IMDRF-richtlijnen voor cyberbeveiliging voor verouderde apparaten: beperkte ondersteuning, einde service en risicobeoordeling | RegDesk

Inhoudsopgave:

Het International Medical Device Regulators Forum (IMDRF), een vrijwillige vereniging van nationale regelgevende autoriteiten op het gebied van medische hulpmiddelen die samenwerken aan de verdere verbetering van het bestaande regelgevingskader, heeft een richtsnoer gepubliceerd dat gewijd is aan cyberbeveiligingskwesties in de context van oudere apparaten. Het document geeft een overzicht van de belangrijkste aspecten waarmee alle betrokken partijen rekening moeten houden, en geeft ook aanvullende aanbevelingen die moeten worden opgevolgd om de blijvende effectiviteit van medische hulpmiddelen en de veiligheid van patiënten te garanderen. Tegelijkertijd is het document zelf niet-bindend in zijn juridische aard, noch is het bedoeld om nieuwe regels in te voeren of nieuwe verplichtingen op te leggen. Bovendien kunnen de daarin gegeven aanbevelingen onderhevig zijn aan wijzigingen, mochten dergelijke wijzigingen redelijkerwijs noodzakelijk zijn omdat de nieuwe informatie beschikbaar komt voor de autoriteiten en het IMDRF. 

Het IMDRF erkent dat sommige van de medische hulpmiddelen die op de markt mogen worden gebracht en gebruikt, daadwerkelijk langer kunnen worden gebruikt dan hun verwachte gebruiksduur, terwijl ze zelfs niet worden ondersteund door de oorspronkelijke fabrikanten. In een dergelijk geval ontvangen ze niet langer updates en beveiligingspatches die bedoeld zijn om nieuwe cyberbedreigingen aan te pakken, wat resulteert in extra cyberveiligheidsrisico's waaraan de personen die dergelijke apparaten gebruiken, worden blootgesteld. De huidige leidraad beschrijft de aanpak die moet worden gevolgd door alle partijen die betrokken zijn bij operaties met medische hulpmiddelen, inclusief fabrikanten van medische hulpmiddelen en zorginstellingen, aangezien cyberbeveiligingsgerelateerde zaken onder de gezamenlijke verantwoordelijkheid van alle partijen vallen. 

Het document beschrijft met name in detail specifieke fasen van de Total Product Life Cycle (TPLC) en belicht de belangrijkste zaken waarmee in elke fase rekening moet worden gehouden vanuit een cyberbeveiligingsperspectief.

Beperkte ondersteuning

Volgens de richtlijnen zijn apparaten binnen de beperkte ondersteuningsfase, de derde fase, de producten die:

1. Worden gebruikt voor het verlenen van patiëntenzorg, en 
2. EOL zijn verklaard door de fabrikant van het medische apparaat en momenteel niet op de markt worden gebracht of verkocht door de betreffende fabrikant van medische apparatuur, of
3. Software, firmware of programmeerbare hardwarecomponenten (bijv. CPU) bevatten die (a) niet worden ondersteund door hun ontwikkelaars en (b) waarvan de risico's voor de veiligheid en effectiviteit van het apparaat worden beperkt, wat resulteert in een apparaat dat redelijkerwijs kan worden beschermd tegen de huidige cyberbeveiligingsbedreigingen . 

Zoals verder uitgelegd door het IMDRF zijn fabrikanten van medische hulpmiddelen in dit stadium nog steeds verantwoordelijk voor het waar mogelijk aanpakken van cyberbedreigingen. Als het voor de oorspronkelijke fabrikant bijvoorbeeld niet haalbaar zou zijn om updates te ontwikkelen, zouden compatibele producten van derden kunnen worden gebruikt. 

Tijdens deze fase is het apparaat sterk afhankelijk van beveiligingsmaatregelen en -controles die door het ontwerp zijn ingebouwd. Tegelijkertijd moet de oorspronkelijke productfabrikant gebruikers naar behoren informeren over eventuele beperkingen of bedreigingen die nog kunnen bestaan, en ook informatie communiceren over aanvullende beveiligingsmaatregelen die moeten worden genomen. In vergelijking met de producten in de tweede fase vereisen de apparaten die zich in de derde fase bevinden vaak extra compenserende controles.

