FAQs zur Norm IEC (Risikomanagement für IT-Netzwerke mit Medizinprodukten)

Transkript

1 FAQ zur IEC Rev. 3 Stand Einleitung Eine zunehmende Anzahl von Medizinprodukten, speziell bildgebende Verfahren, sind dafür ausgelegt, elektronische Informationen mit anderen Geräten, einschließlich anderer Medizinprodukte auszutauschen. Hierzu wird in der Regel das Informationstechnologie-Netzwerk (IT-Netzwerk) des Krankenhauses genutzt, das auch Daten allgemeinerer Art überträgt. Zur Einbindung von Medizinprodukten in die IT-Netzwerke des Klinik-Umfeldes gibt es bislang wenig Standards. Die Einbindung eines Medizinproduktes oder anderer Komponenten in ein IT- Netzwerk ist eine Aufgabe, die bei der Bewertung der Funktionalität berücksichtigt werden muss. Um unnötige Risiken für den Betrieb des Krankenhausnetzwerkes zu vermeiden, sollte ein Risikomanagement-Prozess vor jeder Veränderung der Netzwerkstruktur durchgeführt werden. W ie dieser Risikomanagementprozess zweckmäßigerweise durchzuführen ist, erläutert die internationale Norm IEC (Anwendung von Risikomanagement auf IT-Netzwerke mit, die derzeit noch erarbeitet wird. Nach endgültiger Publikation erfolgt eine entsprechende Überprüfung und Überarbeitung. Um Fragen zu Inhalt und Anwendung der IEC zu beantworten, wurde von ZVEI (Zentralverband der Elektrotechnik- und Elektronikindustrie e.v.) und DKE (Deutsche Kommission Elektrotechnik Elektronik Informationstechnik im DIN und VDE) eine Redaktionsgruppe gegründet. Hierzu wird eine FAQ-Liste, bzw. ein Link dazu, auf den Internet-Seiten des ZVEI, der DKE und des VHitG-Verband der Hersteller von IT-Lösungen für das Gesundheitswesen, bereit gestellt. Es besteht damit die Möglichkeit weitere Fragen an die Redaktionsgruppe ZVEI-DKE zu stellen, näheres hierzu finden Sie unter dem Punkt 6 Ausblicke. Nationales Vorwort zur IEC Die internationale Norm IEC :2010 wurde in der Gemeinschaftsarbeitsgruppe JWG7 von Experten aus den Bereichen des IEC SC 62A Electrical Equipment in Medical Practice in Zusammenarbeit mit Experten von ISO TC 215 Health Informatics erarbeitet. In der Deutschen Elektrotechnischen Kommission (DKE) ist hierfür das Unterkomitee UK zuständig. Die Norm IEC :2010 bietet angesichts der zunehmenden Vernetzung von Medizinprodukten insbesondere für die Patientensicherheit wichtige Ansätze für ein Risikomanagement. Sie beschreibt Prozesse, Aufgaben und Verantwortlichkeiten für das RISIKOMANAGEMENT in MEDIZINISCHEN IT-NETZ-WERKEN und weist dabei auf die gemeinsame Verantwortung von HERSTELLERN und Betreibern hin. Um den RISIKOMANAGEMENT-PROZESS entsprechend IEC :2010 ordnungsgemäß etablieren zu können, ist der Betreiber auf Informationen verschiedener Medizinprodukte-Hersteller und von Nicht-Medizinprodukte-Herstellern zur Abschätzung und Beherrschung von Risiken bei der Vernetzung von Medizinprodukten in einem Medizinischen IT-Netzwerk angewiesen. Die Norm IEC (VDE ):2011 fällt nicht in den Bereich einer EU-Direktive des New Approach und dient deshalb nicht zur Konformitätsbewertung/CE-Kennzeichnung von Medizinprodukten für deren erstmaliges Inverkehrbringen gemäß Medizinproduktegesetz (MPG) bzw. Medizinprodukteverordnung (MPV). Sie findet ihre Anwendung nach Maßgabe der beim

