Cybersicherheit ist für Medizinprodukte unverzichtbar. Immer mehr Produkte bieten elektronischen Datenaustausch, Fernzugriff und Fernsteuerung – das steigert die Effizienz im Gesundheitswesen, bringt aber auch Herausforderungen für die Cybersicherheit. Um eine sichere und wirksame Anwendung zu gewährleisten, hat China eine Reihe von Vorschriften und Normen eingeführt.
1. Vorschriften und Normen
- Leitlinie zur Registrierungsprüfung der Cybersicherheit von Medizinprodukten (Revision 2022)
- YY/T 1843-2022 – Grundanforderungen an die Netzwerksicherheit medizinischer elektrischer Geräte
- YY/T 0664-2020 – Medizingeräte-Software – Software-Lebenszyklus-Prozesse
- GB 9706.1-2020 – Medizinische elektrische Geräte – Teil 1: Allgemeine Festlegungen für die Sicherheit einschließlich der wesentlichen Leistungsmerkmale
2. Anwendungsbereich
Die Anforderungen gelten für Registrierungsanträge für eigenständige Software und softwarehaltige Produkte der Klassen II und III (einschließlich In-vitro-Diagnostika) mit mindestens einer der folgenden Funktionen: elektronischer Datenaustausch, Fernzugriff und Fernsteuerung oder Benutzerzugriff – sowohl für selbst entwickelte als auch für Standardsoftware.
3. Inhalt der Registrierungsunterlagen
Grundinformationen
- Produktidentifikation: Produktname, Modell, Spezifikationen, Nummer der Registrierungsbescheinigung usw.
- Hintergrund: Hintergrund und Zweck der Untersuchung.
- Umfang der Untersuchung: erfasste Produkttypen, Funktionen und Netzwerkumgebungen – etwa bestimmte drahtlose oder kabelgebundene Verbindungen und Arten des elektronischen Datenaustauschs.
Analyse der Cybersicherheitseigenschaften
- Vertraulichkeit: eingesetzte Verschlüsselungstechnologien und Zugriffskontrollstrategien.
- Integrität: wie das Produkt sicherstellt, dass Daten bei Erstellung, Übertragung, Speicherung und Anzeige nicht unbefugt verändert werden, einschließlich Datenprüfung und Manipulationsschutz.
- Verfügbarkeit: Fehlertoleranz sowie Sicherungs- und Wiederherstellungsstrategien.
Beschreibung der produktbezogenen Daten
- Datenverarbeitung: der gesamte Datenlebenszyklus – Erzeugung, Erhebung, Speicherung, Übertragung, Nutzung und Löschung – mit Analyse möglicher Cybersicherheitsrisiken in jedem Schritt.
- Datensicherheitsmaßnahmen: Maßnahmen wie Verschlüsselung, Anonymisierung und Zugriffskontrolle sowie deren Wirksamkeit und Grenzen.
Analyse der elektronischen Schnittstellen
- Netzwerkschnittstellen: technische Merkmale – Netzwerkform und -typ, Schnittstellenform, Datenschnittstellen, Fernzugriffs- und Fernsteuerungsmethoden, Leistungskennzahlen – sowie mögliche Bedrohungen und Gegenmaßnahmen.
- Schnittstellen für elektronischen Datenaustausch: nicht netzwerkbasierte Schnittstellen oder Speichermedien – Schnittstellentyp, Speicherformat, Datenkompression, Leistungskennzahlen – mit Bewertung der Sicherheitsrisiken bei Übertragung und Speicherung.
Bewertung der Cybersicherheitsfähigkeiten
- Automatische Abmeldung: Fähigkeit, unbefugten Zugriff und unbefugte Nutzung bei unbeaufsichtigtem Gerät zu verhindern, einschließlich Zeiteinstellungen und Auslösebedingungen.
- Audit: Fähigkeit, Benutzeraktivitäten zu prüfen, einschließlich Inhalt, Aufbewahrungsdauer sowie Abfrage- und Analysefunktionen der Audit-Protokolle.
- Autorisierung: Mechanismus zur Feststellung, ob ein Benutzer Zugriffs- und Nutzungsrechte hat, einschließlich Berechtigungsverwaltung, Rechtevergabe und Authentifizierungstechnologien.
Risikobeurteilung und -management
- Risikoidentifikation: alle Cybersicherheitsrisiken – Angriffe, Datenlecks, Systemausfälle – erkennen und Ursachen sowie mögliche Auswirkungen analysieren.
- Risikobewertung: die erkannten Risiken mit geeigneten Methoden wie Risikomatrix oder Fehlerbaumanalyse bewerten, um Stufe und Priorität festzulegen.
- Risikobeherrschung: Maßnahmen je Risikostufe festlegen – stärkerer technischer Schutz, besseres Sicherheitsmanagement, Sensibilisierung der Mitarbeitenden – und deren Wirksamkeit sowie die Restrisiken beschreiben.
Schlussfolgerung
Den Gesamtstatus der Cybersicherheit des Produkts zusammenfassen und beurteilen, ob die Anforderungen erfüllt sind.
So unterstützt EVERBIZ
EVERBIZ unterstützt Hersteller bei der Erstellung der Cybersicherheitsdokumentation für die NMPA-Registrierung. Sprechen Sie uns an.
Dieser Beitrag dient nur zur Information und stellt keine Rechtsberatung dar. Maßgeblich ist die jeweils aktuelle NMPA-Leitlinie.