Cybersicherheit für Medizinprodukte bezeichnet die Gesamtheit der Maßnahmen, mit denen ein Produkt gegen unbefugten Zugriff, Manipulation und Ausfall infolge von Angriffen geschützt wird, damit seine Sicherheit und Leistung erhalten bleiben. Die Verordnung (EU) 2017/745 nennt den Begriff nicht ausdrücklich, verankert die Anforderungen aber in mehreren Ziffern des Anhangs I. Ziffer 17.2 verlangt, dass Software unter Berücksichtigung der Grundsätze des Risikomanagements einschließlich der Informationssicherheit entwickelt wird; Ziffer 17.4 verpflichtet Hersteller, Mindestanforderungen an Hardware, Eigenschaften von IT-Netzen und IT-Sicherheitsmaßnahmen einschließlich des Schutzes vor unbefugtem Zugriff festzulegen. MDCG 2019-16 in der Revision 1 konkretisiert diese Vorgaben.
Rechtsgrundlagen in Anhang I
Die relevanten Anforderungen verteilen sich über den gesamten Anhang I. Ziffer 3 verlangt ein Risikomanagementsystem, das auch sicherheitsrelevante Bedrohungen erfasst. Ziffer 14.2 Buchstabe d betrifft die Interaktion zwischen Software und der IT-Umgebung, Ziffer 18.8 den Schutz vor unbefugtem Zugriff bei Produkten mit Energiequelle. Auf der Informationsseite verlangt Ziffer 23.4 Buchstabe ab, dass die Gebrauchsanweisung die Mindestanforderungen an Hardware, Eigenschaften der IT-Netze und IT-Sicherheitsmaßnahmen benennt, und Ziffer 23.1 Buchstabe g die Angabe von Restrisiken. Cybersicherheit ist damit Teil der grundlegenden Sicherheits- und Leistungsanforderungen und in der technischen Dokumentation nach den Anhängen II und III zu belegen.
Security-Risikomanagement und MDCG 2019-16
Die Leitlinie unterscheidet zwischen dem klassischen Sicherheitsrisiko und dem Security-Risiko. Beim Angriff lässt sich keine Eintrittswahrscheinlichkeit im statistischen Sinn schätzen; bewertet werden stattdessen Ausnutzbarkeit einer Schwachstelle und die Auswirkung auf Patienten. Beide Betrachtungen müssen zusammengeführt werden, weil eine Sicherheitsmaßnahme ein Patientenrisiko erzeugen kann und umgekehrt. MDCG 2019-16 beschreibt acht Praktiken: Security-Management, Festlegung von Sicherheitsanforderungen wie Authentifizierung, Autorisierung, Verschlüsselung und Auditierung, sicheres Design, sichere Implementierung, Verifizierung und Validierung der Sicherheitsfunktionen, Behandlung sicherheitsrelevanter Vorfälle, Management von Sicherheitsaktualisierungen sowie Sicherheitsleitlinien für Anwender. Als Referenznormen nennt die Leitlinie IEC 81001-5-1, IEC 62443-4-1, IEC 62304 und ISO 14971.
Betriebsumgebung und Betreiberverantwortung
Ein Medizinprodukt wird in einer IT-Umgebung betrieben, die der Hersteller nicht kontrolliert. Deshalb ist die Verantwortung geteilt: Der Hersteller legt die Mindestanforderungen an Netz, Hardware und Absicherung fest und dokumentiert sie in der Gebrauchsanweisung, der Betreiber setzt sie um und verantwortet Netzsegmentierung, Zugangskontrolle und Systempflege. MDCG 2019-16 stellt jedoch klar, dass Anforderungen an die Betriebsumgebung produktseitige Sicherheitskontrollen grundsätzlich nicht ersetzen dürfen. Empfohlen wird ein geschichteter Ansatz, im Englischen als Defence in Depth bezeichnet, der mehrere unabhängige Schutzebenen kombiniert. Für Betreiber gelten zusätzlich nationale Anforderungen an die Informationssicherheit.
Schwachstellen- und Patch-Management
Nach dem Inverkehrbringen ist Cybersicherheit eine Daueraufgabe. Erforderlich sind ein Verfahren zur Entgegennahme und Bewertung von Schwachstellenmeldungen, eine gepflegte Übersicht der eingesetzten Softwarekomponenten samt Versionen sowie ein Prozess, der Sicherheitsaktualisierungen zeitnah bereitstellt und vor der Auslieferung durch Regressionstests absichert. Die Ergebnisse fließen in die Überwachung nach dem Inverkehrbringen nach den Artikeln 83 bis 86 ein. Führt eine Schwachstelle oder ihre Ausnutzung zu einem schwerwiegenden Vorkommnis oder erfordert sie eine Sicherheitskorrekturmaßnahme im Feld, gelten die Meldepflichten nach Artikel 87. Wesentliche Änderungen an der Sicherheitsarchitektur können zudem eine erneute Bewertung durch die Benannte Stelle auslösen.
