Cybersecurity ist heute zulassungsentscheidend
IEC 81001-5-1 gilt bereits als Stand der Technik und Benannte Stellen sowie die FDA lehnen Einreichungen inzwischen allein wegen unzureichender Informationssicherheit ab.
IEC 81001-5-1 MDCG 2019-16 · SBOM Secure by Design · EU & FDA
Cybersecurity für Medizinproduktsoftware belastbar nachweisen
Wir verankern Cybersecurity (Informationssicherheit) konsistent in Entwicklung und Qualitätsmanagement, sodass praktikable, regulatorisch korrekte Prozesse über den Produktlebenszyklus entstehen. Aus bekannten Anforderungen werden überprüfbare Arbeitspakete, klare Verantwortlichkeiten und nachvollziehbare Nachweise, risikobasiert statt Aktionismus.
10+
Jahre Security-Regulatory-Affairs
7+
Jahre Erfahrung in Threat-Analysen
7+
Jahre SBOM- & Update-Reviews
5+
Expert:innen Security & Risikomanagement
Worum es geht
Security, die im Entwicklungsalltag umsetzbar bleibt
Metecon integriert Cybersecurity so in Ihre Prozesse, dass Sicherheitsanforderungen im Entwicklungsalltag umsetzbar bleiben und Nachweise nachvollziehbar entstehen. Wir übersetzen regulatorische und normative Anforderungen in klare Arbeitspakete, Verantwortlichkeiten und Nachweisstrukturen – passend zu Produkt, Risiko und Reifegrad – und priorisieren Maßnahmen risikobasiert entlang von Nutzung, Architektur, Wartung und Lebenszyklus. So wird Informationssicherheit Teil eines konsistenten Entwicklungs- und Lebenszyklus-Prozesses statt zu einer isolierten Zusatzaufgabe.
Für wen: Head of Software Development / Head of R&D und Head of Regulatory Affairs / RA-Manager sowie Geschäftsführungen kleinerer Hersteller und QM-Verantwortliche.
Typische Herausforderungen
Drei Probleme, die ohne konsistentes Konzept zur Informationssicherheit entstehen
Aktionismus statt Arbeitspakete
Anforderungen an die Informationssicherheit sind bekannt, aber nicht in konkrete, überprüfbare Arbeitspakete übersetzt. Es entsteht hektischer Aktionismus.
Silos statt Zusammenspiel
Entwicklung, RA, QM und das Team für Informationssicherheit arbeiten nebeneinander. Nachweise bleiben widersprüchlich oder unvollständig.
Brüche statt Konsistenz
Risiko, Sicherheitsmaßnahmen, Tests und Betriebsprozesse greifen nicht ineinander. Nachfragen und Mehraufwand entstehen.
Anforderungen im Überblick
EU, FDA und der Normen-Stack – sauber eingeordnet
EU und FDA erwarten teils Gleiches, teils im Detail Unterschiedliches. Wir bringen beide Anforderungswelten in eine konsistente Nachweisstruktur.
MDR/IVDR & MDCG 2019-16
FDA: Premarket & SBOM
Normen-Stack
EU: MDR/IVDR & MDCG 2019-16
Die grundlegenden Sicherheitsanforderungen (MDR/IVDR Anhang I, u. a. Punkt 17.2 Informationssicherheit) werden durch die Leitlinie MDCG 2019-16 konkretisiert.
Die EU setzt mit dem gesetzlichen Rahmen MDR/IVDR die Anforderungen. Die Umsetzung erfolgt über Normen wie IEC 81001-5-1.
Anhang I & MDCG 2019-16
Sicherheitsanforderungen aus MDR/IVDR sauber auf Ihr Produkt herunterbrechen und im Sicherheitskonzept verankern.
Security by Design
Informationssicherheit als Designprinzip statt nachträglicher Ergänzung, über den gesamten Lebenszyklus
Benannte Stelle
Konsistente Nachweise über die Informationssicherheit vorbereiten und im Dialog mit der Benannten Stelle belastbar vertreten.
Relevante Grundlagen
- MDR Anhang I (u. a. 17.2 Informationssicherheit) / IVDR Anhang I (u. a. 16.2 Informationssicherheit)
- MDCG 2019-16 (Guidance on Cybersecurity for Medical Devices)
- Harmonisierung der IEC 81001-5-1 mit der MDR/IVDR geplant und bereits heute Stand der Technik
FDA: Premarket Cybersecurity & SBOM
Die FDA verlangt eine SBOM nach NTIA-Spezifikation inklusive End-of-Support je Komponente, „architectural views“ und Metriken zur Schwachstellen-Reaktionsfähigkeit. "Cyber device" bezieht sich auf alle Datenschnittstellen, einschließlich USB.
