Inhaltsverzeichnis

Die Medicines and Healthcare Products Regulatory Agency (MHRA), eine britische Regulierungsbehörde im Bereich Gesundheitsprodukte, hat a Fahrplan Beschreibung der vorgeschlagenen Änderungen des bestehenden Rechtsrahmens für auf Software und künstlicher Intelligenz (KI) basierende Produkte, die der Regulierung als Medizinprodukte unterliegen. Anhand dieses Dokuments skizziert die Behörde die wichtigsten zu behandelnden Probleme und beschreibt auch die vorgeschlagenen Lösungen. Das Dokument soll zusätzliche Klarstellungen bezüglich der zukünftigen Entwicklung eines regulatorischen Rahmens für Medizinprodukte liefern, der von Herstellern von Medizinprodukten und anderen beteiligten Parteien zu berücksichtigen ist. 

Der Umfang der Änderungen umfasst unter anderem die Aspekte der Cybersicherheit. Dabei erkennt die Behörde an, dass der bestehende Rechtsrahmen für softwarebasierte Medizinprodukte nicht alle aktuellen Entwicklungen im Bereich der Cybersicherheit und des Schutzes vor den jeweiligen Risiken widerspiegelt. Darüber hinaus gibt es bestimmte Risiken im Zusammenhang mit veralteter Software für medizinische Geräte – diejenigen, die noch verwendet werden, obwohl sie von ihren ursprünglichen Herstellern/Entwicklern nicht unterstützt werden. 

Laut dem Dokument sind die Hauptziele:

• Artikulieren, wie sich Cybersicherheitsprobleme auf SaMD-Probleme übertragen;
• Sicherstellen, dass die Cybersicherheit in den SaMD-Anforderungen und in den Anforderungen für die Überwachung nach dem Inverkehrbringen angemessen berücksichtigt wird;
• Arbeiten Sie eng mit anderen Gremien zusammen, beispielsweise über die Lenkungsgruppe für die Sicherheit vernetzter medizinischer Geräte, um sicherzustellen, dass die SaMD-Cybersicherheitsrichtlinie Synergien nutzt. 

Das Dokument beschreibt ferner die Änderungen, die an bestimmten Rechtsakten vorgenommen werden müssen, um sicherzustellen, dass die oben genannten Ziele erreicht werden.

Sekundärrecht

Zunächst beschreibt das Dokument die Änderungen, die an den abgeleiteten Rechtsvorschriften vorgenommen werden müssen, um sicherzustellen, dass Angelegenheiten im Zusammenhang mit der Cybersicherheit angemessen behandelt und die entsprechenden Risiken angemessen gemindert werden. Die Behörde erkennt an, dass viele medizinische Geräte, die Software enthalten, mit einem Netzwerk verbunden sein sollten, um ordnungsgemäß zu funktionieren. Dadurch wird das Produkt Risiken ausgesetzt, die mit potenziellen Rückschlüssen im normalen Betrieb verbunden sind. 

Eine ähnliche Frage wurde von der Behörde im Rahmen entsprechender öffentlicher Konsultationen gestellt und Rückmeldungen aus der Industrie eingeholt. Um sicherzustellen, dass den ermittelten Risiken angemessen begegnet wird, beabsichtigt die Behörde, abgeleitete Rechtsvorschriften zu entwickeln und umzusetzen, die Folgendes bewirken:

• Ausrichtung an den Grundsätzen der Lenkungsgruppe für die Sicherheit vernetzter medizinischer Geräte;
• Mit ergänzenden Anforderungen wie dem Product Security and Telecommunications Infrastructure Bill des Ministeriums für Kultur, Medien und Sport, den NHS DCB-Standards (Data Coordination Board) und den NHS Digital Technology Assessment Criteria-Anforderungen übereinstimmen und darauf aufbauen;
• Mit internationalen Best Practices harmonisieren. 

