der IEC 81001-5-1 im Dezember 2021 einen neuen Standard entwickelt, der alle Phasen des Produktlebenszyklus berücksichtigt. Er erweitert damit die IEC 62304 „Medical Device Software – Software Lifecycle Processes“. Voraussichtlich wird die IEC 81001-5-1 bis Mai 2024 als harmonisierter Standard anerkannt.

Risikomanagement und sichere Lebenszyklusprozesse

Der Marktzugang in Europa, in den USA und anderen Schlüsselmärkten erfordert ein umfängliches Risikomanagement und sichere Lebenszyklusprozesse. Entsprechende Normen, Richtlinien und Leitfäden sind bereits vorhanden oder werden derzeit entwickelt. Cybersicherheitstests sind ein zentraler Bestandteil zur Verifizierung und Validierung der Sicherheit.

Dazu gehören Schwachstellen-Scans, Penetrationstests und das „Fuzzy Testing“. Den Aufsichtsbehörden oder Benannten Stellen muss als Teil des Zertifizierungsprozesses ein Nachweis über die Cybersicherheit des Medizinprodukts erbracht werden. (heh)

Lesen Sie außerdem

IT-Sicherheit in der Medizin

Vernetzte Medizinprodukte werden zunehmend zu einem Sicherheitsproblem

IoT im Gesundheitswesen

Wi-Fi und Bluetooth: Wildwuchs in Krankenhäusern und Arztpraxen vermeiden

Referenzen

[1] IHS Markit, The Internet of Things: a movement, not a market, E-Paper, abgerufen am 17. Januar 2023.

[2] Healthcare Computing: Nutzerzahlen von Gesundheits-Apps steigen um 16 Prozent, abgerufen am 17. Januar 2023.

[3] Amnesty International, Qatar: Contact tracing app security flaw exposed sensitive personal details of more than one million, abgerufen am 17. Januar 2023.

[4] Verordnung (EU) 2017/745 über Medizinprodukte, Anhang I.17. Elektronische programmierbare Systeme - Geräte, die elektronische programmierbare Systeme und Software enthalten, die selbst Geräte sind, abgerufen am 17. Januar 2023.

[5] MDCG 2019-16, Leitfaden zur Cybersecurity für Medizinprodukte, abgerufen am 17. Januar 2023.

[6] FDA Center for Devices and Radiological Health, Postmarket Management of Cybersecurity in Medical Devices, Dez. 2016, abgerufen am 17. Januar 2023.

* Dr. Abtin Jamshidi Rad arbeitet als Global Director Functional Safety, Software and Digitization bei TÜV SÜD.

(ID:49016804)