Die Regulierungs- und Standardisierungslandschaft für medizintechnische Geräte und Produkte ist einigermaßen unübersichtlich. Für jedes Gerät gelten andere Vorschriften, je nach der Region, in der es verkauft oder betrieben wird, je nach Gerätetyp und sogar je nach Art des betriebenen Marketings. Und die unterschiedlichen medizinischen Verbände geben ihre eigenen Cybersicherheitsrichtlinien und Verfahrensempfehlungen heraus. Die wichtigsten medizinischen Cybersicherheitsstandards sind:

Food and Drug Administration (FDA)

Die US-amerikanische Food and Drug Administration (FDA) hat den Auftrag, die Sicherheit von Medizinprodukten zu regulieren, die in den USA vermarktet und verkauft werden, inklusive der Software, die als eigenständiges medizinisches Tool eingesetzt wird. Die FDA veröffentlicht zahlreiche „Guidance Documents“, darunter zwei Cybersicherheitsstandards, erkennt aber auch zahlreiche andere Cybersicherheitsstandards an.

Die FDA geht davon aus, dass Anbieter eventuell bereits über eine Art von Compliance-Programm zur Cybersicherheit verfügen, und erlaubt es Herstellern, bestehende Compliance-Erklärungen für die Konformität mit der Guidance der FDA wiederzuverwenden. Das Guidance Document Appropriate Use of Voluntary Consensus Standards (2018) der FDA definiert dieses Verfahren.

Das FDA-eigene Guidance Document Medical Device Cybersecurity umfasst zwei wichtige Dokumente: „Premarket“- und „Postmarket“ Guidance. Die Premarket Guidance stellt Anforderungen an einen sicheren Design- und Entwicklungsprozess und deckt eine umfassende Liste von Themen ab, wie z. B. Authentifizierung und Autorisierung, Passwortschutz, physische und kryptografische Schutzmaßnahmen, Kommunikations- und Update-Sicherheit sowie Daten- und Code-Integrität.

Die Postmarket Guidance ist eher verfahrensorientiert. Sie befasst sich mit den Anforderungen an die Wartung nach der Inbetriebnahme, mit Verfahren für die Reaktion auf und den Umgang mit Vorfällen sowie mit Software-Updates. Gemäß dieser Guidance müssen Hersteller eine Richtlinie zur Offenlegung von Sicherheitslücken einführen und nachgelagerte Käufer oder die FDA selbst über in ihren Produkten aufgedeckte Sicherheitslücken informieren. Das gilt hauptsächlich für Fälle, bei denen ein Risiko für den Patienten besteht. In anderen Fällen erlaubt die FDA das Ausbringen von Software-Updates, ohne dass die Betroffenen benachrichtigt oder das Produkt neu zertifiziert werden müssten.

National Institute of Standards and Technology (NIST)

Das US-amerikanische NIST ist in vielen Bereichen als Cybersicherheitsbehörde anerkannt. Medizinische Standards bilden da keine Ausnahme. Zu den wichtigsten zählt der NIST SP 1800-8-Standard „Securing Wireless Infusion Pumps in Healthcare Delivery Organizations“. Dieser wurde in Zusammenarbeit mit einigen branchenführenden Unternehmen entwickelt. Er basiert auf dem NIST Cybersecurity Framework und ordnet seine Anforderungen dem Bereich Cybersicherheit für Medizinprodukte zu. Zudem wird auf mehrere nicht-staatliche Cybersicherheitsstandards verwiesen. Das Dokument befasst sich mit Cybersicherheitsaspekten über den gesamten Lebenszyklus eines Geräts hinweg und beschreibt die erforderlichen Kontrollen, um die Netzwerkinfrastruktur, die Infusionspumpe selbst, die Remote-Server, mit denen sie verbunden ist, und das Unternehmensnetzwerk, in dem sie installiert wird, zu schützen. Dazu zählt auch eine Anleitung für Funktionstests anhand derer man die Umsetzung der Anforderungen überprüfen kann. Ein weiteres Dokument des NIST ist SP800-66 – „An Introductory Resource Guide for Implementing the Health Insurance Portability and Accountability Act (HIPAA) Security Rule“, das Anbieter dabei unterstützt, die HIPAA-Vorgaben in konkrete Begriffe zu fassen. Dazu werden die Anforderungen in eine Reihe technischer Fragen übersetzt, die als Grundlage für die eigentliche Implementierung dienen.

Diabetes Technology Society (DTS)

Die Diabetes Technology Society war eine der ersten, die den Bedarf von Cybersicherheitsvorgaben speziell für vernetzte Medizinprodukte erkannt hat. Der Standard for Wireless Diabetes Device Security (DTSec) behandelt den Zertifizierungsprozess für intelligente Insulinpumpen und verwandte Geräte. Für technische Belange verweist der Standard auf die Common Criteria-Standardfamilie (ISO/IEC 15408), für die die DTSec ein eigenes Schutzprofil entwickelt hat. Dieser Standard ist ein komplexes technisches Dokument, das die Liste der Bedrohungen und notwendigen Sicherheitsanforderungen umreißt.

