IT-Sicherheit & Cybersecurity für Medizinprodukte

Seit der MDR ist Cybersecurity für vernetzte Medizinprodukte keine Kür mehr, sondern eine grundlegende Sicherheits- und Leistungsanforderung. Anhang I verlangt, Software nach dem Stand der Technik zu entwickeln, einschließlich Informationssicherheit, und Mindestanforderungen an IT-Sicherheit und den Schutz vor unbefugtem Zugriff festzulegen. Die Leitlinie MDCG 2019-16 konkretisiert das, die IEC 81001-5-1 beschreibt den sicheren Entwicklungsprozess.

In den USA ist das Thema noch schärfer geregelt. Für Produkte mit Software, die sich mit dem Internet verbinden können, verlangt die FDA seit 2023 mit der Einreichung eine Software-Stückliste, einen Plan zum Umgang mit Schwachstellen nach dem Inverkehrbringen und Nachweise, dass Gerät und zugehörige Systeme abgesichert sind. Fehlen diese Unterlagen, wird die Einreichung nicht angenommen.

Die Anbieter in diesem Verzeichnis decken unterschiedliche Teile ab: Bedrohungsanalyse und Sicherheitsarchitektur in der Entwicklung, Penetrationstests an Geräten und Schnittstellen, Software-Stücklisten und Schwachstellenüberwachung sowie die Absicherung der eigenen Unternehmens-IT, etwa nach ISO 27001 oder den Vorgaben der NIS-2-Richtlinie. Gerät und Firmennetz sind zwei verschiedene Aufgaben, die oft verwechselt werden.