Cybersecurity für Medizinprodukte: Sicherstellung der MDR-Compliance & sichere Entwicklung über den gesamten Lebenszyklus
Cybersicherheit über den gesamten Lebenszyklus von Medizinprodukten hinweg – im Einklang mit MDR, MDCG 2019-16, IEC 62304, IEC 81001-5-1 und CRA.
Cybersecurity für Medizinprodukte: Live-Vortrag
Sicherheit über den gesamten Lebenszyklus von Medizinprodukten — Anforderungen, Praxis und audit-fähige Umsetzung.
Patientensicherheit beginnt bei digitaler Sicherheit
Cybersicherheitsrisiken können sich unmittelbar in Risiken für die Patientensicherheit übersetzen. Cybersicherheitsrisiken bei Medizinprodukten sind gemäß MDCG 2019-16 integraler Bestandteil des Risikomanagements, da sie die Patientensicherheit unmittelbar beeinflussen können. IT-bezogene Sicherheitsvorfälle können sich zu sicherheitsrelevanten Risiken entwickeln, wenn sie die Gerätefunktion oder klinische Leistung beeinträchtigen, und schließlich zu Patientenschäden führen.
VamiSec unterstützt Hersteller bei der Umsetzung der Cybersecurity-Anforderungen über den gesamten Lebenszyklus – von Security-by-Design, SSDLC und Threat Modeling über Schwachstellenmanagement bis hin zur Post-Market Surveillance und audit-fähigen Dokumentation im Einklang mit MDR und IVDR.
Umsetzung in 4 Phasen
Ausgangslage & Gap-Validierung
Auf Basis einer strukturierten Bestandsaufnahme werden bestehende SOPs und Nachweise gegen IEC 62304, IEC 81001-5-1, MDR und MDCG-Guidances abgeglichen. Identifizierte Lücken werden priorisiert und in einen klaren Maßnahmenplan überführt.
Prozess-Harmonisierung & Ergänzung
Fehlende oder unvollständige Prozesse werden ergänzt und mit bestehenden SOPs harmonisiert. Der Fokus liegt auf SSDLC, Vulnerability- und Patch-Management sowie der regulatorisch konformen Dokumentation.
Operative Umsetzung & Nachweiserzeugung
Die definierten Prozesse werden operativ verankert und durch geeignete Tools unterstützt. Sicherheitsaktivitäten und Entscheidungen werden nachvollziehbar dokumentiert und revisionssicher nachgewiesen.
Audit-Readiness & Feinabstimmung
Die Dokumentation wird konsolidiert, auf Konsistenz geprüft und gezielt auf Audits vorbereitet. Verbleibende Lücken werden geschlossen und interne Reviews durchgeführt.
Was wir für Sie tun
Governance, Nachvollziehbarkeit & Audit-Readiness
Integration von Schwachstellen- und Sicherheitsüberwachungsaktivitäten in bestehende Lebenszyklus-, Lieferanten- und Post-Market-Prozesse zur Sicherstellung nachvollziehbarer Entscheidungen, messbarer Wirksamkeit und audit-fähiger Dokumentation im Einklang mit MDR und anwendbaren Normen.
Sicherheit durch Design gewährleisten
Etablierung eines systematischen Ansatzes für das Management von Cybersicherheitsrisiken während des gesamten Lebenszyklus von Komponenten, einschließlich Risikobewertung auf der Grundlage von Angriffspfaden, Bedrohungsszenarien und Strategien zur Risikominderung.
Secure Software Development Lifecycle
Integration der Cybersicherheit in den SDLC durch Definition von Sicherheitsanforderungen, Implementierung sicherer Codierungspraktiken und Gewährleistung einer kontinuierlichen Risikobewertung durch Design, Tests und Bereitstellung.
CI/CD Pipelines erstellen
CI/CD-Pipelines binden SAST und SCA in Form definierter Quality Gates ein und stellen damit sicher, dass Code-Qualität, Sicherheitsrisiken und Abhängigkeiten zu Drittkomponenten vor dem Release systematisch bewertet und behandelt werden.
Vulnerability Lifecycle Management & Incident Response
Definition und Dokumentation eines konsistenten Vorgehens zur Identifikation, Bewertung, Nachverfolgung, Behebung und Akzeptanz von Schwachstellen über den gesamten Produktlebenszyklus hinweg, einschließlich Legacy-Software, Drittsoftware (SOUP) und Lieferantenkomponenten, unterstützt durch geeignete Werkzeuge und Kennzahlen.
Technische Dokumentation & SBOM
Eine Software Bill of Materials (SBOM) ermöglicht Transparenz und Kontrolle über alle in Medizinprodukten eingesetzten Softwarekomponenten. Sie bildet eine zentrale Grundlage für Schwachstellenmanagement, Lieferkettensicherheit und die regulatorische Konformität unter MDR und dem Cyber Resilience Act.
Häufige Fragen
Welche Medizinprodukte sind von der MDR betroffen?
Alle in der EU vermarkteten Medizinprodukte und In-vitro-Diagnostika. Besonders relevant sind vernetzte Geräte (Software as a Medical Device – SaMD) und Geräte mit Kommunikationsschnittstellen.
Was fordert die MDCG 2019-16 zur Cybersicherheit?
Die MDCG-Leitlinie fordert Security-by-Design, Threat Modeling, Penetration Tests, sichere Updates, Schwachstellenmanagement und eine Post-Market Surveillance-Strategie über den gesamten Produktlebenszyklus.
Wie lange dauert eine Cybersecurity-Prüfung?
Je nach Komplexität des Medizinprodukts zwischen 4 und 12 Wochen. Wir erstellen nach einem kurzen Erstgespräch einen konkreten Zeitplan.
Unterstützen Sie auch bei der Zertifizierung?
Ja. Wir begleiten Sie von der Gap-Analyse bis zur vollständigen Dokumentation für Ihre benannte Stelle (Notified Body).
Schützen Sie Ihr Unternehmen jetzt!
Kontaktieren Sie uns für eine individuelle Beratung und Sicherheitslösung, die auf Ihre Anforderungen abgestimmt ist.
Valeri Milke, CEO von VamiSec
"Nur wenn alle Instrumente gut aufeinander abgestimmt sind, wird Ihre Organisation sicher und compliant."