Prüfung der Cybersecurity von IVD-Medizinprodukten

Kom­plexe Sys­teme mit unter­schiedlichen Schnittstellen, die poten­ziell angreif­bar sind, resul­tieren aus der zunehmend dig­i­tal­en Ver­net­zung der medi­zinis­chen Infra­struk­tur. Nach der IVDR müssen Her­steller die Cyber­se­cu­ri­ty vor Inverkehrbrin­gen nach­weisen. Die Über­gangs­fris­ten für bere­its zer­ti­fizierte Pro­duk­te laufen gestaffelt ab 26. Mai 2025 ab. Auf­grund der begren­zten Zahl an Benan­nten Stellen kann es bei den Kon­for­mitäts­be­w­er­tungsver­fahren jedoch zu Eng­pässen kom­men. TÜV Süd unter­stützt mit umfan­gre­ichen Prüf- und Test­ing-Ser­vices und stellt neue Whitepa­per zur Verfügung.

„Das The­ma bet­rifft alle Geräte, die mit einem Net­zw­erk ver­bun­den wer­den kön­nen. In Kranken­haus-Laboren und ‑Sta­tio­nen existieren zahlre­iche IVD-Medi­z­in­pro­duk­te, die mit Medi­z­in­pro­duk­ten und Infor­ma­tion­ssys­te­men ver­net­zt sind“, sagt Dr. Alexan­der Stock, Project Man­ag­er IVD Med­ical Device Test­ing bei TÜV Süd. „Ein unbefugter Zugriff kann neben dem Ver­lust ver­traulich­er Dat­en vor allem die Patien­ten­sicher­heit und sog­ar die öffentliche Gesund­heit gefährden.“ Die Manip­u­la­tion von Test­dat­en kann zu ein­er falschen Diag­nose und somit zu ein­er falschen Ther­a­pie führen, aber auch zu Fehlschlüssen beispiel­sweise bei der Ein­schätzung zum Infek­tion­s­geschehen in ein­er Pan­demie. Her­steller und Betreiber von unsicheren Geräten müssen neben den finanziellen Risiken auch mit Imageschä­den rechnen.

Wet­tren­nen um die Patientensicherheit

Cyber­se­cu­ri­ty-Risiken soll­ten frühzeit­ig und kon­tinuier­lich über den gesamten Pro­duk­tleben­szyk­lus berück­sichtigt wer­den – von der Entwick­lungsphase, über die Her­stel­lung, Instal­la­tion und Wartungsphase. Der Grund dafür ist, dass täglich neue Schwach­stellen gefun­den und veröf­fentlicht wer­den, die IVD-Geräte angreif­bar machen kön­nen. Diese Sicher­heit­slück­en kom­men zum Beispiel aus Mod­ulen oder Bib­lio­theken von Pro­gram­mier­sprachen und Betrieb­ssys­te­men. Als Folge müssen die Her­steller kon­tinuier­liche Risiko­analy­sen betreiben, per­ma­nent Updates für ihre Geräte anbi­eten, sie auf dem neuesten Stand hal­ten und gegebe­nen­falls kurzfristig reagieren.

IVD-Geräte erfordern die gle­iche Cyber­se­cu­ri­ty-Betra­ch­tung wie ver­net­zte Medi­z­in­pro­duk­te. Das schließt Threat Mod­el­ing beziehungsweise Threat-Analyse ein – Ver­fahren zum Cyber­se­cu­ri­ty-Risiko­man­age­ment – mit dem Ziel, die Bedro­hun­gen frühzeit­ig zu iden­ti­fizieren und Maß­nah­men davon abzuleit­en. Die verpflich­t­ende reg­u­la­torische Basis ist die IVDR, deren Annex I grundle­gende Anforderun­gen an die Cyber­se­cu­ri­ty enthält. Weit­ere Hil­festel­lung bieten die so genan­nten MDCG-Leitlin­ien der Med­ical Device Coor­di­na­tion Group der EU, Posi­tion­spa­pi­er der Benan­nten Stellen, sowie die ISO 14971 für das Risiko­man­age­ment bei Medi­z­in­pro­duk­ten und die IEC 81001–5‑1 für die sicher­heits­be­zo­ge­nen Aktiv­itäten im Software-Lebenszyklus.

TÜV Süd hat zusät­zlich drei Whitepa­per erar­beit­et, von denen Her­steller und Betreiber prof­i­tieren: eines zur Cyber­se­cu­ri­ty von Medi­z­in­pro­duk­ten nach IEC 81001–5‑1, ein­er Health-Soft­ware-Norm, und eines zum Pro­duk­t­stan­dard IEC TR 60601–4‑5 für medi­zinisch-elek­trische Geräte sowie ein aktuelles direkt zur Cyber­se­cu­ri­ty von IVD-Geräten und ‑Pro­duk­ten.

Fünf-Stufen-Ansatz für Sicherheit

TÜV Süd ver­fügt über akkred­i­tierte Prüfla­bore und bietet umfassende Prüfleis­tun­gen und Test­ing-Ser­vices für IVD-Geräte und ‑Pro­duk­te sowie pro­duk­tin­di­vidu­elle Cyber­se­cu­ri­ty-Tests. Je nach Stand des Pro­duk­tes im Leben­szyk­lus umfasst das fünf Stufen: Train­ing zu den Nor­men und reg­u­la­torischen Vor­gaben, Ear­ly-Bird-Assess­ment, Fuzzing, Vul­ner­a­bil­i­ty Scan­ning und einen Pen­e­tra­tion-Test (simuliert­er Cyberangriff).

TÜV Süd betreibt zudem das einzige akkred­i­tierte Prüf- und Vali­dierungsla­bor für die IEC TR 60601–4‑5. Die Exper­tin­nen und Experten ken­nen die unter­schiedlichen län­der­spez­i­fis­chen reg­u­la­torischen Anforderun­gen. Sie unter­stützen Her­steller, ihre Geräte und Pro­duk­te sich­er und zeit­ef­fizient in Verkehr zu brin­gen und wis­sen auch um die Anforderun­gen an eine rechtssichere Dokumentation.

IVD-Geräte und Pro­duk­te, die bere­its vor dem Gel­tungs­be­ginn der IVDR recht­mäßig in Verkehr gebracht wur­den, dür­fen derzeit unter bes­timmten Voraus­set­zun­gen weit­er­hin befris­tet in Verkehr gebracht wer­den (IVDR, Artikel 110). Allerd­ings laufen die Über­gangs­fris­ten je nach Risikok­lasse des Pro­duk­ts bald ab: Für Risikok­lasse D ist es der 26. Mai 2025, für Klasse C der 26. Mai 2026, für Klasse B und für Pro­duk­te der Klasse A, die in ster­ilem Zus­tand in Verkehr gebracht wer­den, der 26. Mai 2027.