Das Informationssicherheitsmanagement gewinnt in der Medizinprodukteindustrie zunehmend an Bedeutung. ISO/IEC 27001, die internationale Norm für Informationssicherheitsmanagementsysteme (ISMS), ist in der Praxis eng mit der EU-Verordnung über In-vitro-Diagnostika (IVDR) verknüpft. Dieser Beitrag erklärt die Norm und ihren Bezug zur IVDR.
1. Was ist ISO/IEC 27001?
ISO/IEC 27001, herausgegeben von der Internationalen Organisation für Normung (ISO) und der Internationalen Elektrotechnischen Kommission (IEC), legt Anforderungen an Aufbau, Umsetzung, Aufrechterhaltung und fortlaufende Verbesserung eines Informationssicherheitsmanagementsystems fest. Aktuell ist die Ausgabe ISO/IEC 27001:2022 (2024 um Aspekte des Klimawandels ergänzt).
2. Bezüge zur IVDR
Die IVDR verweist nicht direkt auf ISO/IEC 27001, enthält aber in mehreren zentralen Bereichen Anforderungen an die Informationssicherheit:
- Software: Anhang I Abschnitt 16 verlangt, dass Produkte mit Software und Software, die selbst ein Produkt ist, nach dem Stand der Technik entwickelt und hergestellt werden – unter Berücksichtigung von Entwicklungslebenszyklus, Risikomanagement, Verifizierung und Validierung sowie Informationssicherheit.
- Datenschutz: Artikel 102 IVDR verlangt die Verarbeitung personenbezogener Daten gemäß der Datenschutz-Grundverordnung (DSGVO, Verordnung (EU) 2016/679), die die frühere Richtlinie 95/46/EG ersetzt hat.
- IT-Sicherheit: Anhang I Abschnitt 16.4 verlangt von Herstellern Mindestanforderungen an Hardware, IT-Netzwerkmerkmale und IT-Sicherheitsmaßnahmen einschließlich des Schutzes vor unbefugtem Zugriff.
Hersteller, die zusätzlich ISO/IEC 27001 erfüllen wollen, können deren Rahmen mit den IVDR-Bestimmungen zu Softwaresicherheit und Datenschutz verbinden, zum Beispiel:
- den Risikobeurteilungsprozess der ISO/IEC 27001 zur Unterstützung der Risikomanagementanforderungen aus Anhang I Abschnitt 3 IVDR nutzen (neben ISO 14971);
- die Zugangskontrollmaßnahmen der ISO/IEC 27001 zur Unterstützung der Datenschutzanforderungen nutzen.
3. Abschnitte der ISO/IEC 27001:2022 und zentrale Dokumente
Medizinproduktehersteller können ein ISMS wie ISO/IEC 27001 freiwillig als Ergänzung zu ihrem Qualitätsmanagementsystem einführen. So lassen sich Informationssicherheitsrisiken systematisch steuern und die Anforderungen der IVDR besser erfüllen. Die Tabelle zeigt, welche Abschnitte typischerweise durch die Kerndokumente abgedeckt werden:
| Abschnitt | Titel | Zentrales Dokument |
|---|---|---|
| 4.1 | Verstehen der Organisation und ihres Kontexts | – |
| 4.2 | Verstehen der Erfordernisse und Erwartungen interessierter Parteien | – |
| 4.3 | Festlegen des Anwendungsbereichs des ISMS | Informationssicherheitsleitlinie und Anwendungsbereich |
| 4.4 | Informationssicherheitsmanagementsystem | Informationssicherheitsleitlinie und Anwendungsbereich |
| 5.1 | Führung und Verpflichtung | Informationssicherheitsleitlinie und Anwendungsbereich |
| 5.2 | Politik | Informationssicherheitsleitlinie und Anwendungsbereich |
| 5.3 | Rollen, Verantwortlichkeiten und Befugnisse | Informationssicherheitsleitlinie und Anwendungsbereich |
| 6.1.1 | Maßnahmen zum Umgang mit Risiken und Chancen – allgemein | Informationssicherheitsrisikobeurteilung |
| 6.1.2 | Informationssicherheitsrisikobeurteilung | Informationssicherheitsrisikobeurteilung |
| 6.1.3 | Informationssicherheitsrisikobehandlung | Informationssicherheitsrisikobeurteilung; Informationssicherheitsmaßnahmen |
| 6.2 | Informationssicherheitsziele und Planung zu deren Erreichung | – |
| 6.3 | Planung von Änderungen | – |
| 7.1–7.4 | Ressourcen, Kompetenz, Bewusstsein, Kommunikation | – |
| 7.5 | Dokumentierte Information (allgemein, Erstellen und Aktualisieren, Lenkung) | – |
| 8.1–8.3 | Betriebliche Planung und Steuerung, Risikobeurteilung, Risikobehandlung | – |
| 9.1 | Überwachung, Messung, Analyse und Bewertung | – |
| 9.2 | Internes Audit (allgemein, Auditprogramm) | – |
| 9.3 | Managementbewertung (allgemein, Eingaben, Ergebnisse) | – |
| 10.1–10.2 | Fortlaufende Verbesserung; Nichtkonformität und Korrekturmaßnahmen | – |
| Anhang A | Referenz der Informationssicherheitsmaßnahmen | Informationssicherheitsmaßnahmen |
So unterstützt EVERBIZ
EVERBIZ unterstützt Hersteller beim Aufbau eines ISMS neben ihrem ISO-13485-Qualitätssystem und bei der Erfüllung der Anforderungen an Cybersicherheit und Datenschutz aus IVDR und MDR. Sprechen Sie uns an.
Dieser Beitrag dient nur zur Information und stellt keine Rechtsberatung dar.