DIN EN IEC 81001-5-1 behandelt Sicherheitsaktivitäten über den Lebenszyklus von Gesundheitssoftware und Gesundheits-IT-Systemen. Sie betrifft Entwicklung, Wartung und unterstützende Prozesse, statt nur ein einzelnes technisches Produktmerkmal vorzuschreiben.
Relevante Themen sind Sicherheitsverantwortung, Risikomanagement, Anforderungen, Architektur, Implementierung, Verifikation, Schwachstellenbehandlung und Updates. Die für Produkt und Zielmarkt passende Ausgabe sowie ihr Verhältnis zur Medizinprodukteregulierung müssen konkret geprüft werden.
Was ändert die Norm in der Praxis?
Sicherheitsnachweise entstehen als Teil von Entwicklung und Wartung, nicht erst vor der Veröffentlichung. Threat Modeling, nachvollziehbare Anforderungen, sichere Update-Prozesse und Post-Market-Vulnerability-Handling werden geplante Lebenszyklusarbeit.
Welche Lebenszyklusaktivitäten werden betrachtet?
| Bereich | Praktische Aufgabe | Beispiel für einen Nachweis |
|---|---|---|
| Security Management | Rollen, Prozesse, Kompetenz und Planung über den Produktlebenszyklus festlegen. | Security-Plan, Verantwortungsmatrix und freigegebene Verfahren. |
| Anforderungen und Architektur | Bedrohungen, Schutzbedarf, Vertrauensgrenzen und Sicherheitsanforderungen nachvollziehbar ableiten. | Threat Model, Architekturentscheidungen und Traceability. |
| Implementierung und Verifikation | Sichere Entwicklungsregeln anwenden und Anforderungen risikobasiert testen. | Review-Ergebnisse, Testfälle, Scan- und Penetrationstestberichte. |
| Schwachstellenmanagement | Funde bewerten, koordinieren, beheben und an Betroffene kommunizieren. | Vulnerability-Handling-Prozess, Bewertung und Advisory. |
| Updates und Wartung | Sichere, authentische und rückverfolgbare Aktualisierung ermöglichen. | Update-Konzept, Signaturprüfung und Supportplanung. |
Für welche Produkte ist die Norm relevant?
IEC 81001-5-1:2021 definiert einen gemeinsamen Rahmen für Entwicklung und Wartung von Health Software und berücksichtigt dabei die besonderen Anforderungen dieses Bereichs. Sie unterstützt die Ausrichtung an den Secure-Development-Prozessen der IEC 62443-4-1, ersetzt aber weder eine produktspezifische Risikobewertung noch die Prüfung der anwendbaren Medizinprodukte- und Marktzugangsanforderungen. Entscheidend sind Produktrolle, Zweckbestimmung und Zielmarkt.
Was prüft ein technischer Sicherheitstest?
Ein Test untersucht unter anderem Authentifizierung, Autorisierung, Datenflüsse, Schnittstellen, Kryptografie, Update-Mechanismen und Cloud- oder Mobilkomponenten. Er liefert Evidenz für konkrete Anforderungen und entdeckt Umsetzungsfehler. Prozessanforderungen wie Verantwortlichkeit, kontinuierliche Überwachung und Post-Market-Reaktion kann ein einmaliger Test jedoch nicht allein erfüllen.
Vielen Dank für dein Feedback! Wir werden es prüfen und unseren Artikel anpassen.