IMDRF over cyberbeveiliging voor oudere apparaten (ondersteuningsfase – communicatie) – RegDesk

Inhoudsopgave:

Het International Medical Device Regulators Forum (IMDRF), een vereniging van nationale regelgevende autoriteiten die samenwerken aan de verdere verbetering van het bestaande regelgevingskader, heeft een richtsnoer gepubliceerd dat gewijd is aan de principes en praktijken voor de cyberbeveiliging van oudere medische apparaten – de apparaten die niet meer bestaan. langer ondersteund door hun oorspronkelijke fabrikanten – omdat dergelijke producten bijzonder kwetsbaar kunnen zijn voor cyberbeveiligingsbedreigingen omdat ze geen updates en patches ontvangen terwijl ze nog in gebruik zijn. Het document belicht de belangrijkste punten waarmee fabrikanten van medische hulpmiddelen en beroepsbeoefenaren in de gezondheidszorg rekening moeten houden om de goede prestaties van oudere medische hulpmiddelen en de veiligheid van patiënten te garanderen. Tegelijkertijd zijn de bepalingen van de richtsnoeren niet-bindend in hun juridische aard, noch zijn zij bedoeld om nieuwe regels in te voeren of nieuwe verplichtingen op te leggen. Het IMDRF herroept ook het recht om de daarin gegeven richtlijnen en aanbevelingen te wijzigen, mochten dergelijke wijzigingen redelijkerwijs noodzakelijk zijn om de wijzigingen weer te geven die in de onderliggende regelgeving zijn geïntroduceerd of als de nieuwe informatie beschikbaar komt. 

Het is ook belangrijk om te vermelden dat cyberveiligheidskwesties onder de gedeelde verantwoordelijkheid vallen van alle partijen die betrokken zijn bij operaties met medische hulpmiddelen, en dus is hun efficiënte samenwerking van cruciaal belang. 

Het document beschrijft in detail de belangrijkste overwegingen met betrekking tot elke specifieke fase van de totale productlevenscyclus (TPLC). Dit artikel is gewijd aan de onderwerpen die verband houden met de Support Life Cycle Stage en schetst de belangrijkste verantwoordelijkheden van de betrokken partijen, evenals de relevante verwachtingen.

Communicatie: Algemeen

Allereerst beschrijft het document de te hanteren aanpak op het gebied van communicatie. Zoals eerder vermeld, is communicatie van cruciaal belang om de cyberveiligheid te garanderen en de relevante bedreigingen het hoofd te bieden. Het document benadrukt bovendien het belang om ervoor te zorgen dat alle communicatie tijdens de ondersteuningsfase alomvattend is. Volgens de richtlijnen zou elke partij die betrokken is bij operaties met medische hulpmiddelen als allereerste stap moeten beginnen met het bepalen van de omvang van de documentatie en informatie die zij nodig heeft, evenals het juiste tijdstip waarop deze moet worden verkregen. Zodra deze vereisten zijn vastgesteld, moeten deze worden gecommuniceerd aan en overeengekomen met andere betrokken partijen. De richtsnoeren geven algemene aanbevelingen die in overweging moeten worden genomen, terwijl de specifieke aanpak die moet worden toegepast van geval tot geval moet worden bepaald.

Aanbevelingen: Fabrikanten van medische apparatuur

Het IMDRF begint met het schetsen van de aanbevelingen die fabrikanten van medische hulpmiddelen moeten volgen. Volgens de richtlijnen moet laatstgenoemde:

1. Productbeveiligingsdocumentatie verstrekken die andere partijen redelijkerwijs nodig hebben om de veiligheid en goede werking van het medische hulpmiddel in kwestie te garanderen wanneer het voor het beoogde doel wordt gebruikt, waarbij ook de risicogerelateerde zaken worden behandeld. Volgens de richtlijnen kan de juiste documentatie het volgende omvatten:
1. Verklaring van de fabrikant voor de beveiliging van medische hulpmiddelen (MDS2);
2. Software stuklijst (SBOM);
3. Samenvattingen van beveiligingstestrapporten, beveiligingscertificeringen van derden of iets dergelijks;
4. Klantbeveiligingsdocumentatie (bijv. technische instructies om veilige implementatie, bediening en onderhoud te garanderen, inclusief informatie over de interfaces, communicatieprotocollen en netwerk-, cloud- of communicatieafhankelijkheden voor het systeem).  
2. Zorg voor productlevenscyclusdocumentatie – die betrekking heeft op belangrijke mijlpalen die van invloed zijn op de status van het apparaat (bijvoorbeeld de datum waarop de huidige ondersteuning stopt), evenals de details over installatieprocedures. De leidraad benadrukt bovendien het belang van het verstrekken van informatie zo lang mogelijk van tevoren – het aantal van twee jaar wordt gegeven als referentie op basis van de huidige praktijken. Van fabrikanten van medische hulpmiddelen wordt met name verwacht dat zij informatie verstrekken met betrekking tot:

• Betrokken apparaat,

• Het besturingssysteem van het apparaat,

• De versie van het geïmplementeerde apparaat,

• Identificatie van softwarecomponenten,

• Verwachte datum van servicewijzigingen,

• De omvang van eventueel beschikbaar onderhoud na deze wijzigingen,

• Extra compenserende controles. 