2 Betreiber vorliegenden Informationen auf bereits in den Markt eingeführte Medizinprodukte, die Betreiber-seitig sicher, zuverlässig und datenschutzrechtlich unbedenklich mit einem IT- Netzwerk verbunden und betrieben werden sollen (vgl. 2 Absätze (1), (3) und (5) der Medizinproduktebetreiberverordnung (MPBetreibV). Für medizinische elektrische Geräte und Systeme, die zukünftig nach der sogenannten 3. Ausgabe der IEC :2005 (in Deutschland: DIN EN :2007 (VDE )) erstmalig In Verkehr gebracht werden, müssen Hersteller gemäß den Anforderungen des Kapitels die zum Zeitpunkt des Inverkehrbringens relevanten Information zur Vernetzung ihrer Produkten in den Begleitpapieren dem Betreiber offen-legen, um damit dessen Risikomanagement Prozess aktiv zu unterstützen. Damit passen Herstelleranforderungen für das erstmalige Inverkehrbringen (IEC ) mit Betreiber-Anforderungen für die sichere Vernetzung (nach IEC :2010) konsistent zusammen. Für Medizinprodukte, die z.b. nach der 2. Ausgabe der IEC : A1 + A2 (oder nach anderen bisherigen Produktsicherheitsnormen) entwickelt worden sind, liegen möglicherweise nur unzureichende Informationen für das Risikomanagement nach IEC :2010 vor. Es wird daher ein angemessener Einführungszeitraum erforderlich sein, bis die IEC auch für Medizinprodukte im Bestand angemessen umgesetzt sein wird. Mit der DIN EN (VDE ):2011 werden neue Anforderungen festgelegt und die Beteiligten benötigen Zeit und Resourcen, um diese angemessen umsetzen zu können..vor diesem Hintergrund ist anzuregen, die neue VDE zukunftsorientiert zu nutzen und verstärkt beim erstmaligen Inverkehrbringen im Rahmen von Pilot-Projekten aktiv anzuwenden. Die Norm beschreibt in Kapitel 3.5 die Anforderungen zu Inhalt und Umfang der vom Hersteller zur Verfügung zu stellenden Informationen und verweist auf die Zuständigkeitsvereinbarung (Kapitel 4.3.4) als ergänzendes, flexibles Instrument für diesen Informationsaustausch. Die Informationen betreffen sowohl Medizinprodukte, die in ein medizinisches IT-Netzwerk eingebunden werden sollen, als auch Medizinprodukte, die bereits in ein medizinisches IT-Netzwerk eingebunden sind und allgemeine IT-Komponenten (siehe Kapitel 3.6). Stellt ein Betreiber die Notwendigkeit einer Verantwortlichkeitsvereinbarung fest, ist diese mit detaillierten Festlegungen über Art, und Umfang der benötigten Dokumentation mit dessen Lieferanten zu treffen. Dies könnte z.b. Fragen der Haftung bei notwendigen Systemaktualisierungen (z.b. Virenschutzupdates) oder die notwendigen Informationen über gegenseitige Ansprechpartner von Hersteller und Betreiber.betreffen. Die Interpretation der Anforderungen insbesondere zu den Kapiteln 3.5 (ebenso 3.6) und kann unterschiedlich ausfallen, je nachdem ob diese aus Betreiber-Sicht bzw. Hersteller-Sicht formuliert wird. In diesem Zusammenhang ist eine wesentliche Frage die Einigung über eine Holbzw. Bringschuld bei der Bereitstellung und Definition wichtiger aktualisierter Informationen. Die DKE lädt alle interessierten Fachkreise ein, den Sachverhalt im Rahmen eines Internationalen Technischen Reports Guidance for Responsibility Agreement(s) and Information Provision among Medical Device Manufacturer, IT Provider and Responsible Organizations zu bearbeiten und diesen als IEC x Teil zu veröffentlichen.

3 1. Ziel, Absicht der Norm 1.1 Philosophie (1.1.1) Was bedeutet die kommende neue Norm für ein Krankenhaus? Die Norm beschreibt, wie ein Krankenhaus mögliche Risiken für Patienten, Anwender und Dritte bei der Integration von Medizinprodukten in sein IT-Netzwerk reduzieren kann. 1.2 Nutzen (1.2.1) Was bringt die neue Norm für das Krankenhaus? Welchen Nutzen hat das Krankenhaus durch die neue Norm? Durch die Anwendung der Norm erhöht das Krankenhaus die Transparenz seines IT- Netzwerkes, das durch die Einbindung von Medizinprodukten zu einem medizinischen IT- Netzwerk wird. Die Norm beschreibt ein Lebenszyklus-Modell für ein medizinisches IT- Netzwerk und hilft so, mögliche Risiken bei der Einbindung von Medizinprodukten frühzeitig zu erkennen und zu reduzieren. Dadurch trägt ihre Umsetzung wesentlich zu dem möglichst sicheren Betrieb des medizinischen Netzwerkes während der gesamten Lebensdauer des Netzwerks und der angeschlossenen Medizinprodukte bei.

4 1.3 Bezug zu anderen Normen (1.3.1) An wen richtet sich die IEC ? Die IEC richtet sich mit heutigem Stand vorwiegend an Krankenhäuser (Betreiber, Anwender), bindet aber auch Hersteller von Medizinprodukten und Anbieter von IT-Produkten in den Risikomanagementprozess mit ein. Anmerkung: Der Begriff IT-Produkte ist hierbei nicht auf die Hardware beschränkt. Dies können auch Softwarelösungen im Gesundheitswesen sein, die selbst nicht unter das Medizinproduktgesetz fallen. (1.3.2) Gibt es Gesetze, die zur Einhaltung der IEC verpflichten? Nein. Die Anwendung von Normen ist stets freiwillig. Somit gibt es auch keine gesetzliche Pflicht, die IEC anzuwenden. (1.3.3) Müssen Medizinproduktehersteller die IEC erfüllen, bevor sie ihre Medizinprodukte in den Markt bringen zu dürfen? Nein, die IEC richtet sich nicht an Medizinproduktehersteller, sondern an die Betreiber eines medizinischen IT-Netzwerkes. Sie geht davon aus, dass die Medizinprodukte, die in das IT-Netzwerk integriert werden sollen, bereits ordnungsgemäß in Verkehr gebracht worden sind. (1.3.4) Welche Kernziele hat die IEC ? Die IEC gibt Hilfestellung, wie die wesentlichen Eigenschaften Sicherheit (für Patienten, Anwender und dritte Personen) Wirksamkeit medizinischer Prozesse Daten und Systemsicherheit eines medizinischen IT-Netzwerks sichergestellt werden können, um so dem Gesundheitsdienstleister die zuverlässige Erbringung der Gesundheitsdienstleistung zu ermöglichen. (1.3.5) Warum wurde, die IEC als reiner Prozess-Standard definiert? Um die Anwendung der IEC für eine Vielzahl von Betreibern (Healthcare Delivery Organizations) und für verschiedene Kommunikationstechnologien zu ermöglichen hat sich die IEC dafür entschieden. Nach IEC kann durch den reinen Prozess-Charakter (technologieunabhängig) die Norm für einen größeren Zeitraum (z.b. 5 Jahre) ohne Änderungsbedarf gültig bleiben. (1.3.6) Welche zusätzlichen Dokumente werden neben der IEC benötigt? Prinzipiell ist die IEC ohne weitere Dokumente anwendbar. Als Hilfestellung für die Implementierung der IEC in speziellen Umgebungen und bei der Nutzung besonderer Technologien sind zusätzliche Dokumente, wie z.b. Checklisten und Erfahrungsberichte in Vorbereitung. Im Kapitel A4 der Norm sind Pläne zur Anleitung vorgesehen. So z.b. Sicherheits TR (Checkliste mit Beisp.), Wireless TR, etc. Sicherlich werden auch kostenpflichtige Checklisten erzeugt und zur Verfügung stehen.

