VDE-Studie Risikomanagement für IT-Netzwerke mit Medizinprodukten im Operationssaal

Transkript

1 VDE-Studie Risikomanagement für IT-Netzwerke mit Medizinprodukten im Operationssaal Anwendung des Entwurfs der IEC Anforderungen Risikomanagement Umsetzung

2 Impressum: VDE Studie Risikomanagement für IT-Netzwerke mit Medizinprodukten im Operationssaal Anforderungen Risikomanagement Umsetzung In dieser VDE-Studie werden Empfehlungen zur Anwendung des Entwurfs der IEC gemacht. Im Rahmen der Leitvision Schonendes Operieren mit innovativer Technik (SOMIT) werden zukunftsorientierte Gesamtkonzepte für die Planung und Durchführung von Operationen in bestimmten Krankheitsgebieten entwickelt und realisiert, die den zukünftigen Anforderungen des Gesundheitssystems, insbesondere unter Einbeziehung der demografischen Entwicklung, gerecht werden. In den Konzepten sollen die Ergebnisse aus relevanten technischen Entwicklungslinien so miteinander kombiniert werden, dass anwenderfreundliche, integrative OP-Systeme entstehen, die den Anforderungen in den jeweiligen operativen Fachgebieten entsprechen. Dies umfasst auch die Einbeziehung von interventionellen Verfahren (wie z. B. minimal invasive und endoluminale Eingriffe) und ambulant durchführbaren Operationstechniken. Im Mittelpunkt steht dabei die Reduktion der Patientenbelastung bei gleichzeitig hohem therapeutischen Nutzen. Das Besondere in den Empfehlungen liegt im marktnahen Technologietransfer der Medizinprodukte Integration in Netzwerke der Informationstechnik. Autoren: Julia Benzko, RWTH Aachen, Lehrstuhl für Medizintechnik; Holger Brünner, optocraft; Johannes Dehm, DGBMT im VDE; Andreas Göggelmann, Aesculap AG & Co. KG; Bastian Ibach, RWTH Aachen, Lehrstuhl für Medizintechnik; Peter Knipp, qcmed; Christine Niebler, Siemens Healthcare; Holger Weber, SurgiTAIX AG; Andreas Zimolong, Synagon GmbH Beratung für das Gesundheitswesen; Mitglieder der Projektgruppe Standardisierung im BMBF Projekt OrthoMIT Durch die drei Forschungsverbünde in der Leitvision SOMIT Fusion, OrthoMIT und CoHS und die dort vorgesehene vorwettbewerblich Kooperation aller industriellen Verbünde sind die Synergien, die im Themenschwerpunkt entwickelt werden, mehr als die Summe der Einzelprojekte OrthoMIT, FUSION und CoHS. Die Empfehlungen wurden von den drei Forschungsverbünden beauftragt und von folgenden Mitarbeitern begleitet: Clemens Bulitta, Siemens Healthcare; Annika Ranke, Anja Malenke, UniTransferKlinik GmbH; Stefan Schlichting, Drägerwerk AG & Co. KGaA Herausgeber/Bezugsquelle: VERBAND DER ELEKTROTECHNIK ELEKTRONIK INFORMATIONSTECHNIK e.v. Deutsche Gesellschaft für Biomedizinische Technik (DGBMT) im VDE Stresemannallee Frankfurt am Main Telefon Telefax

