2 Minuten lesen
Die Digitalisierung und das Internet der Dinge (IoT) haben zwar die Leistung medizinischer Geräte verbessert, aber sie haben die Geräte auch anfällig für Cyberschwachstellen gemacht. Die Malware und Spyware, die in die Geräte eindringen, nehmen zu. Die Hacker suchen nach Schlupflöchern in den Geräten und der zugehörigen Software, die es ihnen ermöglichen, die Geräte zu beschädigen, um durch Fehlfunktionen der Geräte Benutzerdaten zu gefährden. All diese Widrigkeiten behindern die Bemühungen der Unternehmen, die Benutzerdaten zu schützen und Schäden zu verhindern.
Um der Bedrohung durch die Cybersicherheit von Medizinprodukten zu begegnen, haben alle Mitgliedsbehörden des International Medical Device Regulators Forum (IMDRF) Entwürfe für Leitfäden mit Regulierungsrichtlinien für die Phase vor dem Inverkehrbringen veröffentlicht. Die australische Therapeutic Goods Administration (TGA) hat jedoch die Notwendigkeit einer Regulierung auch in der Phase nach dem Inverkehrbringen von Produkten vorweggenommen und den Entwurf eines Leitfadens veröffentlicht, der den gesamten Produktlebenszyklus (TPLC) abdeckt.
Für wen gelten die Leitlinien?
Der von der TGA vorgeschlagene TPLC-Ansatz konzentriert sich auf die kontinuierliche Aktualisierung von Qualitätsmanagementsystemen, Risikomanagementverfahren und Änderungsmanagementverfahren. Da der Leitfaden sowohl Aspekte des Szenarios vor als auch des Szenarios nach dem Inverkehrbringen abdeckt, richten sich seine Bestimmungen an mehrere Interessengruppen, die im Folgenden aufgeführt sind.
- Hersteller, die Software-as-Medical-Devices (SaMD) entwickeln
- Hersteller von Geräten, die Softwarekomponenten enthalten, die für die Cybersicherheit anfällig sind
- Für die Bereitstellung von Geräten in Australien zuständige Sponsoren
- Angehörige der Gesundheitsberufe, die medizinische Geräte zur Diagnose und Behandlung von Patienten einsetzen
- Klinische und biomedizinische Ingenieure, die für die Verwaltung von Geräten im Gesundheits- und medizinischen Umfeld zuständig sind
- Allgemeine Verwaltung und IT-Verwaltung, zuständig für Systeme, Verfahren und Prozesse im Gesundheitswesen und im medizinischen Dienstleistungsbereich
- Verbraucher, die ein registriertes Medizinprodukt verwenden
- unter der Anleitung ihres Gesundheits- und medizinischen Fachpersonals
- die keiner ärztlichen Überwachung bedürfen
Leitfaden für die Medizinprodukteindustrie:
Der Leitfaden hilft der Medizinprodukteindustrie, sich auf die Cybersicherheit vorzubereiten, betont aber auch, dass die Produkte in das australische Register für therapeutische Produkte (ARTG) aufgenommen werden müssen, um sie im Land vermarkten zu können. Die Aufnahme in das ARTG erfordert jedoch Überlegungen, die den gesamten Lebenszyklus eines Medizinprodukts abdecken und in die folgenden vier Phasen unterteilt sind:
- Vor dem Inverkehrbringen durch Konformitätsbewertung
- Marktzulassung durch Aufnahme in das ARTG
- Überwachung nach dem Inverkehrbringen
- Ende des Lebens / Entzug der Unterstützung
Der Leitfaden besagt auch, dass die Hersteller allein dafür verantwortlich sind, das Cybersicherheitsrisiko des Produkts sowohl vor als auch nach dem Inverkehrbringen zu bewerten und zu behandeln. Dabei müssen sie bestimmte Überlegungen in beiden Phasen berücksichtigen, darunter:
- Überlegungen vor der Markteinführung: Zu diesen Überlegungen gehören Risiken bei der Konzeption und Entwicklung von Medizinprodukten. Sie sind von allgemeiner und technischer Art.
- Allgemeine Überlegungen wie Entwicklungskonzept, Anwendung von Normen, Risikomanagementstrategien, Bewertung der Lieferkette und Bereitstellung von Informationen für die Nutzer
- Technische Erwägungen wie Leistungstests für die Cybersicherheit, modularisierte Designarchitektur, Sicherheit der Betriebsplattform, neue Software und vertrauenswürdiger Zugang und Bereitstellung von Inhalten
- Überlegungen nach dem Inverkehrbringen: Im Rahmen der Regelung für die Zeit nach dem Inverkehrbringen sind Hersteller und Sponsoren von Produkten verpflichtet, das Cybersicherheitsrisiko kontinuierlich zu bewerten und darauf zu reagieren. Dazu gehört auch, die Risiken und Bedrohungen zu verstehen und auf sie zu reagieren, wenn sie auftreten.
Höhepunkte des Leitfadens:
Während andere Regulierungsbehörden des IMDRF Grundsätze für die Cybersicherheit vor dem Inverkehrbringen auflisten, ist die TGA noch einen Schritt weiter gegangen und hat 15 "wesentliche Grundsätze" aufgelistet, darunter die Konzentration auf die langfristige Sicherheit. Darüber hinaus wurden dem Leitfaden acht weitere wesentliche Grundsätze hinzugefügt, die sich mit der Malware-Prävention befassen. Der Leitfaden verweist auf den vom US National Institute of Standards and Technology entwickelten Rahmen für Cybersicherheit. Er enthält auch allgemeine Beispiele für Schwachstellen, bekannte Standards, die zur Verbesserung der Sicherheit beitragen, sowie Anweisungen für Endnutzer, klinische Studien und Einrichtungen des Gesundheitswesens, die die Geräte verwenden.
Der Entwurf des Leitfadens enthält umfassende Informationen zur Umsetzung des TLPC-Konzepts für Hersteller von Medizinprodukten. Die derzeitige Form des Leitfadens ist jedoch für Kommentare gedacht, und es wird erwartet, dass in den kommenden Versionen Änderungen vorgenommen werden. Um gesetzeskonform und sicher zu bleiben, müssen die Beteiligten mit Hilfe eines Experten für die Regulierung von Medizinprodukten rechtzeitig die erforderlichen Maßnahmen ergreifen. Seien Sie vorschriftsmäßig.
