Software-Updates von Medizinprodukten sind in der Regel genehmigungspflichtig. Das kostet Zeit und Geld – insbesondere dann, wenn die Übergangsfristen zur Umsetzung der Medical Device Regulation (MDR) abgelaufen sind. Wer sein Produkt von Anfang an nachweislich auf den Schutz gegen Cyber-Risiken ausrichtet, erreicht ein adäquates Mass an IoT Security und hat unter gewissen Voraussetzungen gute Chancen, an einer erneuten Zertifizierung vorbeizukommen. Was es hierzu braucht, erfahren Sie in diesem Blog.
Künftig müssen neue Medizinprodukte mit der Medical Device Regulation (MDR), der europäischen Verordnung über Medizinprodukte, konform sein, um in der EU zugelassen zu werden. Diese neue EU-Verordnung stellt höhere Anforderungen an die Sicherheit und Qualität von Medizinprodukten, insbesondere auch an deren IT-Sicherheit.
Eigentlich war die strikte Anwendung der MDR für den 26. Mai 2020 vorgesehen. Aufgrund der aktuellen Coronakrise hat das EU-Parlament am 17. April 2020 eine Vorlage zur Verschiebung des Geltungsbeginns der neuen Verordnung um ein Jahr auf den 26. Mai 2021 verabschiedet. Für Schweizer Medizintechnik-Hersteller bedeutet dies, dass ihnen nun noch etwas Zeit bleibt, ihre Produkte konsequent auf den Schutz vor Cyber-Risiken auszurichten und MDR-konform zu designen.
Der höhere Standard ist jedoch nur das eine. Denn derzeit sieht es so aus, als ob Schweizer Hersteller noch zusätzliche Auflagen erfüllen müssten, weil das Abkommen über die gegenseitige Anerkennung von Konformitätsbewertungen (Mutual Recognition Agreements – MRA) mit der EU auf der Kippe steht. Ohne ein solches Abkommen gelten in Zukunft die zusätzlichen Anforderungen für Drittstaaten für Zulassungen von Medizintechnikgeräten auf dem EU-Markt.
Zum jetzigen Zeitpunkt ist demzufolge künftig mit erhöhten Aufwänden für Schweizer Medtech-Devices zu rechnen. Konkret bedeutet dies: Wer in Europa ein neues Produkt lancieren will, muss mit höheren Kosten und längeren Verfahrensdurchlaufzeiten rechnen als bisher. Das kann die Rentabilität von Produkten und die Existenz der betroffenen schweizerischen Hersteller gefährden – insbesondere für KMU und Start-ups können Verzögerungen und Einbussen beim Return on Investment gravierende Folgen haben.
Vor allem für Hersteller von medizinischen Produkten – Hard- und / oder Software – heisst es jetzt, neue Produkte beziehungsweise neue Produktegruppen besonders vorausschauend zu planen! Denn nicht nur neue Medizinprodukte müssen MDR-zertifiziert werden. Bei den meisten zugelassenen Produkten verlangt jede Änderung – dazu gehören auch Software-Updates – eine Genehmigung durch die zuständige Konformitätsbewertungsstelle, sei es in Form einer Neubeurteilung des Produkts oder eines weniger aufwändigen Nachtrags zu einer bestehenden Bescheinigung. Das Whitepaper «Software im Kontext der Medical Device Regulation (MDR)» bietet einen Überblick, unter welchen Bedingungen welches Verfahren zur Anwendung gelangt.
Wer also nicht riskieren will, dass jedes Update unnötige Kosten und Verzögerungen verursacht, sollte vorsorgen. Konkret bedeutet dies: Medizinprodukte von Anfang an so zu bauen, dass Software-Updates nachweisbar deren Leistungsfähigkeit sowie die Patienten- und Datensicherheit erhöhen beziehungsweise diese zumindest nicht beeinträchtigen. Dies hilft nicht nur, mittels Software-Updates die Durchlaufzeiten und Kosten für kontinuierliche Produktverbesserungen und neue Geschäftsmodelle zu reduzieren, sondern auch, künftige bisher unbekannte Cyber-Bedrohungen rasch und effektiv zu neutralisieren.
Wichtig hierbei ist, dass solche Medizinprodukte sich realisieren lassen und eine grosse Übereinstimmung besteht zwischen den Grundlagen für die Cyber- beziehungsweise Informationssicherheit und jenen, die für eine vereinfachte Genehmigung von Produktänderungen wichtig sind. Die Berücksichtigung entsprechender Aspekte, Prinzipien und Konzepte bei der Planung und Entwicklung von Medizinprodukten zahlt sich daher mehrfach aus – über sicherere Produkte, tiefere Kosten und grössere Innovationsfähigkeit.
Ein wesentliches Konzept, Software und ihre Updates auf diese Art und Weise zu bauen ist: «Security by Design». Hierbei geht es vereinfacht gesagt um die Berücksichtigung wichtiger Aspekte der IT-Sicherheit über den gesamten Produktlebenszyklus hinweg, also von der Produktidee bis zur Ausserbetriebnahme eines Produktes. «Security by Design» verfolgt den Ansatz, die notwendigen Sicherheitsmassnahmen nicht nur an der Peripherie, sondern vor allem innerhalb eines medizintechnischen Produkts, insbesondere in dessen Hard- und Software, umzusetzen.
IoT Security-Kompetenz selber aufbauen oder projektspezifisch einkaufen? Der Erfolgsplan mit Checklisten der CyOne Security unterstützt Sie in Ihrer Entscheidung.
«Security by Design» beinhaltet beispielsweise folgende fundamentale IT-Security-Konzepte:
Zentral sind also sichere Update-Mechanismen, verifizierbare und auditierbare Prozesse und die starke Trennung von Hard- und Software. All das führt zu verbesserter Product Cyber Security über den gesamten Produktlebenszyklus hinweg.
Da Medizinprodukte allerdings nicht nur zunehmend digitalisiert, sondern im Kontext des Internet of Things (IoT) auch immer stärker vernetzt sind, spielt IoT Security eine essenzielle Rolle. Hier geht es darum, den stetig zahlreicheren Schnittstellen – Sensoren, Aktoren, Monitoren – mit den passenden Sicherheitsmassnahmen zu begegnen. Denn mehr Schnittstellen bedeuten neben neuen Opportunitäten oft auch zusätzliche Cyber-Risiken, die es zu adressieren gilt.
Seien Sie vorbereitet: Handeln Sie nicht erst, wenn sich die gesetzlichen Vorschriften für neue Medizinprodukte verschärfen. Suchen Sie jetzt das kostenlose Expertengespräch mit unseren IoT Security-Experten und analysieren Sie gemeinsam aktuelle und künftige Sicherheitsbedürfnisse Ihrer vernetzten Produkte und Systeme.
Beitrag teilen