3 Risk Management for IT-networks incorporating medical devices in operating theatre 1

4 Risikomanagement für IT-Netzwerke mit Medizinprodukten im Operationssaal Vorwort Die Komplexität von Medizinprodukten hat in den letzten Jahren sowohl innerhalb als auch außerhalb der Kliniken durch die steigenden Anforderungen an Interoperabilität und Flexibilität dramatisch zugenommen. Insbesondere das Zusammenwirken mehrerer, unter Umständen von verschiedenen Herstellern stammenden, Medizinprodukte im Sinne eines medizinischen IT-Netzwerkes stellt die Betreiber vor großen Herausforderungen. An die IT-Abteilungen der Kliniken werden hierdurch ständig wachsende Anforderungen gestellt. Einerseits müssen sie sich dem allgegenwärtigen Kostendruck anpassen, andererseits wachsen ihre Service-Anforderungen durch das Vorhandensein unterschiedlicher proprietärer Lösungen mit monolithisch funktionierenden Gesamtsystemen, die lediglich eine eingeschränkte Modularität der Komponenten und Flexibilität der Kommunikationsprotokolle untereinander aufweisen. Dadurch ist es nicht ohne weiteres möglich, derartige Systeme zu einem funktionierendem, interoperativen Gesamtsystem zu vernetzen, insbesondere bei nachträglichen Änderungen, beispielsweise der Hinzunahme neuer Geräte. Aus Haftungsgründen werden den Betreibern von den Herstellern oft proprietäre Einbindungen der Medizinprodukte in die jeweiligen IT-Netzwerke empfohlen. Trotz des expliziten Wunsches der Kliniken lassen sich jedoch gerade innovative Medizinprodukte nicht ohne Weiteres in bestehende Gesamtsysteme integrieren, da die bestehenden Schnittstellen gewöhnlich herstellerseitig nicht oder nur teilweise offengelegt werden. Um im klinischen Alltag Medizinprodukte, die nicht bereits schon durch ihre Zweckbestimmung für den interoperablen IT- Netzwerkbetrieb zugelassen sind, in ein übergreifendes IT-Netzwerk zu integrieren, werden improvisierte Anpassungen von Betreibern in Eigenverantwortlichkeit realisiert. Derartige Anwendungen außerhalb des bestimmungsgemässen Ge b r a u c h s invalidieren jedoch oft die vom Hersteller erklärte Richtlinienkonformität. Die beteiligten Produkte können somit ihre CE-Zulassung verlieren, womit der Betreiber zum Alleinverantwortlichen für die auftretenden Risiken wird, oftmals, ohne sich dessen bewusst zu sein. Innerhalb und außerhalb der Kliniken entstehen durch diese beschriebene mangelnde Modularität der vernetzbaren Medizinprodukte Abhängigkeiten, die ökonomisch nachteilig sind und zum Auftreten vermeidbarer Risiken führen. Im Operationssaal spielt die Vernetzung und Integration der einzelnen Geräte in ein funktionierendes, zentral zu managendes Medizinsystem eine immer wichtigere Rolle. Proprietäre bildgebende Verfahren, Navigations- und Robotersysteme erfordern jeweils unterschiedliche oft redundante Komponenten wie z. B. Lokalisierungssysteme und Benutzerschnittstellen. Dies gilt auch für andere Systeme wie z. B. den OP-Tisch, Telekonsultations- oder auch Dokumentationssysteme. Fachleute verweisen bei der Frage nach handhabbaren, modular funktionierenden, vernetzten Medizinsystemen zur Optimierung, respektive für die Umsetzung von Einsparpotentialen bei dem Einsatz von Medizinprodukten in Kliniken, auf die Anwendung der internationalen Normfamilie IEC ( Risk Management for IT-Networks incorporating Medical Devices ). Dem Stand der Technik entsprechend werden Maßnahmen definiert für Vertragspartner, die wechselseitig Medizinprodukte für eine klar umrissene Zweckbestimmung integrieren und vernetzen wollen. Besonderes Augenmerk liegt hierbei auf der risikoanalytischen Betrachtung, um eine erneute CE-Zulassung der Medizinprodukte nach der zweckbestimmten Integration in eine Gesamtarchitektur möglichst zu vermeiden. Zur technischen Umsetzung dieser Festlegungen müssen Sicherungsmechanismen entwickelt und validiert werden, um die bei einer quasi Plug and Play -Integration neuentstehenden Risiken möglichst zu minimieren. 2

5 Risk Management for IT-networks incorporating medical devices in operating theatre Preface Over the course of the last years, medical devices have gained an increased level of complexity inside and outside of clinical facilities. This was mainly due to the rising requirements regarding interoperability and flexibility of use. Namely the co-operation of several medical devices, which do not necessarily have to be provided by a single manufacturer, to form a medical IT-Network poses huge demands to the responsible organisations. IT operators in clinical facilities are therefore confronted with rising demands. While maintaining strict cost control, they face an increasing number of service tasks caused by the sheer existence of different proprietary systems, having different features, but being combined to form superior systems, which in turn exhibit only a limited grade of modularity and restricted intercommunication features. This leads to severe restrictions of the ability to interconnect those systems to build real interoperative systems, for example difficulties to add new devices to the existing network whilst constantly maintaining system integrity. Due to liability reasons, manufacturers tend to advise organisations only to integrate subsystems of one single source. But in spite of the real demands of the practitioners, highly innovative new systems are only difficult to integrate in existing networks, mainly due to the lack of common interfaces, which are only partially or not at all published by the respective manufacturers. So, in order to integrate medical devices in the context of clinical environments, which are not already designed for this interoperable use by their respective Intended Use, the responsible organisations develop their very own, in-house solutions, realized by their own personnel under the sole responsibility of the clinics. But this kind of off-label-use commonly turns the Declaration of Conformity, issued by the manufacturer for the unaltered device, invalid and therefore leaves the now combined devices without a valid CE mark. This in turn leaves the clinic as the sole responsible organisation with respect to the risks arising from the use of the system, often without top management of the clinic even realizing this fact. This missing ability of the existing products to be integrated to suit the wishes of the users therefore finally leads to potential economical disadvantages and yields additional avoidable risks. In surgical operation theatres, interconnection of the separate devices into a superior network is gaining increasing importance. Proprietary imaging equipment, navigation devices and robotic systems make use of several similar sometimes redundant components like localizer systems or user interfaces. This holds as well for support devices like surgical tables, telecare appliances or even clinical documentation systems. Regarding interconnected modular medical devices with a high degree of usability and the potential to reduce total costs of ownership, experts in the fields commonly refer to the application of the international draft standard IEC ( Risk Management for IT-Networks incorporating Medical Devices ). With respect to current technology, this draft standard defines procedures for contractors, which agree to interconnect medical devices under the regulations of a clearly defined intended use. Special attention is placed herein on the risk management process to avoid having to re-certificate the medical devices after the successful interconnection to proceed fulfil their tasks according to their respective intended uses inside the combined system. In order to realize these definitions, safety measures have to be developed and validated, which foresee and provide minimization of the new risks arising from the plug-and-play-integration of such devices. 3

