Startseite > Medizintechnik > E-Health > IT-Sicherheit genauso wichtig wie Produktsicherheit

Sicherheit von Medizinprodukten

IT-Sicherheit genauso wichtig wie Produktsicherheit

16. August 2022, 13:09 Uhr | Randolf Skerka, SRC

Die MDR bildet die Entwicklung von vernetzter Technologie und deren Risiken ab: Die IT-Sicherheit in BfArM relevanten Produkten oder Anwendungen rückt damit bei der Entwicklung, Herstellung und operativ in den Fokus. Wie kann die Umstellung und der Aufbau neuer Kompetenzen gelingen?

Der Zulassungsprozess für Medizinprodukte ist komplex und folgt definierten Kriterien. Bisher stand dabei nur die Produktsicherheit im Mittelpunkt. Das ändert sich nun. Die europäische Verordnung über Medizinprodukte, (EU) 2017/745 (MDR), ersetzt die Richtlinien über Medizinprodukte (93/42/EWG, MDD) und aktive implantierbare Medizinprodukte (90/385/EWG, AIMDD). Die MDR ist bereits gültig und muss für erstmalig zugelassene Produkte auch angewandt werden. Für bereits zugelassene Produkte gibt es Übergangsregelungen, die spätestens 2025 auslaufen.

Die MDR befasst sämtliche Aspekte eines Medizinprodukts. Ihre Novellierung wurde durch die zunehmende Digitalisierung im Medizinsektor notwendig – Medizintechnik und -produkte funktionieren nicht mehr autonom, sondern innerhalb vernetzter Systeme, was sie prinzipiell angreifbar macht. Damit sind das Risiko von Personenschäden und die IT-Sicherheit von Medizinprodukten in den Fokus gerückt: Der Behandlungsprozess mit analoger Arbeit des Mediziners und digitaler Arbeit durch Geräte kann nicht mehr entkoppelt werden. Medizinprodukte nehmen fortan direkten Einfluss auf den Körper des Patienten – seien es etwa Infusionspumpen oder bildgebende Verfahren wie Röntgen oder Computertomographien. Hier entsteht mit Blick auf die Patientensicherheit das Risiko einer ungewollten Manipulation: Etwa, wenn der 14-Jährige mit gebrochenem Bein im Krankenhaus aus Langeweile ein Röntgengerät hackt und mit der Dosierung spielt. Hersteller sind nun in der Pflicht, potenzielle Risiken auszuschalten bzw. zu minimieren. Hinzu kommt, dass sich das Sicherheitsniveau eines auf den Markt gebrachten, vernetzten Medizinprodukts im Laufe der Zeit verändert – etwa, wenn neue Schwachstellen und Sicherheitslücken entstehen. Auch dies bringt neue Anforderungen an den Zulassungsprozess mit sich.

Herausforderungen für die Hersteller

Für die Hersteller sind die Neuausrichtung und der dafür notwendige Perspektivwechsel hin zu Cybersicherheit bedeutende Herausforderungen: Denn bisher lag ihr Fokus darauf gewünschte Funktionen zu gewährleisten und sicherzustellen. Dabei ging man oft vom Best Case aus. Die IT-Sicherheit nimmt aber die gegenteilige Perspektive ein: Die Verhinderung unerwünschter Funktionen und damit die Fragestellung, wie Technologie manipuliert werden und welche Ereignisse zu Schäden führen können. Für Hersteller bedeutet das eine Umstellung – sie müssen daher neue Kompetenzen aufbauen.

Hinzu kommt, dass zu Medizinprodukten nun auch digitale Gesundheitsanwendungen (DiGA), bspw. Apps auf Rezept, gehören. Auch diese wirken sich indirekt auf die Gesundheit der Nutzer aus – sei es bei Erinnerungsfunktionen zur Einnahme von Medikamenten, durch einen Ernährungsplan oder beim Vorhalten von Blutdruckangaben. Der Nutzer verlässt sich auf die Korrektheit der Informationen – und der Hersteller muss diese gewährleisten können. Software ist damit nicht mehr nur Bestandteil eines Medizinprodukts, sondern wird selbst zu einem Medizinprodukt. Die MDR deckt diese neue Realität nun ab – die Regulatorik muss also die technologische Entwicklung abbilden und auf die Entstehung neuer Produkte auf dem Markt reagieren.