SBOM nach NTIA
Software Bill of Materials inkl. End-of-Support je Element. Präzise, wie es die FDA erwartet.
Architectural Views
Sicherheitsrelevante Architektur nachvollziehbar darstellen – ein FDA-Schwerpunkt.
Vulnerability-Metriken
Reaktionsfähigkeit auf Schwachstellen messbar machen und dokumentieren.
Relevante Grundlagen
- FDA Premarket Cybersecurity Guidance
- "cyber device" inkl. aller Datenschnittstellen
- EU-vs-FDA-Mapping: Anforderungen einmal identifizieren und erfüllen, für beide Märkte nutzen
Normen-Stack: IEC 81001-5-1 & Co.
IEC 81001-5-1 ist die Prozessnorm für Cybersecurity im Software-Lebenszyklus und ergänzt IEC 62304/IEC 82304-1. Für Informationssicherheit im Risikomanagement ergänzt die AAMI TIR57 das klassische Risikomanagement nach ISO 14971 um Security-Aktivitäten.
IEC 81001-5-1
Security-Aktivitäten je Lebenszyklusphase – die Prozessnorm als Rückgrat der Nachweisstruktur.
AAMI TIR57 & Threat Modeling
Risikomanagement ergänzt um Informationssicherheit.
Relevante Grundlagen
- IEC 81001-5-1 – Security-Prozesse über den Software-Lebenszyklus
- IEC 62304 / IEC 82304-1 – Software-Lebenszyklus, Medizingeräte-Software und Gesundheitssoftware
- ISO 14971 + AAMI TIR57 – Risikomanagement und Security Risk Management
- IEC/TR 60601-4-5 (referenziert IEC 62443) – Security für vernetzte Medizinprodukte und technische Security-Anforderungen
- ISO/IEC 27001 – Informationssicherheitsmanagement auf Organisationsebene
Metecon Service
Wir entwickeln die passende Strategie für Ihr Produkt (inklusive PMCF) und begleiten Sie von der Planung bis zur Umsetzung – regulatorisch belastbar und mit möglichst geringem Aufwand für Ihr Team.
Security by Design
Cybersecurity über den Produktlebenszyklus – in sechs Schritten
1
Sicherheitskonzept & Architektur
Schutzziele, Bedrohungsmodell und Sicherheitsarchitektur früh festlegen – in Konzept- und Entwicklungsphase.
2
Security-Risikomanagement
Threat Modeling und Security-Risikobewertung (AAMI TIR57)
3
Maßnahmen & Implementierung
Security-Anforderungen in überprüfbare Arbeitspakete und klare Verantwortlichkeiten übersetzen.
4
Verifizierung durch Test informationssicherheitsrelevanter Anforderungen, Validierung durch Penetration Testing & Rückverfolgbarkeit
Rückgrat des Nachweises: Security-Tests und Penetrationstests planen und mit Anforderungen, Risiken und Releases durchgängig verknüpfen. So ist jederzeit belegbar, dass jede Bedrohung adressiert ist und die ergriffenen Maßnahmen wirksam sind.
5
Release & SBOM
Software Bill of Materials erstellen und Security-Nachweise für die Einreichung (EU/FDA) konsistent zusammenführen.
6
Post-Market: PSIRT (Product Security Incidence Response Team) sorgt für klare Zuständigkeiten & Updates
Schwachstellen überwachen, Updates steuern und Nachweise für Informationssicherheit nach Änderungen aktuell halten.
Risikobasiert statt Aktionismus
Wir priorisieren Maßnahmen nach tatsächlicher Nutzung, Architektur und Risiko. So entsteht ein praktikabler Ansatz zur Informationssicherheit, der Entwicklung, Änderungen und Regulatorik langfristig steuerbar zusammenführt.
Warum Metecon
Kompetenz in Cybersecurity, die Wettbewerber-Benchmarks erfüllt
Threat Modeling & Security-Risiko
Dokumentiertes Threat Model und andere Methoden nach AAMI TIR57. Liefert Informationen für das Risikomanagement nach ISO-14971.
SBOM & Schwachstellen-Management
7+ Jahre Erfahrung mit SBOM- und Update-Reviews, inklusive Vulnerability- und Update-Steuerung über den Lebenszyklus.
Security-Tests & Penetration Testing
Teststrategie und Penetrationstests konsistent mit Anforderungen und Risiken verknüpft.
