Medizinprodukte und In-vitro-Diagnostika (IVD) TÜV Süd fordert EU-weite Norm für Cybersecurity-Tests

Weder die regulatorischen Vorgaben der EU noch die zugehörigen Guidance-Dokumente enthalten bislang konkrete Leitlinien für die Vorgehensweise bei den verpflichtenden Penetrationstests für netzwerkfähige Medizinprodukte und In-vitro-Diagnostika (IVD). TÜV Süd fordert eine EU-weite Norm, die klärt, was, wo, wie und in welchem Umfang zu prüfen ist.

Weil sich IT-Werkzeuge weiterentwickeln und neue Software oder Updates neue Schwachstellen generieren können, wandelt sich die Bedrohungslage ständig. So unterstützt Künstliche Intelligenz nicht nur die Mediziner, sondern auch die Angreifer. Um in kürzester Zeit große Mengen an medizinischen Daten zu analysieren, müssen Ultraschallgeräte oder Hämoglobinzähler zudem digital vernetzt werden. Das wiederum bietet eine größere Angriffsfläche für Cyberattacken.

Penetrationstest soll Cybersicherheit bestätigen

Ein Penetrationstest soll netzwerkfähige Medizinprodukte und In-vitro-Diagnostika auf unautorisiertes Eindringen in das Netzwerk oder Softwaresystem hin testen, damit diese im Sinne der Patienten cybersicher sind. Konkret simulieren sogenannte Ethical Hacker beim Penetrationstest einen IT-Angriff auf ein Medizinprodukt oder IVD. So finden sie Schwachstellen, bevor diese von Dritten ausgenutzt werden. Beim so genannten Fuzzing provozieren die Prüfer Fehlverhalten von Software, indem sie zufällige, teils manipulierte Daten einspeisen.

Noch viele Fragen offen

Nach Angaben des TÜV Süd gibt es aber noch ungeklärte Fragen: Muss zum Beispiel bei einer Software für jedes Release ein vollständiger Penetrationstest erfolgen? Wie sind Ethernet und Bluetooth- Verbindungen zu prüfen? Wann ist Fuzzing überhaupt erforderlich und in welchem Umfang? Auch fehlen genaue Aussagen darüber, ob es eine geringere Prüftiefe für Medizinprodukte und IVDs mit geringerem Risiko geben sollte. TÜV Süd fordert eine EU-weite Norm, die klärt, was, wo, wie und in welchem Umfang zu prüfen ist.

Einheitliche EU-Norm als Ziel

EU-Verordnungen wie die Medical Device Regulation (MDR) für Medizinprodukte und die In-Vitro Diagnostics Regulation (IVDR) machen zwar Vorgaben zur Cybersecurity, jedoch fehlen laut TÜV Süd der zugehörigen europäischen Leitlinie MDCG 2019-16, die die Anforderungen an den Prozess klären soll, entscheidende Details. Gleiches gelte für die internationale Norm IEC 81001-5-1, die sich mit IT-Sicherheit im Software-Lebenszyklus befasst. Nach Angaben des TÜV Süd bietet die von der EU für das kommende Jahr angekündigte Harmonisierung die Chance, anhand einer einheitlichen EU-Norm die teils bestehenden länderspezifischen Standards zu vereinheitlichen.

Ein vom TÜV Süd veröffentlichtes Whitepaper geht bestehenden Lücken anhand konkreter Fragen aus Sicht von Herstellern und Unternehmen auf den Grund.

(ID:49691045)