Die IEC 81001-5-1: Norm für die Entwicklung und Wartung cybersicherer Gesundheitssoftware

Im Dezember 2021 veröffentlichte die Internationale Elektrotechnische Kommission (IEC) die Norm IEC 81001-5-1 „Gesundheitssoftware und Gesundheits-IT-Systeme Sicherheit, Effektivität und Security – Teil 5-1: Security – Aktivitäten im Produktlebenszyklus“. Sie stellt den Standard für die cybersichere Entwicklung von Gesundheitssoftware und ihre Absicherung gegen unbefugte Manipulation während des gesamten Lebenszyklus dar. Wir erläutern, wen die Norm betrifft, was genau sie regelt und in welcher Beziehung sie zu anderen Regularien steht.

Inhalt

 

Wen betrifft die Norm?

Primäres Ziel der IEC 81001-5-1 ist es, die Cybersicherheit von Gesundheitssoftware und damit die Patienten- und Datensicherheit zu erhöhen. Dazu legt sie Maßnahmen und Aufgaben fest, die sich auf die verschiedenen Stadien des gesamten Lebenszyklus der Gesundheitssoftware beziehen – beginnend mit der cybersicheren Entwicklung über das Inverkehrbringen bis hin zum Betrieb.
Damit wendet sich die Norm in erster Linie an Hersteller und Entwickler von Gesundheitssoftware. Allerdings bezieht sie auch die Betreiber (Healthcare Delivery Organizations bzw. HDOs) mit ein, indem sie beispielsweise fordert, dass diese vom Hersteller ausreichend Informationen zum sicheren Betrieb der Produkte erhalten. Und sie nimmt die HDOs selbst in die Verantwortung, indem sie diese etwa dazu verpflichtet, bei Problemen im Zusammenhang mit der Cybersicherheit den Hersteller zeitnah zu informieren.

Was versteht die IEC 81001-5-1 unter Gesundheitssoftware?

In Kapitel 3 (Terms and definitions), Absatz 15 definiert die Norm Gesundheitssoftware als „Software, die speziell für das Management, die Aufrechterhaltung oder Verbesserung der Gesundheit von einzelnen Personen oder für die Pflege bestimmt ist oder die entwickelt wurde, um in ein Medizinprodukt integriert zu werden.“

Konkret umfasst der Begriff „Gesundheitssoftware“ damit Software als Teil eines Medizinprodukts und als Teil einer Gesundheitshardware sowie Standalone-Software (software as a medical device, SaMD). Aber auch Software zur gesundheitsbezogenen Nutzung, die im engeren Sinn keine medizinische Software ist, fällt unter die Norm – beispielsweise Fitness-Apps, Apps zur Ernährungsberatung oder Software für die Pflegeplanung. 

 

Was regelt die IEC 81001-5-1?

Als prozessbezogene Norm beschreibt IEC 81001-5-1 genau, welche Maßnahmen bei der Entwicklung und während des gesamten Lebenszyklus von Gesundheitssoftware durchzuführen sind, um die Software bzw. das enthaltende Produkt vor Cyberbedrohungen zu schützen. Zum Beispiel enthält sie konkrete Vorgaben für Prozesse zur Entwicklung und Wartung der Software, zum Management von Sicherheitsrisiken und für das Software-Konfigurationsmanagement. Zudem fordert sie Hersteller auf, sicherzustellen, dass auch security-relevante Software von Drittanbietern, die eigens für das entsprechende Produkt entwickelt wurde, den Anforderungen an die Entwicklung sicherer Software entspricht.

Konkretisiert werden die Vorgaben in den Kapiteln 4 bis 9:

  • Kapitel 4 – Anforderungen an ein Qualitäts- und Risikomanagementsystem in Bezug auf Cybersecurity
  • Kapitel 5 – cybersichere Entwicklung unter Berücksichtigung aller Phasen vom Software-Entwicklungsplan über Requirements-Engineering bis hin zu Schwachstellen- und Penetrationstests
  • Kapitel 6 – Erstellung und Umsetzung eines Software-Wartungsplans (sichere, schnelle Bereitstellung von Security Updates), Monitoring von Incident Reports
  • Kapitel 7 – Risikomanagement, insbes. Identifizierung und Bewertung von Bedrohungen und Sicherheitslücken, Maßnahmen zur Risikokontrolle sowie zur Überwachung der Wirksamkeit dieser Maßnahmen
  • Kapitel 8 – Konfigurationsmanagement bei Produktentwicklung, -wartung und Support
  • Kapitel 9 – Problemlösung bei mitgeteilten Bedrohungen und Sicherheitslücken, Schritte zur Prüfung und Behebung der entsprechenden Security-Probleme

In den Anhängen (A bis G) bietet die Security-Norm zudem viele hilfreiche Informationen und Leitlinien zur Umsetzung der Vorgaben. Dazu zählen z. B. Best Practices zum sicheren Codieren, Leitlinien zur Analyse der besonderen Anforderungen von Gesundheitssoftware, ein Ansatz zur Identifizierung und Priorisierung potenzieller Sicherheitsbedrohungen sowie ein Leitfaden zur Umsetzung von Aktivitäten entlang des Lebenszyklus.

 

Die Norm im Kontext anderer Normen und Regularien

Mit der Norm wird eine Lücke geschlossen, die bisher zwischen verschiedenen einschlägigen Normen und Regularien bestand. Zum einen überträgt IEC 81001-5-1 die primär auf Safety bezogenen Anforderungen der ISO 14971 zu Risikobewertung und -management auf den Bereich der Security. Zum anderen orientiert sie sich an den Security-Anforderungen der IEC 62443 für industrielle Kommunikationsnetze und zeigt auf, wie diese bei Entwicklung und Wartung von Gesundheitssoftware erfüllt werden können. Darüber hinaus ergänzt sie die safety-bezogenen Anforderungen der IEC 62304 an die Entwicklung und Wartung von Medizinprodukt-Software um security-spezifische Vorgaben.

Die IEC 81001-5-1 und die MDR

Die Medizinprodukteverordnung (MDR) von 2017 formuliert in Anhang I zahlreiche explizite Anforderungen an die Cybersicherheit von Medizinprodukten und fordert u. a. Maßnahmen zur IT-Sicherheit gemäß „allgemein anerkanntem Stand der Technik“. Entsprechend dem Fokus auf den gesamten Lebenszyklus eines Produkts werden dabei sowohl Aspekte vor als auch nach Inverkehrbringen betrachtet. Allerdings werden die Anforderungen nur sehr allgemein umrissen.

Mit den konkreten Vorgaben, Leitlinien und Best Practices der IEC 81001-5-1 wird nun die Umsetzung der Security-Lifecycle-Anforderungen der MDR möglich. Eine Harmonisierung der Norm unter der Medizinprodukteverordnung ist für Mai 2024 vorgesehen.

 

Bezugsquellen

Die IEC 81001-5-1:2021 kann beim Beuth-Verlag oder beim VDE-Verlag erworben werden.

 

Cybersichere Software nach IEC 81001-5-1 entwickeln

NewTec unterstützt Hersteller und Entwickler bei der cybersicheren Entwicklung eingebetteter Software oder der Entwicklung von Standalone-Gesundheitssoftware. Als Security-Spezialisten bieten wir auch Beratung und Trainings zum Security-Lifecycle-Management.

Fragen? Kontaktieren Sie uns: Kontakt

Oder rufen Sie uns an unter +49 7302 9611-0

 
DEUTSCHENGLISH中国