Reglerne om IT-sikkerhed for medicinsk udstyr er skærpet. Hvad skal fabrikanter i den forbindelse være opmærksomme på?

Koordinationsgruppen for Medicinsk Udstyr (MDCG) har udgivet en vejledning, der klarlægger retningslinjerne for en harmoniseret administrativ praksis for fortolkningen af bilag 1 i forordning 2017/745 om medicinsk udstyr (MDR) vedrørende it-sikkerhed for medicinsk udstyr. Vi vil i denne artikel gennemgå de vigtigste punkter i vejledningen.

MDCG består af repræsentanter fra alle medlemsstater og bliver ledet af en repræsentant fra Europa-Kommissionen. Gruppen er oprettet i medfør af artikel 103 i MDR, og den skal rådgive og hjælpe Kommissionen og medlemsstaterne med henblik på at sikre en harmoniseret implementering af forordningerne om medicinsk udstyr.

Begreberne ”it-sikkerhed”, ”driftssikkerhed” og ”informationssikkerhed”
Bilag 1 i MDR fastlægger en række minimumskrav til hardware, karakteristika af it-netværk og forholdsregler angående it-sikkerhed, herunder beskyttelse mod uautoriseret adgang, som fabrikanter af medicinsk udstyr er forpligtede til at overholde. I samme omgang fremsættes tre begreber, som ligger til grund for minimumskravene.

Begrebet ”it-sikkerhed”, i relation til medicinsk udstyr, dækker over krav om tavshedspligt om information, som fabrikanten besidder, krav om integritet i form af teknisk uafviselighed samt krav om tilgængelighed af processer, udstyr, data og forbundne systemer.

Begrebet ”driftssikkerhed” dækker over beskyttelse mod bevidst ødelæggelse af procedurer eller arbejdsgange, som vil medføre utilsigtede resultater for ejere, designere eller brugere.

Begrebet ”informationssikkerhed” foreskriver et krav om, at alt udstyr, der inkorporerer software, eller software, der i sig selv er udstyr, skal udvikles og produceres i overensstemmelse med ”state of the art”. I den forbindelse skal der inddrages overvejelser om udstyrets levetid, risikohåndtering, verifikation og validering.

De grundlæggende krav om sikkerhed og effektivitet
MDR foreskriver, at medicinsk udstyr skal være sikkert og effektivt. Fabrikanter skal afgøre udformningen af tilslutninger, indgange mv. under hensyntagen til kravene til it-sikkerhed. Dette sker med henblik på at sikre udstyrets sikkerhed og effektivitet mod it-relaterede risici og trusler. Kravene skal tage udstyrets type og art i betragtning, herunder den tilsigtede anvendelse og det omkringliggende miljø for anvendelsen.

Fabrikanter af medicinsk udstyr skal sikre, at det medicinske udstyr udformes og fremstilles på en måde, der helt fjerner eller i hvert fald minimerer de risici, der er forbundet med såkaldte rimeligt påregnelige miljøforhold.


Sikkerhed ved design og fremstilling
Sikkerhed og effektivitet er kritiske aspekter ved udformningen af medicinsk udstyr. Der gælder derfor et vigtigt krav til fabrikanter om, at disse kritiske aspekter skal overvejes allerede fra et tidligt stadie i udviklings- og fremstillingsprocessen samt i hele udstyrets levetid.

Der skal foretages en risikohåndtering, som går ud på at identificere og vurdere risici mod udstyrets sikkerhed og effektivitet, som stammer fra en påtænkt brug eller et forudsigelig misbrug af produkt. Disse risici skal dernæst reduceres så vidt som muligt til et acceptabelt niveau.

Minimumskrav til it-sikkerheden
Bilag 1 i MDR indeholder en række minimumskrav til fabrikanter af medicinsk udstyr omkring it-sikkerhed.

Det er fabrikanternes ansvar at opstille minimumskrav omkring karakteristika af it-netværk og forholdsregler angående it-sikkerhed, herunder beskyttelse mod uautoriseret adgang, som ikke kunne blive implementeret ved udformningen af udstyret.

Videre skal fabrikanterne sørge for klar dokumentation for tilvejebringelse af manualer, instruktionsvejledninger mv. med relation til it-sikkerheden. Dette gælder eksempelvis udstyrsspecifikationer og -kompatibiliteter, anbefalede forholdsregler til it-sikkerhed samt miljøkonfiguration.

Alle minimumskrav til driftsmiljøet omhandlende it-sikkerheden skal desuden defineres på baggrund af en række principper, som oplistes i vejledningen. Eksempelvis skal ethvert foreslået sikkerhedskrav til driftsmiljøet baseres på den risikovurdering, som er foretaget for det pågældende medicinske udstyr. Desuden skal medicinsk udstyr være så uafhængigt af øvrige it-sikkerhedsmæssige omstændigheder som muligt. Endelig skal producenternes formodning for driftsmiljøets it-sikkerhed tydeligt fremgå i instruktionsvejledningen og leve op til de bedste praktiske sikkerhedsstandarder.

Øvrige krav til it-sikkerheden
Der gælder desuden en yderligere række krav til it-sikkerheden, som ikke er oplistet i bilag 1 til MDR, men som fabrikanter alligevel skal efterleve. Der er eksempelvis tale om krav til privatlivs- og databeskyttelse, overvågning af udstyrets efter markedsføring samt indberetning af alvorlige hændelser med udstyret.