Cybersicherheit für Medizinprodukte 

Was ist Cybersicherheit für Medizinprodukte?

Cybersicherheit für medizinische Geräte ist unerlässlich, um sowohl die Daten und das Leben von Patienten zu schützen als auch medizinische Einrichtungen vor Ransomware-Angriffen zu bewahren. Mit der Weiterentwicklung von medizinischen Geräten und ihrer Konnektivität haben sich auch die Cyberbedrohungen weiterentwickelt und neue Risiken geschaffen.

Warum ist Cybersicherheit für medizinische Geräte so wichtig?

Die Risiken im Bereich der Cybersicherheit von Medizinprodukten sind vielfältig und unterstreichen die Notwendigkeit aktueller Zertifizierungen und Standards sowie gründlicher Cybersicherheitsbewertungen. Ein effektives Risikomanagement umfasst die Verbesserung von Lebenszyklusprozessen, um Schwachstellen zu identifizieren und die Sicherheit durch strenge Penetrationstests zu stärken.

Cybersicherheitsrisiken und -anforderungen für Medizinprodukte

• Regulatorische Anforderungen:
  Medizinische Geräte unterliegen strengen Vorschriften von Behörden wie der FDA in den USA, der EMA in Europa, der NMPA in China und anderen regionalen Regulierungsbehörden. Diese Vorschriften verlangen die Einhaltung spezifischer Cybersicherheitsstandards und -richtlinien, um sicherzustellen, dass die Geräte vor Hacking und anderen Cyberbedrohungen geschützt sind. Die Nichteinhaltung kann zu schweren Strafen, Rückrufen oder Verboten führen.
• Patientensicherheit:
  Cybersicherheitsmängel bei medizinischen Geräten können die Patientensicherheit unmittelbar gefährden. Wenn ein Gerät wie ein Herzschrittmacher oder eine Insulinpumpe gehackt wird, kann es zu Fehlfunktionen kommen, die zu falschen Behandlungsdosen oder zum Ausfall in kritischen Momenten führen.
• Datenschutz und Störungen:
  Da medizinische Geräte oft sensible Gesundheitsinformationen speichern und übertragen, kann eine Sicherheitsverletzung dazu führen, dass persönliche Gesundheitsdaten offengelegt werden, was zu Identitätsdiebstahl und dem Verlust der Vertraulichkeit von Patientendaten führt. Dies ist ein typisches Risiko bei Ransomware-Angriffen, bei denen böswillige Akteure kritische Daten verschlüsseln und ein Lösegeld verlangen, um sie wieder freizugeben. Solche Angriffe gefährden nicht nur die Privatsphäre der Patienten, sondern stören auch die wesentlichen Abläufe der Gesundheitssysteme, was die dringende Notwendigkeit robuster Cybersicherheitsmaßnahmen unterstreicht.

Standards und Richtlinien für die Cybersicherheit von Medizinprodukten

Angesichts der damit verbundenen Risiken wird die Cybersicherheit von Medizinprodukten anhand strenger internationaler und nationaler Standards getestet. Aufsichtsbehörden auf der ganzen Welt haben Richtlinien zur Regulierung der Cybersicherheit von Medizinprodukten veröffentlicht und legen die Tests fest, die sie durchlaufen müssen, um auf den Markt zu kommen. Bei Applus+ Laboratories können wir Sie bei den folgenden Standards unterstützen:

• EU MDR / MDCG 2019-16 EU-Leitfaden zur Cybersicherheit von Medizinprodukten: Gewährleistung der Integrität und Vertraulichkeit von Medizinproduktdaten auf dem gesamten europäischen Markt.
• USA/FDA-Leitfaden zur Cybersicherheit bei Medizinprodukten - Überlegungen zum Qualitätssystem und Inhalt von Premarket-Einreichungen: Richtlinien für die Integration von Cybersicherheitsmaßnahmen von der Konzeption bis zur Bereitstellung innerhalb des US-amerikanischen Rechtsrahmens.
• IEC TR 60601-4-5-Norm für die Cybersicherheit von Medizinprodukten: Ein technischer Fahrplan für die Umsetzung globaler Cybersicherheitsstandards in Medizinprodukten.
• IEC 81001-5-1-Standard für Sicherheitsaktivitäten von Gesundheitssoftware und Gesundheits-IT-Systemen im Produktlebenszyklus: Strategien zur Aufrechterhaltung der Cybersicherheit während der gesamten Betriebsdauer des Geräts, weltweit anwendbar.
• IEEE 2621 ist eine Gruppe von Standards, die im Rahmen des IEEE-Zertifizierungsprogramms für Cybersicherheit bei Medizinprodukten zum Einsatz kommen. Diese von der FDA anerkannten Standards sind so konzipiert, dass sie mit den von der US-Regierung veröffentlichten nationalen Cybersicherheitsstrategien im Einklang stehen. Applus+ ist ein zugelassenes Prüflabor für IEEE 2621. Medizinprodukte, die diese Zertifizierung erhalten, werden im IEEE Medical Device Register gelistet und sind berechtigt, das IEEE-Zertifizierungszeichen zu verwenden, um sich von der Konkurrenz abzuheben.