Neben der Einführung von Sekundärrecht beabsichtigt die Behörde, zusätzliche Leitfäden herauszugeben, um Medizinproduktehersteller/Softwareentwickler bei der Sicherstellung der Einhaltung der jeweiligen regulatorischen Anforderungen zu unterstützen. Diese Leitfäden beschreiben, wie die Bestimmungen der zugrunde liegenden Rechtsvorschriften ausgelegt werden sollten, und geben auch zusätzliche Empfehlungen, die befolgt werden sollten. Insbesondere erwähnt die Behörde, dass in diesen zu erstellenden Leitfäden:

• Die Belange der Cybersicherheit werden im Kontext des gesamten Produktlebenszyklus beschrieben;
• Es wird ausdrücklich darauf hingewiesen, dass die Fragen der Cybersicherheit in der gemeinsamen Verantwortung aller an Operationen mit Medizinprodukten beteiligten Parteien liegen und gemeinsame Anstrengungen erfordern;
• Zusätzliche Erläuterungen werden in Bezug auf die Verantwortlichkeiten und Anforderungen für Hersteller von Medizinprodukten gemäß den geltenden Gesetzen gegeben;
• Zusätzliche Erläuterungen werden auch in Bezug auf Cybersicherheitsschwachstellen gegeben, die bei allgemeinen und In-vitro-Diagnostika üblich sind. 

Die Behörde erwähnt auch, dass die wichtigsten Interessengruppen an der Entwicklung der oben genannten Leitfäden beteiligt sein werden. 

Praxisbeispiele 

Die Behörde beabsichtigt, den bewährten Verfahren, die von Herstellern medizinischer Geräte befolgt werden müssen, besondere Aufmerksamkeit zu widmen, um die Sicherheit und ordnungsgemäße Leistung ihrer Produkte zu gewährleisten. Die MHRA betont insbesondere die Bedeutung von Risiken im Zusammenhang mit Produkten, die von ihren Herstellern nicht mehr unterstützt werden, aber noch verwendet werden. Dadurch entstehen einzigartige Risiken, die angemessen gemindert werden müssen. Zu diesem Zweck beabsichtigt die Behörde, einen separaten Leitfaden herauszugeben, in dem die in dieser Hinsicht zu befolgenden Best Practices im Detail beschrieben werden. 

Prozesse 

Die Roadmap deckt auch die Aspekte im Zusammenhang mit der Meldung identifizierter Cybersicherheitslücken ab. In diesem Zusammenhang beabsichtigt die Behörde, Maßnahmen zur Verbesserung der bestehenden Meldeverfahren zu ergreifen, um sicherzustellen, dass alle identifizierten Schwachstellen rechtzeitig gemeldet werden. Die Absicht besteht darin, die Einheitlichkeit zu verbessern und die Berichtsanforderungen für die beteiligten Parteien klar zu machen. 

Zusammenfassend skizziert das vorliegende Dokument die Kernpunkte, auf die die MHRA im Rahmen der weiteren Verbesserung des bestehenden Regulierungsrahmens für Medizinprodukte, die Software enthalten, sowie KI-basierte Produkte achten wird. Das Dokument hebt die kritischsten Probleme hervor, die von der Behörde identifiziert wurden, und beschreibt auch die besonderen Schritte, die unternommen werden müssen, um sicherzustellen, dass sie ordnungsgemäß angegangen werden. 

Quellen:

https://www.gov.uk/government/publications/software-and-ai-as-a-medical-device-change-programme/software-and-ai-as-a-medical-device-change-programme-roadmap#wp-5-cyber-secure-medical-devices 

Wie kann RegDesk helfen?

RegDesk ist ein ganzheitliches Regulatory Information Management System, das Medizinprodukte- und Pharmaunternehmen mit regulatorischen Informationen für über 120 Märkte weltweit versorgt. Es kann Ihnen helfen, globale Anwendungen vorzubereiten und zu veröffentlichen, Standards zu verwalten, Änderungsbewertungen durchzuführen und über eine zentralisierte Plattform Echtzeitwarnungen zu regulatorischen Änderungen zu erhalten. Unsere Kunden haben auch Zugang zu unserem Netzwerk von über 4000 Compliance-Experten weltweit, um sich bei kritischen Fragen verifizieren zu lassen. Globale Expansion war noch nie so einfach.