Cybersicherheit wird für Medizinprodukte immer wichtiger, und die Registrierungsanforderungen der chinesischen Arzneimittel- und Medizinproduktebehörde NMPA (National Medical Products Administration) umfassen mehrere zentrale Aspekte. Dieser Beitrag fasst die wichtigsten Punkte für die Prüfung der Cybersicherheitsdokumentation und die Produktregistrierung zusammen.
Prüfung der Cybersicherheitsdokumentation
Geltungsbereich
Die NMPA-Cybersicherheitsleitlinie gilt für Registrierungsanträge für Medizinprodukte der Klassen II und III mit Netzwerkanbindung zum elektronischen Datenaustausch oder zur Fernsteuerung:
- Netzwerke umfassen drahtlose und kabelgebundene Netzwerke.
- Elektronischer Datenaustausch umfasst ein- und zweiseitige Datenübertragung.
- Fernsteuerung umfasst Steuerung in Echtzeit und nicht in Echtzeit.
- Erfasst sind inländische und importierte Produkte sowie Erstregistrierung, Änderungen genehmigter Angaben und Verlängerung der Registrierung.
Schutzebenen
- Produktebene: das Medizinprodukt selbst.
- Systemebene: das medizinische IT-Netzwerk, in dem es betrieben wird.
Wesentliche Punkte und Aufbau von Fähigkeiten
- Vertraulichkeit, Integrität und Verfügbarkeit der Produktdaten wahren.
- Benutzerzugriffskontrolle umsetzen; geeignet sind Verschlüsselung, digitale Signaturen, Standardprotokolle und Prüfsummen.
- Technologien wie Firewalls, Angriffserkennung und Schutz vor Schadsoftware können eingesetzt werden.
- Cybersicherheitsfähigkeiten aufbauen: Produkte sollten Bedrohungen erkennen und sich davor schützen können und über angemessene Fähigkeiten zur Erkennung, Reaktion und Wiederherstellung verfügen.
Als Referenz dienen Normen und technische Berichte wie IEC TR 80001-2-2, der 19 Sicherheitsfähigkeiten beschreibt:
| Kürzel | Sicherheitsfähigkeit |
|---|---|
| ALOF | Automatische Abmeldung |
| AUDT | Audit-Kontrollen |
| AUTH | Autorisierung |
| CNFS | Konfiguration der Sicherheitsfunktionen |
| CSUP | Cybersicherheits-Updates des Produkts |
| DIDT | Anonymisierung von Gesundheitsdaten |
| DTBK | Datensicherung und Notfallwiederherstellung |
| EMRG | Notfallzugriff |
| IGAU | Integrität und Authentizität von Gesundheitsdaten |
| MLDP | Erkennung von und Schutz vor Schadsoftware |
| NAUT | Knotenauthentifizierung |
| PAUT | Personenauthentifizierung |
| PLOK | Physische Sperren |
| RDMP | Drittanbieterkomponenten in Lebenszyklus-Roadmaps |
| SAHD | Härtung von System und Anwendungen |
| SGUD | Sicherheitsleitfäden |
| STCF | Vertraulichkeit gespeicherter Gesundheitsdaten |
| TXCF | Vertraulichkeit der Übertragung |
| TXIG | Integrität der Übertragung |
Arten des Datenaustauschs
- Über Netzwerke (drahtlos oder kabelgebunden) zum elektronischen Datenaustausch oder zur Fernsteuerung: Anforderungen an das Netzwerk (Schnittstellen, Bandbreite, Funkregulierung), Übertragungsprotokolle (Standard oder nicht) und Fernsteuerung (Echtzeit oder nicht) berücksichtigen.
- Über Speichermedien (optische Datenträger, externe Festplatten, USB-Sticks usw.): Speicherformate (Standard oder nicht) berücksichtigen.
Cybersicherheit von Standardsoftware
Dies umfasst Anwendungssoftware – Standard-, Legacy- und ausgelagerte Software – sowie System- und Unterstützungssoftware. Bei Anwendungssoftware liegt der Fokus darauf, wie Cybersicherheitsprobleme die klinische Anwendung des Produkts beeinflussen; bei System- und Unterstützungssoftware darauf, wie Sicherheitspatches das Produkt beeinflussen.
Dokumentation routinemäßiger Sicherheitspatches
Enthält eine Beschreibung des Updates, Prüfplan und -bericht sowie eine Beschreibung neu bekannter Restfehler. Sie gilt für geringfügige Cybersicherheitsupdates.
Produktregistrierung
- Ein separates Dokument zur Beschreibung der Cybersicherheit ist einzureichen.
- Die technischen Produktanforderungen müssen enthalten: Datenschnittstellen; Übertragungsprotokolle/Speicherformate; Benutzerzugriffskontrolle einschließlich Authentifizierungsmethoden, Benutzertypen und Berechtigungen.
- Die Gebrauchsanweisung muss enthalten: Betriebsumgebung (Hardwarekonfiguration, Softwareumgebung, Netzwerkbedingungen); Sicherheitssoftware (Virenschutz, Firewalls, Updates); Mechanismen der Benutzerzugriffskontrolle; Daten- und Geräteinformationen.
Fazit
Cybersicherheit ist ein wichtiger Bestandteil von Sicherheit und Wirksamkeit. Die NMPA-Cybersicherheitsleitlinie ergänzt die Softwareleitlinie; ihr Geltungsbereich ist etwas enger als der der Softwareleitlinie.
So unterstützt EVERBIZ
EVERBIZ unterstützt Hersteller bei der Erstellung der Cybersicherheitsdokumentation für NMPA-, FDA- und EU-MDR/IVDR-Anträge. Sprechen Sie uns an.
Dieser Beitrag dient nur zur Information und stellt keine Rechtsberatung dar. Maßgeblich ist die jeweils aktuelle NMPA-Leitlinie.