Underwriters Laboratories (UL)

UL, ein wichtiger Akteur auf dem globalen Zertifizierungsmarkt, hat mehrere Cybersicherheitsstandards für eingebettete Geräte im Rahmen der UL 2900-Familie veröffentlicht. UL betreibt ein Cybersecurity Assurance Program (CAP), das Unternehmen und Geräte zertifiziert, darunter auch Medizinprodukte. Unter diesen Standards ist UL 2900-1 der zentrale Standard, auf den sich die übrigen beziehen. Der Standard wurde von der FDA für die Zertifizierung von Medizinprodukten anerkannt. UL 2900-2-1 oder „Software Cybersecurity for Network-Connectable Products, Part 2-1: Particular Requirements for Network Connectable Components of Healthcare and Wellness Systems” ist ein weiterer Standard innerhalb dieser Familie, der sich medizinischen Produkten und Systemen widmet. Die meisten Vorgaben werden dabei UL 2900-1 zugeordnet. Dazu kommt eine Reihe von Anforderungen speziell für die Cybersicherheit von Medizinprodukten.

National Electrical Manufacturers Association (NEMA)

Die US-amerikanische NEMA ist ein Herstellerverband für unterschiedliche Industriezweige, einschließlich der Medizintechnik. Die NEMA veröffentlicht einen in der Branche verbreiteten Standard unter dem Namen Manufacturer Disclosure Statement for Medical Device Security (MDS2). Dabei handelt es sich um einen Fragebogen mit etwa 200 Fragen, die ein umfassendes Themenspektrum abdecken, von Datenschutz über Autorisierung bis hin zu physischem Schutz, sowie einem begleitenden Leitfaden, der die Bedeutung und mögliche Antworten auf diese Fragen näher erläutert. Es gibt zuhauf andere Versionen und Programme rund um den MDS2, wobei viele medizinische Fachgesellschaften ihre eigene Version anbieten.

The Medical Device Innovation, Safety and Security Consortium (MDISS)

Die MDISS ist eine gemeinnützige Organisation der Medizinindustrie, die ihren Mitgliedern ein Netzwerk von Sicherheitstestlabs zur Verfügung stellt. Dazu kommt das MDRAP-Programm zur Zertifizierung von Medizinprodukten. Das Zertifizierungsdokument ist ein Fragebogen, der auf dem oben genannten MDS2-Standard basiert, aber weitere Fragen und Details zur Risikobewertung und zum Schwachstellenmanagement gemäß MDISS enthält.

Die MDISS ist derzeit aktiv daran beteiligt, eine Variante des ISA/IEC 62443-Standards für die Medizinindustrie zu entwickeln. ISA/IEC 62443 selbst ist ein weithin bekannter und maßgeblicher Cybersicherheits-Standard im Bereich IACS (Industrial Automation and Control Systems).

Open Web Application Security Project (OWASP)

OWASP ist eine gemeinnützige, Community-basierte Organisation, die in den Bereichen der allgemeinen AppSec und Websicherheit eine einflussreiche Rolle spielt. Seit kurzem befasst sie sich im Rahmen des OWASP-Projekts „Internet of Things“ mit der Sicherheit von eingebetteten Geräten. OWASP bietet den OWASP Secure Medical Device Deployment Standard an, einen Leitfaden für die Cybersicherheit von Medizinprodukten, der sich auf Einsatzszenarien konzentriert. Er ist eine nützliche Quelle für Cybersicherheits-Experten, die nach Anleitungen zur Cybersicherheit für den Organisationsprozess, die Netzwerkinfrastruktur und das Gerät selbst suchen.

International Electrotechnical Commission (IEC)

Die IEC ist ein globales Standardisierungsgremium, das sich mit einer Vielzahl von Themen befasst, einschließlich von Cybersicherheit im Allgemeinen und Cybersicherheit für Medizinprodukte im Besonderen. Der Standard IEC 62304, „Medical device software - Software life cycle processes“ regelt die Prozesse der Softwareentwicklung und Beschaffung für Medizinprodukte. Es befasst sich mit allgemeinen praktischen Problemen. Dazu zählt der Umgang mit älterer Software und Software, die aus Quellen stammt, die nicht über einen ordnungsgemäßen Software-Management- und Entwicklungsprozess verfügen. Wie in der Medizinbranche üblich, konzentriert sich das Risikomanagement des Standards auf das Patientenrisiko. Konformitätsprogramme zu diesem Standard sind über verschiedene Zertifizierungsorganisationen erhältlich, darunter der TÜV SÜD und die UL.

Institute of Electrical and Electronics Engineers (IEEE)

Das IEEE ist ein Berufsverband mit einem breiten Spektrum an Publikationen und Standardisierungsaktivitäten. Im Bereich der medizinischen Cybersicherheit umfasst das IEEE Building Code for Medical Device Software Security Best Practices zur Entwicklung eingebetteter Geräte einschließlich des organisatorischen Prozesses, sichere Kodierungstechniken, Kryptographie, Code-Integrität, Härtung und Prüfung – eine hilfreiche Übersicht, allerdings ohne konkrete Anforderungen.

International Medical Device Regulators Forum (IMDRF)

Das IMDRF veröffentlicht die Principles and Practices for Medical Device Cybersecurity, die verfahrenstechnische Sicherheitsaspekte bei Medizinprodukten abdecken. Sie behandeln Themen wie den Produktlebenszyklus von der Entwicklung bis zur Prüfung, den Sicherheitsprozess einschließlich der Risikobewertung und allgemeiner Konstruktionsprinzipien, Verfahren zur Offenlegung von Sicherheitslücken und Vorfallsreaktion, den Umgang mit veralteten Geräten und vieles mehr. Wie die FDA-Guidance unterscheidet das Dokument nach Pre- und Postmarket-Aspekten und zitiert eine große Zahl der zugehörigen Standards und regulatorischen Guidance-Dokumente für die Medizinindustrie.