IEC 81001-5-1 (Cybersecurity von Health Software)
IEC 81001-5-1 ist die internationale Norm für Cybersecurity-Aktivitäten im Lebenszyklus von Health Software: Software, die selbst ein Medizinprodukt ist, in einem Medizinprodukt läuft oder in Gesundheits-IT-Systemen eingesetzt wird. Sie beschreibt, welche Security-Aktivitäten ein Hersteller von der Anforderungsanalyse bis zur Wartung nach dem Inverkehrbringen durchführen und dokumentieren muss. Die Norm leitet sich aus der IEC 62443-4-1 ab und überträgt deren Prozessanforderungen auf den Medizinbereich.
Für wen gilt die IEC 81001-5-1?
Die Norm richtet sich an Hersteller von Health Software und damit an Medizinproduktehersteller, deren Produkte Software enthalten oder aus Software bestehen, ebenso an Anbieter von Software für Gesundheits-IT-Systeme. Regulatorisch ist sie in zwei Welten relevant: In der EU stützen Hersteller damit die Cybersecurity-Anforderungen der Medizinprodukteverordnung (MDR), in den USA hat die FDA die Norm als Konsensnorm anerkannt. Zulassungsbehörden erwarten, dass die in der Norm beschriebenen Aktivitäten nachweisbar durchgeführt wurden.
Die Aktivitäten im Lebenszyklus
Die IEC 81001-5-1 gliedert die Security-Arbeit entlang des Software-Lebenszyklus:
- Security-Management: Rollen, Verantwortlichkeiten und ein Prozess, der Security in die Entwicklung integriert.
- Anforderungen und Bedrohungsmodellierung: Systematische Analyse, welche Bedrohungen auf das Produkt wirken und welche Security-Anforderungen daraus folgen.
- Sichere Architektur und Implementierung: Security-by-Design, sichere Programmierrichtlinien, Umgang mit Drittkomponenten.
- Verifikation und Security-Tests: Nachweis, dass die Anforderungen umgesetzt sind, etwa durch Schwachstellenscans und Penetrationstests.
- Schwachstellenmanagement und Updates: Beobachtung neuer Schwachstellen, Bewertung, Behebung und Kommunikation nach dem Inverkehrbringen.
- Dokumentation für Anwender: Informationen, die Betreiber für den sicheren Einsatz benötigen.
Zusammenspiel mit IEC 62304 und ISO 14971
Die Norm steht nicht allein. Die IEC 62304 beschreibt den Software-Lebenszyklus für Medizinprodukte mit Fokus auf Safety, die ISO 14971 das Risikomanagement. Die IEC 81001-5-1 ergänzt beide um die Security-Perspektive: Security-Risiken werden in dasselbe Risikomanagement eingebettet, und Security-Aktivitäten werden den Phasen des Software-Lebenszyklus zugeordnet. So entsteht ein durchgängiger Nachweis, in dem Safety- und Security-Argumente zusammenpassen.
Bedrohungsmodellierung als zentraler Nachweis
Kern der Norm ist die dokumentierte Bedrohungsmodellierung. Sie beschreibt das Produkt mit seinen Schnittstellen und Datenflüssen, identifiziert mögliche Angriffe, bewertet deren Auswirkungen auf Patientensicherheit und Datenschutz und leitet daraus Security-Anforderungen ab. Die FDA-Guidance zur Cybersecurity verlangt dasselbe explizit und zusätzlich eine Software-Stückliste (SBOM). Das Bedrohungsmodell muss über den Lebenszyklus aktuell bleiben: Jede neue Schwachstelle in einer Komponente und jede Änderung am Produkt erfordert eine Neubewertung.
IEC 81001-5-1 in der Praxis
Für viele Hersteller ist die Bedrohungsmodellierung der aufwendigste Teil, weil sie über Produktvarianten, Versionen und Jahre hinweg gepflegt werden muss. Ein modellbasierter Ansatz hilft: Wird die Bedrohungs- und Risikoanalyse als Modell statt als Dokument geführt, lassen sich Änderungen am Produkt direkt in der Risikobewertung nachvollziehen und die Berichte für MDR und FDA aus demselben Stand erzeugen. itemis SECURE unterstützt diesen Ansatz mit einer Bedrohungsanalyse nach IEC 81001-5-1, deren Bewertungsmodelle und Berichte sich an die Vorgaben der jeweiligen Behörde anpassen lassen.