IMDRF-Leitfaden zur Cybersicherheit für Legacy-Geräte: Eingeschränkter Support, End-of-Service und Risikobewertung | RegDesk

Inhaltsverzeichnis:

Das International Medical Device Regulators Forum (IMDRF), ein freiwilliger Zusammenschluss nationaler Regulierungsbehörden im Bereich Medizinprodukte, der gemeinsam an der weiteren Verbesserung des bestehenden Regulierungsrahmens arbeitet, hat einen Leitfaden zu Fragen der Cybersicherheit im Zusammenhang mit Altgeräten veröffentlicht. Das Dokument gibt einen Überblick über die wichtigsten Aspekte, die von allen Beteiligten berücksichtigt werden müssen, und gibt darüber hinaus zusätzliche Empfehlungen, die befolgt werden müssen, um die dauerhafte Wirksamkeit von Medizinprodukten sowie die Sicherheit der Patienten sicherzustellen. Gleichzeitig hat das Dokument selbst keinen rechtlich bindenden Charakter und soll auch keine neuen Regeln einführen oder neue Verpflichtungen auferlegen. Darüber hinaus können die darin enthaltenen Empfehlungen Änderungen unterliegen, sofern solche Änderungen aufgrund der neuen Informationen, die den Behörden und dem IMDRF zur Verfügung stehen, vernünftigerweise notwendig sind. 

Das IMDRF erkennt an, dass einige der zur Vermarktung und Verwendung zugelassenen Medizinprodukte tatsächlich länger als ihre erwartete Nutzungsdauer verwendet werden könnten, obwohl sie von ihren ursprünglichen Herstellern nicht einmal unterstützt werden. In einem solchen Fall erhalten sie keine Updates und Sicherheitspatches mehr, die auf neu auftretende Cybersicherheitsbedrohungen abzielen sollen, was zu zusätzlichen Cybersicherheitsrisiken führt, denen die Personen, die solche Geräte nutzen, ausgesetzt sind. Der vorliegende Leitfaden beschreibt den Ansatz, den alle am Betrieb von Medizinprodukten beteiligten Parteien, darunter sowohl Hersteller medizinischer Geräte als auch Einrichtungen des Gesundheitswesens, verfolgen müssen, da Fragen der Cybersicherheit in der gemeinsamen Verantwortung aller Parteien liegen. 

Das Dokument beschreibt insbesondere detailliert bestimmte Phasen des gesamten Produktlebenszyklus (TPLC) und hebt die wichtigsten Aspekte hervor, die in jeder Phase aus Sicht der Cybersicherheit zu berücksichtigen sind.

Eingeschränkter Support

Gemäß den Leitlinien handelt es sich bei Geräten innerhalb der Limited Support Stage, der dritten Stufe, um Produkte, die:

1. Werden zur Patientenversorgung verwendet und 
2. Vom Medizingerätehersteller als EOL erklärt wurden und derzeit nicht vom jeweiligen Medizingerätehersteller vermarktet oder verkauft werden, oder
3. Enthalten Software, Firmware oder programmierbare Hardwarekomponenten (z. B. CPU), die (a) von ihren Entwicklern nicht unterstützt werden und (b) deren Risiken für die Sicherheit und Wirksamkeit des Geräts gemindert werden, was zu einem Gerät führt, das angemessen vor aktuellen Cybersicherheitsbedrohungen geschützt werden kann . 

Wie das IMDRF weiter erläutert, sind die Hersteller medizinischer Geräte zum jetzigen Zeitpunkt immer noch dafür verantwortlich, Bedrohungen der Cybersicherheit zu bekämpfen, wann immer dies möglich ist. Sollte es beispielsweise für den ursprünglichen Hersteller nicht möglich sein, Updates zu entwickeln, könnten kompatible Produkte von Drittanbietern verwendet werden. 

In dieser Phase ist das Gerät in hohem Maße auf Sicherheitsmaßnahmen und Kontrollen angewiesen, die in das Design integriert sind. Gleichzeitig sollte der ursprüngliche Produkthersteller die Benutzer ordnungsgemäß über mögliche Einschränkungen oder Bedrohungen informieren, die noch bestehen könnten, und Informationen über zusätzliche Maßnahmen zum Schutz der Sicherheit kommunizieren. Im Vergleich zu den Produkten der zweiten Stufe erfordern die Geräte der dritten Stufe häufig zusätzliche Kompensationssteuerungen.

