Rechtliche Grundlagen Anforderungen an die Cybersicherheit von Medizinprodukten

Anbieter zum Thema

SKW Schwarz Rechtsanwaltskanzlei

KUMAVISION AG

Metecon GmbH

Codialist GmbH

Miteinander vernetzte Medizinprodukte bieten wichtige Vorteile für die Patientenversorgung. Diese Technologien sind allerdings auch anfälliger für Cyberangriffe. Deshalb sollten Hersteller von Medizinprodukten Sicherheitsmaßnahmen nicht mehr nur als technische, sondern auch als zentrale rechtliche Anforderung verstehen. Ein Überblick.

Anforderungen an die Cybersicherheit von Medizinprodukten ergeben sich primär aus der Medizinprodukte-Verordnung (engl. Medical Device Regulation, kurz MDR), der Datenschutz-Grundverordnung (DS-GVO) und künftig, sofern das Medizinprodukt KI-Elemente beinhaltet, auch aus der KI-Verordnung (KI-VO). Nachfolgend ein Überblick.

Die MDR

Die MDR definiert an mehreren Stellen Anforderungen an die Cybersicherheit von Medizinprodukten. Gemäß Art. 5 Abs. 2 MDR muss ein Produkt unter Berücksichtigung seiner Zweckbestimmung den in Anhang I der MDR festgelegten Sicherheits- und Leistungsanforderungen genügen. Demnach müssen Produkte über den gesamten Lebenszyklus hinweg so konzipiert sein, dass sie „sicher und wirksam“ sind und „weder den klinischen Zustand und die Sicherheit der Patienten noch die Sicherheit und die Gesundheit der Anwender gefährden“. Dabei hat sich der Hersteller am „allgemein anerkannten Stand der Technik“ zu orientieren. Anhang I Abschnitt 14.2. lit. (d) MDR schreibt zudem vor, dass Produkte so entwickelt werden müssen, dass Risiken im Zusammenhang mit möglichen negativen Wechselwirkungen zwischen Software und der IT-Umgebung, in der sie eingesetzt wird und mit der sie interagiert, so weit wie möglich reduziert werden. Ferner hat der Hersteller nach Anhang I Abschnitt 17.4. MDR Mindestanforderungen bezüglich Eigenschaften von IT-Netzen und IT-Sicherheitsmaßnahmen einschließlich des Schutzes vor unbefugtem Zugriff festzulegen, die für den bestimmungsgemäßen Einsatz der Software erforderlich sind.