Cybersicherheit für medizinische Geräte – Wer ist verantwortlich?

Cybersicherheit für medizinische Geräte steht am 10. September 2019 auf der Tagesordnung der US-amerikanischen Food and Drug Administration (FDA):  Beratender Ausschuss für Patientenbeteiligung.  PEAC wird das Thema „Cybersicherheit bei medizinischen Geräten: Kommunikation, die Patienten stärkt“ diskutieren und Empfehlungen dazu abgeben.

PEAC befasst sich mit der Cybersicherheit medizinischer Geräte

Das Beratender Ausschuss für Patientenbeteiligung (PEAC) Das PEAC wurde von der FDA gegründet, um Patienten eine Stimme zu geben. Es ist der erste und einzige Beratungsausschuss, dessen Mitglieder ausschließlich Patienten, Betreuer und Vertreter von Patientenorganisationen sind. Das PEAC ermöglicht eine umfassende Diskussion wichtiger patientenbezogener Themen. Solche Diskussionen können die Innovation, Entwicklung, Evaluierung und den Zugang zu Geräten vorantreiben. Darüber hinaus dient das PEAC der FDA als Beratungsinstanz, um ihrer Verpflichtung zum Schutz und zur Förderung der öffentlichen Gesundheit nachzukommen.

Auf der Sitzung im September 2019 werden Empfehlungen des Ausschusses eingeholt, die sich direkt mit der Cybersicherheit von Medizinprodukten befassen. Die Öffentlichkeit wird mitbestimmen können, welche Faktoren die FDA bei der Kommunikation von Cybersicherheitsrisiken und -verletzungen gegenüber Patienten und der Öffentlichkeit berücksichtigen sollte und wie diese Informationen weitergegeben werden.

Darüber hinaus „werden die Empfehlungen auch auf die Bedenken der Patienten hinsichtlich Änderungen an ihren Geräten zur Reduzierung von Cybersicherheitsrisiken eingehen sowie auf die Rolle anderer Interessengruppen wie Gesundheitsdienstleister bei der Kommunikation von Cybersicherheitsrisiken an Patienten.“

Cybersicherheit für medizinische Geräte ist eine gegenwärtige Gefahr

Medizinische Geräte sind mit dem Internet, Anbieternetzwerken und anderen Geräten verbunden. Verbundene Geräte, Teil der Internet der Dinge (IoT), Verbesserung der Qualität der Gesundheitsversorgung und der Verfügbarkeit von Echtzeitinformationen für die Leistungserbringer.

Zu den Nachteilen des IoT gehören natürlich auch Cybersicherheitsbedrohungen für Software für medizinische Geräte und Firmware, die die Gerätefunktionalität beeinträchtigen könnten. Es mag unvorstellbar erscheinen, dass ein unbefugter Benutzer Zugriff auf eine Insulinpumpe erhält, die zur Messung und Überwachung des Insulins einer Person verwendet wird, oder auf eine Infusionspumpe, die Medikamente in programmierten Dosierungen verabreicht. Nicht nur die Funktion des medizinischen Geräts ist gefährdet, auch persönliche Daten können offengelegt werden.

Wird ein Verstoß oder eine Schwachstelle festgestellt, müssen die betroffenen Patienten – ebenso wie die Aufsichtsbehörden – umgehend benachrichtigt und beraten werden. Eine Kette von Untersuchungen und Abhilfemaßnahmen muss in Gang gesetzt werden. Entlang dieser Kette besteht ein Netzwerk von Experten – von Herstellern und Softwareentwicklern bis hin zum Patienten. Die Beratung durch das PEAC liefert das dringend benötigte Feedback im Patienten- und Leistungserbringerbereich.

Designkontrollen für die Cybersicherheit medizinischer Geräte

Viele von uns kennen jemanden, vielleicht sogar uns selbst, der von der Unterstützung eines medizinischen Geräts profitiert. Viele Geräte benötigen WLAN, Internet und Firmware oder eingebettete Software, um ordnungsgemäß zu funktionieren. Diese Geräte benötigen während ihrer gesamten Lebensdauer Software-Updates und Patches. In den meisten Fällen ist der Patch oder das Update als herunterladbare ausführbare Datei verfügbar, was das medizinische Gerät anfällig für Hackerangriffe machen kann. Was wird also getan und wer tut es?