Serviceende

Die vierte Stufe – End of Service (EOS) – gilt für medizinische Geräte, die:

• Werden zur Patientenversorgung eingesetzt und
• Vom Medizingerätehersteller als EOS deklariert wurden und derzeit nicht vom jeweiligen Medizingerätehersteller vermarktet oder verkauft werden, oder
• Enthalten Software, Firmware oder programmierbare Hardwarekomponenten (z. B. CPU), die (a) von ihren Entwicklern nicht unterstützt werden und (b) deren Risiken für die Sicherheit und Wirksamkeit des Geräts nicht gemindert werden, was zu einem Gerät führt, das nicht angemessen vor der aktuellen Cybersicherheit geschützt werden kann Bedrohungen. 

Darüber hinaus heißt es, dass Hersteller medizinischer Geräte die Benutzer darüber informieren sollten, dass das betreffende Gerät nicht mehr unterstützt wird, und dass sie auch Informationen über potenzielle Risiken und Möglichkeiten zu ihrer Minderung kommunizieren sollten.

Risk Assessment

Das Dokument beschreibt auch den Ansatz, der im Hinblick auf die Risikobewertung anzuwenden ist, um einen Übergang in verschiedene Lebenszyklusphasen auszulösen. Das IMDRF erwähnt insbesondere, dass die Daten, an denen EOS für ein medizinisches Gerät und seine Softwarekomponenten erreicht wird, unterschiedlich sein können – zum Beispiel: Eine Softwarekomponente eines Drittanbieters kann wissentlich eine kürzere unterstützte Lebensdauer haben, wenn das Gerät verkauft wird, oder plötzlich für nicht unterstützt erklärt werden, Jahre bevor der Hersteller des medizinischen Geräts das End-of-Service-Datum bekannt gegeben hat. In Fällen, in denen die Unterstützung einer von einem Dritten entwickelten Softwarekomponente im Voraus bekannt ist, sollte der Hersteller daher Pläne entwickeln, die die in diesem Zusammenhang auftretenden Risiken abdecken. Das IMDRF betont außerdem, wie wichtig es ist, die Risiken zu bewältigen, die damit verbunden sind, dass die EOS-Erklärung möglicherweise plötzlich nicht mit dem Gerät selbst synchronisiert wird. In diesem Zusammenhang sollte folgende Vorgehensweise in Betracht gezogen werden:

• Wenn ein einzelner Kommentar innerhalb eines Geräts zu EOL/EOS wird, dient dies als Auslöser dafür, dass ein MDM eine Risikobewertung durchführt, um festzustellen, ob ein Risiko für die Patientensicherheit besteht und wenn ja, welche Art. 
• Wenn es Auswirkungen auf die Patientensicherheit gibt und sich das Gerät in der Support-Phase befindet, sollten MDMs versuchen, das Risiko der nicht unterstützten Komponente durch ein Update oder eine andere Designänderung zu mindern. 
• Wenn es Auswirkungen auf die Patientensicherheit gibt und sich das Gerät in der Phase des eingeschränkten Supports befindet, sollten MDMs versuchen, das Risiko der nicht unterstützten Komponente zu mindern (z. B. durch eine Designänderung oder eine kompensierende Kontrolle). 

Zusammenfassend beschreibt das vorliegende IMDRF-Leitdokument detailliert den Ansatz, der im Rahmen der Risikobewertung anzuwenden ist, und liefert darüber hinaus zusätzliche Erläuterungen zu den Phasen „Limited Support“ und „End of Service“ des gesamten Produktlebenszyklus. Das Dokument betont, wie wichtig es ist, zusätzliche Maßnahmen einzuführen, die erforderlich sind, um die Sicherheit und ordnungsgemäße Leistung eines Medizinprodukts zu gewährleisten, wenn es nicht mehr vom Hersteller unterstützt wird.

Quellen:

https://www.imdrf.org/documents/principles-and-practices-cybersecurity-legacy-medical-devices

Wie kann RegDesk helfen?

RegDesk ist ein ganzheitliches Regulatory Information Management System, das Medizinprodukte- und Pharmaunternehmen mit regulatorischen Informationen für über 120 Märkte weltweit versorgt. Es kann Ihnen helfen, globale Anwendungen vorzubereiten und zu veröffentlichen, Standards zu verwalten, Änderungsbewertungen durchzuführen und über eine zentralisierte Plattform Echtzeitwarnungen zu regulatorischen Änderungen zu erhalten. Unsere Kunden haben auch Zugang zu unserem Netzwerk von über 4000 Compliance-Experten weltweit, um sich bei kritischen Fragen verifizieren zu lassen. Globale Expansion war noch nie so einfach.