IMDRF zur Cybersicherheit für Legacy-Geräte (Supportphase – Kommunikation) – RegDesk

Inhaltsverzeichnis:

Das International Medical Device Regulators Forum (IMDRF), ein Zusammenschluss nationaler Regulierungsbehörden, die an der weiteren Verbesserung des bestehenden Regulierungsrahmens zusammenarbeiten, hat ein Leitliniendokument veröffentlicht, das sich den Grundsätzen und Praktiken für die Cybersicherheit älterer medizinischer Geräte widmet – also derjenigen, die es nicht mehr gibt werden nicht mehr von ihren ursprünglichen Herstellern unterstützt – da solche Produkte besonders anfällig für Cybersicherheitsbedrohungen sein könnten, weil sie während der Verwendung keine Updates und Patches erhalten. Das Dokument hebt die wichtigsten Punkte hervor, die von Herstellern medizinischer Geräte sowie von medizinischem Fachpersonal berücksichtigt werden müssen, um die ordnungsgemäße Leistung älterer medizinischer Geräte und die Sicherheit der Patienten sicherzustellen. Gleichzeitig sind die Bestimmungen der Leitlinien rechtlich nicht bindend und dienen auch nicht dazu, neue Regeln einzuführen oder neue Verpflichtungen aufzuerlegen. Das IMDRF hebt auch das Recht auf, die darin enthaltenen Leitlinien und Empfehlungen zu ändern, falls solche Änderungen vernünftigerweise notwendig sind, um die an den zugrunde liegenden Vorschriften vorgenommenen Änderungen widerzuspiegeln, oder wenn neue Informationen verfügbar werden. 

Es ist auch wichtig zu erwähnen, dass Fragen der Cybersicherheit in der gemeinsamen Verantwortung aller an Einsätzen mit medizinischen Geräten beteiligten Parteien liegen und daher eine effiziente Zusammenarbeit von entscheidender Bedeutung ist. 

Das Dokument beschreibt detailliert die wichtigsten Überlegungen zu jeder spezifischen Phase des gesamten Produktlebenszyklus (TPLC). Der vorliegende Artikel widmet sich denjenigen im Zusammenhang mit der Phase des Support-Lebenszyklus und skizziert die Hauptverantwortlichkeiten der beteiligten Parteien sowie die entsprechenden Erwartungen.

Kommunikation: Allgemein

Das Dokument beschreibt zunächst den Ansatz, der in Bezug auf die Kommunikation anzuwenden ist. Wie bereits erwähnt, ist die Kommunikation von entscheidender Bedeutung, um die Cybersicherheit zu gewährleisten und den entsprechenden Bedrohungen standzuhalten. Das Dokument betont außerdem, wie wichtig es ist, sicherzustellen, dass die gesamte Kommunikation während der Support-Phase umfassend ist. Dem Leitfaden zufolge sollte jeder am Umgang mit Medizinprodukten beteiligte Beteiligte als allerersten Schritt damit beginnen, den Umfang der erforderlichen Dokumentation und Informationen sowie den richtigen Zeitpunkt für deren Einholung festzulegen. Sobald diese Anforderungen festgelegt sind, sollten sie den anderen Beteiligten mitgeteilt und mit ihnen vereinbart werden. Die Leitlinien enthalten allgemeine Empfehlungen, die berücksichtigt werden sollten, während der spezifische Ansatz, der angewendet werden soll, von Fall zu Fall festgelegt werden sollte.

Empfehlungen: Hersteller medizinischer Geräte

Das IMDRF beginnt mit der Darlegung der Empfehlungen, die von Herstellern medizinischer Geräte befolgt werden müssen. Letzteres sollte laut Anleitung:

1. Bereitstellung einer Produktsicherheitsdokumentation, die von anderen Parteien vernünftigerweise benötigt wird, um die Sicherheit und ordnungsgemäße Leistung des betreffenden Medizinprodukts bei bestimmungsgemäßer Verwendung zu gewährleisten, wobei auch risikobezogene Aspekte abgedeckt werden. Gemäß den Leitlinien kann eine geeignete Dokumentation Folgendes umfassen:
1. Offenlegungserklärung des Herstellers zur Sicherheit medizinischer Geräte (MDS2);
2. Software-Stückliste (SBOM);
3. Zusammenfassungen von Sicherheitstestberichten, Sicherheitszertifizierungen Dritter oder Ähnliches;
4. Kundensicherheitsdokumentation (z. B. technische Anweisungen zur Gewährleistung einer sicheren Bereitstellung, eines sicheren Betriebs und einer sicheren Wartung, einschließlich Informationen zu den Schnittstellen, Kommunikationsprotokollen und Netzwerk-, Cloud- oder Kommunikationsabhängigkeiten für das System).  
2. Stellen Sie eine Dokumentation zum Produktlebenszyklus bereit, die sich auf wichtige Meilensteine ​​bezieht, die sich auf den Status des Geräts auswirken (z. B. das Datum, an dem der aktuelle Support eingestellt wird), sowie Einzelheiten zu den Installationsverfahren. Darüber hinaus wird in den Leitlinien betont, wie wichtig es ist, Informationen so weit wie möglich im Voraus bereitzustellen – die Zahl von zwei Jahren dient als Referenz auf der Grundlage der aktuellen Praxis. Von den Herstellern medizinischer Geräte wird insbesondere erwartet, dass sie Informationen zu Folgendem bereitstellen:

• Betroffenes Gerät,

• Das/die Betriebssystem(e) des Geräts,

• Die Version des bereitgestellten Geräts,

• Identifizierung von Softwarekomponenten,

• Voraussichtliches Datum der Serviceänderungen,

• Der Umfang aller verfügbaren Wartungsarbeiten nach diesen Änderungen,

• Zusätzliche Ausgleichskontrollen. 

