Cybersicherheitsstandards für medizinische Geräte: Zentrale Prinzipien für die Einhaltung der Vorschriften

Derzeit gibt es viel Aufsehen um das Thema Cybersicherheit – nicht nur im Bereich der medizinischen Geräte, sondern allgemein in der Welt der vernetzten Geräte. Das Sicherheitsmanagement ist durch die Einführung des EU Cyber Resilience Act (CRA) zu einem heißen Thema geworden. Das ist sicherlich eine positive Entwicklung, aber das Thema Cybersicherheitsrisiken war den Herstellern medizinischer Geräte schon lange bekannt, da es seit Jahren ein Standard ist.

Es bedarf keiner Überzeugung, dass die Gewährleistung einer robusten Cybersicherheit bei medizinischen Geräten entscheidend ist, um die Patientensicherheit zu schützen, die Gerätefunktionalität aufrechtzuerhalten und die behördlichen Vorschriften einzuhalten.

Dieser Artikel taucht in die Grundlagen der Cybersicherheitsstandards für medizinische Geräte ein, mit besonderem Fokus auf ihre Rolle in der Entwicklung medizinischer Software. Von der Analyse der wichtigsten Standards bis hin zur Bewältigung von Cybersicherheitsbedenken – dieser Leitfaden wird Ihnen das nötige Wissen vermitteln, um Innovationen und Vertrauen in der Medizingerätebranche zu fördern.

Ach ja, und wir werden bald zwei weitere Artikel zu einem ähnlichen Thema veröffentlichen. Einer wird sich mit praktischen Tipps zur Sicherstellung der Sicherheit medizinischer Geräte befassen. Wir werden Ihnen konkrete Aufgaben vorstellen, die Teil des Softwareentwicklungsprozesses sind. Dieser Artikel ist also eine großartige Einführung für den kommenden Beitrag.

Der andere Artikel wird sich mit den Auswirkungen des EU CRA befassen. Die Links werden später hier bereitgestellt.

 

Cybersicherheitsstandards für Medizinprodukte: IEC 62304, ISO 14971 und FDA-Richtlinien

Lassen Sie uns mit einer kurzen Übersicht über die bestehenden Standards beginnen, die Hersteller dabei unterstützen und sogar dazu verpflichten, Cybersicherheitsrisiken zu managen.

 

IEC 62304: Softwareentwicklung und Lebenszyklusmanagement

IEC 62304 ist einer der wichtigsten Standards. Er bietet einen Rahmen für das sichere Design und das Lebenszyklusmanagement von Software für medizinische Geräte. Bei Scythe Studio werden alle Projekte, die wir für unsere Kunden realisieren, nach diesem Standard dokumentiert. Auch wenn er komplex erscheint, genieße ich persönlich die Arbeit damit und bin stolz darauf, dass unser Angebot zur Entwicklung eingebetteter medizinischer Software diesen Standard umfasst.

IEC 62304 besteht aus 9 Abschnitten:

 

1. Geltungsbereich (Abschnitt 1) – Definiert die Anwendbarkeit des Standards auf Software für medizinische Geräte sowie auf Software als Medizinprodukt (SaMD). Er umfasst sowohl eigenständige als auch eingebettete Software.

 

2. Normative Verweise (Abschnitt 2) – Listet Dokumente auf, die im Standard referenziert werden, wie z. B. ISO 14971 (Risikomanagement für Medizinprodukte).

 

3. Begriffe und Definitionen (Abschnitt 3) – Enthält zentrale Definitionen, darunter Begriffe wie „Softwareeinheit“, „Softwaresystem“ und „Sicherheitsklassifizierung“.

 

4. Allgemeine Anforderungen (Abschnitt 4) – Behandelt organisatorische Verantwortlichkeiten, darunter die Einrichtung und Aufrechterhaltung eines Qualitätsmanagementsystems oder die Festlegung von Software-Sicherheitsklassifikationen (A, B, C) basierend auf potenziellen Schäden.

