Am 30. Januar 2025 veröffentlichte die US-amerikanische Food and Drug Administration (FDA) eine Sicherheitsmitteilung zu Cybersicherheitsschwachstellen im Patientenmonitor CMS8000. Den veröffentlichten Informationen zufolge ging es um drei Hauptprobleme:
1. Umgehung der Netzwerkeinstellungen
Die betroffenen Produkte sendeten Fernzugriffsanfragen an eine fest codierte IP-Adresse und umgingen damit die vorhandenen Netzwerkeinstellungen des Geräts. Angreifer konnten so Dateien auf das Gerät hochladen und überschreiben.
2. Ausführung von Schadcode aus der Ferne
Angreifer konnten speziell formatierte UDP-Anfragen senden, um beliebige Daten zu schreiben und Code aus der Ferne auszuführen – ein Einfallstor für die unbefugte Kontrolle des Geräts.
3. Abfluss von Patientendaten
War ein Patient an den Monitor angeschlossen, wurden Patientendaten im Klartext an eine fest codierte öffentliche IP-Adresse übertragen. Bei Ausnutzung konnte jedes Gerät mit dieser IP-Adresse vertrauliche Patientendaten erhalten; auch Man-in-the-Middle-Angriffe wurden möglich.
Werden solche Schwachstellen ausgenutzt, könnten Unbefugte Monitore fernsteuern und ihren ordnungsgemäßen Betrieb verhindern – eine ernste Gefahr für Gesundheit und Sicherheit der Patienten.
Behörden verschärfen die Anforderungen
Angesichts der wachsenden Bedrohung haben FDA, EU und die chinesische Arzneimittel- und Medizinproduktebehörde NMPA (National Medical Products Administration) eine Reihe von Vorschriften und Leitlinien zur Cybersicherheit veröffentlicht:
- März 2023 – USA: Der neue Section 524B des Federal Food, Drug, and Cosmetic Act (FD&C Act) verpflichtet Antragsteller für „Cyber Devices“, Informationen zur Cybersicherheit in Zulassungsanträge aufzunehmen; fehlen sie, kann die FDA die Annahme verweigern.
- September 2023 – USA: Die FDA veröffentlichte die finale Leitlinie „Cybersecurity in Medical Devices: Quality System Considerations and Content of Premarket Submissions“ mit detaillierten Erwartungen an die Cybersicherheitsdokumentation.
- März 2024 – USA: Die FDA veröffentlichte den Leitlinienentwurf „Select Updates for the Premarket Cybersecurity Guidance: Section 524B of the FD&C Act“, der die Definition eines Cyber Device und die inhaltlichen Anforderungen präzisiert; diese Aktualisierungen wurden inzwischen in eine überarbeitete Fassung der Leitlinie übernommen.
- Dezember 2019 – EU: MDCG 2019-16 „Guidance on Cybersecurity for medical devices“ legte detaillierte Erwartungen fest und ist heute eine zentrale Grundlage für Benannte Stellen bei der Bewertung der Cybersicherheitsdokumentation nach MDR und IVDR.
- 2022 – China: Die NMPA veröffentlichte ihre überarbeitete „Leitlinie zur Registrierungsprüfung der Cybersicherheit von Medizinprodukten“ mit Anforderungen an den Cybersicherheitsteil der Registrierungsunterlagen.
Hersteller stehen damit vor einer klaren Aufgabe: Cybersicherheit wirksam zu steuern und Dokumentation zu erstellen, die den Anforderungen jedes Marktes entspricht.
So unterstützt EVERBIZ
EVERBIZ unterstützt Hersteller bei:
- der Integration der Cybersicherheit in das Risikomanagement für Medizinprodukte;
- der Anwendung der allgemeinen Cybersicherheitsanforderungen und dem Nachweis ihrer Erfüllung;
- der Erstellung der Cybersicherheitsdokumentation für FDA-Anträge;
- der Erstellung von Unterlagen, die die CE-Anforderungen nach MDR und IVDR erfüllen;
- der Erstellung von Unterlagen für die NMPA-Registrierung.
Dieser Beitrag dient nur zur Information und stellt keine Rechtsberatung dar.