Abgrenzung zu NIS2, Cyber Resilience Act und Datenschutz
Drei Regelungsbereiche werden regelmäßig verwechselt. Die Richtlinie (EU) 2022/2555, kurz NIS2, richtet sich an Einrichtungen und deren Risikomanagement, nicht an Produkte; im Sektor Gesundheitswesen erfasst sie unter anderem Hersteller von Medizinprodukten, die in einer Notlage der öffentlichen Gesundheit als kritisch eingestuft sind. Die Verordnung (EU) 2024/2847 über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen, bekannt als Cyber Resilience Act, nimmt Produkte, die der Verordnung (EU) 2017/745 unterliegen, ausdrücklich aus; für Medizinprodukte bleibt die MDR der maßgebliche Rahmen. Datenschutz schließlich ist eine eigene Anforderung: Artikel 62 Absatz 4 Buchstabe h der Verordnung (EU) 2017/745 verlangt für klinische Prüfungen den Schutz personenbezogener Daten, unabhängig von der technischen Absicherung des Produkts.
Bedeutung für klinische Studien
In klinischen Prüfungen wirkt Cybersicherheit auf zwei Ebenen. Auf Produktebene müssen die Sicherheitsmaßnahmen des Prüfprodukts vor Studienbeginn spezifiziert, verifiziert und in den Unterlagen nach Anhang XV beschrieben sein, weil eine ausnutzbare Schwachstelle ein Patientenrisiko darstellt. Zu klären ist außerdem, welche Netz- und Hardwarevoraussetzungen jedes Prüfzentrum erfüllen muss und wie Aktualisierungen während der Laufzeit gehandhabt werden; ein Sicherheitspatch ist eine Produktänderung und im Änderungsmanagement der Studie zu bewerten.
Auf Datenebene gelten Anforderungen an die Integrität und Vertraulichkeit der Studiendaten, etwa bei elektronischen Prüfbögen, Fernauslesung von Gerätedaten oder patientennahen Anwendungen. Zugriffskonzepte, Pseudonymisierung, Audit Trails und Meldewege sind vor der ersten Datenerhebung festzulegen. Full-Service-CROs wie Mediconomics unterstützen Hersteller bei der Abstimmung von Security-Anforderungen mit Prüfplan und Zentrenvoraussetzungen, bei der Bewertung von Aktualisierungen während der Studie, beim Aufbau datenschutzkonformer Erhebungsprozesse sowie beim Medical Writing für Studien- und Zulassungsunterlagen.
Häufig gestellte Fragen (FAQ)
Welche MDR-Vorschrift verlangt Cybersicherheit ausdrücklich?
Vor allem Anhang I Ziffer 17.2 und 17.4, ergänzt um Ziffer 18.8 und die Informationspflicht nach Ziffer 23.4 Buchstabe ab. Der Begriff Cybersicherheit selbst wird im Verordnungstext nicht verwendet.
Gilt der Cyber Resilience Act für Medizinprodukte?
Nein. Die Verordnung (EU) 2024/2847 nimmt Produkte aus, die der Verordnung (EU) 2017/745 unterliegen. Maßgeblich bleiben die Anforderungen des Anhangs I und die Leitlinie MDCG 2019-16.
Darf der Hersteller Sicherheitsmaßnahmen auf den Betreiber verlagern?
Nur ergänzend. Anforderungen an die Betriebsumgebung sind zulässig und zu dokumentieren, dürfen produktseitige Schutzmaßnahmen aber grundsätzlich nicht ersetzen.
Regulatorische Referenzen
- Verordnung (EU) 2017/745, Anhang I Ziffern 3, 14.2, 17.2, 17.4, 18.8 und 23.4
- Verordnung (EU) 2017/745, Artikel 83 bis 87 – Überwachung nach dem Inverkehrbringen und Vigilanz
- MDCG 2019-16 Rev. 1 – Guidance on Cybersecurity for medical devices
- Richtlinie (EU) 2022/2555 – NIS2, Anhang I Sektor Gesundheitswesen
- Verordnung (EU) 2024/2847 – Cyber Resilience Act mit Ausnahme für Medizinprodukte