1. Verstrek relevante bijgewerkte productbeveiligings- en levenscyclusdocumentatie. Het IMDRF erkent dat veiligheidsgerelateerde documentatie onderhevig kan zijn aan veranderingen gedurende de levenscyclus van het product. Om ervoor te zorgen dat de belangrijke wijzigingen naar behoren aan alle betrokken partijen worden gecommuniceerd, is de fabrikant van medische hulpmiddelen verantwoordelijk voor het uitgeven en verspreiden van de updates (eventueel in elektronische vorm) waarin de aanpak wordt beschreven die moet worden toegepast om de nieuw geïdentificeerde risico's aan te pakken. 
2. Geef informatie over kwetsbaarheden en patches. Volgens de richtlijnen is een fabrikant van medische apparatuur, zodra een nieuwe kwetsbaarheid wordt ontdekt, verantwoordelijk voor het verstrekken van de relevante informatie, evenals voor de details over de manier waarop de genoemde kwetsbaarheid met succes kan worden verholpen. Zoals verder uitgelegd door het IMDRF, er wordt verwacht dat hoge prioriteit moet worden gegeven aan kwetsbaarheden met een hoog risico waarbij tijdige communicatie vereist is om schade aan de patiënt of verstoring van apparatuur te voorkomen; Daarnaast moeten de mitigatiemethode (bijv. update via de ether, inzet van onderhoudspersoneel voor de installatie) en implementatie-instrumenten aan de exploitanten van de apparatuur worden verstrekt. 
3. Zorg voor proactieve communicatie voor componenten van derden. Soms bereiken de componenten die voor het apparaat worden gebruikt eerder het einde van de ondersteuning dan de algehele apparaten, wat extra risico's met zich meebrengt vanwege het gebrek aan ondersteuning voor dergelijke componenten. Om dergelijke risico's aan te pakken, moeten fabrikanten van medische hulpmiddelen:

• Volg de ondersteuningsstatus van de componenten van derden die op hun apparaat worden gebruikt;

• Beoordeel de risico's die kunnen bestaan ​​als en wanneer deze componenten van derden niet meer worden ondersteund;

• Communiceer nieuwe risico's en eventuele beschikbare oplossingen aan zorgverleners. 

Naast de bovengenoemde aspecten zijn fabrikanten van medische hulpmiddelen ook verantwoordelijk voor het communiceren van belangrijke informatie over de levenscyclusfasen van producten aan patiënten. 

Aanbevelingen: Zorgaanbieders

Het document schetst ook de aanbevelingen die moeten worden gevolgd door zorgverleners die medische hulpmiddelen gebruiken tijdens en na het verstrijken van de beoogde gebruiksperiode. Volgens de richtlijnen moeten zorgaanbieders met betrekking tot de ondersteuningsfase:

1. Identificeer informatiebehoeften voor alle producten die ze gebruiken. 
2. Pre-aankoopcommunicatie – het vooraf opvragen van belangrijke informatie voor fabrikanten van medische apparatuur, voordat het apparaat wordt aangeschaft. 

Samenvattend schetst de huidige IMDRF-richtlijn de belangrijkste overwegingen met betrekking tot de ondersteuningsfase van de totale productlevenscyclus. Het document belicht de belangrijkste aspecten en beschrijft tevens de verantwoordelijkheden van alle betrokken partijen.

Bronnen:

https://www.imdrf.org/documents/principles-and-practices-cybersecurity-legacy-medical-devices

Hoe kan RegDesk helpen?

RegDesk is een holistisch Regulatory Information Management System dat medische hulpmiddelen en farmaceutische bedrijven voorziet van regelgevende informatie voor meer dan 120 markten wereldwijd. Het kan u helpen bij het voorbereiden en publiceren van wereldwijde applicaties, het beheren van standaarden, het uitvoeren van wijzigingsbeoordelingen en het verkrijgen van real-time waarschuwingen over wijzigingen in de regelgeving via een gecentraliseerd platform. Onze klanten hebben ook toegang tot ons netwerk van meer dan 4000 compliance-experts wereldwijd om verificatie te verkrijgen op kritieke vragen. Wereldwijde expansie is nog nooit zo eenvoudig geweest.