6 Risikomanagement für IT-Netzwerke mit Medizinprodukten im Operationssaal Das vorliegende Dokument basiert auf der Philosophie der IEC Sie richtet sich an Partner (Betreiber, Service Dienstleister, Hersteller), die auf einer gemeinsamen standardisierten Basis, Verantwortlichkeiten für die Integration von Medizinprodukten in IT-Netzwerke zur Anwendung im Operationssaal vereinbaren wollen. Eine grundsätzliche Erfüllung dieser Anforderungen ist vom Gesetzgeber nicht gefordert. Sie ist auch nicht zur Einhaltung der Grundlegenden Anforderungen bestimmt, und die Einhaltung muss nicht von den Medizinprodukte-Herstellern zur CE-Zulassung erklärt werden. Sie dient jedoch als Empfehlung an die Hersteller, während der Designphase eines Medizinproduktes, die hinweisenden Sicherheitsmaßnahmen für das Betreiben von Medizinprodukten in IT-Netzwerken und die Anforderungen zur Kenntnis zu nehmen und wo erforderlich, den vorliegenden Anwendungsfall als Beispiel für eine mögliche Realisierung anzuerkennen. Der Klinik wird empfohlen, eine verantwortliche Person als Medical IT Risk Manager zu benennen. Diese Person sollte entsprechend der Zweckbestimmung ein Netzwerkteam aus den Bereichen Medizintechnik, Informationstechnik und Anwender aufbauen. Zu den Aufgaben dieser benannten Person gehören insbesondere die Festlegung einer globalen Strategie zur Vernetzung von Medizinprodukten, den darauf basierenden Richtlinien und Abläufen, sowie den für die Vernetzung zusätzlich erforderlichen Risikomanagementmaßnahmen. Die Kenntnisse dieser Person sollten aus den Bereichen Medizintechnik, Informationstechnik und Risikomanagement sowie deren Durchführungsverordnungen stammen. Die Erfahrung aus laufenden Projekten zeigt, dass lediglich zum Beginn der Umsetzung der Anforderungen mit erhöhtem Aufwand zu rechnen ist. Dieser zusätzliche Aufwand amortisiert sich, nachdem die verantwortlichen Personen etabliert, die Prozesse definiert und die Abläufe gestartet sind, innerhalb kurzer Zeit. Diese Empfehlung fordert hierbei nicht notwendigerweise, dass zu ihrer Umsetzung zusätzliches Personal eingesetzt werden muss. Fazit: Das Ziel dieser Empfehlung ist, die Anzahl und den Schweregrad von Störungen zu verringern, sowie die Sicherheit und Effizienz der mit dem medizinischen IT-Netzwerk gekoppelten Medizinprodukte zu verbessern. Diese Verbesserungen sind kostenwirksam und kompensieren den initial höheren Aufwand nachhaltig. Darüber hinaus wird die Zufriedenheit der Anwender und der Patienten gesteigert. Über den gesamten Lebenszyklus eines medizinischen IT-Netzwerkes hinweg wird durch die Umsetzung der vorliegenden Empfehlung die Rechtsicherheit für die Verantwortliche Organisation (Betreiber) erhöht. Gleichzeitig wird Patienten eine verbesserte Behandlungssicherheit auf dem Stand der Technik bei gleichzeitiger effizienterer Ressourcenauslastung und Reduktion der wirtschaftlichen Risiken geboten. 4

7 Risk Management for IT-networks incorporating medical devices in operating theatre The operation recommendation at hand is based on the philosophies of the IEC The targeted audience consists of the contractual partners (Responsible Organisations, Service Providers, Manufacturers), which want to make use of a common standardized framework to define responsibilities for the integration of Medical Devices for the use in operation theatres. Strict compliance with this recommendation is neither mandatory by law for users and manufacturers, nor is this necessary to comply with the Essential Requirements or to achieve conformity with the requirements of the CE mark. Instead, this recommendation shall serve as a guideline throughout the design phase of a Medical Device, to acknowledge the proposed safety measures for operating medical devices in the context of IT-Networks and to consider the requirements defined herein. It is proposed to take this recommendation as an example for a possible realization of such networks. The clinic is advised to appoint a responsible person as the Medical IT Risk Manager. Considering the Intended Use of the combined devices, this person shall establish a joint team from the departments Maintenance, IT, and Users. In particular, this person shall be responsible for definition of a global strategy for interconnecting Medical Devices the procedures and processes concerning this interconnection the risk management measures necessary for the combined system. This person shall provide sound knowledge in the areas of: medical technologies and service information systems regulatory requirements for the above. First experience show that only at the very early stages of the realization process the compliance with this recommendation may lead to temporarily increased expenses. These additional costs are redeemed rather quickly after installation of the responsible persons, definition of processes and successful start-up of the activities during the first period of active operation. This recommendation does not postulate the need for additional human resources for the tasks described, rather the use of the existing structures. Summary: This application recommendation is targeted at reducing the probabilities of occurrence and severity of effects of failures of medical devices interconnected to form a medical IT-Network. The improvements generated by following its process definitions have the potential to compensate for the initial efforts by making subsequent operation of the system more efficient. Moreover, satisfaction of users and patients is increased by the medical and economical benefits of the combined systems. Over the whole life cycle of the medical IT-Network the use of this recommendation can lead to improvements considering reduction of liability issues while maintaining strict cost control from the point of view of the responsible organisation. Finally, patient safety is increased while being treated with state of the art equipment of medical technology, ensuring the most positive outcome of treatments possible. 5

