Medizinprodukte IT

Die zunehmende Vernetzung von Medizinprodukten bietet viele Vorteile, wie eine bessere Patientenüberwachung und eine effizientere Gesundheitsversorgung. Gleichzeitig bringt sie jedoch neue Herausforderungen mit sich, insbesondere im Hinblick auf die IT-Sicherheit. Die Absicherung vernetzter Systeme und die Prävention von Cybergefahren stehen dabei im Mittelpunkt.

Rechtsgrundlagen für Medizinprodukte

Die Grundlage für die Herstellung, den Vertrieb und den Betrieb von Medizinprodukten in der Europäischen Union bildet die Medizinprodukteverordnung 2017/745 (MDR) sowie die In-Vitro-Diagnostica-Verordnung 2017/746. Diese Regularien fordern, dass Medizinprodukte, einschließlich medizinischer Software, so entwickelt und betrieben werden, dass Cybergefahren so weit wie möglich reduziert werden. Hierbei spielt das Risikomanagement eine zentrale Rolle, das verpflichtend auch Cyberbedrohungen abdecken muss.

In Deutschland ergänzt das Medizinprodukterecht-Durchführungsgesetz (MPDG) die MDR und regelt die Verantwortlichkeiten von Herstellern, Händlern, Betreibern und Anwendern. Besonders der Betreiber einer Gesundheitseinrichtung hat hierbei eine entscheidende Rolle: Er legt fest, wie umfangreich Vorschriften zu Medizinprodukten, Strahlenschutz und Informationssicherheit umgesetzt werden.

IT-Sicherheit und Risikobewertung

Ein zentrales Element für vernetzte Medizinprodukte ist die Risikobewertung, wie sie etwa nach der Norm IEC 80001 durchgeführt wird. Diese Norm gibt vor, wie Risiken, die durch die Vernetzung in IT-Infrastrukturen entstehen, gemindert werden können. Insbesondere die Einbindung von Medizinprodukten in WLAN-Netzwerke erfordert eine sorgfältige Bewertung, um mögliche Schwachstellen zu identifizieren und abzusichern.

Ein weiteres wichtiges Thema ist die Passwortsicherheit. Medizinprodukte müssen vor unbefugtem Zugriff geschützt werden, insbesondere wenn sie über Netzwerke miteinander verbunden sind. Neben sicheren Passwörtern kann die Multi-Faktor-Authentifizierung (MFA) einen zusätzlichen Schutz bieten, z. B. durch die Kombination eines Passworts mit einem Fingerabdrucksensor.

Fällt unter die MDR: Diagnostisches Ultraschallsystem Mindray_DC-40 © Von Thomas Klug, daten-strom.Medical-IT-Services GmbH

Unser Informationsangebot für
ärztliche und psychotherapeutische Praxen

News

Bleiben Sie auf dem neuesten Stand und lesen Sie unsere Nachrichten aus dem Bereich des digitalen Gesundheitswesens.

Mehr erfahren

Vorfälle & Incidents

Erfahren Sie, welche Datenpannen, Sicherheitslücken sowie technische und organisatorische Mängel in den Praxen offenkundig werden.

Mehr erfahren

Interviews

Experten und Expertinnen werden über verschiedene Themen wie IT, IT-Security, Datenschutz, eHealth und Telematik interviewt.

Mehr erfahren

Patientensicherheit und Datenschutz

Vernetzte Medizinprodukte unterliegen besonderen Datenschutzanforderungen, insbesondere im Hinblick auf die Datenschutz-Grundverordnung (DSGVO). Trotzdem gilt der Grundsatz: „Patientensicherheit first“. Das bedeutet, dass die medizinische Dokumentation immer Vorrang vor Datenschutzaspekten hat, wenn es um die Sicherheit des Patienten geht.

Hersteller von vernetzten Medizinprodukten müssen zudem sicherstellen, dass die Zweckbestimmung des Produkts klar definiert ist. Diese Zweckbestimmung gibt an, wie und wo das Produkt eingesetzt werden soll, um eine sachgerechte und sichere Nutzung zu gewährleisten. Benannte Stellen prüfen im Rahmen des MDR-Prozesses auch vernetzte Medizinprodukte auf ihre Sicherheit und Leistung.

Vigilanz und Anomalieerkennung

Um die Sicherheit der Produkte im laufenden Betrieb zu gewährleisten, sind Vigilanz-Systeme erforderlich, die Vorkommnisse mit Medizinprodukten erfassen und bearbeiten. Sowohl der Betreiber als auch der Hersteller müssen Vorfälle dem Bundesinstitut für Arzneimittel und Medizinprodukte (BfArM) melden, jeweils über separate Formulare.

Zudem können Systeme zur Anomalieerkennung (SzA) eingesetzt werden, um Unregelmäßigkeiten im Betrieb der Medizinprodukte frühzeitig zu identifizieren und entsprechende Alarme auszulösen. Dies trägt dazu bei, potenzielle Gefahren oder Fehlfunktionen zu erkennen, bevor sie Auswirkungen auf die Patientenversorgung haben.

Betrieb und Instandhaltung

Auch die Instandhaltung vernetzter Medizinprodukte muss umfassend dokumentiert werden. Dies ist entscheidend, um den reibungslosen und sicheren Betrieb der Geräte zu gewährleisten. Für den Vertrieb und die Applikationsschulung, insbesondere bei vernetzten Produkten, ist nach §83 MPDG ein Medizinprodukte-Berater IT erforderlich. Dieser berät nicht nur in der Anwendung, sondern schult auch im Umgang mit Sicherheitsrisiken.

Zudem spielt das Business Continuity Management (BCM) eine wichtige Rolle. Im Falle eines IT-Ausfalls muss der Betrieb von Medizinprodukten aufrechterhalten werden können, um eine unterbrechungsfreie Patientenversorgung sicherzustellen.

Sicherheit in allen Prozessschritten beachten

Umfängliche Planung vor dem Einkauf
Sichere Installation
Gebrauchsanweisung beachten
Schulung nach MPBetreibV, IT-Sicherheitsrecht & ggf. Arzneimittelrecht
Instandhaltung und laufende Dokumentation
Sichere Fernwartung organisieren, falls erforderlich
Marktbeobachtung
Informationssicherheit & Datenschutz

Medizinprodukte

Tipp

Im Bereich der Medizintechnik gibt es immer weniger detaillierte gesetzliche Vorgaben. Stattdessen werden allgemeine Schutzziele definiert, deren Einhaltung Arztpraxen und Krankenhäuser selbst sicherstellen müssen.

Es sind notwendige Maßnahmen gemäß dem aktuellen Stand der Technik zu ergreifen, basierend auf einer vorherigen Risikobewertung. Dies macht es für Medizintechniker, Berater und Geschäftsleitungen schwerer, klare Entscheidungen zur IT- und Patientensicherheit zu treffen. Ein umfassendes Risiko- und Gefahrenwissen ist entscheidend für verantwortungsvolle Entscheidungen. Letztlich trägt die Geschäftsführung die Gesamtverantwortung für akzeptierte Risiken.