IEC Was ist sie wann ist der Einsatz sinnvoll?

Transkript

1 IEC Was ist sie wann ist der Einsatz sinnvoll? Dipl. Inform. Klinikum Stuttgart Beispiel-Risiko 1: Alarm wird nicht übertragen 50m Netzwerkadmins 1

2 Beispiel-Risiko 2: Patient ist unauffindbar m Beispiel-Risiko 3: Organisationsversagen Krankenhausbetreiber bei Stationsplanung Bauliche Anforderung Netzwerk- Verfügbarkeit/ Alarmweiterschaltung Patientenruf Stationsplanung Patientenmonitoring 2

3 Beispiel-Risiko 4: Patientenschaden aufgrund von Reichweitenproblemen Patientenmonitoring auf Kinderkardio Betrieb des Wlan 24/7! Was ist beim Ausfall des Wlan? Was ist, wenn Beispiel-Risiko 5: Masseninfektion 3

4 Kurzeinführung in die IEC Kurzeinführung in die IEC Titel: Anwendung des Risikomanagements für IT-Netzwerke mit Medizinprodukten Es handelt also vom medizinischen Netzwerk und nicht vom vernetzten Medizinprodukt denn das Risikomanagement dafür hat der Hersteller bereits erledigt Es gibt drei Schutzziele, die zuvor definiert werden müssen Folgende wichtige Prozesse Risikomanagement strukturierter Informationsaustausch Änderungsmanagement Verantwortlichkeitsvereinbarung In Zukunft zusätzliche Ausrichtung der IEC auf Interoperabilität 4

5 Definitionen der Schutzziele des EDV-Netzwerks Sicherheitsziele der IEC Wichtige Prozesse - Changemanagement Änderung CT US Mammo Änderung relevant? Entscheidung A MR XA 2 x XR Entscheidung B Jochen.kaiser@medsias.de 5

6 Wichtige Prozesse Risikomanagement Bauliche Anforderung Netzwerk- Verfügbarkeit/ Alarmweiterschaltung Patientenruf Stationsplanung Patientenmonitoring Wichtige Prozesse Verantwortlichkeitsklärung Zuständigkeit Zuständigkeit Kooperation Verantwortung 6

7 sinnvoller Nutzen IEC Seite 14 Woher kommt diese Unruhe im Risikomanagement? Antwort: Durch Artikel und Meinungen zur IEC IEC = Risikomanagement von IT-Netzwerken an die Medizinprodukte angeschlossen werden. Seite 14 Jochen.kaiser@medsias.de 7

8 Quizfrage: was ist das? Seite 15 Seite 15 Seite 16 Die IEC ist ein Werkzeug und keine rechtliche Vorgabe! Seite 16 8

9 Seite 18 Exkurs: Anwendung technologischer und wissenschaftlicher Erkenntnisse Stand der Wissenschaft neueste belegte Erkenntnisse der Wissenschaft Grenzrisiko / Restrisiko (Residual Risk) Stand der Technik Beste verfügbare Technik, State of the Art Regeln der Technik alle auf Erkenntnissen und Erfahrungen beruhenden geschriebenen und ungeschriebenen Regeln der Technik deren Befolgung beachtet werden muss und in zugehörigen Fachkreisen bekannt sind Berufsausbildung : in der Praxis bei dem nach neuestem Erkenntnisstand vorgebildeten Techniker durchweg bekannt allgemein anerkannte Regel der Technik anerkannte Regel der Technik, die von der Mehrheit der Fachleute angewendet wird Seite 18 2 MPBetreibV Seite 19 2 MPBetreibV (1) Medizinprodukte dürfen nur ihrer Zweckbestimmung entsprechend und nach den Vorschriften dieser Verordnung, den allgemein anerkannten Regeln der Technik sowie den Arbeitsschutz- und Unfallverhütungsvorschriften errichtet, betrieben, angewendet und in Stand gehalten werden. (2) Medizinprodukte dürfen nur von Personen errichtet, betrieben, angewendet und in Stand gehalten werden, die dafür die erforderliche Ausbildung oder Kenntnis und Erfahrung besitzen. (3) Miteinander verbundene Medizinprodukte sowie mit Zubehör einschließlich Software oder mit anderen Gegenständen verbundene Medizinprodukte dürfen nur betrieben und angewendet werden, wenn sie dazu unter Berücksichtigung der Zweckbestimmung und der Sicherheit der Patienten, Anwender, Beschäftigten oder Dritten geeignet sind. Seite 19 Jochen.kaiser@medsias.de 9

10 Sichtweise der Behörden / Industrievereinigungen Seite 20 Schreiben der Gewerbeaufsicht Mittelfranken sieht IEC als eine Möglichkeit unter Vielen Position des ZVEI: Keine Pflicht zur Anwendung die IEC seitens der Hersteller / Anwender Seite 20 Schreiben der Gewerbeaufsicht (I) Seite 21 Seite 21 Jochen.kaiser@medsias.de 10

