Anbieter zum Thema

Method Park Software AG

MicroConsult Academy GmbH

ET System electronic GmbH

MES Electronic Connect GmbH & Co. KG

Medizinische Produkte für den US-Markt

Neben dem europäischen Markt ist für viele Hersteller der amerikanische Markt interessant. Hier ist die amerikanische Food and Drug Administration (FDA) zuständig. Auf Basis des Code of Federal Regulations, Title 21 „Food and Drugs“ ist hier eine echte Zulassung des Produktes durch die FDA vor dem Inverkehrbringen der medizinischen Produkte notwendig. Dazu muss entweder eine Premarket Notification (510(k)) oder ein umfassenderes Premarket Approval eingereicht werden. Der Umfang der technischen Dokumentation, die der Einreichung beigelegt werden muss, richtet sich dabei nach dem ermittelten Level of Concern (Gefährdungspotenzial).

Um den Hersteller zu unterstützen, veröffentlicht die FDA sogenannte Guidance-Dokumente [5]. Relevante Guidance-Dokumente für die Software eines Medizinproduktes beschreiben etwa die Verwendung von OTS-Software, Prinzipien der Software-Validierung oder den empfohlenen Inhalt von Einreichungen (Dokumente wie Risk Analysis, Software Requirements Specification, Architecture Design Chart oder Software Design Specification).

Bildergalerie

Wie adressiert die Regulierung die Themen Daten und Vernetzung? In Europa gibt es bisher wenig Konkretes. Wird das Medizinprodukt in einem medizinischen IT-Netzwerk eingesetzt, etwa in einem Krankenhaus, führt dessen Betreiber eventuell ein Risikomanagement nach EN 80001-1 durch. Dabei ist er auf die Mithilfe des Medizinprodukte-Herstellers angewiesen. Betreibt der Hersteller vernetzter Medizinprodukte selbst einen Server, um die Funktion seiner Geräte zu ermöglichen, muss er sich an die Medizinprodukte-Betreiberverordnung halten.

Bei der FDA wird es etwas konkreter: Interessante aktuelle Guidance-Dokumente für Medizinprodukte im Internet of Things betrachten Mobile Medical Applications sowie, gleich mit zwei Dokumenten, das wichtige Thema Cybersecurity. Hier werden insbesondere Forderungen für ein securitybezogenes Risikomanagement und für den Umgang mit Sicherheitslücken in OTS-Software gestellt. Die FDA verweist dabei auch auf die vom National Institute of Standards and Technolgy identifizierten Cybersecurity-Kernfunktionen (Bild 3).

Im Internet der Dinge entscheidet die Software

Die Entwicklung ist klar definiert: Eine wachsende Rolle spielen vernetzte Geräte, die sicher ihre Daten austauschen. Medizinische Applikationen und Anwendungen sind davon nicht ausgenommen. Wer hier beim Internet of Things dabei sein will, muss die besprochenen Themen für seine eigene Entwicklung klären. Vor allem rücken die Software der Geräte und IoT-Dienste in den Mittelpunkt. Um sicher sein zu können, die Anforderungen in Bezug auf Datenschutz und Informationssicherheit richtig zu erkennen und zu erfüllen, braucht das Unternehmen einen ausgereiften Software-Entwicklungsprozess und die Mitarbeiter einiges an fachlichem Können. Geht es um die Entwicklung eines Medizinprodukts, muss der Prozess nicht nur reif sein – er muss auch nachweisbar die regulatorischen Anforderungen erfüllen.

Wer eine erfolgversprechende Produktidee hat, aber nicht in allen der genannten Bereiche tiefere Erfahrung vorweisen kann, sollte unbedingt auf Unterstützung zurückgreifen. Dazu gehören der Aufbau des eigenen Know-hows auf anerkannte Schulungen. Das kann beispielsweise die Certified Professional for Medical Software sein. Daneben empfiehlt es sich außerdem noch, auf externe Wissensquellen zu nutzen. Das erfolgt durch kompetente Beratung oder durch die Vergabe von Software-Projektteilen an fachlich qualifizierte Dienstleister. So werden bereits im Vorfeld Fehler vermieden, deren Kosten bei einem Produkt im Feld schnell gewaltig ausdehnen können. Und das eingangs erwähnte Attentat per Funk bleibt schließlich nur Krimimaterial.

Literatur

[1] Alden Chadwick: Animas Vibe – insuling pump and CGM system, https://www.flickr.com/photos/aldenchadwick/7383882386, CC BY 2.0 (https://creativecommons.org/licenses/by/2.0/)

[2] Jay Radcliffe: Hacking Medical Devices for Fun and Insulin - Breaking the Human SCADA System, https://media.blackhat.com/bh-us-11/Radcliffe/BH_US_11_Radcliffe_Hacking_Medical_Devices_Slides.pdf

[3] OWASP Internet of Things Top Ten Project, https://www.owasp.org/index.php/OWASP_Internet_of_Things_Top_Ten_Project

[4] Bugtraq Mailing List, http://seclists.org/bugtraq/

[5] Search for FDA Guidance Documents, http://www.fda.gov/RegulatoryInformation/Guidances/

* Sebastian Seifert und Lars Hemmann sind beide Senior Software Engineers im Team Medical Devices bei Method Park.

(ID:43626360)