 

5. Softwareentwicklungsprozess (Abschnitt 5) – Legt detaillierte Softwareprozesse fest, die Organisationen befolgen sollten. Dazu gehören Entwicklungsplanung, Anforderungsanalyse, Architektur, Design und umfangreiche Tests. Zur Vereinfachung dieses Artikels sei erwähnt, dass ein wichtiger Aspekt externe Bibliotheken und Abhängigkeiten sind, die als SOUP (Software of Unknown Provenance) bekannt sind und identifiziert werden müssen. Bei Scythe setzen wir auf Security by Design – die eigentliche Arbeit zur Minderung von Cybersicherheitsrisiken beginnt also bereits hier.

 

Software of Unknown Provenance

 

6. Software-Wartungsprozess (Abschnitt 6) – Beinhaltet Aktivitäten nach der Veröffentlichung, wie das Behandeln von Problemen oder Vorfällen und das Management von Updates. Dieser Abschnitt ist entscheidend für die Erfüllung von Cybersicherheitsanforderungen. Hier sollte genau überlegt werden, wie man auf Sicherheitslücken reagiert und diese behebt.

 

7. Software-Risikomanagementprozess (Abschnitt 7) – Dieser Teil konzentriert sich auf die Integration der Prinzipien der ISO 14971:2019. Es ist erforderlich, eine angemessene Analyse von Cybersicherheitsbedrohungen und -risiken nachweisen zu können.

 

8. Software-Konfigurationsmanagementprozess (Abschnitt 8) – Definiert, wie die Integrität der Software durch Versionskontrollen, Änderungsmanagement und Audits aufrechterhalten wird.

 

9. Software-Problemlösungsprozess (Abschnitt 9) – Beschreibt den Prozess zur Identifizierung und Dokumentation von Softwareproblemen, die Ursachenfindung und die Implementierung geeigneter Maßnahmen zur Korrektur einzelner Komponenten.

 

Welche Teile der IEC 62304 befassen sich speziell mit der Gerätesicherheit?

 

Aus der kurzen Beschreibung der einzelnen Abschnitte können Sie bereits erkennen, dass viele von ihnen Cybersicherheitsrisiken betreffen. Die Entwicklung medizinischer Geräte ist von Natur aus komplex. Die Einhaltung hoher Sicherheitsstandards ist eine zusätzliche Herausforderung, die es noch schwieriger macht.

Es ist notwendig, die für die Technologie Verantwortlichen so früh wie möglich mit den Regulierungsbehörden zusammenzubringen. Genau das ist unser Vorteil bei Scythe – wir verstehen beide Welten, was unsere medizinischen Projekte so erfolgreich macht.

IEC 62304 besteht aus 9 Abschnitten

 

ISO 14971: Risikomanagement

ISO 14971:2019 ist ein globaler Standard für das Risikomanagement bei medizinischen Geräten. Sein Hauptziel ist es, die Patientensicherheit zu gewährleisten, indem Risiken während des gesamten Lebenszyklus eines Geräts berücksichtigt werden. Dazu gehören auch Cybersicherheitsrisiken, die mit der zunehmenden Vernetzung von Geräten immer relevanter werden.

Cybersicherheitsprobleme wie Datenlecks oder unbefugter Zugriff können die Patientensicherheit gefährden. Ein Cyberangriff könnte beispielsweise eine Therapie unterbrechen oder sensible Informationen kompromittieren. ISO 14971 hilft Herstellern, diese Risiken zu identifizieren, ihre Wahrscheinlichkeit zu bewerten und Strategien zu ihrer Minimierung zu entwickeln.

Dokumentation ist dabei entscheidend. Hersteller müssen nachweisen, dass Risiken mit klaren Plänen, Maßnahmen und Testergebnissen adressiert wurden. Dies steht in engem Zusammenhang mit IEC 62304, das sich auf eine sichere Softwareentwicklung konzentriert.

FDA-Richtlinien: Cybersicherheit in medizinischen Geräten

Die Richtlinien der FDA konzentrieren sich darauf, die Cybersicherheit medizinischer Geräte zu gewährleisten, um die Patientensicherheit zu schützen. Sie gelten sowohl für die Phase vor der Markteinführung als auch für die Phase nach der Markteinführung und betonen ein proaktives Risikomanagement.

