Die Arbeitsgruppe Cybersicherheit des Healthcare and Public Health Sector Coordinating Council (HSCC) mit der Teilnahme der US-amerikanischen Food and Drug Administration (FDA) entwickelte den gemeinsamen Sicherheitsplan für Medizinprodukte und Gesundheit (Medical Device and Health IT Joint Security Plan, JSP – Gemeinsamer Sicherheitsplan für Medizinprodukte und Gesundheit (Medical Device and Health IT Joint Security Plan Version 2, JSP2) – Gesundheitsrat), einen Referenzleitfaden für den gesamten Produktlebenszyklus.
Der JSP2 wird unter aktiver Beteiligung von Stakeholdern aus dem gesamten Ökosystem des Gesundheitswesens entwickelt. Dazu gehören Vertreter sowohl aus dem öffentlichen als auch aus dem privaten Sektor, wie Hersteller medizinischer Geräte, IT-Anbieter im Gesundheitswesen, Gesundheitsdienstleister und Bundesbehörden. Zu den Mitwirkenden gehören Regulierungsbehörden und Branchengruppen wie die FDA und andere Hersteller von Medizinprodukten.
Die im JSP2 dargelegten Prinzipien spiegeln sich im Medical Cybersecurity Assurance Program (CAP) von UL Solutions wider, das Folgendes umfasst:
- Lebenszyklus-Ansatz: JSP2 und CAP betonen beide die Bedeutung des Managements der Cybersicherheit über den gesamten Produktlebenszyklus hinweg und sorgen für kontinuierliche Sicherheit von der Entwicklung bis zur Bereitstellung.
- Sicherheitsintegration: JSP2 und CAP befürworten beide die Integration von Sicherheit in die Design- und Entwicklungsprozesse und fördern die Secure-by-Design-Prinzipien, um von Anfang an einen robusten Schutz zu demonstrieren.
- Zusammenarbeit und Kommunikation: Der Fokus des JSP2 auf die Zusammenarbeit mit Stakeholdern stimmt mit dem Ansatz von CAP überein, verschiedene Parteien in den Cybersicherheits-Sicherungsprozess einzubeziehen, transparente Kommunikation und kooperative Bemühungen zu fördern.
- Wichtige Cybersicherheitskonzepte:
a. Gesamter Produktlebenszyklus: Entwicklung, Bereitstellung und Unterstützung von Cyber-sicheren Technologielösungen in der Gesundheitsumgebung.
b. Designkontrolle: Aufbau von Medizintechnik unter Einhaltung von Cybersicherheitsstandards und strengen Prüfprotokollen.
c. Risikomanagement: Kontinuierliche Beurteilung und Reaktion auf Cybersicherheitsprobleme und -ereignisse während des gesamten Lebenszyklus der Medizintechnik.
Diese Prinzipien und Konzepte richten das JSP2, ein Dokument zu bewährten Praktiken der Branche, an den Anforderungen von ANSI/UL 2900-2-1, dem Standard für Software-Cybersicherheit für netzwerkfähige Produkte, Teil 2-1: Besondere Anforderungen für netzwerkfähige Komponenten von Gesundheits- und Wellnesssystemen, aus. Dieser Standard ist ein von der FDA anerkannter Konsensstandard und wurde als referenzierter Konsensstandard unter mehreren globalen Regulierungssystemen angenommen.