8 Risikomanagement für IT-Netzwerke mit Medizinprodukten im Operationssaal Inhaltsverzeichnis Vorwort Anwendungsbereich Zweck Anwendung Begriffe und Definitionen Aufgaben und Verantwortlichkeiten Ve r a n t w o r t l i c h e Organisation Ob e r s t e Le i t u n g Datenschutzbeauftragter Risikomanager f ü r d a s Me d iz i n i s c h e IT-Netzwerk In s t a n d h a l t e r f ü r d a s Me d iz i n i s c h e IT-Netzwerk Medizinprodukthersteller Andere Anbieter von IT-Technologie Risikomanagementteam Lebenszyklus und Risikomanagement für Me d iz i n i s c h e IT-Netzwerke Überblick Risikomanagement in der Ve r a n t w o r t l i c h e n Organisation Planung und Dokumentation des Risikomanagements für Me d iz i n i s c h e IT-Netzwerke Än d e r u n g s-fre i g a b e-ma n a g e m e n t u n d Ko n f i g u r a t i o n s m a n a g e m e n t Risikomanagement f ü r d a s in Betrieb b e f i nd l i c h e Netzwerk Lenkung von Dokumenten Verfahren zur Lenkung von Dokumenten Risikomanagementakte für das Me d iz i n i s c h e IT-Netzwerk A.1 Vorwort A.2 Architekturkonzept A.3 Use-Case Realisierung A.4 Literatur A.5 References A.6 Bibliography

9 Risk Management for IT-networks incorporating medical devices in operating theatre Contents Preface Scope Purpose Field of application Terms and Definitions Roles and responsibilities Responsible Or g a n iz a t i o n To p Ma n a g e m e n t Pr iv a c y Off i c e r Me d i c a l IT-Ne t w o r k Risk Manager Me d i c a l IT-Ne t w o r k Ma i n t a i n e r Medical Device Manufacturer Other providers of Information Technology Risk management team Life cycle and Risk Ma n a g e m e n t for Me d i c a l IT-Ne t w o r k s Overview Responsible Or g a n iz a t i o n Risk Ma n a g e m e n t Me d i c a l IT-Ne t w o r k Risk Ma n a g e m e n t Planning and Documentation Ch a n g e-release Ma n a g e m e n t An d Co n f i g u r a t i o n Ma n a g e m e n t Live Ne t w o r k Risk Ma n a g e m e n t Document control Document control procedure Me d i c a l IT-Ne t w o r k Risk Ma n a g e m e n t File A.1 Introduction A.2 Concept A.3 Use-Case realization A.4 Literature A.5 References A.6 Bibliography

10 Risikomanagement für IT-Netzwerke mit Medizinprodukten im Operationssaal 1 Anwendungsbereich 1.1 Zweck Diese Festlegungen beschreiben einen praktischen Anwendungsfall am Beispiel eines Krankenhauses (Verantwortliche Organisation) mit dem Schwerpunkt der Vernetzung von Medizinprodukten im Operationssaal auf Grundlage der Philosophie der IEC Sie beschreiben eine modulare Kopplung von Geräten in den klinischen Arbeitsablauf ohne die Verwendung besonders spezifizierter, insbesondere proprietärer Software-Kommunikationsprotokolle. Besonderes Augenmerk wurde hierbei gelegt auf: die Anwendung der IEC im Kontext des klinischen Workflows, die notwendigen organisatorischen Maßnahmen, Schaffung von Strukturen und die Möglichkeit der Skalierung der Lösung zur Unterstützung der Prozesse der IEC , die besonderen Struktur eines In-House für einen konkreten Anwendungsfall maßge- schneiderten medizinischen IT-Netzwerks. 1.2 Anwendung Diese Festlegungen gelten für den ganzen Lebenszyklus des IT-Netzwerks einschließlich der Medizinprodukte, die das IT-Netzwerk bilden. Entwicklungsbegleitend wird die Integration von einzelnen Me d iz i n p rod u k t e n verschiedener Hersteller in ein gemeinsames m e d iz i n i s c h e s IT-Netzwerk für die Anwendung im Operationssaal beschrieben. Durch die Kopplung der einzelnen Medizinprodukte entsteht hierbei eine integrierte Umgebung, die Funktionen zur Verfügung stellt, die über die Funktionen der einzelnen Medizinprodukte hinausgehen bzw. komplett neue Funktionen bietet. Anmerkung: Die begleitende Umsetzung der Festlegungen erfolgt im BMBF Projekt Ortho- MIT. Das integrierte m e d iz i n i s c h e IT-Netzwerk mit den gekoppelten Me d iz i n p rod u k t e n wird in der Universitätsklinik Aachen (UKA) betrieben. Die Ve r a n t w o r t l i c h e Organisation ist die klinische Orthopädie des UKA. Die entwickelten Beschreibungen und Anforderungen wurden kontrolliert und in Bezug auf technische und praktische Anwendbarkeit durch das Team des themenverwandten Projektes FUSION kontrolliert und ausgewertet, das ebenfalls vom BMBF gefördert wird. Diese Festlegungen dienen als Anwendungsbeispiel, weil die in diesem Dokument beschriebenen Festlegungen auch auf andere ähnliche Netzwerk-Strukturen angepasst und erweitert werden können. Einzelne Festlegungen dieses Anwendungsbeispiels nehmen Bezug auf die besondere Zweckbestimmung des Projektes. Dennoch hat das Projektteam den kompletten Risikomanagement-Prozess in Anlehnung an die IEC und anderen angemessenen Normen durchgeführt und dokumentiert. Einzelne Festlegungen dieses Anwendungsbeispiels nehmen Bezug auf die besondere Zweckbestimmung des Projektes. Dennoch hat das Projektteam den kompletten Risiko-Management-Prozess in Anlehnung an die IEC und anderen angemessenen Normen durchgeführt und dokumentiert. 8