Müssen Sie die EU-MDR-Verordnung und die FDA-Cybersicherheitsanforderungen erfüllen?

Wenn Ihr Produkt eine der folgenden Aussagen erfüllt, sollte es einem Cybersicherheitstest unterzogen werden: 

• Unterstützt Software- oder Firmware-Downloads (z. B. Updates oder Patches).
• Bietet Zugriff auf Cloud-Speicher oder Cloud-Dienste.
• Kann über ungenutzte Ports für die Netzwerkkonnektivität verfügen.
• Nutzt jede Art von drahtloser Kommunikation (z. B. Bluetooth, Wi-Fi, Mobilfunk, RF, induktiv).
• Kann mit anderen Geräten oder Systemen verbunden werden.
• Enthält einen USB-Anschluss oder physischen Medienzugriff (z. B. Speicherkarte, IAG).

In der EU wird der Marktzugang für Medizinprodukte durch die EU-Verordnung über Medizinprodukte (MDR) geregelt, die seit 2021 für neue Produkte verbindlich ist und die alte Richtlinie über Medizinprodukte (MDD) ersetzt. Die MDR umfasst mehr als nur sicherheitsbezogene Anforderungen.

In den USA regelt die FDA den Marktzugang für Medizinprodukte. Hersteller müssen vor dem Verkauf von Produkten ein Premarket Submission-Verfahren durchlaufen. Die FDA prüft diese Einreichung und erteilt die Genehmigung für den Markteintritt.

Sowohl die FDA- als auch die EU-MDR-Vorschriften haben ähnliche Anforderungen. Zu den wichtigsten Erwartungen der Regulierungsbehörden gehören:

• Umfassende Risikomanagement-Dokumentation, einschließlich Bedrohungsanalyse (Vermögenswerte, Schwachstellen, Bedrohungen) und „State of the Art“-Sicherheitskontrollen zur Risikominderung.
• Sicherheitsleitfaden und Kennzeichnungsdokumentation, die die Sicherheitsrisiken und die erwarteten Konfigurationen, Härtung und Minderung verdeutlichen.
• Nachweis von Sicherheitstests, wie Code-Reviews und Schwachstellen-Scans.
   

FDA-Cybersicherheitstests

Die von der FDA geforderten Cybersicherheitstests sollen die Sicherheit und Wirksamkeit von Medizinprodukten gewährleisten. Sie umfassen verschiedene Phasen:

1. Sicherheitsanforderungen (durch den Hersteller durchzuführen):
   • Der Hersteller muss nachweisen, dass die während der Bedrohungsmodellierung definierten Sicherheitsanforderungen während der Entwurfsphase seines Produkts umgesetzt wurden.
   • Der Hersteller muss nachweisen, wie diese Sicherheitsanforderungen korrekt umgesetzt wurden, und eine Analyse und Begründung der Grenzannahmen vorlegen.
2. Bedrohungsminderung (durch den Hersteller durchzuführen):
   • Der Hersteller muss anhand der bereitgestellten Bedrohungsmodelle nachweisen, dass er wirksame Maßnahmen zur Risikokontrolle ergriffen hat.
   • Der Hersteller muss nachweisen, wie er überprüft, ob jede Maßnahme zur Kontrolle von Cybersicherheitsrisiken angemessen ist (z. B. die Wirksamkeit der Sicherheit bei der Durchsetzung der festgelegten Sicherheitsrichtlinie, die Leistung unter Spitzenverkehrsbedingungen, die Stabilität und die Zuverlässigkeit).
3. Schwachstellentests (durch den Hersteller oder einen unabhängigen 3^rd Party):
   • Der Hersteller oder ein Dritter muss Einzelheiten und Nachweise zu den folgenden Tests und Analysen vorlegen:
     • Robustheit.
     • Fuzz-Tests.
     • Statische und dynamische Codeanalyse.
     • Analyse der Angriffsfläche.
     • Closed-Box-Tests zum Scannen bekannter Schwachstellen.
     • Analyse der Softwarezusammensetzung von binären ausführbaren Dateien.
4. Penetrationstests (durchzuführen von einem unabhängigen 3^rd party):
   • Eine unabhängige dritte Partei muss die Identifizierung und Charakterisierung von Sicherheitsproblemen durch Tests bereitstellen, die sich auf die Entdeckung und Ausnutzung von Sicherheitslücken konzentrieren.
   • Berichte über Penetrationstests sollten folgende Elemente enthalten:
     • Unabhängigkeit und technische Expertise der Tester.
     • Umfang und Dauer der Tests.
     • Testmethoden.
     • Ergebnisse.
     • Erkenntnisse und Beobachtungen.

