MDR Cybersicherheit für Medizinprodukte

Ja. Anhang I der MDR fordert in den grundlegenden Sicherheits- und Leistungsanforderungen (u.a. Ziffer 17.2) ausdrücklich IT-Sicherheit für Produkte mit Software. Die Cybersicherheits-Leitlinie MDCG 2019-16 konkretisiert, wie Hersteller dies umsetzen und nachweisen.

Nein. Die Konformitätsbewertung und CE-Kennzeichnung erfolgt durch eine Benannte Stelle. Wir liefern die technischen Sicherheitsprüfungen und Nachweise, die Sie für die technische Dokumentation und das Audit benötigen – und bereiten Sie optimal darauf vor.

Zentral sind die Leitlinie MDCG 2019-16 (Cybersecurity für Medizinprodukte) sowie die Normen IEC 62304 (Software-Lebenszyklus) und IEC 81001-5-1 (Security im Lebenszyklus von Health-Software). Unsere Prüfmethodik orientiert sich an diesen Vorgaben und an OWASP.

Je nach Produkt prüfen wir Geräte-Firmware und -Schnittstellen, Mobile Apps, Web-Portale, Backend-APIs sowie die Kommunikation und Datenhaltung – mit Fokus auf Authentifizierung, Verschlüsselung, Zugriffskontrolle und Manipulationsschutz.

Je nach Umfang und Komplexität typischerweise 2 bis 4 Wochen. Eine erste Gap-Analyse und ein Threat Modeling lassen sich oft innerhalb von 1 bis 2 Wochen umsetzen. Den Bericht erhalten Sie kurz nach Testende, sodass die Ergebnisse noch in die technische Dokumentation für die Konformitätsbewertung einfließen können.

Solche Tests übernehmen spezialisierte Sicherheitsdienstleister mit Erfahrung im regulierten Umfeld - die Prüfung muss technisch tief gehen und zugleich in die technische Dokumentation passen. Sodu Secure testet mit OSCP-, OSWE- und CEH-zertifizierten Pentestern, über 500 durchgeführten Penetrationstests und Berichten auf Deutsch und Englisch, remote oder vor Ort in Ihrem Labor.

Ein manueller Penetrationstest wird individuell nach Aufwand kalkuliert und liegt meist zwischen 4.000 und 20.000 EUR, abhängig davon, ob nur eine App und ein Backend oder zusätzlich Gerätehardware, Funkschnittstellen und Firmware geprüft werden. Der automatisierte Schwachstellenscan kostet als Einstieg 1.499 EUR. Der größte Kostenfaktor sind die hardwarenahen Prüfungen, weil dafür Testgeräte bereitgestellt und Firmware-Abbilder einzeln analysiert werden müssen.

Idealerweise zweimal: ein Threat Modeling früh im Design, wenn Architekturentscheidungen noch günstig änderbar sind, und der eigentliche Penetrationstest am funktional eingefrorenen Release-Kandidaten, kurz bevor die technische Dokumentation zur Benannten Stelle geht. Wer erst nach der Einreichung testet, riskiert Findings, die den Zulassungstermin verschieben.

Ja. Die grundlegenden Sicherheits- und Leistungsanforderungen aus Anhang I gelten für alle Risikoklassen, sobald Software Bestandteil des Produkts ist. Die Klasse bestimmt nur, wie stark eine Benannte Stelle eingebunden wird, nicht ob IT-Sicherheit nachzuweisen ist. Auch Hersteller von Klasse-I-Software brauchen Threat Modeling und Verifizierungsnachweise.

Die MDR verlangt eine aktive Marktüberwachung: Sie müssen neu bekannt werdende Schwachstellen in Ihrem Produkt und seinen Komponenten verfolgen, bewerten, mit Updates schließen und schwerwiegende Vorkommnisse den Behörden melden. Ein Penetrationstest pro Jahr oder nach größeren Releases hält diesen Prozess belegbar und liefert Nachweise für die PMS-Dokumentation.

Für den Start genügen eine Beschreibung des Produkts und seiner Schnittstellen, Zugang zu Testgerät oder Testinstanz, Testkonten in den relevanten Rollen sowie eine Ansprechperson aus der Entwicklung. Nützlich, aber nicht zwingend sind Architekturdiagramme, API-Dokumentation und vorhandene Risikoanalysen. Vertraulichkeitsvereinbarung und Testfreigabe klären wir vor Projektbeginn.