5 (1.3.7) Welcher Zusammenhang besteht zwischen der IEC und der IEC/EN ? Die IEC richtet sich in erster Linie an medizinische IT-Netzwerke und deren Betreiber. Die IEC :2005 richtet sich an Hersteller medizinischer elektrischer Geräte und ist unter der Medizingeräterichtlinie 93/42 EC gelistet. Bei Erfüllung der Anforderungen im Abschnitt der IEC kann ein Hersteller medizinischer elektrischer Geräte auch implizit die Anforderungen der IEC umsetzen (siehe Abschnitt 3.5) 2. Anwendungsbereich, Geltungsbereich (2.0.1) Was ist der Zweck der IEC ? Zweck der Norm ist die Definition von Aufgaben, Verantwortlichkeiten und Aktivitäten damit das Risikomanagement von IT-Netzwerken mit Medizinprodukten die wesentlichen Eigenschaften Sicherheit, Wirksamkeit und Daten- und Systemsicherheit adressieren kann. (2.0.2) Wer sollte die IEC anwenden? Die IEC richtet sich an die Partner, die auf freiwilliger Basis eine Verantwortlichkeitsvereinbarung treffen wollen. 2.1 Zielgruppen und Begriffe (Betreiber, Hersteller, IT-Verantwortliche, Medizinprodukt, medizinisches IT-Netzwerk, IT-Produkte) (2.1.1) Welche Verantwortung hat die Krankenhausleitung? Nach IEC soll die Krankenhausleitung einen Risikomanagementprozess anstoßen, die dafür erforderlichen Kernziele in einer Risikomanagementpolitik festlegen und deren Überwachung sicherstellen. Sie muss eine verantwortliche Person als Medical IT Risk Manager bestellen. (2.1.2) Was sind die Aufgaben des Risiko Manager für das medizinische IT-Netzwerk? Der Risiko Manager für das medizinische IT-Netzwerk führt Mitarbeiter aus den Bereichen Medizintechnik, Krankenhaus- IT und Anwender in einem Team zusammen. Dieses Team koordiniert, überwacht und steuert alle Maßnahmen, um die IEC anzuwenden. Dazu gehören die Erstellung einer Risikostrategie, darauf aufbauende Prozesse und Verfahrensanweisungen sowie sämtliche Risikomanagementdokumente. Der Risiko Manager für das medizinische IT-Netzwerk definiert in Abstimmung mit der Leitung die Risikomanagementstrategie des Krankenhauses für diejenigen Netze, die für einen in einem gemeinsamen Betrieb von Medizinprodukten in Medizinischen IT-Netzwerken gedacht sind. Netzen gemäß IEC Er ist verantwortlich (Bem.: d.h. er muss nicht alles selbst durchführen, sondern nur sicherstellen, dass es funktioniert) für die Beschreibung und Umsetzung von Sicherheitsmaßnahmen, Wirksamkeit und Daten- und Netzwerksicherheit, für die gesamte Dokumentation und die Durchführung der Risikoanalyse des medizinischen IT-Netzwerkes bei der Integration von Medizinprodukten. Der Risiko Manager für das medizinische IT-Netzwerk ist verantwortlich für das Management, die Durchführung und die Weiterentwicklung des Risikomanagement- Prozesses den Bericht über den Risikomanagement-Prozess an die oberste Leitung Management der Kommunikation aller am medizinischen IT-Netzwerk Beteiligten