Zertifizierungsprozess für Medizinprodukte für Cybersicherheit

Warum sollten Sie sich für Applus+ Laboratories für Cybersicherheit für Medizinprodukte entscheiden?

Applus+ Laboratories bietet umfassende Cybersicherheitstests zur Bewertung von Medizinprodukten an. Wir verfügen über langjährige Erfahrung in der Durchführung von Cybersicherheitsbewertungen und Penetrationstests für alle Arten von Evaluierungsobjekten (TOEs). Wir können Sie während des gesamten Prozesses der Einhaltung sowohl der EU-MDR- als auch der FDA-Standards unterstützen.

Penetrationstests

Applus+ Laboratories bietet umfassende Penetrationstests an, um die Widerstandsfähigkeit von Systemen gegen Angriffe und unbefugten Zugriff zu bewerten. Durch die Durchführung von Cyberangriffssimulationen bewerten wir Schwachstellen in medizinischen Geräten in verschiedenen Komponenten:

Auf Hardware

Modernste Angriffe und Ad-hoc-Tools von Laborexperten:

• Reverse Engineering
• Design Review
• Logische Angriffe
• Speicherauszüge und externe Analysen

Auf Software und Firmware

Umfassende Erfahrung mit eingebetteten Systemen, sicherem Booten, TEE und White-Box-Kryptografie:

• Binäres Reverse Engineering
• Statische Angriffe
• Quellcode-Audits
• Debugging
• Fuzzing
• Dynamische Manipulation/Hooking

Bei Kommunikationsprotokollen

Für IP-Stack-Protokolle, industrielle Systeme und proprietäre Protokolle:

• Angriffe auf allen Schichten (OSI-Modell) einschließlich kundenspezifischer Hardware zur Stimulierung auf niedrigeren Schichten (verdrahtete und drahtlose Protokolle)
• Fuzzing

Unsere Expertise im Bereich Cybersicherheit verbessert die von uns empfohlenen Sicherheitsmaßnahmen weiter. Die in unserem Expertenlabor durchgeführten Penetrationstests tragen nicht nur zur Stärkung der Cyber-Resilienz von Produkten bei, sondern dienen auch als Nachweis für die Einhaltung der von Aufsichtsbehörden weltweit, wie z. B. der FDA in den USA, vorgeschriebenen Cybersicherheitsanforderungen.

Lückenanalyse

Unsere Teams können Hersteller weltweit auch dabei unterstützen, zu überprüfen, ob ihre Produkte bestimmte Standards oder Richtlinien erfüllen, die von Aufsichtsbehörden gefordert werden.

Bei Applus+ Laboratories überprüfen wir die vom Hersteller erstellte Dokumentation, um festzustellen, ob sie dem spezifischen Standard entspricht, und um Lücken oder potenzielle Herausforderungen zu identifizieren. In dieser Phase analysiert, leitet und unterstützt das Team von Applus+ Laboratories den Hersteller bei der Erstellung der erforderlichen Dokumentation, bevor diese bei der Aufsichtsbehörde eingereicht wird.

Beispiel: Für FDA-Cybersicherheitstests bietet das Team von Applus+ Laboratories einen optionalen Service zur Überprüfung der Herstellerdokumentation vor der Einreichung vor dem Inverkehrbringen an, wobei der Schwerpunkt auf 1) Sicherheitsanforderungen, 2) Bedrohungsminderung und 3) Schwachstellentests liegt. Dabei werden unter anderem die definierten Sicherheitsanforderungen analysiert und ob sie mit den in der Bedrohungsmodellierung identifizierten Sicherheitsproblemen übereinstimmen, sowie die definierten Hypothesen, die Eignung der Schwachstellentests usw.

Projekt- und Produkterfahrung