IMDRF-vägledning om cybersäkerhet för äldre enheter: Begränsat stöd, slut på tjänsten och riskbedömning | RegDesk

Innehållsförteckning:

International Medical Device Regulators Forum (IMDRF), en frivillig sammanslutning av nationella reglerande myndigheter inom området för medicinsk utrustning som samarbetar för att ytterligare förbättra det befintliga regelverket, har publicerat ett vägledningsdokument tillägnat cybersäkerhetsfrågor i samband med äldre enheter. Dokumentet ger en översikt över de viktigaste aspekterna som ska beaktas av alla inblandade parter, och ger även ytterligare rekommendationer som ska följas för att säkerställa fortsatt effektivitet hos medicintekniska produkter samt patienters säkerhet. Samtidigt är själva dokumentet icke bindande till sin rättsliga karaktär, och är inte heller avsett att införa nya regler eller införa nya skyldigheter. Dessutom kan rekommendationer som ges där bli föremål för ändringar, om sådana ändringar rimligen skulle vara nödvändiga på grund av att den nya informationen blir tillgänglig för myndigheterna och IMDRF. 

IMDRF erkänner att vissa av de medicintekniska produkterna som får marknadsföras och användas faktiskt kan användas längre än deras förväntade livslängd, även om de inte ens stöds av deras ursprungliga tillverkare. I ett sådant fall får de inte längre uppdateringar och säkerhetskorrigeringar avsedda att hantera nya cybersäkerhetshot som uppstår, vilket resulterar i ytterligare cybersäkerhetsrisker som personer som använder sådana enheter utsätts för. Denna vägledning beskriver det tillvägagångssätt som ska följas av alla parter som är inblandade i verksamhet med medicintekniska produkter inklusive både medicintekniska tillverkare och vårdinstitutioner, eftersom cybersäkerhetsrelaterade frågor ligger inom alla parters gemensamma ansvar. 

I synnerhet beskriver dokumentet i detalj specifika stadier av den totala produktlivscykeln (TPLC) och belyser de viktigaste frågorna som ska beaktas i varje steg ur ett cybersäkerhetsperspektiv.

Begränsad support

Enligt vägledningen är enheter inom Limited Support Stage, som är det tredje steget, de produkter som:

1. Används för att ge patientvård, och 
2. har deklarerats EOL av tillverkaren av medicintekniska produkter och för närvarande inte marknadsförs eller säljs av deras respektive medicintekniska tillverkare, eller
3. Innehåller programvara, fast programvara eller programmerbara hårdvarukomponenter (t.ex. CPU) som (a) inte stöds av deras utvecklare och (b) vars risker för enhetens säkerhet och effektivitet minskas vilket resulterar i en enhet som rimligen kan skyddas mot aktuella cybersäkerhetshot . 

Som ytterligare förklaras av IMDRF är tillverkare av medicintekniska produkter fortfarande ansvariga för att ta itu med cybersäkerhetshot när det är möjligt. Om det till exempel inte skulle vara möjligt för den ursprungliga tillverkaren att utveckla uppdateringar, kan kompatibla tredjepartsprodukter användas. 

Under detta skede förlitar enheten sig mycket på säkerhetsåtgärder och kontroller som ingår i designen. Samtidigt bör den ursprungliga produkttillverkaren vederbörligen informera användarna om eventuella begränsningar eller hot som fortfarande kan existera, och även kommunicera information om ytterligare säkerhetsåtgärder som ska vidtas. I jämförelse med produkterna i det andra steget kräver enheterna som är i det tredje steget ofta ytterligare kompenserande kontroller.

Service slut

Det fjärde steget – End of Service (EOS) – gäller medicinsk utrustning som:

• Används för att tillhandahålla patientvård, och
• har deklarerats som EOS av tillverkaren av medicintekniska produkter och för närvarande inte marknadsförs eller säljs av deras respektive medicintekniska tillverkare, eller
• Innehåller programvara, fast programvara eller programmerbara hårdvarukomponenter (t.ex. CPU) som (a) inte stöds av deras utvecklare och (b) vars risker för enhetens säkerhet och effektivitet inte minskas vilket resulterar i en enhet som inte rimligen kan skyddas mot nuvarande cybersäkerhet hot. 

Det anges också att tillverkare av medicintekniska produkter bör informera användarna om att produkten i fråga inte längre kommer att stödjas, och även kommunicera information om potentiella risker och sätt att minska dem.

Riskbedömning

Dokumentet beskriver också det tillvägagångssätt som ska tillämpas med avseende på riskbedömning för att utlösa en övergång till olika livscykelstadier. IMDRF nämner särskilt att datumen när EOS nås för en medicinsk anordning och dess mjukvarukomponenter kan vara olika – till exempel, en programvarukomponent från tredje part kan medvetet ha en kortare stödd livslängd när enheten säljs eller kan plötsligt förklaras ostödd år innan tillverkaren av medicintekniska produkter meddelade slutdatumet för tjänsten. I de fall då stödet för en mjukvarukomponent som utvecklats av en tredje part är känt i förväg, bör tillverkaren därför utarbeta planer som täcker de risker som uppstår i detta avseende. IMDRF betonar dessutom vikten av att hantera riskerna förknippade med att potentiell plötslig EOS-deklaration inte synkroniseras med själva enheten. I detta avseende bör följande tillvägagångssätt övervägas:

• Om en enskild kommentar inom en enhet blir EOL/EOS, fungerar detta som en trigger för en MDM att utföra en riskbedömning för att avgöra om patientsäkerhetsrisk uppstår, och i så fall vilken typ. 
• Om det finns effekter på patientsäkerheten och enheten är i supportstadiet, bör MDM:er försöka minska risken för den ostödda komponenten via en uppdatering eller annan designändring. 
• Om det finns effekter på patientsäkerheten och enheten befinner sig i det begränsade supportstadiet, bör MDM:er försöka minska risken för den ostödda komponenten (t.ex. genom en designändring eller kompenserande kontroll). 

Sammanfattningsvis beskriver detta IMDRF-vägledningsdokument i detalj det tillvägagångssätt som ska tillämpas i samband med riskbedömning och ger också ytterligare förtydliganden angående stadierna "Begränsad support" och "Slutet av tjänsten" i produktens totala livscykel. Dokumentet betonar vikten av att införa ytterligare åtgärder som är nödvändiga för att säkerställa säkerheten och korrekt prestanda för en medicinteknisk produkt när den inte längre stöds av tillverkaren.

Källor:

https://www.imdrf.org/documents/principles-and-practices-cybersecurity-legacy-medical-devices

Hur kan RegDesk hjälpa till?

RegDesk är ett holistiskt Regulatory Information Management System som förser medicintekniska produkter och läkemedelsföretag med regulatorisk intelligens för över 120 marknader över hela världen. Det kan hjälpa dig att förbereda och publicera globala applikationer, hantera standarder, köra förändringsbedömningar och få realtidsvarningar om regulatoriska förändringar via en centraliserad plattform. Våra kunder har också tillgång till vårt nätverk av över 4000 efterlevnadsexperter över hela världen för att få verifiering i kritiska frågor. Global expansion har aldrig varit så enkelt.