6 2.2 Rollen und Verantwortlichkeiten (2.1.3) Muss das Krankenhaus neue Stellen schaffen? Die Rolle des Risiko Managers für das medizinische IT-Netzwerk kann einer internen oder externen Person übertragen werden. Dies bedeutet aber nicht automatisch, dass neue Stellen geschaffen werden müssen. (2.1.4) Über welche Qualifikation muss der verfügen? Der Risiko Manager für das medizinische IT-Netzwerk sollte zumindest Kenntnisse der Medizintechnik und von IT-Netzwerken mitbringen und sich weitere Qualifikationen wie Kenntnisse des Risikomanagements, Regulierungen für Medizinprodukte u. a. aneignen. Fundierte Kenntnisse dieser Norm, des geltenden Medizinprodukte- und Datenschutzrechts sowie IT-Fachkenntnisse sind dringend empfohlen 2.3 Responsibility Agreement Das Responsibility Agreement ist auf die Bereiche einzuschränken, bei denen Verantwortlichkeiten abgegeben bzw. delegiert werden dürfen. Die Inhalte sind fallspezifisch zwischen den Beteiligten zu vereinbaren und sollten von den Juristen der beteiligten Organisationen geprüft und freigegeben werden. 3. Mögliche Auswirkungen der Norm für Verantwortliche Organisation, Betreiber, Hersteller, IT-Verantwortliche: (3.1) Welche Aufgaben kommen auf Betreiber zu? Wenn der Betreiber sich für die Einführung der IEC entscheidet, muss er einen Risikomanagement-Prozess für das in seinem Hause etablierte oder neu zu installierende medizinische IT-Netzwerk einführen und anwenden, um unvertretbare Risiken beim Betreiben von Medizinprodukten im IT-Netzwerk zu vermeiden. Dazu gehört die Planung der Einbindung von Medizinprodukten (Gerät oder Software), aber auch die Berücksichtigung der Entfernung oder Änderung von Komponenten in diesem Netzwerk mit den entsprechenden Bewertungen und Maßnahmen. (3.2) Wie lange / Überwelchen Zeitraum wie sollte die Norm durch Betreiber angewendet werden? Die Norm sollte über die gesamte Lebensdauer eines IT-Netzwerkes mit Medizinprodukten angewendet werden, d.h. jede potentiell relevante/signifikante Form von Veränderung im medizinischen IT-Netzwerk ist zumindest initial zu berücksichtigen. Dies schließt auch Änderungen an Komponenten der Informationstechnologie (z.b. Client-Server-Lösungen, Middleware, Drucker, etc.) ein. (3.3) Welche Kosten verursacht die Norm bei den Betreibern jetzt, beziehungsweise über die Netzwerk-Lebensdauer? Durch die Norm werden Aufwände für erhöhte Dokumentationsanforderungen und zusätzliche Verantwortungen zur Erfüllung der gesetzlichen Anforderungen planbar. Erfahrungen aus Pilotprojekten lassen vermuten, dass der Aufwand zur Anwendung der IEC in der Einführungsphase etwas höher sein wird, als in der späteren Routinephase.

7 (3.4) Welche Vorteile bringt die Norm für Betreiber? Die Anwendung der Norm kann die Anzahl und den Schweregrad von Störungen verringern, sowie die Sicherheit und Leistungsfähigkeit der IT-Netzwerke mit integrierten Medizinprodukten verbessern. Diese Verbesserungen werden sich kostenwirksam darstellen und dadurch die möglichen anfänglich zusätzlichen Aufwendungen kompensieren. Gleichzeitig wird davon ausgegangen, dass die Zufriedenheit der Betreiber/Anwender und der Patienten steigen wird verringerte Störungen im IT-Netzwerk Workflow können sich bis zum Patienten hin positiv auswirken. Das Krankenhaus gewinnt Transparenz über das Netzwerk und die angeschlossenen Medizinprodukte, um Netzwerksicherheit, Datensicherheit und einen effektiven Betrieb sicherzustellen. Die dazu erforderliche Dokumentation kann im Schadenfall helfen den Vorwurf der groben Fahrlässigkeit beim Betrieb von Medizinprodukten in IT-Netzwerken ohne die erforderlichen Sicherheitsmaßnahmen zu entkräften. (3.5) Welchen Nutzen bietet die Norm für ein bereits in Verkehr gebrachtes, vernetztes Medizinprodukt? Durch die Anwendung der IEC können eventuelle Störeinflüsse vom IT-Netzwerk auf das vernetzte Medizinprodukt reduziert werden, da zu erwarten ist, dass die Sicherheit erhöht und gleichzeitig die Anzahl der Störungen des IT-Netzwerkes verringert wird. Das vernetzte Medizinprodukt kann dann Daten über das IT-Netzwerk mit höherer Zuverlässigkeit austauschen. (3.6) Welche Aufgaben können Betreiber delegieren oder outsourcen? Generell können alle Aufgaben delegiert werden. Bei der Auswahl des Auftragnehmers sollte die notwendige Kompetenz sorgfältig bewertet werden. Verantwortlichkeiten lassen sich allerdings nicht delegieren. (3.7) Welche Aufgaben sollte die Verantwortliche Organisation nicht delegieren? Die Bewertung von und den Umgang mit Restrisiken sollte die Verantwortliche Organisation nicht delegieren. (3.8) Für welche Netzwerke ist die Norm nicht relevant? Für Netzwerke, die nur dem persönlichen Gebrauch dienen, oder die nicht mit medizinischen Netzwerken oder medizinischen Produkten verbunden werden, ist die IEC nicht anzuwenden. Die Norm gilt nicht für ein abgeschlossenes Netzwerk mit Medizinprodukten eines Herstellers (siehe abgeschlossenes Netzwerk Klasse C nach Anhang H, DIN EN Ausgabe) (3.9) Wer hilft Betreibern bei der Umsetzung der Norm? Die an der IT-Vernetzung mit Medizinprodukten beteiligten Lieferanten und Hersteller können ebenso wie spezialisierte Beratungsfirmen die benötigte Unterstützung anbieten. Eine mögliche Hilfe für den Betreiber könnte eine betreute Integration durch Hersteller der Medizinprodukte in das Netzwerk des Betreibers sein. So könnte es dem Betreiber leichter fallen, die IEC anzuwenden.