Auditfest im QMS verankert
Sichere Entwicklung, Änderungs-/Konfigurationsmanagement, CAPA und Lieferantenkontrolle auditfest im QMS.
EU & FDA aus einer Hand
Anforderungen einmal identifizieren und erfüllen, für beide Märkte nutzen. Mit EU-vs-FDA-Mapping.
Threat Model dokumentiert Security-Nachweise konsistent 5+ Expert:innen Security & RM
Die Benchmarks orientieren sich an den Stärken führender Anbieter – inhaltliche Normentiefe spezialisierter Wissenshäuser, Wissen um SBOM-/Threatmodelling von Security-Spezialisten und Prüfkompetenz. Metecon erfüllt diese Kriterien und verbindet sie mit durchgängiger Prozessverankerung in MDSW-Produktdokumentation.
Teil der MDSW-Dokumentation
Informationssicherheit (Cybersecurity) ist ein Baustein der Software-Lifecycle-Aktivitäten. Medical Device Software (MDSW), KI-Regulierung und Software-Validierung behandeln wir auf eigenen Seiten – hier verlinkt als zusammenhängende Produktdokumentation.
Was wir konkret anbieten
Cybersecurity-Leistungen im Überblick
-
GAP-Analyse Ihres Konzepts zur Informationssicherheit
Bestehende Informationssicherheitskonzepte und Nachweise auf Lücken gegen MDR/IVDR, MDCG 2019-16 und IEC 81001-5-1 prüfen. Mit konkreten Handlungsempfehlungen.
-
Workshops & Schulungen zu Cybersecurity
Inhouse-Schulungen und Workshops zu Cybersecurity-Anforderungen und -Prozessen für Entwicklung, RA und QM.
-
SBOM- & Pen-Test-Tooling im Partnernetzwerk
Für SBOM-Erstellung, Schwachstellen-Scans und Penetrationstests binden wir bei Bedarf spezialisierte Tools und Partner ein. Integriert in Ihre Nachweisstruktur.
-
Begleitung zur Prüfung & Zertifizierung
Vorbereitung und Coaching für Informationssicherheit, nutzbar für Assessments, Audits und die Konformitätsbewertung. Belastbar gegenüber Benannter Stelle und FDA.
-
Informationssicherheit für IVD-Software
Derselbe Ansatz gilt unter der IVDR für Software im und als IVD.
Von der Lücke zum belastbaren Nachweis
Wir starten dort, wo Sie stehen. Mit GAP-Analyse, risikobasierter Priorisierung und einem klaren Fahrplan zur konsistenten Cybersecurity-Nachweisstruktur.
Schnittstellen
Womit Cybersecurity verzahnt ist
Risikomanagement →
Risiken der Informationssicherheit konsistent mit dem Produkt-Risikomanagement bewerten und nachverfolgen (ISO 14971).
Technische Dokumentation →
Sicherheitsanalysen und Sicherheitskonzept in die Produktdokumentation integrieren.
Verifizierung & Validierung →
Penetration Testing und Verifizierungsnachweise mit klarer Rückverfolgbarkeit.
QMS & Auditierung →
Sicherstellen der Informationssicherheit auf Prozessebene, Änderungs-/Konfigurationsmanagement, CAPA und Lieferantenkontrollen auditfest verankern.
Medical Device Software → (MDSW)
Cybersecurity als Teil der Software-Lifecycle-Logik. Von Anforderung bis Aufrechterhaltung.
KI-Regulierung →
KI-basierte Systeme brauchen belastbare Cybersecurity-Konzepte über den gesamten Lebenszyklus.
Thorsten Stumpf
Principal Expert Software & AI · RAC Devices · Metecon GmbHAls Principal Expert Software & AI sowie als RAC Devices ist Thorsten Stumpf einer unserer Top-Software-Experten und in der Branche stark vernetzt zu diesem Thema. Das Team um Thorsten begleitet Hersteller bei der regulatorischen Umsetzung von Cybersecurity-Anforderungen für Medizinproduktsoftware und integriert Cybersecurity strukturiert in Entwicklungs- und Risikomanagementprozesse: nicht als Add-on, sondern als Bestandteil der regulatorischen Produktarchitektur.
IEC 81001-5-1 • Threat Model & SBOM • EU & FDA„Cybersecurity scheitert selten am Wissen, sondern an der Umsetzung: Regulatorische Anforderungen werden nicht oder nicht konsequent umgesetzt, und Entwicklung, RA, QM denken die Informationssicherheit nicht im geforderten Maße mit. Wir verankern Informationssicherheit risikobasiert in Entwicklung und Qualitätsmanagement: mit Threat Model, SBOM und konsistenten Nachweisen über den gesamten Lebenszyklus – und Sie sparen sich hektischen Aktionismus kurz vor der Einreichung."
