FDA-Leitlinien
Leitlinien der FDA zur Cybersicherheit bei Medizinprodukten
| Region | Vereinigte Staaten (gilt für Anträge bei der FDA vor der Markteinführung; wird international häufig als Maßstab für die Sicherheit vernetzter Medizinprodukte herangezogen) |
| Anwendbarkeit | Medizinproduktehersteller:Antragsteller, die 510(k)-, PMA-, PDP-, De-Novo- oder HDE-Anträge für Produkte einreichen, die der Definition eines „Cyber-Medizinprodukts“ entsprechen Software sowie Zulieferer von Komponenten:Anbieter von „ software “, einschließlich „ open-source “ und handelsüblicher Komponenten, die in Cyber-Medizinprodukte integriert sind und der Offenlegungspflicht für die SBOM unterliegenOrganisationen im Gesundheitswesen:Krankenhäuser und Leistungserbringer, die im Rahmen eines Modells der geteilten Verantwortung für die Aufrechterhaltung der Cybersicherheit bereits eingesetzter Medizinprodukte nach dem Inverkehrbringen verantwortlich sind |
| Relevante Abschnitte | FD&C Act §524B:Anforderungen an die Cybersicherheit von Cybergeräten, hinzugefügt durch den PATCH Act, in Kraft getreten am 29. März 2023Endgültige Leitlinien der FDA (27. Juni 2025): „Cybersicherheit bei Medizinprodukten: Überlegungen zum Qualitätssystem und Inhalt von Zulassungsanträgen“, ersetzt die Fassung vom September 2023§524B(b):Überwachung von Sicherheitslücken nach der Markteinführung, koordinierte Offenlegung von Sicherheitslücken, „ Software “-Stücklisten sowie Anforderungen an Aktualisierungen und Patches |
Übersicht
Abschnitt 524B des FD&C Act, der durch den PATCH Act als Teil des Consolidated Appropriations Act von 2023 hinzugefügt wurde, schreibt vor, dass für „Cyber-Geräte“ das „ software “ enthalten, eine Verbindung zum Internet herstellen können und über technische Merkmale verfügen, die sie anfällig für Cybersicherheitsbedrohungen machen könnten. Diese Unterlagen müssen einen Cybersicherheitsplan, ein Verfahren zur Überwachung von Schwachstellen nach dem Inverkehrbringen sowie eine „ Software “ (SBOM) umfassen.
Die endgültigen Leitlinien der FDA vom 27. Juni 2025 ersetzten die Fassung vom September 2023 und legen die Anforderungen an das Qualitätssicherungssystem und den Inhalt dieser Einreichungen detailliert dar, darunter Verschlüsselung, Authentifizierung, Signierung von Firmware und Schlüsselverwaltung, wobei der Schwerpunkt auf einer sicheren Umsetzung und nicht nur auf der bloßen Auswahl eines zugelassenen Algorithmus liegt.
Warum das wichtig ist
Seit dem 29. März 2023 ist die Dokumentation zu Verschlüsselung, Authentifizierung und Schlüsselverwaltung eine gesetzliche Voraussetzung dafür, dass ein Antrag vor dem Inverkehrbringen überhaupt angenommen wird – und keine bloße Empfehlung: Die FDA kann eine Ablehnungsentscheidung („Refuse to Accept“) für einen Antrag auf Zulassung eines Cyber-Geräts erlassen, dem die gemäß § 524B erforderlichen Informationen fehlen.
Das größte Compliance-Risiko besteht in der bereits im Einsatz befindlichen Geräteflotte – also Geräten, die vor 2023 hergestellt wurden und häufig auf gemeinsame Schlüssel oder statische Anmeldedaten zurückgreifen. Krankenhäuser verlangen zunehmend bereits bei der Beschaffung selbst eine SBOM und kryptografische Nachweise, wodurch dies sowohl zu einem kommerziellen Problem beim Zugang zu Krankenhausverträgen als auch zu einem regulatorischen Problem für die FDA-Zulassung wird.