8 (3.10) Was erreicht das Krankenhaus mit der Umsetzung? Die Anwendung der IEC ist freiwillig. Das Krankenhaus gewinnt aber Transparenz über das Netzwerk und die angeschlossenen Medizinprodukte, um Netzwerksicherheit, Datensicherheit und einen effektiven funktionalen Betrieb zu verbessern. Die dazu erforderliche Dokumentation kann im Schadensfall helfen Rechtssicherheit beim Betrieb von Medizinprodukten in IT-Netzwerken ohne die sonst erforderlichen Sicherheitsmaßnahmen zu erhalten. Hersteller (3.11) Was können Medizinprodukte-Hersteller zur Umsetzung der IEC beitragen? In enger Kooperation mit den Betreibern und anderen Beteiligten bei der Planung und Realisierung des IT-Netzwerkes haben sie die für die sichere Vernetzung ihrer Medizinprodukte erforderlichen Informationen entsprechend dem Medizinproduktegesetz zur Verfügung stellen. Hersteller können außerdem den Betreiber bei der Integration des Medizingerätes unterstützen siehe 3.9 (3.12) Was können Medizinprodukte-Hersteller nicht bieten? Sie können nicht die Verantwortung für den sicheren Betrieb des IT-Netzwerkes übernehmen. Sie können die vom Betreiber beauftragten Dienstleistungen, die über die Übermittlung von zur sicheren Vernetzung notwendigen Informationen hinausgehen, nicht kostenfrei erbringen. Sie dürfen keine Aufgaben des Risikomanagements gemäß der Norm übernehmen, ohne vom Betreiber dazu eindeutig beauftragt worden zu sein. (3.13) Hat die Norm Einfluss auf die Zulassung von Medizinprodukten? Nein, die Norm hat keinen Einfluss auf die Zulassung von Medizinprodukten. Medizinprodukte dürfen nur in Verkehr gebracht werden, nachdem sie für diese spezifischen Märkte zugelassen wurden. Voraussetzung dazu ist in der Regel (EU, USA, etc.) u.a. auch die Dokumentation der Einhaltung der anwendbaren Sicherheitsstandards. Die Zulassung erfolgt ausschließlich für den vom Hersteller festgelegten bestimmungsgemäßen Gebrauch des Medizinproduktes. Dieser kann die Vernetzung von IT-Netzwerke beinhalten. Eine weitere Zulassung der Medizinprodukte für die oder nach der Integration in ein IT-Netzwerk ist daher nicht erforderlich.

9 (3.14) Welche Informationen müssen Medizinprodukte-Hersteller der Verantwortlichen Organisation liefern? Sie müssen entsprechend der geltenden Medizinproduktegesetzgebung alle Informationen bereitstellen, die die sichere Anwendung des Medizinproduktes in einem Netzwerk einschränken könnten, also solche, die der Betreiber für die Planung und Realisierung der IT- Netzwerke mit diesem Medizinprodukt kennen muss. Dazu gehören: die Zweckbestimmung des Medizinproduktes- die Leistungsmerkmale und erforderlichen Konfigurationen des IT-Netzwerkes (falls es hier Einschränkungen gibt) die technischen Spezifikationen des Netzwerk-Interfaces des Medizinproduktes (falls erforderlich) die Art und Weise des Informationsaustausches zwischen Medizinprodukt, Netzwerk, und anderen IT-Produkten. Hersteller müssen dem Betreiber die für die IT-Vernetzung notwendigen Informationen bezüglich eventueller Restrisiken aus der Vernetzung des Medizinproduktes übermitteln(siehe dazu auch IEC :2005, Unterpunkt 14.13) (3.15) Müssen Hersteller Firmengeheimnisse offenlegen? Die zur Vernetzung nötigen Informationen können zum sicheren Betrieb des Medizinproduktes erforderlich sein. Solche Informationen sollten nicht als Firmengeheimnisse betrachtet werden, sondern sind dem Betreiber zur Verfügung zu stellen. Sollten in Spezialfällen vertrauliche Informationen nötig sein, z.b. beim klinischen Vernetzungstest eines neuen Medizinproduktes, kann eine entsprechende Vertraulichkeits-Vereinbarung abgeschlossenen werden. (3.16) Welcher Zusammenhang besteht mit anderen (IT-)Normen? Die IEC dient als Prozess-Standard für eine systematische Betrachtung bevor Änderungen an einem bestehenden medizinischem IT-Netzwerk vorgenommen werden (Hinzufügen oder Wegnehmen von Komponenten oder. Sie fordert einen definierten Change- und Risiko-Management-Prozess. Die IEC verweist auf IT Standards zur Datenkommunikation. Für das Risikomanagement von IT-Netzwerken mit Medizingeräten gibt es bisher keine vergleichbare Norm. Einzelne Passagen der folgenden Normen geben Hinweise auf spezifische Vernetzungsaspekte: a) IEC :2005 Informationen der Medizinprodukte-Hersteller zur Verbindung der Medizinprodukte mit IT-Netzwerken b) ISO :2005 Planung, Entwurf, Wartung eines IT-Netzwerkes c) ISO 27001:2005 Information technology Security techniques Information Security management systems - Requirements d) ISO 14971:2007 Risikomanagement für Medizinprodukte e) ISO 13485: Medizinprodukte-Herstellung (3.17) Was müssen die Hersteller von Medizinprodukten beitragen? Hersteller von Medizinprodukten, die bestimmungsgemäß in ein medizinisches IT-Netzwerk integriert werden, müssen dem Krankenhaus alle Informationen zur Verfügung stellen, die erforderlich sind, um den bestimmungsgemäßen und sicheren Betrieb dieser Medizinprodukte im Netzwerk sicherzustellen. Gemäß IEC werden von den Herstellern zusätzliche Informationen zur Erstellung der Risikomanagementunterlagen zu ihren Medizinprodukten erwartet.

