IT-Sicherheit Cybersecurity forever

Anbieter zum Thema

embeX GmbH

Prosmap · Medical Product Platform

Codialist GmbH

Nicht nur bei der Entwicklung von vernetzten Medizinprodukten muss auf die Cybersicherheit geachtet werden. Auch Produkte im Feld müssen gegen Hacker geschützt werden. Dieses Thema wird von Medizintechnik-Herstellern allerdings noch eher stiefmütterlich behandelt. Sicherheitsteams, die so genannten Product Security Incident Response Teams, sorgen für die Überwachung der Cybersecurity, reagieren auf erkannte Schwachstellen und koordinieren die Betreuung der betroffenen Produkte im Feld.

Medizintechnikhersteller machen es Hackern leicht: Das FBI hat jüngst eine zunehmende Zahl von Sicherheitslücken festgestellt, die durch nicht gepatchte, mit veralteter Software betriebene medizinische Geräte oder durch Geräte mit unzureichenden Sicherheitsfunktionen entstehen. Im Januar 2022 wiesen demnach 53 Prozent der vernetzten medizinischen Geräte und anderer in Krankenhäusern genutzter IoT-Geräte bekannte kritische Schwachstellen auf, so das FBI. „Ungefähr ein Drittel der IoT-Geräte im Gesundheitswesen weisen ein identifiziertes kritisches Risiko auf, das den technischen Betrieb und die Funktionen medizinischer Geräte beeinträchtigen könnte“, heißt es in einer Mitteilung an die Privatwirtschaft.

Da die aus diesem Missstand abgeleiteten Forderungen des FBI inhaltlich bereits weitgehend in der FDA Guidance zur Premarket Cybersecurity aus dem April 2022 enthalten sind, wird es dadurch wohl zu keiner weitergehenden Regulierung kommen. Auch wenn sich diese Leitlinie formal noch im Entwurfsstadium befindet, repräsentiert sie dennoch für aktuelle Zulassungsverfahren die gegenwärtige Richtschnur der Behörde und ist daher bei der Entwicklung medizintechnischer Produkte zu berücksichtigen. In der EU gibt es zwar weniger konkrete Regulierungen zur Cybersecurity von Medizinprodukten, doch seit Dezember 2021 bestehen durch die IEC 81001 (Health software and health IT systems safety, effectiveness and security – Part 5-1: Security – Activities in the product life cycle) auch auf europäischer Ebene klare regulatorische Forderungen, bekannte Sicherheitslücken zu schließen.