11 Risk Management for IT-networks incorporating medical devices in operating theatre 1 Scope 1.1 Purpose This technical report describes a case study on the practical implementation of IEC within a healthcare delivery organization (responsible o r g a n iz a t i o n), with particular focus on the interconnection of m e d i c a l devices within operating theatres. Based on the philosophies of the IEC , it provides an open approach for modular adaption of equipment to the clinical workflow without the use of predefined, especially proprietary IT-protocols. Particular attention was focussed on: application of within the context of clinical workflow, organizational policies and structures and scaling to accommodate the processes, related structure of a bespoke in house Medical IT-Network 1.2 Field of application This technical report applies throughout the life cycle of IT-Ne t w o r k s incorporating m e d i c a l devices. It describes the project of development and integration of various Me d i c a l Devices, provided by more than a single manufacturer, into a m e d i c a l IT-Ne t w o r k as used within an operating theatre (OR). By interconnecting these Medical Devices, an integrated superior system is created, which provides functions previously not available to the devices alone, or enhancing the existing functionalities. Note: The associated life-project was called orthomit, and was founded by the German ministry of education and research (BMBF). The integrated m e d i c a l IT-Ne t w o r k with all Me d i c a l Devices was implemented and is operated in the University Clinic Aachen (UKA) and under control of the orthopaedic clinic of the UKA as the Responsible Organization. The descriptions and requirements developed herein have been reviewed and positively evaluated in terms of technical and practical applicability by the team of the thematically related project FUSION, also funded by the BMBF. This gave rise to the conclusion that the framework described in this document can be extended to other similar network structures and therefore can serve as an application example. The project details described within this Technical Report may apply to the defined situation of this project only. Nevertheless, the team has conducted full r i s k m a n a g e m e n t process as laid out in ISO/IEC and other appropriate standards. The project details described within this Technical Report may apply to the defined situation of this project only. Nevertheless, the team has conducted full risk management process as laid out in ISO/IEC and other standards as appropriate. 9

12 Risikomanagement für IT-Netzwerke mit Medizinprodukten im Operationssaal 2 Begriffe und Definitionen Für die Anwendung dieses Anwendungsfalls gelten die folgenden Begriffe: 2.1 Be d i e n e r Person, der die Geräte handhabt [IEC :2005, Definition 3.73] 2.2 Be g l e i t p a p i e r Dokument, das einem Medizinprodukt oder einem Zubehör beigefügt ist und das Informationen für die v e r a n t w o r t l i c h e Organisation oder den Bediener enthält, insbesondere bezüglich der Si c h e r h e i t Anmerkung: Angepasst aus IEC :2005, Definition CAPA (Ko r re k t u r- u n d Vo r b e u g e m a s s n a h m e n) Maßnahmen zur Beseitigung der Ursache eines Unfalls, einer möglichen Nichtkonformität oder einer anderen unerwünschten Situation. 2.4 Daten- und Systemsicherheit Betriebszustand eines Me d iz i n p rod u k t e s oder einer Me d iz i n p rod u k t-so f t w a r e, bei dem wichtige Informationen (Daten und Systeme) angemessen vor Beeinträchtigung der Geheimhaltung, Vollständigkeit und Verfügbarkeit geschützt werden. Anmerkung 1: In dieser Empfehlung ist mit dem Begriff Sicherheit immer Daten- und Systems i c h e r h e i t gemeint. Anmerkung 2: Die Daten- u n d Sy s t e m s i c h e r h e i t wird innerhalb von Richtlinien, Anleitungen, Infrastruktur und Diensten sichergestellt, die zum Schutz wichtiger Informationen und Systeme entwickelt wurden, mit denen entsprechend dem Unternehmensziel Informationen erfasst, übertragen, gespeichert und angewendet werden 2.5 Da t e n s c h u t z b e a u f t r a g t e Verantwortliche Person, die den vom Gesetz vorgeschriebenen Datenschutz überwacht und dafür sorgt, dass die Mitarbeiter sich der Privatsphäre bewusst sind. Der Da t e n s c h u t z b e a u f- tragte erarbeitet ein Datenschutzkonzept für die Ve r a n t w o r t l i c h e Organisation und überwacht und stellt die Einhaltung der nationalen sowie regionalen Datenschutzgesetze sicher. Anmerkung: Ein Datenschutzbeauftragter kann durch das nationale Gesetz verlangt werden, wie zum Beispiel im Deutschen Bundesdatenschutzgesetz. 2.6 Ge f ä h rd u n g Potentielle Sc h a d e n s-quelle [ISO 14971:2007, Definition 2.3] 10

13 Risk Management for IT-networks incorporating medical devices in operating theatre 2 Terms and Definitions For the purposes of this document, the following terms and definitions apply: 2.1 Op e r a t o r, Us e r person handling equipment [IEC :2005, definition 3.73] 2.2 Acc o m p a n y i n g do c u m e n t a document accompanying a m e d i c a l device or an accessory and containing information for the responsible organization or operator, particularly regarding safety Note: Adapted from IEC :2005, definition Co r r e c t i v e a n d Pre v e n t i v e a c t i o n (CAPA) Action to eliminate the cause of an incident, a potential nonconformity or other undesirable situation. 2.4 Data and systems security an operational state of a m e d i c a l device or m e d i c a l device software in which information assets (data and systems) are reasonably protected from degradation to confidentiality, integrity, and availability Note 1: Security, when mentioned in this standard, should be taken to include d a t a a n d systems s e c u r i t y. Note 2: Data and systems security is assured through a framework of policy, guidance, infrastructure, and services designed to protect information assets and the systems that acquire, transmit, store, and use information in pursuit of the organization s mission. 2.5 Privacy officer Person responsible for monitoring privacy of data as regulated by law and to assure employees awareness of privacy. Situated in a staff position, this person creates a data privacy concept for the responsible o r g a n iz a t i o n and monitors and ensures compliance with the regulation of national data privacy act or local requirements. Note: A Privacy officer may be required by national law, such as e. g. the German Bundesdatenschutzgesetz (Data protection law). 2.6 Ha z a rd potential source of harm [ISO 14971:2007, definition 2.3] 11