10 IT-Verantwortliche aus den Bereichen Betreiber, Hersteller, Lieferanten (3.18) Welche Aufgaben haben die IT-Hersteller und IT-Lieferanten? Sie sollten mit den Betreibern und anderen Beteiligten bei der Planung und Realisierung des IT- Netzwerkes eng kooperieren Hersteller von IT-Produkten sollten dem Krankenhaus alle relevanten Informationen zur Verfügung stellen, z.b. bei Versionswechseln und Updates, damit diese Produkte (z. B. Switch, PC, Virenschutz u. a.) dazu beitragen können, einen sicheren und zuverlässigen Betrieb des medizinischen (IT-)Netzwerkes zu ermöglichen. (3.19) Welche Informationen müssen die IT-Hersteller liefern? Technische Informationen Produkt-Konfigurationen Unverträglichkeiten Betriebsanforderungen Produkt-Korrekturmaßnahmen Sicherheitshinweise (3.20) Welche Mindestanforderungen oder Zulassungen müssen IT-Produkte erfüllen? Die IT Komponenten und IT Produkte müssen den gelten gesetzlichen Anforderungen entsprechen, z.b. dem Geräte- und Produktsicherheitsgesetz. In Kombination mit medizinisch elektrischen Geräten sind auch die anwendbaren Anforderungen der IEC zu berücksichtigen. Um die Sicherheit, Leistung sowie Daten- und Systemsicherheit im medizinischen IT-Netzwerk zu gewährleisten, ist es erforderlich, die Verwendungsfähigkeit der IT-Produkte in medizinischen Umgebungen im Risikomanagement-Prozess sorgfältig zu prüfen. 4. Inhalte der Norm 4.1 Aufbau und Struktur der Norm (4.1.1) Wann muss der Risikomanagement-Prozess angewendet werden? Der Risikomanagement-Prozess wird während der gesamten Lebensdauer des IT-Netzwerkes angewendet. Die Norm bildet den kompletten Lebenszyklus von der Planung über die Inbetriebnahme bis zur Außerbetriebnahme des IT-Netzwerkes oder einzelner Komponenten ab. (4.1.2) Was sind die Vorteile des Risikomanagement-Prozesses der Norm? Der Risikomanagement-Prozess kann mögliche Gefährdungen identifizieren, pro-aktiv die damit verknüpften Risiken abschätzen und bewerten, und die Wirksamkeit der Beherrschungsmaßnahmen überwachen. Das erleichtert den Umgang mit und die sichere Beherrschung von Restrisiken, die sich letztlich in Zeit- und Kostenersparnis niederschlagen sollen.

11 (4.1.3) Wie kann die Verantwortliche Organisation mit der Norm umgehen? Wenn die Norm eingeführt wird, muss der Betreiber Richtlinien für das Risikomanagement bezüglich der Einbindung von Medizinprodukten in IT Netzwerke erstellen, und einen kontinuierlichen Risikomanagement-Prozess aufsetzen notwendige Ressourcen bereitstellen und einen Risikomanager für das IT-Netzwerk benennen die Ergebnisse der Risikomanagement-Aktivitäten in Maßnahmen nachweisbar und nachhaltig umsetzen, und die Umsetzung regelmäßig überprüfen 4.2 Changemanagement (4.2.1) Was ist Changemanagement? Changemanagement ist die geordnete Verwaltung von Änderungen. Durch Changemanagement wird sichergestellt, dass Änderungen nur nach vorheriger Prüfung und Freigabe erfolgen. 4.3 Risikomanagement (4.3.1) Wie kann man Risiken managen? Durch Prüfung, Bewertung und Treffen von Entscheidungen werden Risiken beherrschbar, d.h. unvertretbare Risiken können vermieden werden. Eine Grundlage hierfür ist das Prinzip der integrierten Sicherheit. Weitergehende Informationen finden sich in der Norm ISO 14971: Risk management for medical devices.) (4.3.2) Welche Pflichten aus dem Monitoring von Netzwerkvorkommnissen bestehen für die Verantwortliche Organisation? Aus dem Monitoring müssen Maßnahmen zur Risikobeherrschung und zur Verbesserung des gesamten Risikomanagementprozesses abgeleitet werden. G (4.3.3) Wie sind Erkenntnisse der Medizinprodukte- und IT-Produkte-Hersteller in das Risiko Management einzubringen? Informationen, die die Hersteller über die sichere Anwendung ihrer Produkte und Lösungen im medizinischen IT-Netzwerk liefern, müssen in geeigneter Weise in das Risikomanagement eingebracht werden, z.b. durch Aufnahme in die Risikomanagement-Dokumentation, Schulung der klinischen Anwender, usw.

12 (4.3.4) Was ist ein medizinisches Netzwerk? Wie ist die Norm anzuwenden? Ein medizinisches Netzwerk entsteht, wenn Medizinprodukte in ein IT-Netzwerk integriert werden. Ein medizinisches Netzwerk ist üblicherweise kein Medizinprodukt, da die vom Hersteller des Netzwerkes festzulegende Zweckbestimmung unabhängig von der Nutzung in medizinischer Umgebung ist. Die Norm beschreibt ein Lebenszyklus-Modell für - Bestehende medizinische Netzwerke - Neu zu erstellende medizinische Netzwerke - Maßnahmen/Änderungen an bestehenden medizinischen Netzwerken. Dafür wird ein Risikomanagagement-Prozess definiert, der die wesentlichen Eigenschaften eines medizinischen Netzwerkes sicherstellen soll. Die wesentlichen Eigenschaften definiert die Norm als als Sicherheit (für Patienten, Anwender und dritte Personen, Wirksamkeit medizinischer Prozesse und Daten und Systemsicherheit 5. Compliance, Übereinstimmung mit den Anforderungen für das Risikomanagement 5.1 Dokumentationsanforderungen (5.1.1) Wie müssen welche Dokumente beschaffen sein? Es gelten keine Formvorschriften für die Dokumente. Alle erstellten Dokumente müssen nach einem Dokumentenprüfverfahren nachweisbar geprüft und genehmigt werden und bei Bedarf nach einem festgelegten Verfahren überarbeitet und ergänzt werden (5.1.2) Was muss dokumentiert werden? Der Betreiber muss vorrangig folgende Dokumentation bereitstellen: Beschreibung und Bewertung risiko-relevanter Elemente Dokumentation des medizinischen IT-Netzwerkes Risikomanagement-Plan für das medizinische IT-Netzwerk (5.1.3) Braucht es ein Dokumentenlenkungsverfahren? Ja, denn nur so ist die Verfügbarkeit, Aktualität und Gültigkeit der Dokumente sichergestellt 5.2 Erfüllung der Verantwortlichkeitsvereinbarung (5.2.1) Wie werden klare Verantwortlichkeiten erzielt? Durch eine Verantwortlichkeitsvereinbarung durch den Betreiber werden die Verantwortlichkeiten aller betroffenen Beteiligten definiert. Betroffene Beteiligte sind die Institutionen und Mitarbeiter des Betreibers. Hersteller von Medizinprodukten sind >nicht< betroffene Beteiligte im Sinne der Norm.