Einde dienst

De vierde fase – End of Service (EOS) – is van toepassing op medische hulpmiddelen die:

• In gebruik zijn voor het verlenen van patiëntenzorg, en
• door de fabrikant van het medische apparaat EOS zijn verklaard en momenteel niet op de markt worden gebracht of verkocht door de betreffende fabrikant van medische apparatuur, of
• Software, firmware of programmeerbare hardwarecomponenten (bijv. CPU) bevatten die (a) niet worden ondersteund door hun ontwikkelaars en (b) waarvan de risico's voor de veiligheid en effectiviteit van het apparaat niet worden beperkt, wat resulteert in een apparaat dat redelijkerwijs niet kan worden beschermd tegen de huidige cyberbeveiliging gevaren. 

Er wordt ook gesteld dat fabrikanten van medische apparatuur de gebruikers moeten informeren dat het apparaat in kwestie niet langer wordt ondersteund, en ook informatie moeten communiceren over potentiële risico's en manieren waarop deze kunnen worden beperkt.

Risicobeoordeling

Het document beschrijft ook de aanpak die moet worden toegepast met betrekking tot het beoordelen van risico's om een ​​transitie naar verschillende levenscyclusfasen op gang te brengen. In het bijzonder vermeldt het IMDRF dat de data waarop EOS wordt bereikt voor een medisch apparaat en de softwarecomponenten ervan kunnen verschillen – bijvoorbeeld: een softwarecomponent van een derde partij kan willens en wetens een kortere ondersteunde levensduur hebben wanneer het apparaat wordt verkocht of kan plotseling niet-ondersteund worden verklaard jaren voordat de fabrikant van het medische apparaat de Einde-servicedatum heeft aangekondigd. In gevallen waarin de ondersteuning van een door een derde partij ontwikkelde softwarecomponent vooraf bekend is, moet de fabrikant dus plannen ontwikkelen die de risico's dekken die zich in dit verband voordoen. Het IMDRF benadrukt bovendien het belang van het beheersen van de risico's die gepaard gaan met een mogelijke plotselinge EOS-aangifte die niet wordt gesynchroniseerd met het apparaat zelf. In dit verband moet de volgende aanpak worden overwogen:

• Als een enkele opmerking binnen een apparaat EOL/EOS wordt, dient dit als trigger voor een MDM om een ​​risicobeoordeling uit te voeren om te bepalen of er sprake is van een risico voor de patiëntveiligheid, en zo ja, welk risico. 
• Als er gevolgen zijn voor de patiëntveiligheid en het apparaat zich in de ondersteuningsfase bevindt, moeten MDM's proberen het risico van het niet-ondersteunde onderdeel te beperken via een update of andere ontwerpwijziging. 
• Als er gevolgen zijn voor de patiëntveiligheid en het apparaat zich in de fase van beperkte ondersteuning bevindt, moeten MDM's proberen het risico van het niet-ondersteunde onderdeel te beperken (bijvoorbeeld via een ontwerpwijziging of compenserende controle). 

Samenvattend beschrijft het huidige IMDRF-leidraaddocument in detail de aanpak die moet worden toegepast in de context van risicobeoordeling en biedt het ook aanvullende verduidelijkingen met betrekking tot de fasen “Beperkte ondersteuning” en “End of Service” van de totale productlevenscyclus. Het document benadrukt het belang van het introduceren van aanvullende maatregelen die nodig zijn om de veiligheid en goede werking van een medisch hulpmiddel te garanderen wanneer dit niet langer door de fabrikant wordt ondersteund.

Bronnen:

https://www.imdrf.org/documents/principles-and-practices-cybersecurity-legacy-medical-devices

Hoe kan RegDesk helpen?

RegDesk is een holistisch Regulatory Information Management System dat medische hulpmiddelen en farmaceutische bedrijven voorziet van regelgevende informatie voor meer dan 120 markten wereldwijd. Het kan u helpen bij het voorbereiden en publiceren van wereldwijde applicaties, het beheren van standaarden, het uitvoeren van wijzigingsbeoordelingen en het verkrijgen van real-time waarschuwingen over wijzigingen in de regelgeving via een gecentraliseerd platform. Onze klanten hebben ook toegang tot ons netwerk van meer dan 4000 compliance-experts wereldwijd om verificatie te verkrijgen op kritieke vragen. Wereldwijde expansie is nog nooit zo eenvoudig geweest.