IT-Sicherheit für Medizinprodukte Eine Einladung für Hacker

Anbieter zum Thema

infoteam Software AG

KUMAVISION AG

COSMO CONSULT Gruppe

Metecon GmbH

Ist das eigene Medizinprodukt ausreichend vor Cyberangriffen geschützt? „Ja“, werden Hersteller antworten, und das mit einer durchgeführten Risikoanalyse auf Produktebene untermauern. Doch so einfach ist es nicht, denn zwei entscheidende Dinge können weiterhin ein paar Einfallstore für Unbefugte ins Produkt schmuggeln.

Eine Warnung auf der Website des Bundesinstituts für Arzneimittel und Medizinprodukte (BfArM) lautete zusammengefasst: „Angreifer können auf einem medizinischen Gateway-Gerät, das Beatmungsgeräte, Infusionspumpen und andere medizinische Geräte mit dem Netzwerk verbindet, Administratorrechte erlangen und Code aus der Ferne ausführen.“ Tatsächlich ist die Schwachstelle bereits seit Jahren bekannt und ein Angriff wäre sogar fast für Laien möglich. Trotzdem brachte die geringe Beachtung von Cybersicherheit-Best-Practices im Lebenszyklus die Schwachstelle in ein Medizinprodukt, wo sie (erneut) entdeckt wurde. Dieses Beispiel und diverse Statistiken zeigen, dass Softwareschwachstellen und Cyberangriffe auch bei Medizinprodukten enorm zunehmen. Hersteller von Medizinprodukten sollten deshalb die Cybersicherheit ihrer Produkte schon von Beginn an mitdenken – nicht zuletzt auch wegen der gestiegenen gesetzlichen und regulatorischen Anforderungen.

Regulatorische Grundlagen für Cybersicherheit

Bereits die EU-Verordnungen 2017/745 (EU-MDR) und 2017/746 (EU-IVDR) fordern im Anhang I direkt und indirekt die Berücksichtigung der IT-Sicherheit. Am bekanntesten sind die Punkte 17.2 bzw. 16.2, denn hier steht u. a. die Forderung nach einem „State-of-the-Art“-Produktlebenszyklus, der auch die IT-Sicherheit berücksichtigt. Die Medical Device Coordination Group (MDCG) hat passend dazu den Leitfaden 2019-16 für Cybersecurity veröffentlicht. Er bietet einen guten Einstieg in die Thematik und stellt ebenfalls die Prinzipien „Secure by design“ sowie die Security-Aktivitäten über den gesamten Produktlebenszyklus heraus. Ebenfalls relevant ist die Norm IEC 81001-5-1, die von benannten Stellen bereits verstärkt eingefordert wird und für 2024 zur Harmonisierung vorgeschlagen ist. Sie liefert die Grundlage für einen „Secure Software Product Life Cycle“ (SSPLC).