Welche Cybersecurity-Anforderungen gelten für vernetzte Medizinsoftware?

Cybersecurity ist eine Produkteigenschaft

Bei vernetzter Medizinsoftware kann ein Angriff nicht nur Vertraulichkeit betreffen, sondern Diagnose, Therapie oder Verfügbarkeit beeinflussen. Deshalb gehört Cybersecurity in die Sicherheits- und Leistungsbewertung des Medizinprodukts. MDR-Anhang I Nummer 17.2 verlangt für softwarehaltige Produkte einen Entwicklungs- und Herstellungsprozess nach dem Stand der Technik, der Softwarelebenszyklus, Risikomanagement einschließlich Informationssicherheit sowie Verifikation und Validierung berücksichtigt.

Nach Nummer 17.4 muss der Hersteller Mindestanforderungen an Hardware, IT-Netze und IT-Sicherheitsmaßnahmen festlegen, die für den bestimmungsgemäßen Betrieb nötig sind. Diese Anforderungen müssen so bereitgestellt werden, dass Betreiber das Produkt sicher installieren, konfigurieren und betreiben können. Cybersecurity ist damit eine geteilte Verantwortung, aber der Hersteller darf wesentliche Voraussetzungen nicht stillschweigend auf den Betreiber verlagern.

Sicherer Lebenszyklus

MDCG 2019-16 Rev. 1 und IEC 81001-5-1:2021 führen zu einem risikobasierten Prozess mit unter anderem:

• Sicherheitsanforderungen und Bedrohungsmodell für Produkt, Schnittstellen und Lieferkette,
• sichere Architektur mit minimalen Rechten, Trennung kritischer Funktionen und abgesicherten Standardwerten,
• kontrollierte Fremdkomponenten und nachvollziehbare Softwarezusammensetzung,
• Codeprüfung, statische und dynamische Analysen sowie risikobasierte Penetrationstests,
• starke Authentisierung, Autorisierung, Verschlüsselung und manipulationsgeschützte Protokollierung,
• signierte oder anderweitig authentisierte Updates mit sicherem Rollback,
• Schwachstellenannahme, Bewertung, koordinierte Offenlegung und zeitgerechte Fehlerbehebung,
• Überwachung nach dem Inverkehrbringen und Rückkopplung in Risikoakte und klinische Bewertung.

Eine Komponentenliste beziehungsweise SBOM unterstützt die schnelle Bewertung neu veröffentlichter Schwachstellen, ersetzt aber weder Bedrohungsanalyse noch Prüfung der tatsächlichen Erreichbarkeit und Auswirkung. Ein CVSS-Wert allein entscheidet nicht über das medizinische Risiko; entscheidend ist, ob und wie eine Schwachstelle in der konkreten Produktarchitektur Patientensicherheit oder wesentliche Leistung beeinträchtigen kann.

Betriebsvoraussetzungen klar angeben

Zur Produktinformation gehören unterstützte Betriebssysteme, Netzwerksegmentierung, Ports und Protokolle, Rollenmodell, Backup- und Wiederanlaufanforderungen, Logging, Patchprozess sowie das Verhalten bei Verbindungs- oder Integritätsverlust. Für Cloud- und Fernwartungszugänge sind Verantwortlichkeiten, Schlüsselverwaltung und Reaktionswege festzulegen.

IEC 81001-5-1:2021 beschreibt Sicherheitsaktivitäten im Lebenszyklus von Gesundheitssoftware; ISO 81001-1:2021 ordnet Sicherheit, Wirksamkeit und Security als gemeinsam auszubalancierende Schlüsseleigenschaften ein. Welche Kontrollen ausreichend sind, muss für Zweckbestimmung, Exposition und Schadenspotenzial des konkreten Produkts begründet werden.