Hersteller vernetzter Medizinprodukte müssen neben der Betriebssicherheit (Safety) auch die Informationssicherheit (Security) betrachten. Dies spiegelt sich auch in den expliziten Forderungen nach entsprechenden Maßnahmen im Anhang I der neuen EU-Medizinprodukteverordnung (MDR) wieder. Wir hatten die Gelegenheit, Herrn Dr. Daniel Jacobi (Lead Software Architect, Zühlke Engineering GmbH, Eschborn) und Herrn Bernhard Petri (Product CERT, Siemens AG, München) zu diesem Thema zu befragen:
Herr Dr. Jacobi, die US-amerikanische Norm AAMI TIR 57 beschreibt das Management von Risiken, die sich durch die Security-Anforderungen von Medizinprodukten ergeben. Welche Unterschiede gibt es in der Herangehensweise im Vergleich zum Risikomanagement gemäß der ISO 14971?
Medizinproduktehersteller sind mit der Safety-Risikomanagement-Norm ISO 14971 gut vertraut. Um die Hürden für ein zusätzliches Security-Risikomanagement gering zu halten, ist es von Vorteil, auf die Erfahrungen aus diesem Bereich aufzubauen. Genau hier setzt der TIR 57 an. Er gibt die Kapitelstruktur der ISO 14971 wieder und transferiert die Inhalte in den Security-Bereich. Entsprechend definiert er auch die Anforderungen und Dokumente der Security-Risikobewertung für Medizingeräte analog zu den Inhalten aus der ISO 14971. Zugleich stellt der TIR 57 klar, dass sich Security-Aspekte nicht einfach in eine Risikobetrachtung nach ISO 14971 integrieren lassen, sondern als parallele Aufgabe zu verstehen sind und definiert damit ein Verfahren, das konform zu den FDA Security-Guidances ist. Zwischen den Risikobewertungen zur Safety und Security gibt es gegenseitige Rückwirkungen, die an definierten Schnittstellen behandelt werden müssen. Der TIR 57 definiert zwar das Prozessumfeld zu den Tätigkeiten zur Security-Risikobewertung, die konkreten Tätigkeiten zur Risikobewertung liefert er allerdings nicht. Hier wird auf existierende Verfahren verwiesen und exemplarisch umfangreiche Hilfestellung in den Anhängen gegeben.
