Warum MedTech-Hersteller den „Cyber Resilience Act“ beachten sollten

Dieser Blogbeitrag entstand in Kollaboration mit Maxime Hernandez, Programmmanager für Cybersecurity-Dienstleistungen bei TÜV SÜD.

Cybersecurity ist für MedTech-Hersteller zu einem Thema auf Vorstandsebene geworden. Da Produkte zunehmend vernetzt und softwareabhängig sind, prüfen die Aufsichtsbehörden immer genauer, wie Unternehmen Cybersicherheitsrisiken über den gesamten Lebenszyklus eines Produkts hinweg managen. Zwar gilt das EU-Gesetz zur Cyberresilienz (CRA) nicht direkt für Medizinprodukte, die unter die MDR oder IVDR fallen, doch spiegelt es einen allgemeinen Wandel in den regulatorischen Erwartungen wider, den MedTech-Unternehmen nicht ignorieren dürfen.

Medizinprodukte und In-vitro-Diagnostika, die unter die EU-MDR oder IVDR fallen, sind vom CRA ausgenommen. Allerdings umfassen MedTech-Portfolios häufig vernetzte Software, Wellness-Technologien, Krankenhausinfrastruktur oder andere digitale Produkte, die dennoch in den Geltungsbereich der Verordnung fallen können. Zwar unterliegen regulierte Medizinprodukte bereits Cybersecurity-Anforderungen im Rahmen von Frameworks wie den FDA-Leitlinien und der MDR/IVDR, doch bekräftigt der CRA einen breiteren Branchentrend: Cybersecurity muss über den gesamten Lebenszyklus des Produkts hinweg gemanagt werden und darf nicht als isolierte Compliance-Maßnahme behandelt werden.

Für die nicht-medizinischen Wellness-Geräte (allgemeine Fitness-Tracker, Plattformen zur Terminvereinbarung, IoT-Infrastruktur in Krankenhäusern), die in den Geltungsbereich des CRA fallen, ist die Einhaltung aller Anforderungen bis zum 12. Dezember 2027 erforderlich.

Warum das immer schwieriger zu bewältigen ist

Cybersecurity wird für den Marktzugang immer wichtiger. Bei Anträgen vor der Markteinführung werden zunehmend ein klarer Cybersicherheitsplan, eine Bedrohungsmodellierung und eine Software-Stückliste (SBOM) verlangt. In Europa müssen Hersteller zudem Cybersicherheitsrisiken über den gesamten Lebenszyklus eines Geräts hinweg managen. Dies bedeutet eine wesentliche Veränderung für die Teams in den Bereichen Engineering, Qualitätssicherung und Zulassung: Anstatt Nachweise durch manuelle Recherchen, Tabellenkalkulationen oder das Wissen von Kollegen zu sammeln (oder manchmal sogar zu erstellen), muss ein Framework geschaffen werden, in dem jedes Mitglied des Produktteams zur Einhaltung der Cybersecurity-Vorschriften beiträgt, da diese bereits bei der Konzeption berücksichtigt werden müssen.

Die meisten Hersteller wissen, dass Cybersecurity wichtig ist. Schwieriger ist es jedoch, die Kontrolle über fragmentierte Systeme nachzuweisen: Bedrohungen an einer Stelle, Anforderungen an einer anderen, Testnachweise woanders und Schwachstellendaten, die oft manuell erfasst werden. Wenn eine neue Schwachstelle bekannt wird, müssen die Teams schnell wissen, welche Produkte betroffen sind, welche Nachweise vorliegen und welche Maßnahmen erforderlich sind.

Compliance-Herausforderungen beherrschen

Moderne MedTech-Unternehmen nutzen digitale Technologien, um Compliance-Komplexität zu bewältigen.

Mehr erfahren

Wie sich Cyber-Resilienz in der Praxis gestaltet 

In der Praxis hängt die Cyber-Resilienz von der Rückverfolgbarkeit ab. Unternehmen müssen nachvollziehen können, welche Produkte, Softwarekomponenten, Anforderungen, Tests und veröffentlichten Versionen betroffen sind, wenn eine Schwachstelle erfahren wird. Ohne diese Transparenz wird die Reaktion auf Cybersecurity-Vorfälle langsamer, teurer und die Verteidigung bei Audits oder behördlichen Überprüfungen schwieriger.