14 Risikomanagement für IT-Netzwerke mit Medizinprodukten im Operationssaal 2.7 Informationstechnologie Netzwerk (IT-Netzwerk) Ein System/Systeme bestehend aus Kommunikationsenden, Knoten und Übertragungsverbindungen, um angeschlossene oder verbindungslose Übertragung zwischen zwei oder mehr spezifischen Kommunikationsenden bereitzustellen. Anmerkung 1: Angepasst aus IEC 61907:, Definition 3.1 Anmerkung 2: Der Zweck des IT-Netzwerks wird in diesem Anwendungsfall durch die Verantwortliche Organisation definiert, basierend auf der Frage wo sich das Medizinprodukt befindet und der Zweckbestimmung des Netzwerks. Es kann eine IT-Infrastruktur enthalten, sowie Elemente der häuslichen Pflege und nicht-klinische Elemente. 2.8 Instandhalter für das Medizinische IT-Netzwerk Person oder Organisation, die die Verantwortung für die Instandhaltung der Me d iz i n i s c h e n IT-Netzwerke hat. Anmerkung 1: Dies kann eine zugewiesene Rolle innerhalb der Ve r a n t w o r t l i c h e n Organisation sein. Anmerkung 2: Jede Person, die In s t a n d h a l t e r f ü r d a s Me d iz i n i s c h e IT-Netzwerk ist oder die Aufgaben erfüllt, muss möglicherweise spezielle Kenntnisse und Erfahrung im Bereich IT-Netzwerk-Betrieb haben, wie durch national Rechtsvorschriften oder Industriestandards vorgeschrieben, wie z. B. ITIL 2.9 Instandhalter für Medizinprodukte Person oder Organisation, die die Verantwortung für die Instandhaltung der Me d iz i n p rod u k t e hat. Anmerkung 1: Dies kann eine zugewiesene Rolle innerhalb der Ve r a n t w o r t l i c h e n Organisation sein. Organisationen können Abteilungen haben, die für alle Me d iz i n p rod u k t e sowie die damit verbundenen Dienstleistungen und gesetzlichen Verpflichtungen verantwortlich sind. Die Person kann auch aus der IT-Abteilung kommen. Anmerkung 2: Jede Person, die In s t a n d h a l t e r f ü r Me d iz i n p rod u k t e ist oder die Rolle erfüllt, muss möglicherweise spezielle Kenntnisse und Erfahrung in dem Bereich Me d iz i n p rod u k t ebetrieb haben, wie durch nationale Rechtsvorschriften vorgeschrieben In t e ro p e r a b i l i t ä t Fähigkeit von zwei oder mehr Geräten oder Systemen Informationen auszutauschen und die ausgetauschten Informationen zu verwenden. Anmerkung: Angepasst aus IEEE 12

15 Risk Management for IT-networks incorporating medical devices in operating theatre 2.7 Information Technology network (IT-Network ) a communication network: a system/systems composed of communication ends, nodes and transmission links to provide connected or connectionless transmission between two or more specified communication ends Note 1: Adapted from IEC 61907: 1), definition 3.1 Note 2: The topological scope of the IT-Ne t w o r k in this standard is defined by the responsible o r g a n iz a t i o n based on where the m e d i c a l device is located and the i n t e nd e d u s e of the network. It can contain IT infrastructure, home health and non-clinical contexts. 2.8 Me d i c a l IT-Ne t w o r k m a i n t a i n e r person or organization accountable for maintaining the m e d i c a l IT-Ne t w o r k (s) Note 1: This can be an assigned role within the responsible o r g a n iz a t i o n. Note 2: Any person being or fulfilling the duties as m e d i c a l IT-Ne t w o r k Maintainer may need to have specialized knowledge and experience in the field of operating IT-Networks, as required by national legislation or industrial standards, such as e. g. ITIL. 2.9 Me d i c a l d e v i c e m a i n t a i n e r person or organization accountable for maintaining the m e d i c a l device(s) Note 1: This can be an assigned role within the Responsible Organization. Organizations may have dedicated departments responsible for all medical devices as well as associated services and legal obligations. The person may as well be part of an IT-department. Note 2: Any person being or fulfilling the duties as Medical Device Maintainer may need to have specialized knowledge and experience in the field of operating medical devices, as required by national legislation In t e ro p e r a b i l i t y Ability of two or more devices or systems to exchange information and to use the information that has been exchanged. Note: Adapted from IEEE 1) To be published 13