11 Schreiben der Gewerbeaufsicht (I): Konsequenzen daraus Seite 22 IEC ist keine Vorgabe, sie definiert einen Prozess Es handelt sich um freiwillige Verträge, keine Verpflichtungen Keine direkte rechtliche Ableitung der IEC aus MPG, MPBetreibV usw. für Betreiber Seite 22 Kongruente Position des ZVEI Seite 23 aus FAQ des ZVEI: FAQs-zur-Norm-IEC Risikomanagement-fuer-IT-Netzwerke-mit-Medizinprodukten.aspx Seite 23 11

12 Seite 24 IEC ZERTIFIZIERUNGEN Seite 24 IEC Zertifizierung Seite 25 es gibt keine IEC Zertifizierung von Medizinprodukten IEC Zertifizierung von Herstellern IEC Zertifizierung von Personen IEC Zertifizierung von Netzwerkkomponenten IEC Zertifizierung von Netzwerken die Medizinprodukte enthalten d.h. es gibt für obige Ideen keine Vorgaben, kein Curriculum, keine Zertifizierungsvorschriften verlangt in Ausschreibungsunterlagen kann dies zum Knock-Out- Kriterium werden. Seite 25 12

13 Antwort auf Quizfrage: Ein verteiltes Alarmsystem Quiz: was ist das? 13

14 Herausforderungen WLAN Vollständige Ausleuchtung sehr aufwändig Hygiene Zulassung für das KH Hohe Abdeckung erforderlich Shared Medium alle nutzen die selbe Bandbreite WLAN Messung und Probleme 14

15 DMZ WLAN PDAs Slates KIS-Server COWs KIS-Anwender Tablet PC Fieberkurve Beispiel 1: Ausfall der WLAN- Anbindung > 30 Minuten KIS- Server... Effectiveness: Störungen Genügend PC-Geräte vorhalten, die über Kabel funktionieren Unabhängiger Netzwerkpfad zu den Servern schalten Meldung an Anwender über WLAN-Störung Sessions vom WLAN ins Kabel-Netz umziehen 15

16 Quiz-Antwort: ein teures Großgerät! IEC ORGANISATION DES PROZESSES RISIKOMANAGEMENT 16

17 Definitionen der Schutzziele des EDV-Netzwerks keine Gefährdung von Patientenleben Datenschutz ist gewährleistet; Gerät ist verfügbar; Kontrolle über das Gerät sichergestellt. medizinische und kommerzielle Ziele garantieren ; kritische Behandlungen müssen durchgeführt werden Sicherheitsziele der IEC Eigene Sicherheitsziele mit einbringen Problemstellung nicht alle Medizinprodukte sind gleich kritisch Kriterien für die Klassifizierung Patientensicherheit (safety) Kontrolle über das Gerät (IT-Security) Wirksamkeit (effectiveness) - Invasive Systeme Herzkatheterlabor - LebenserhaltendeSystem Beatmung Infussionspumpen - Monitorsysteme - sicherer Betriebszustand - keine Störer im Netz - Geschwindigkeit radiologischer Prozesse - Laborprozesse - Aufnahme - Dokumentation kritische Netznutzung Jochen.kaiser@medsias.de 17

18 Beschaffungsprozess Beschaffung MP Verbindliche Erklärung des Herstellers zum Netzanschluss Typ I Standard Beschaffungsprozess Medizintechnik nein vernetzt ja Vorentscheidung der notwendigen Beschaffungsschritte ist Aufgabe von Medizintechnik / IT / Anwender nein Gesamtsystem Vom Hersteller ja nein Kritische Netznutzung ja Absicherung des Endsystems durch Sicherheitswerkzeuge Fragebogen RM ? Teilprozess Risikobetrachtung oder ganzes Risikomanagement eigener Krankenhausnetzwerke mit Medizinprodukten Aufbau und Anwendung des Systems wie durch den Hersteller gefordert Beschaffung Vorgabe Sicherheitsanforderungen? Beschaffung Produkt + Anfrage Unterstützung IEC durch Hersteller Merkblatt für Projektleiter zur Klärung Einbindung in die Infrastruktur Typ II Typ III Typ IV Jochen.kaiser@medsias.de 18

19 Fazit Risikomanagement dort, wo es notwendig ist. Rechtliche Aspekte beachten. Einkaufsprozess anpassen Risikomanagement sollte zum Risikomanagementprojekt werden. Analyse eines Risikomanagements genügt nicht, sondern es muss ein Gesamtprozess sein! Einbindung aller Phasen des Risikomanagements Get inspired! Nutzen Sie die Elemente, die sinnvoll sind und Ihnen helfen! 19