Gemäß der EU-CRA muss ein Hersteller in der Lage sein, eine Bedrohung bis zu dem von ihr verursachten Risiko, den Sicherheitszielen, die dieser Bedrohung begegnen, dem Test, der sie verifiziert, und der Version, in der die Kontrollmaßnahme implementiert wurde, zurückzuverfolgen. Während der Entwurfsphase des Produkts ist die Einbeziehung der Cybersecurity von entscheidender Bedeutung, um eine Neugestaltung zu vermeiden; außerdem muss sich das Entwicklungsteam der cybersicherheitsrelevanten Einschränkungen bewusst sein, die sich auf bestimmte Funktionen auswirken könnten.

Rückverfolgbarkeit dient nicht nur der Unterstützung bei Audits. Sie hilft Teams dabei, die Auswirkungen von Änderungen zu verstehen, bevor diese in den Einsatz gelangen. Wenn Anforderungen, Risiken, Tests, Releases und Schwachstellen miteinander verknüpft sind, können Teams schneller und sicherer reagieren.

Eine vernetzte Rückverfolgbarkeit hilft Teams zudem, die Auswirkungen einer Designänderung zu verstehen, bevor diese in den Einsatz gelangt, wodurch Compliance-Risiken reduziert und fundiertere Entscheidungen im Bereich des Engineerings unterstützt werden.

Wo soll man anfangen?

Hersteller müssen nicht alles auf einmal lösen. Ein sinnvoller erster Schritt besteht darin, zu ermitteln, wo die größte Lücke liegt, und dort anzusetzen. 

• Verfügen wir über ein Framework zur Bewertung von Cybersecurity-Risiken?
• Können wir eine maschinenlesbare SBOM erstellen und pflegen?
• Können wir erfahren, welche Produkte und Versionen betroffen sind, wenn eine Schwachstelle entdeckt wird?
• Werden Triage, Bewertung, Analyse und Patching innerhalb festgelegter Zeitrahmen durchgeführt?
• Werden diese Aktivitäten durch formelle Prozesse zum „Umgang mit Schwachstellen“ dokumentiert und sind die Verantwortlichen benannt? Sind die Zuständigkeiten klar zugewiesen und teamübergreifend verstanden?

Gibt es ein Framework zur Bewertung von Cybersecurity-Risiken? Wird die SBOM in einem maschinenlesbaren Format erstellt, und können bei Erfahren einer Schwachstelle Triage, Bewertung, Analyse und Patching gemäß eines definierten Zeitplans durchgeführt werden? Werden diese durch Prozesse (sogenanntes „Vulnerability Handling“) dokumentiert, und sind die verantwortlichen Personen benannt? Die Antworten zeigen in der Regel, worauf man sich zuerst konzentrieren sollte.

Die Cybersecurity in der MedTech Branche wird immer anspruchsvoller, da Geräte immer stärker vernetzt sind und die regulatorischen Erwartungen weiter steigen. Hersteller, die Sicherheit in den gesamten Lebenszyklus integrieren und ihre Nachweise miteinander verknüpfen, sind besser darauf vorbereitet, die Compliance-Anforderungen zu erfüllen und das Vertrauen von Patienten, Anbietern und Aufsichtsbehörden zu wahren.

Unabhängig davon, ob ein bestimmtes Produkt unter die CRA fällt, verdeutlicht die Verordnung eine umfassendere Realität: Cybersecurity kann nicht länger als separate Compliance-Maßnahme betrachtet werden, die erst am Ende der Entwicklung abgewickelt wird.

Unternehmen, die Cybersecurity, Rückverfolgbarkeit und Change Management als miteinander verbundene Disziplinen betrachten, sind besser aufgestellt, um den sich wandelnden regulatorischen Anforderungen gerecht zu werden und gleichzeitig das Vertrauen von Patienten, Anbietern und Aufsichtsbehörden zu wahren.