16 Risikomanagement für IT-Netzwerke mit Medizinprodukten im Operationssaal 2.11 IT-In c i d e n t Jedes Ereignis, das nicht Teil des Standardbetriebs eines Produkts oder Verfahrens ist und möglicherweise eine Verringerung der Funktionalität des Produktes oder Prozesses führt. Anmerkung 1: Dies kann auch Anfrage der Art Wie mache ich? mit einschließen Anmerkung 2: Der Begriff wurde übernommen von dem englischen Begriff Incident, wie er von ISO / IEC , Definition 2.7 genutzt wird. Da der Begriff Incident ein definierter Begriff in zahlreichen nationalen Vorschriften ist, wird der neu kombinierte Begriff verwendet, um damit zuzeigen, dass die wichtigste Art von Ereignissen, die innerhalb des IT-Incident-Management-Prozess behandelt werden, sich auf IT-Ereignisse bezieht, die besonderer Aufmerksamkeit oder Maßnahmen bedürfen. Einige nationale Regelungen verwenden auch die Begriffe wie unerwünschtes Ereignis oder unerwünschter Vorfall um klarzustellen, welcher Art solche Vorfälle im Rahmen der Verordnung fallen. Anmerkung 3: Der CDV IEC nennt diesen Vorfall Event. Diese Empfehlung weicht von dieser Definition ab, um zwischen allgemeinen Ereignissen (wie unter anderem die Inbetriebnahme eines Medizinproduktes) und Ereignissen, die Aufmerksamkeit oder besondere Maßnahmen erfordern (IT-Incidents) und dem Incident Management gemeldet werden, zu unterscheiden IT-In c i d e n t-m a n a g e m e n t Pro z e s s, der sicherstellt, dass alle Ereignisse die möglicherweise negative Auswirkungen auf den Betrieb des IT-Netzwerk und/oder seiner wichtigsten Eigenschaften haben oder haben könnten, in einer kontrollierten Art und Weise erfasst, bewertet und verwaltet werden. Anmerkung: Angepasst aus ISO/IEC :2005, 8.2 (Incident management) und 8.3 (Problemmanagement) 2.13 Konfigurationsmanagement prozess Pro z e s s, der sicherstellt, dass korrekte Konfigurationsinformationen der Komponenten und dem IT-Netzwerk definiert und kontrolliert werden. Er stellt einen Mechanismus zur Identifizierung, Kontrolle und Nachverfolgen der verschiedenen Versionen der Konfiguration der Komponenten und des IT-Netzwerks zur Verfügung. Anmerkung: Angepasst aus ISO/IEC :2005, Medizinisches IT-Netzwerk IT-Netzwerk, das mindestens ein Medizinprodukt enthält 2.15 Me d i z i n p ro d u k t Alle Instrumente, Apparate, Geräte, Maschinen, Vorrichtungen, Implantate, In-vitro-Reagenzien, Kalibriermittel, Software, Stoffe oder Andere ähnliche oder verwandte Gegenstände, die vom Hersteller zur Anwendung am Menschen einen oder mehrere der folgenden spezifischen Zwecke bestimmt sind: Diagnose, Verhütung, Überwachung, Behandlung oder Linderung von Krankheiten 14

17 Risk Management for IT-networks incorporating medical devices in operating theatre 2.11 IT-In c i d e n t Any event which is not part of the standard operation of a product or process and which causes or may cause an interruption to, or a reduction in, the quality of that product or process. Note 1: This may include request questions such as how do I? calls. Note 2: The term is adapted from Incident as used by (ISO/IEC , definition 2.7). As the term incident is a defined term in many national medical device regulations, the new combined term is used to indicate that the main type of events to be treated under the IT-Incident management process relates to IT-events requiring attention or action. Some national regulations as well use additional compound terms such as adverse event or adverse incident to clarify the nature of such incidents as covered under the medical device regulation. Note 3: CDV IEC refers to this item as event. This technical report deviates from this definition to distinguish between general events (which include such events as go-live of a medical device) and events which do require attention or action (IT-Incidents) and which are brought into attention of the Incident Management IT-Incident management a process that ensures that all events that can or potentially could negatively impact the operation of the IT-Ne t w o r k and or its key properties, are captured, assessed, and managed in a controlled manner Note: Adapted from ISO/IEC :2005, Subclauses 8.2 (incident management) and 8.3 (problem management) Co n f i g u r a t i o n m a n a g e m e n t a process that ensures that accurate configuration information of components and the IT-Ne t w o r k are defined and controlled. It provides a mechanism for identifying, controlling and tracking versions of the configuration of components and the IT-Ne t w o r k Note: Adapted from ISO/IEC :2005, Subclause Medical IT-Network an IT-Network that incorporates at least one medical device 2.15 Medical device any instrument, apparatus, implement, machine, appliance, implant, in vitro reagent or calibrator, software, material or other similar or related article, intended by the m a n u f a c t u re r to be used, alone or in combination, for human beings for one or more of the specific purpose(s) of diagnosis, prevention, monitoring, treatment or alleviation of disease, 15