In der Phase vor der Markteinführung müssen Hersteller bereits während der Entwicklung Sicherheitsaspekte berücksichtigen. Dazu gehören die Identifizierung von Bedrohungen, die Behebung von Schwachstellen sowie die Dokumentation von Risikobewertungen und Sicherheitsmaßnahmen.

Für die Phase nach der Markteinführung sind kontinuierliche Überwachung und zeitnahe Updates unerlässlich. Die FDA empfiehlt, Maßnahmen basierend auf der Auswirkung und Wahrscheinlichkeit von Bedrohungen zu priorisieren, um sicherzustellen, dass die Geräte sicher bleiben. Transparenz ist hier ebenfalls entscheidend. Das Teilen von Informationen über Schwachstellen und Updates hilft den Nutzern, die Gerätesicherheit aufrechtzuerhalten.

FDA-Richtlinien im Kontext der Cybersicherheit

 

Zusammenhang zwischen FDA und IEC 62304 – Ergänzen sie sich?

Die FDA erkennt IEC 62304 als Konsensstandard für Software-Lebenszyklusprozesse in medizinischen Geräten an. Die Einhaltung von IEC 62304 hilft Herstellern, die Anforderungen der FDA an Software-Sicherheit und Risikomanagement zu erfüllen. Obwohl nicht zwingend vorgeschrieben, stimmt die Anwendung von IEC 62304 mit den FDA-Richtlinien überein und gewährleistet ein solides Design, eine sichere Entwicklung und eine ordnungsgemäße Wartung für die behördliche Zulassung.

Generell empfehlen wir, IEC 62304 (zusammen mit allen Cybersicherheitsmaßnahmen) für alle neuen Projekte zu implementieren.

 

Globale Perspektive: EU-MDR, FDA und andere internationale Standards

Internationale Standards spielen eine Schlüsselrolle bei der Harmonisierung von Cybersicherheitsanforderungen. Die Medical Device Regulation (MDR) und die In-vitro-Diagnostik-Verordnung (IVDR) der Europäischen Union enthalten strenge Cybersicherheitsrichtlinien für medizinische Geräte. Der EU Cyber Resilience Act (CRA) ist ein umfassenderer Rahmen für alle vernetzten Geräte, einschließlich medizinischer Geräte. Diese Gesetzgebung fordert robuste Sicherheitsmaßnahmen über den gesamten Produktlebenszyklus hinweg, sodass Hersteller Schwachstellen proaktiv angehen und kontinuierliches Risikomanagement betreiben müssen.

Hersteller müssen sicherstellen, dass ihre Qualitätsmanagementsysteme mit diesen sich verändernden Anforderungen übereinstimmen, um die Sicherheit aller vernetzten Geräte zu gewährleisten. Diese globale Angleichung, ermöglicht durch Regulierungen wie den EU Cyber Resilience Act (CRA), trägt dazu bei, Cybersicherheitsstandards für medizinische Geräte einheitlich anzuwenden. Dadurch wird die allgemeine Sicherheit der Branche verbessert, während gleichzeitig die Patientensicherheit und das Vertrauen gestärkt werden.

Aus unseren Erfahrungen und Marktbeobachtungen (wahrscheinlich gibt es auch Statistiken, die dies belegen) entscheiden sich immer mehr Entwickler medizinischer Geräte zunächst für die FDA-Zulassung und bringen ihr Produkt zuerst auf den US-amerikanischen Markt, bevor sie sich auf Europa konzentrieren. Im Jahr 2025 habe ich am MedTech Forum in Wien teilgenommen, und das Hauptthema dort war, wie die EU ihre Spitzenposition im Bereich der Medizingeräte zurückgewinnen kann.

 

Universelle Sicherheitsrichtlinien für medizinische Geräte

Neben regulatorischen Anforderungen gibt es auch bewährte Praktiken. Schauen wir uns an, welche konkreten Maßnahmen Sie ergreifen können, um Ihr Gerät sicherer zu machen.