Sowohl Hersteller medizinischer Geräte (MDMs) als auch Organisationen im Gesundheitswesen (HDOs) sind dafür verantwortlich, geeignete Maßnahmen zur Risikominimierung für die Patientensicherheit zu ergreifen und eine ordnungsgemäße Leistung der Geräte sicherzustellen.

• Hersteller medizinischer Geräte (MDMs) sind dafür verantwortlich, wachsam zu bleiben und die mit ihren medizinischen Geräten verbundenen Risiken und Gefahren zu erkennen, darunter auch Risiken im Zusammenhang mit der Cybersicherheit.
• Organisationen im Gesundheitswesen (Healthcare Delivery Organizations, HDOs) sollten ihre Netzwerksicherheit bewerten und ihre Krankenhaussysteme schützen.

Von MDMs wird erwartet, dass sie im gesamten Lebenszyklus von MedizinproduktenDazu gehört die Erstellung einer „Cybersicherheits-Stückliste“ in der Zulassungsunterlagen für Medizinprodukte sowie die Einführung einer angemessenen Design-Änderungskontrolle für alle nach der Markteinführung vorgenommenen Änderungen. Wie bei jedem Design-Input muss auch für Software- und Hardwarekomponenten eines Medizinprodukts eine entsprechende Risikobewertung und ein Risikominderungsplan vorliegen.

Weitere Fragen bleiben bestehen

Sowohl MDM als auch HDO sind dafür verantwortlich, dass wirksame Maßnahmen zur Cybersicherheit vorhanden sind, die in das Gerätedesign einfließen. Die Frage der letztendlichen Verantwortung bleibt jedoch offen. Könnte es die Partei sein, die die Design History File und damit alle vor der Markteinführung zu erbringenden Leistungen wie Design Inputs, Design Outputs und den Risikomanagementplan besitzt? Könnte es das Servicecenter sein, das die routinemäßige Wartung der Medizinprodukte durchführt? Oder liegt die Verantwortung beim Anwender des Medizinprodukts?

Jede Partei, die im Lebenszyklus und Vertriebskanal eines Medizinprodukts eine Rolle spielt, sollte in die allgemeine Risikominderungsplanung einbezogen werden. Letztendlich kann es nur einen Eigentümer der Design History File geben. Verantwortlich ist in den meisten Fällen derjenige, der für die Einreichung der Geräteregistrierung oder Marktzulassung verantwortlich ist, also üblicherweise der MDM.

Fazit

Was die Lösungsoptionen zur Verwaltung und Kontrolle der gesamten Liste der Designeingaben betrifft,  elektronische Qualitätsmanagement-Software (eQMS) kann helfen. Durch die Einführung regelbasierter Maßnahmen werden Schwachstellen, die durch Risikobewertungen gefunden wurden, Überwachung nach dem Inverkehrbringensowie andere Quellen werden durch eine Kette von Untersuchung und Lösung geleitet. Die IT-Patch-Überwachung kann in einige eQMS-Systeme integriert werden, was ermöglicht Patch-Management-Verfolgung und -Behebung in die Design History File aufgenommen werden. Sollte die FDA oder ein Dritter Einblick in die Maßnahmen zur Behebung einer bekannten Software- oder Firmware-Schwachstelle verlangen, enthält das System zeitgestempelte und genehmigte Aufzeichnungen zum Nachweis eines proaktiven Sanierungsprogramms. Die nachweisbare Überwachung von IoT-Geräten wird für Hersteller medizinischer Geräte zu einer wichtigen Compliance-Anforderung, und jetzt ist es an der Zeit, Best Practices zu berücksichtigen.

 

Ressourcen:

PEAC-Hintergrundmaterialien: Wählen Sie den Link für die Tagungsmaterialien 2019 aus.
https://www.fda.gov/advisory-committees/committees-and-meeting-materials/patient-engagement-advisory-committee 

Weitere Informationen zur FDA-Cybersicherheit für Medizinprodukte:
https://www.fda.gov/medical-devices/digital-health/cybersecurity.

FDA-MERKBLATT: Die Rolle der FDA bei der Cybersicherheit medizinischer Geräte
https://www.fda.gov/media/123052/download