1. Stellen Sie relevante, aktualisierte Produktsicherheits- und Lebenszyklusdokumentationen bereit. Das IMDRF erkennt an, dass die sicherheitsrelevante Dokumentation während des Lebenszyklus des Produkts Änderungen unterliegen kann. Um sicherzustellen, dass die wichtigen Änderungen allen Beteiligten ordnungsgemäß mitgeteilt werden, ist der Hersteller des Medizinprodukts für die Herausgabe und Verbreitung der Aktualisierungen (möglicherweise in elektronischer Form) verantwortlich, in denen der zur Bewältigung der neu identifizierten Risiken anzuwendende Ansatz beschrieben wird. 
2. Geben Sie Informationen zu Schwachstellen und Patches an. Sobald eine neue Schwachstelle entdeckt wird, ist der Hersteller medizinischer Geräte gemäß den Leitlinien dafür verantwortlich, die relevanten Informationen bereitzustellen und Einzelheiten darüber anzugeben, wie die Schwachstelle erfolgreich gemindert werden könnte. Wie vom IMDRF weiter erläutert, Es wird erwartet, dass Schwachstellen mit hohem Risiko, bei denen eine rechtzeitige Kommunikation erforderlich ist, um Patientenschäden oder Gerätestörungen zu verhindern, hohe Priorität eingeräumt werden sollte. Darüber hinaus sollten den Gerätebetreibern die Abhilfemethode (z. B. Over-Air-Update, Einsatz von Servicepersonal zur Installation) und Umsetzungsinstrumente zur Verfügung gestellt werden. 
3. Bieten Sie proaktive Kommunikation für Komponenten von Drittanbietern. Manchmal erreichen die für das Gerät verwendeten Komponenten vor dem Gesamtgerät das Ende der Unterstützung, was zusätzliche Risiken aufgrund der mangelnden Unterstützung für diese Komponenten mit sich bringt. Um solchen Risiken zu begegnen, sollten Hersteller medizinischer Geräte:

• Verfolgen Sie den Supportstatus der in Ihrem Gerät verwendeten Drittanbieterkomponenten.

• Bewerten Sie die Risiken, die bestehen können, wenn diese Drittanbieterkomponenten nicht mehr unterstützt werden.

• Informieren Sie Gesundheitsdienstleister über neue Risiken und mögliche Abhilfemaßnahmen. 

Neben den oben genannten Aspekten sind Medizinproduktehersteller auch dafür verantwortlich, den Patienten wichtige Informationen über die Phasen des Produktlebenszyklus zu vermitteln. 

Empfehlungen: Gesundheitsdienstleister

Das Dokument beschreibt außerdem die Empfehlungen, die von Gesundheitsdienstleistern befolgt werden müssen, die medizinische Geräte während und nach Ablauf ihres vorgesehenen Verwendungszeitraums verwenden. Den Leitlinien zufolge sollten Gesundheitsdienstleister in Bezug auf die Unterstützungsphase Folgendes tun:

1. Identifizieren Sie den Informationsbedarf für alle von ihnen verwendeten Produkte. 
2. Pre-Procurement Communications – Anfordern wichtiger Informationen für Medizingerätehersteller im Vorfeld, bevor das Gerät beschafft wird. 

Zusammenfassend werden in der vorliegenden IMDRF-Leitlinie die wichtigsten Überlegungen im Zusammenhang mit der Supportphase des gesamten Produktlebenszyklus dargelegt. Das Dokument beleuchtet die wichtigsten Aspekte und beschreibt zudem die Verantwortlichkeiten aller Beteiligten.

Quellen:

https://www.imdrf.org/documents/principles-and-practices-cybersecurity-legacy-medical-devices

Wie kann RegDesk helfen?

RegDesk ist ein ganzheitliches Regulatory Information Management System, das Medizinprodukte- und Pharmaunternehmen mit regulatorischen Informationen für über 120 Märkte weltweit versorgt. Es kann Ihnen helfen, globale Anwendungen vorzubereiten und zu veröffentlichen, Standards zu verwalten, Änderungsbewertungen durchzuführen und über eine zentralisierte Plattform Echtzeitwarnungen zu regulatorischen Änderungen zu erhalten. Unsere Kunden haben auch Zugang zu unserem Netzwerk von über 4000 Compliance-Experten weltweit, um sich bei kritischen Fragen verifizieren zu lassen. Globale Expansion war noch nie so einfach.