Sicherheitsgrundlagen für medizinische Geräte

 

Security by Design

Sichere medizinische Geräte beginnen bereits in der Designphase. Allgemeine Sicherheitsanforderungen wie Verschlüsselung, sichere Boot-Mechanismen und Authentifizierungsprotokolle helfen dabei, Cyberrisiken zu minimieren. Eine Software Bill of Materials (SBOM) sorgt für Transparenz in der Software medizinischer Geräte, sodass Hersteller Schwachstellen in Drittanbieter-Komponenten erkennen und beheben können.

Die Softwarearchitektur ist Teil des Angebots von Scythe Studio. Die Grundlage eines sicheren Designs sind Datenverschlüsselung, starke Authentifizierung und eine sorgfältige Auswahl der Kommunikationsprotokolle.

 

Risikomanagement und Bedrohungsminderung

Ein effektives Sicherheitsrisikomanagement bedeutet, potenzielle Cyberbedrohungen zu identifizieren und zu minimieren. Durch umfassende Risikobewertungen können Hersteller gezielt Sicherheitsmaßnahmen priorisieren, um Patientendaten und die Gerätefunktionalität zu schützen. Organisationen müssen zudem die Bedrohungslandschaft kontinuierlich überwachen, um ihre Sicherheitsstrategie an neue Risiken anzupassen.

Denken Sie daran: Dies ist keine einmalige Maßnahme. Sicherheitsrisikobewertungen müssen regelmäßig aktualisiert werden – sowohl basierend auf neuen Schwachstellen in Ihrer eigenen Software als auch in SOUPs.

 

Überwachung, Updates und Patch-Management

Die Cybersicherheit medizinischer Geräte ist ein fortlaufender Prozess. Die Implementierung von Verfahren zur Überwachung, Validierung und Aktualisierung stellt sicher, dass Geräte während ihres gesamten Lebenszyklus geschützt bleiben. Patch-Management-Prozesse müssen vorhanden sein, um entdeckte Schwachstellen schnell zu beheben und so die Informationssicherheit und den Schutz von Patientendaten zu gewährleisten.

Für Updates können Sie über sichere Over-the-Air (OTA)-Updates nachdenken, um Schwachstellen schnell zu beheben und Ausfallzeiten zu minimieren – und damit die Zufriedenheit der Käufer Ihrer Geräte zu erhöhen.

 

Warum ist Cybersicherheit für Hersteller medizinischer Geräte wichtig?

Hersteller medizinischer Geräte müssen technologische Innovation mit regulatorischer Konformität in Einklang bringen. Cybersicherheit ist nicht nur eine technische Frage – sie betrifft alle Akteure der Medizingerätebranche: Patienten, Gesundheitsdienstleister und Aufsichtsbehörden. Der Schutz medizinischer Geräte vor Cyberrisiken sichert nicht nur die Sicherheit, sondern auch das Vertrauen in Gesundheitssysteme und verhindert rechtliche Konsequenzen.

Vernetzte Geräte sind anfälliger für Cyberangriffe, da sie potenzielle Eintrittspunkte für Angreifer darstellen. Die Integration von Cybersicherheitsmaßnahmen in jede Phase der Geräteentwicklung – vom Design bis zur Überwachung nach der Markteinführung – ist entscheidend. Die Einhaltung von FDA- und internationalen Standards bietet zudem einen Wettbewerbsvorteil, da Hersteller sowohl regulatorische Anforderungen als auch die Erwartungen der Endkunden erfüllen.

Denken Sie daran, dass Cybersicherheitsbedrohungen keine bloße Formalität sind. Das Hauptziel besteht nicht nur darin, gesetzliche Anforderungen zu erfüllen, die FDA-Zulassung zu erhalten und Regulierungsbehörden zufriedenzustellen. So wie Softwarefehler zu schweren Verletzungen führen können, können Cyberangriffe großen Schaden für viele Menschen verursachen.