Wie sich dies auf die Kryptografie übertragen lässt
Abschnitt 524B befasst sich mit Kryptografie in erster Linie im Rahmen der Anforderungen an den Cybersicherheitsplan vor der Markteinführung und an das Schwachstellenmanagement nach der Markteinführung. Die wichtigsten Kontrollbereiche mit direkten Auswirkungen auf die Kryptografie sind:
| Abschnitt | Funktion | Was dort steht | Produkte |
|---|---|---|---|
| § 524B(b) – Cybersicherheitsplan; sicheres Design | Sichere Kommunikation (Daten während der Übertragung) | Zertifikatsbasierte gegenseitige „ TLS “ zwischen dem Gerät, den Begleit-Apps und den Cloud-Diensten, wodurch die Vertraulichkeit und Integrität von PHI sowie von Steuerbefehlen gewährleistet wird | EJBCA |
| § 524B(b) – Angemessene Gewähr dafür, dass das Gerät cybersicher ist | Geräteidentität und Authentifizierung | Eine einzigartige, gerätespezifische kryptografische Identität, die die bei älteren Implantaten und Geräten am Krankenbett üblichen gemeinsamen oder voreingestellten Zugangsdaten ersetzt | Command |
| §524B(b) – Obligatorisches Verfahren zur Aktualisierung und Fehlerbehebung nach der Markteinführung | Sichere Signierung von Firmware- und „ Software “-Updates | Kryptografische Signierung und Überprüfung von Firmware- und „ software “-Updates vor der Installation | SignServer / Signum |
| §524B(b) – Stückliste „ Software “ | Bestandsaufnahme der kryptografischen Komponenten | Bestandsaufnahme der in Geräte eingebetteten Kryptografie-Bibliotheken und -Algorithmen software, die in die erforderliche SBOM einfließen | AgileSec |
| Juni 2025 – Endgültige Leitlinien – Wichtige Managementpraktiken | Schlüsselverwaltung über den gesamten Lebenszyklus eines Geräts hinweg | Dokumentierte Verfahren zur Schlüsselgenerierung, -rotation und -sperrung über die gesamte mehrjährige Betriebsdauer eines Geräts hinweg, einschließlich der im Feld eingesetzten älteren Geräte | Command |
| Juni 2025 – Endgültige Leitlinien – Schutz der Speicherdaten auf dem Gerät | Sicherung ruhender Daten | Verschlüsselung der gespeicherten Patientendaten und Konfiguration auf dem Gerät selbst, wobei die Schlüssel unabhängig von zeitweiligen Verbindungsunterbrechungen verwaltet werden | EJBCA |
Prüfungsbereitschaft
Die Prüfung von Cybergeräten durch die FDA vor der Markteinführung sowie – in zunehmendem Maße – die Überprüfung bereits zugelassener Geräte im Rahmen der Beschaffungsprozesse von Krankenhäusern konzentrieren sich eher auf die nachgewiesene kryptografische Umsetzung als auf die erklärte Absicht, Daten zu verschlüsseln. Zu den wichtigsten Bereichen, die von den Prüfern untersucht werden, gehören:
- Einstufung als Cyber-Gerät: Hatdie Organisation in der gesamten Einreichung einheitlich dokumentiert, warum ein Gerät ein „Cyber-Gerät“ im Sinne von § 524B(c) ist oder nicht?
- Nachweis von Verschlüsselung und Authentifizierung: Kannder Sponsor konkrete Verschlüsselungsverfahren und Authentifizierungsmechanismen nachweisen, die Daten während der Übertragung, im Ruhezustand und beim Koppeln von Geräten schützen?
- Überprüfung der Firmware-Signatur: Gibtes Belege dafür, dass Firmware- und „ software “-Updates vor der Installation kryptografisch signiert und überprüft werden?
- Vollständigkeit der SBOM: Werdenin der Stückliste „ Software “ kommerzielle, open-source und handelsübliche Komponenten einschließlich ihrer Kryptografie-Bibliotheken aufgeführt?
- Plan zur Überwachung von Sicherheitslücken nach der Markteinführung: Gibtes einen dokumentierten Plan, einschließlich einer koordinierten Offenlegung von Sicherheitslücken, um Cybersicherheitslücken nach der Auslieferung des Geräts zu überwachen und zu beheben?
- Ausgleichsmaßnahmen für ältere Geräte:Wurden fürbereits im Einsatz befindliche Geräte, die starke Kryptografie nicht nativ unterstützen, Ausgleichsmaßnahmen im Plan zur Nachmarktüberwachung festgelegt und dokumentiert?
LEITEN SIE DIES AN DIE GESCHÄFTSFÜHRUNG WEITER
Seit März 2023 schreibt Abschnitt 524B vor, dass die Dokumentation zur Cybersicherheit – einschließlich unseres Ansatzes zur Verschlüsselung und Schlüsselverwaltung – eine gesetzliche Voraussetzung dafür ist, dass die FDA einen Antrag vor dem Inverkehrbringen überhaupt annimmt. In den endgültigen Leitlinien vom Juni 2025 wird ausdrücklich darauf hingewiesen, dass die Auswahl einer Verschlüsselungsmethode nicht ausreicht; wir müssen eine sichere Umsetzung nachweisen, von der Signierung der Firmware bis hin zur Verwaltung des Schlüssellebenszyklus.
Unser größtes Risiko liegt in der bestehenden Anlagenbasis: Geräte, die vor 2023 hergestellt wurden und auf gemeinsamen Schlüsseln oder statischen Zugangsdaten basieren. Diese Geräte werden nicht verschwinden, und Krankenhäuser verlangen mittlerweile bereits bei der Beschaffung – und nicht erst bei der Einreichung des Antrags bei der FDA – eine SBOM sowie kryptografische Nachweise. Nur wenn wir diese Lücke bei den Altgeräten durch eindeutige Zugangsdaten und einen dokumentierten Schlüssellebenszyklus schließen, bleiben wir sowohl für behördliche Zulassungen als auch für Verträge mit Krankenhäusern qualifiziert.
Zugehörige Compliance-Vorgaben
Gesetz zur Cyberresilienz für die Fertigungsindustrie
ISA/IEC 62443
