Der Cybersicherheits-Forschungsbericht ist ein zentrales Dokument für den sicheren Betrieb vernetzter Medizinprodukte und für die Registrierung bei der chinesischen Arzneimittel- und Medizinproduktebehörde NMPA (National Medical Products Administration). Doch woran erkennt man einen guten Bericht? Hier die wichtigsten Kriterien.
1. Vollständigkeit
- Grundinformationen: Der Bericht sollte die wesentlichen Angaben zum Produkt – Name, Modell, Spezifikationen, Anwendungsbereich – sowie Hintergrund, Zweck und Umfang der Untersuchung klar und korrekt darstellen.
- Abdeckung aller Cybersicherheitsaspekte: Ein guter Bericht umfasst die Analyse der Sicherheitseigenschaften (Vertraulichkeit, Integrität, Verfügbarkeit), eine detaillierte Beschreibung der Daten (Kategorien, Verarbeitungsablauf, Sicherheitsmaßnahmen), die elektronischen Schnittstellen und die Bewertung der Cybersicherheitsfähigkeiten (automatische Abmeldung, Audit, Autorisierung usw.). Fehlen wichtige Abschnitte, ist der Bericht unvollständig.
2. Genauigkeit und wissenschaftliche Fundierung
- Daten und Fakten: Daten, Fallbeispiele und Aussagen müssen korrekt sein und aus verlässlichen Quellen stammen, was sich anhand der Referenzen prüfen lässt. Aussagen etwa zur Häufigkeit bestimmter Schwachstellen sollten durch belastbare Daten statt Annahmen gestützt sein.
- Geeignete Methoden: Prüfen Sie, ob Methoden und Werkzeuge wissenschaftlich fundiert und branchenüblich sind – etwa ob für Schwachstellenscans geeignete professionelle Werkzeuge eingesetzt werden und ob die Risikobewertungsmethode (qualitativ oder quantitativ) zum Produkt passt.
3. Tiefe und Fachkompetenz
- Technische Tiefe: Zentrale technische Aspekte sollten gründlich analysiert werden. Bei Verschlüsselung genügt es nicht, den Algorithmus zu nennen – Schlüsselmanagement und die tatsächliche Stärke des Algorithmus sind zu behandeln. Die Schnittstellenanalyse sollte bis zu Protokolldetails und tiefer liegenden Bedrohungen reichen.
- Tiefe der Risikobewertung: Über die Identifikation hinaus sind Ursachen, möglicher Umfang und Schwere der Risiken zu analysieren und die Risiken mit einem geeigneten Bewertungsmodell einzustufen.
4. Logische Stringenz
- Aufbau: Der Bericht sollte einer klaren Reihenfolge folgen – Hintergrund, Analyse, Risikobewertung, Schlussfolgerungen und Empfehlungen – mit nachvollziehbaren Übergängen. Logische Brüche erschweren das Verständnis.
- Klare Ursache-Wirkungs-Beziehungen: Probleme, Risiken und Gegenmaßnahmen klar verknüpfen – etwa darlegen, dass eine bestimmte Schwachstelle zu einem konkreten Datenabflussrisiko führen kann, und eine gezielte Abhilfe vorschlagen.
5. Wie Tiefe in der Praxis aussieht
- Sicherheitseigenschaften: Vertraulichkeit – Verschlüsselungsmechanismen und Zugriffskontrollstrategie; Integrität – Datenprüfung und Manipulationsschutz; Verfügbarkeit – Fehlertoleranz und Redundanz, Sicherung und Wiederherstellung.
- Produktdaten: detaillierte Datenklassifizierung und -beziehungen; Verfolgung des gesamten Datenflusses mit Risikoidentifikation über alle Einsatzszenarien.
- Elektronische Schnittstellen: Protokollanalyse auf unterer Ebene und Schutzmechanismen der Schnittstellen; Merkmale und Sicherheit des Datenaustauschs nicht netzwerkbasierter Schnittstellen.
- Cybersicherheitsfähigkeiten: automatische Abmeldung – Zeitrichtlinien und Auslösebedingungen; Audit – Vollständigkeit der Protokollierung und Auditanalyse; Autorisierung – Berechtigungsmodelle und Authentifizierungstechnologien.
- Risikobewertung und -management: mehrdimensionale Risikoidentifikation einschließlich neuer Risiken; verfeinerte Modelle und dynamische Risikobewertung; wirksame, kombinierte Maßnahmen mit kontinuierlicher Verbesserung.
Einschlägige Normen
- Normen und technische Berichte der Reihe IEC 80001 (z. B. IEC TR 80001-2-2)
- IEC 60601-1 (3. Ausgabe mit Änderungen), insbesondere die Anforderungen an programmierbare elektrische medizinische Systeme und IT-Netzwerke
- IEC 82304-1 (Gesundheitssoftware)
- IEC 81001-5-1 (Sicherheitsaktivitäten im Lebenszyklus von Gesundheitssoftware)
- Normenreihe ISO/IEC 27000
- ISO 27799 (Informationssicherheitsmanagement im Gesundheitswesen)
So unterstützt EVERBIZ
EVERBIZ prüft und erstellt Cybersicherheits-Forschungsberichte für die NMPA-Registrierung sowie Cybersicherheitsdokumentation für FDA- und EU-MDR/IVDR-Anträge. Sprechen Sie uns an.
Dieser Beitrag dient nur zur Information und stellt keine Rechtsberatung dar.