– Thorsten Stumpf · Principal Expert Software & AI · RAC Devices · Metecon
Häufige Fragen zu Cybersecurity für Medizinproduktsoftware
Ab welchem Zeitpunkt sollte ein Cybersecurity-Konzept aufgebaut werden?
So früh wie möglich – ab der Konzept- und Entwicklungsphase, wenn Architektur und Sicherheitskonzept entstehen, spätestens vor der Einreichung. Nur früh verankerte Informationssicherheitsaktivitäten führen zu einem Produkt, das Security by Design gerecht wird.
Wie greifen Security-Anforderungen, Risikobewertung, Verifizierung und Betrieb konsistent ineinander?
Über eine durchgängige Nachweisdokumentation: Anforderungen aus Threat Model und Risikobewertung ableiten, in Verifizierung und Penetrationstests überprüfen und auch nach Release über PMS aktuell halten.
Woran erkennt man, ob ein bestehendes Cybersecurity-Konzept den regulatorischen Anforderungen gerecht wird?
Wenn ein dokumentiertes Threat Model vorliegt, Security-Risiken mit dem Produkt-Risikomanagement verknüpft sind, Maßnahmen daraus getestet und nachgewiesen wurden und entsprechende Nachweise über den Lebenszyklus des Produkts aktuell gehalten werden. Fehlende Informationssicherheitsaktivitäten in der Prozesslandschaft und losgelöste Einzeldokumente als einzelnes Schlaglicht auf die Informationssicherheit ohne jegliche Konsequenz für die Informationssicherheit des Produkts sind ein Warnsignal.
Wie verändert sich der Nachweis für die Informationssicherheit bei Weiterentwicklung des Produkts oder bei einem Software-Update?
Jede Änderung wird durch Update des Threat Models / der Risikoanalyse auf den Einfluss auf Informationssicherheit hin untersucht. So lässt sich bewerten, ob neue Schwachstellen entstehen, welche Tests zu wiederholen sind und wie der Nachweis konsistent bleibt.
Welche Schnittstellen zu ISO 14971 müssen konsistent dokumentiert sein?
Security-Risiken müssen mit dem Produkt-Risikomanagement (ISO 14971) verzahnt sein. Die Ergebnisse aus den Aktivitäten der Informationssicherheit müssen konsequent in das Produkt-Risikomanagement integriert werden. Die abgeleiteten Maßnahmen aus dem Risikomanamgent müssen wieder in Informationssicherheitsaktivitäten wie z. B. Penetrationstests zurückfließen. Das Risikomanagement bleibt der zentrale Dreh- und Angelpunkt für das Medizinprodukt. Auch für vernetzte Produkte gilt, dass Sicherheit und Leistungsfähigkeit der Produkte über den Lebenszyklus jederzeit gewährleistet sein müssen.
Wann ist es sinnvoll, Cybersecurity extern begleiten zu lassen?
Wenn Anforderungen bekannt, aber nicht mit eigenen Ressourcen erfüllt werden können; wenn Entwicklung, RA, QM und IT-Security nebeneinander arbeiten und die Informationssicherheit so nicht konsequent umgesetzt wird; oder wenn es Schwächen bei der bedarfsgerechten Dokumentation der Informationssicherheit für den entsprechenden Zielmarkt gibt. Externe Begleitung bringt Struktur, Dokumentationserfahrung und konsistentes Vorgehen.
Welche Anforderungen gelten unter MDR und IVDR?
Grundlage sind die Sicherheitsanforderungen aus MDR/IVDR Anhang I (u. a. 17.2/16.2) sowie die Leitlinie MDCG 2019-16.
Was kostet Cybersecurity-Unterstützung bei Metecon?
Der Aufwand hängt von Produkt, Architektur, Risiko und Reifegrad sowie den Zielmärkten (EU/FDA) ab. In einer kostenlosen Erstberatung ordnen wir Ihren Fall ein, priorisieren risikobasiert und nennen anschließend einen belastbaren Rahmen.
Cybersecurity belastbar aufsetzen
Starten Sie mit einer kostenlosen Erstberatung. Wir priorisieren risikobasiert, bringen EU- und FDA-Anforderungen zusammen und skizzieren Ihre Security-Nachweisstruktur.
Ihr Ansprechpartner:
Milan Weiß
Sales Manager
T: +49 621 123469-040
milan.weiss@metecon.de