13 (5.2.2) Welche Inhalte müssen in der Verantwortlichkeitsvereinbarung mindestens enthalten sein? Namen der Beteiligten Individuelle Verantwortlichkeiten aller Beteiligten Umfang der zu erbringenden Aktivitäten Liste der Medizinprodukte und anderer IT-Produkte im medizinischen IT-Netzwerk Liste der vorhandenen Dokumente zu allen im IT-Netzwerk eingesetzten Komponenten Technische Informationen für die Risikoanalyse der Medizinprodukte und soweit vorhanden - der IT-Produkte 5.3 Regulatorische Anforderungen durch den Gesetzgeber (5.3.1) Ist die Einhaltung der Norm gesetzlich gefordert? Derzeit bestehen dazu keine Forderungen. Dies kann sich ändern, eine kontinuierliche aktive Beobachtung der weiteren Entwicklung ist daher ratsam. (5.3.2) Wann wird die Norm für das Krankenhaus verbindlich? Die Norm wird vrsl. im Herbst 2010 erscheinen. Eine Norm als anerkannte Regel der Technik hat keine Rechtskraft. Sie kann herangezogen werden, um zu belegen, dass und wie bestimmte Prozesse nachgewiesenermaßen erfüllt wurden. Das Krankenhaus wird aber durch das Medizinproduktegesetz und durch die Betreiberverordnung verpflichtet, Geräte und Systeme sicher für Patient, Anwender und Dritte zu betreiben. (5.3.3) Wird die Norm in der EU harmonisiert? Es war Konsens aller Beteiligten des zuständigen internationalen Normengremiums (IEC Meeting in Durham, USA im Oktober 2009), dass sich die Norm nicht auf Medizinprodukte und deren Prozess des InVerkehrbringens beziehen soll. Entsprechende Kommentare, um dies in der endgültigen Version deutlicher zu machen, sind in Vorbereitung. Da die Norm sich nicht auf Medizinprodukte bezieht, kann die Norm nicht zur Dokumentation der Erfüllung der grundlegenden Anforderungen der europäischen Medizingeräterichtlinie 93/42 EEC herangezogen werden. Eine Veröffentlichung der Norm im Amtsblatt der EU Kommission (Harmonisierung) ist nicht vorgesehen. (5.3.4) Ist die Norm allgemein anerkannter Stand der Technik? Diese Norm stellt einen Stand der Technik dar, der z.b. in Gerichtsverfahren zitiert werden könnte. (5.3.5) Gibt es in speziellen Ländern redundante Normen? Bisher sind ähnliche Normen aus anderen Ländern nicht bekannt.

14 6. Ausblick Diese Auflistung der Fragen und Antworten sind von Verantwortlichen Organisationen, bzw. deren Vertretern in Normungsgremien, und Vertretern der Hersteller von Medizinprodukten erstellt worden. Sie haben als "Betroffener" die Möglichkeit weitere Fragen die in diesem Dokument nicht gestellt wurden- an die Redaktionsgruppe ZVEI-DKE IEC zu richten. Für den Erfahrungsaustausch ist es wünschenswert, wenn Sie die Fragen aus Ihren Erfahrungen und Ihrem Kenntnisstand auch beantworten und diese an die Redaktionsgruppe in Form einer übersenden. Die Kombination aus Frage Antwort wird dann von der Redaktionsgruppe bearbeitet und u.u. kommentiert mit Nennung der Verfasser der Frage und der Kommentare auf der Homepage des ZVEI und des DKE veröffentlicht. Impressum: ZVEI e.v., Fachverband Elektromedizinische Technik Ansprechpartner: Marcus Wenzel Redaktionsgruppe: Eva-Maria Reiter Gerhard Weller Dr. Wolfgang Leetz Oliver Christ Armin Gärtner Dr. Klaus Neuder Johannes Dehm Thorsten Schütz Marcus Wenzel Dr. Norbert Pauli Jochen Kaiser Andreas Kassner Michael Asmalsky Siemens AG Siemens AG Siemens AG Prosystems AG Sana-Klinikum Remscheid GmbH VDE Frankfurt VDE Frankfurt Klinikum Itzehoe ZVEI e.v. Drägerwerk AG Uni Erlangen VHitG e.v., Berlin Philips Healthcare Inhalt Einleitung Ziel, Absicht der Norm Philosophie...3 (1.1.1) Was bedeutet die kommende neue Norm für ein Krankenhaus? Nutzen...3 (1.2.1) Was bringt die neue Norm für das Krankenhaus? Welchen Nutzen hat das Krankenhaus durch die neue Norm? Bezug zu anderen Normen...4 (1.3.1) An wen richtet sich die IEC ?...4

