BSI: Leitfaden zur Cybersicherheit

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat einen Leitfaden „Sicherheit von Medizinprodukten – Leitfaden zur Nutzung des MDS2 aus 2019“ (Manufacturer Disclosure Statement for Medical Device Security) veröffentlicht. Herstellern und Betreibern von Medizinprodukten dient der Leitfaden als Anleitung und Unterstützung bei der Anwendung des MDS2, das als Grundlage für eine Risikoanalyse des anzuschaffenden Systems herangezogen werden kann. Anhand des MDS2 lassen sich die Sicherheitseigenschaften verschiedener Produkte unterschiedlicher Hersteller vergleichen und Schwachstellen und Risiken bereits im Vorfeld des eigentlichen Beschaffungsprozesses beurteilen. Mit vermehrter Nutzung des MDS2-Formulars bei Beschaffungen würde die Cybersicherheit von Medizinprodukten und der Schutz sensibler Patientendaten langfristig verbessert werden.

Von der Digitalisierung im Gesundheitswesen können viele Patienten ebenso wie Arztpraxen und Kliniken enorm profitieren, so BSI-Präsident Arne Schönbohm. Klassische Medizinprodukte seien immer häufiger vernetzt und tauschten ihre Daten untereinander und mit anderen Geräten aus. Wie alle Innovationen würden aber auch vernetzte Medizinprodukte neue Risiken mit sich bringen. Fallen sie aus oder funktionieren sie nicht wie gewünscht, so gehe es in vielen Fällen schnell um Leib und Leben eines Patienten. Cyber-Angriffe und IT-Sicherheitsvorfälle seien auch deshalb in Krankenhäusern und Arztpraxen eine Bedrohung, die man ernst nehmen müsse. Der neue Leitfaden des BSI könne dazu beitragen, dass durch vermehrte Anwendung des MDS2 Schwachstellen und Risiken von vernetzten Medizingeräten schneller identifiziert und abgestellt werden könnten.

MDS2 ist ein für den US-amerikanischen Markt formulierter Fragenkatalog für Hersteller von Medizinprodukten, der für eine Teilnahme am Beschaffungsprozess für viele Krankenhäuser des amerikanischen Markts verbindlich ist. In Deutschland erstellen viele Krankenhäuser eigenständig Fragenkataloge und Anforderungsprofile für Ausschreibungen, die in Umfang und Tiefe unterschiedlich und damit für Hersteller und Betreiber aufwendig abzuarbeiten sind. Abhilfe kann hier ein einheitlicher Fragenkatalog wie das MDS2-Formular schaffen. Das MDS2 ist in Deutschland auf freiwilliger Basis auszufüllen und weder als Teil der gesetzlich verpflichtenden Unterlagen (Nutzerdokumentation) noch als Begleitdokument im Sinne des Medizinprodukterechts zu verstehen. Es kann Hersteller und Betreiber bei der Erfüllung anwendbarer Standards und regulatorischer Vorgaben unterstützen.