15 (1.3.2) Gibt es Gesetze, die zur Einhaltung der IEC verpflichten?...4 (1.3.3) Müssen Medizinproduktehersteller die IEC erfüllen, bevor sie ihre Medizinprodukte in den Markt bringen zu dürfen?...4 (1.3.4) Welche Kernziele hat die IEC ?...4 (1.3.5) Warum wurde, die IEC als reiner Prozess-Standard definiert?...4 (1.3.6) Welche zusätzlichen Dokumente werden neben der IEC benötigt?...4 (1.3.7) Welcher Zusammenhang besteht zwischen der IEC und der IEC/EN ? Anwendungsbereich, Geltungsbereich...5 (2.0.1) Was ist der Zweck der IEC ?...5 (2.0.2) Wer sollte die IEC anwenden? Zielgruppen und Begriffe (Betreiber, Hersteller, IT-Verantwortliche, Medizinprodukt, medizinisches IT- Netzwerk, IT-Produkte)...5 (2.1.1) Welche Verantwortung hat die Krankenhausleitung?...5 (2.1.2) Was sind die Aufgaben des Risiko Manager für das medizinische IT-Netzwerk? Rollen und Verantwortlichkeiten...6 (2.1.3) Muss das Krankenhaus neue Stellen schaffen?...6 (2.1.4) Über welche Qualifikation muss der verfügen? Responsibility Agreement Mögliche Auswirkungen der Norm für Verantwortliche Organisation, Betreiber, Hersteller, IT- Verantwortliche:...6 (3.1) Welche Aufgaben kommen auf Betreiber zu?...6 (3.2) Wie lange / Überwelchen Zeitraum wie sollte die Norm durch Betreiber angewendet werden?...6 (3.3) Welche Kosten verursacht die Norm bei den Betreibern jetzt, beziehungsweise über die Netzwerk- Lebensdauer?...6 (3.4) Welche Vorteile bringt die Norm für Betreiber?...7 (3.5) Welchen Nutzen bietet die Norm für ein bereits in Verkehr gebrachtes, vernetztes Medizinprodukt?...7 (3.6) Welche Aufgaben können Betreiber delegieren oder outsourcen?...7 (3.7) Welche Aufgaben sollte die Verantwortliche Organisation nicht delegieren?...7 (3.8) Für welche Netzwerke ist die Norm nicht relevant?...7 (3.9) Wer hilft Betreibern bei der Umsetzung der Norm?...7 (3.10) Was erreicht das Krankenhaus mit der Umsetzung?...8 Hersteller8 (3.11) Was können Medizinprodukte-Hersteller zur Umsetzung der IEC beitragen?...8

16 (3.12) Was können Medizinprodukte-Hersteller nicht bieten?...8 (3.13) Hat die Norm Einfluss auf die Zulassung von Medizinprodukten?...8 (3.14) Welche Informationen müssen Medizinprodukte-Hersteller der Verantwortlichen Organisation liefern?...9 (3.15) Müssen Hersteller Firmengeheimnisse offenlegen?...9 (3.16) Welcher Zusammenhang besteht mit anderen (IT-)Normen?...9 (3.17) Was müssen die Hersteller von Medizinprodukten beitragen?...9 IT-Verantwortliche aus den Bereichen Betreiber, Hersteller, Lieferanten (3.18) Welche Aufgaben haben die IT-Hersteller und IT-Lieferanten? (3.19) Welche Informationen müssen die IT-Hersteller liefern? (3.20) Welche Mindestanforderungen oder Zulassungen müssen IT-Produkte erfüllen? Inhalte der Norm Aufbau und Struktur der Norm (4.1.1) Wann muss der Risikomanagement-Prozess angewendet werden? (4.1.2) Was sind die Vorteile des Risikomanagement-Prozesses der Norm? (4.1.3) Wie kann die Verantwortliche Organisation mit der Norm umgehen? Changemanagement (4.2.1) Was ist Changemanagement? Risikomanagement (4.3.1) Wie kann man Risiken managen? (4.3.2) Welche Pflichten aus dem Monitoring von Netzwerkvorkommnissen bestehen für die Verantwortliche Organisation? (4.3.3) Wie sind Erkenntnisse der Medizinprodukte- und IT-Produkte-Hersteller in das Risiko Management einzubringen? (4.3.4) Was ist ein medizinisches Netzwerk? Wie ist die Norm anzuwenden? Compliance, Übereinstimmung mit den Anforderungen für das Risikomanagement Dokumentationsanforderungen (5.1.1) Wie müssen welche Dokumente beschaffen sein? (5.1.2) Was muss dokumentiert werden? (5.1.3) Braucht es ein Dokumentenlenkungsverfahren? Erfüllung der Verantwortlichkeitsvereinbarung (5.2.1) Wie werden klare Verantwortlichkeiten erzielt? (5.2.2) Welche Inhalte müssen in der Verantwortlichkeitsvereinbarung mindestens enthalten sein? Regulatorische Anforderungen durch den Gesetzgeber... 13

17 (5.3.1) Ist die Einhaltung der Norm gesetzlich gefordert? (5.3.2) Wann wird die Norm für das Krankenhaus verbindlich? (5.3.3) Wird die Norm in der EU harmonisiert? (5.3.4) Ist die Norm allgemein anerkannter Stand der Technik? (5.3.5) Gibt es in speziellen Ländern redundante Normen? Ausblick... 14