18 Risikomanagement für IT-Netzwerke mit Medizinprodukten im Operationssaal Diagnose, Überwachung, Behandlung, Linderung oder Kompensierung von Verletzungen Untersuchung, Ersatz, Veränderung oder Unterstützung des anatomischen Aufbaus oder eines physiologischen Prozesses; Unterstützung oder Erhaltung des Lebens; Empfängnisregelung; Desinfektion von Me d iz i n p rod u k t e n Lieferung von Informationen für medizinische Zwecke durch In-vitro-Untersuchungen von vom Menschen stammenden Proben und deren bestimmungsgemäße Hauptwirkung im oder am menschlichen Körper nicht durch pharmakologische, immunologische oder metabolische Mittel erreicht wird, deren Wirkungsweise aber durch solche Mittel unterstützt werden kann. Anmerkung 1: Diese Definition wurde durch die Arbeitsgruppe für Globale Harmonisierung (GHTF) entwickelt [ISO 13485:2003, Definition 3.7] Anmerkung 2: Produkte, die in einigen Rechtsräumen als Medizinprodukt angesehen werden können, für die jedoch noch keine harmonisierten Herangehensweisen vorliegen, sind unter anderen: Hilfen für Behinderte Produkte für die Behandlung bzw. Diagnostik von Krankheiten und Verletzungen bei Tieren Zubehör für Me d iz i n p rod u k t e; Desinfektionsmittel Tierisches und menschliches Gewebe enthaltende Produkte, die den Anforderungen der obigen Definition entsprechen können, jedoch unterschiedlichen Kontrollmaßnahmen unterliegen Anmerkung 3: Zubehör, das von Herstellern spezifisch zur Verwendung zusammen mit einem Haupt-Medizinprodukt vorgesehen ist, damit dieses Medizinprodukt seine Zweckbestimmung erfüllen kann, sollte dieser Internationalen Norm unterliegen. [ISO 14971:2007, Definition 2.9] 2.16 Me d i z i n p ro d u k t e-so f t w a r e Softwaresystem, das entwickelt wurde, um in das Me d iz i n p rod u k t integriert zu werden, oder das für die Benutzung als selbstständiges Medizinprodukt vorgesehen ist. Anmerkung: Angepasst aus IEC 62304:2006, Ne t z w e r k-en t w i c k l u n g s-le b e n s z y k l u s Der Netzwerk-Entwicklungs-Lebenszyklus umfasst alle Aktivitäten in der gesamten Nutzungsdauer, einschließlich Design, Implementierung, Nutzung, Rekonfiguration, Wartung und Stilllegung von IT-Netzwerken, einschließlich der Medizinischen IT-Netzwerke. Durch die Eingliederung von Medizinprodukten in die IT-Netzwerke, ist er stark mit den System-Entwicklungs- 16

19 Risk Management for IT-networks incorporating medical devices in operating theatre diagnosis, monitoring, treatment, alleviation of or compensation for an injury, investigation, replacement, modification, or support of the anatomy or of a physiological process, supporting or sustaining life, control of conception, disinfection of medical devices, providing information for medical purposes by means of in vitro examination of specimens derived from the human body, and which does not achieve its primary intended action in or on the human body by pharmacological, immunological or metabolic means, but which may be assisted in its function by such means Note 1: This definition has been developed by the Global Harmonization Task Force (GHTF). [ISO 13485:2003, definition 3.7] Note 2: Products, which could be considered to be m e d i c a l devices in some jurisdictions but for which there is not yet a harmonized approach, include: aids for disabled/handicapped people, devices for the treatment/diagnosis of diseases and injuries in animals, accessories for medical devices (see Note 3), disinfection substances, devices incorporating animal and human tissues which can meet the requirements of the above definition but are subject to different controls. Note 3: Accessories intended specifically by m a n u f a c t u re r s to be used together with a parent m e d i c a l device to enable that m e d i c a l device to achieve its i n t e nd e d purpose, should be subject to this International Standard. [ISO 14971:2007, definition 2.9] 2.16 Medical device software software system that has been developed for the purpose of being incorporated into the medic a l device being developed or that is intended for use as a m e d i c a l device in its own right Note: [IEC 62304:2006, definition 3.12] 2.17 Ne t w o r k De v e l o p m e n t Life Cy c l e (NDLC) The NDLC covers all activities throughout the useful life including design, implementation, use, reconfiguration, maintenance, and decommissioning of IT-Networks, including m e d i c a l IT-Ne t w o r k s. Through incorporation of medical devices into the IT-Networks, it is strongly interrelated with the System Development Life Cycle (SDLC) of the various medical devices, 17

20 Risikomanagement für IT-Netzwerke mit Medizinprodukten im Operationssaal Lebenszyklen der verschiedenen Me d iz i n p rod u k t e verknüpft, der in der IEC abgedeckt wird Oberste Leitung Person oder Personengruppe, welche die verantwortliche Organisation, die für die Einbindung eines Medizinprodukts in ein Medizinisches IT-Netzwerk verantwortlich ist, auf der obersten Ebene leitet und kontrolliert Anmerkung: Angepasst aus ISO 9000:2005, Definition Pa t i e n t Lebewesen (Mensch oder Tier), das einem medizinischen, chirurgischen oder zahnmedizinischen Verfahren unterzogen wird. [IEC :2005, Definition 3.76] 2.20 Pro z e s s eine Reihe von in Wechselbeziehung oder Wechselwirkung stehenden Tätigkeiten, die Eingaben in Ergebnisse umwandelt [ISO 14971:2007, Definition 2.13] Anmerkung: Der Begriff Tätigkeiten umfasst die Anwendung von Ressourcen 2.21 Pro z e s s v e r a n t w o r t l i c h e r Person, die letztlich für den Geschäftsprozess oder die Prozesse verantwortlich ist. Diese Person ist in der Regel der Leiter der Funktionseinheit oder Abteilung die das spezielle IT- Netzwerk benutzt. Diese Position sollte jemand innehaben, der das spezifische Wissen über den PROZESS hat. Der Prozessverantwortliche ist dafür verantwortlich, dass die IT-Netzwerke und deren Betrieb bestimmungsgemäß sind und sich für die Zweckbestimmung eignen, in Abstimmung mit den geltenden Betriebsanweisungen während ihrer gesamten Nutzungsdauer. Anmerkung: Der Eigentümer der Daten in einem IT-Netzwerk sollte definiert werden und sollte typischerweise der Prozessverantwortliche sein Re s t r i s i k o Risiko, das nach der Durchführung von Maßnahmen zur Ri s i k o b e h e r r s c h u n g verbleibt [ISO 14971:2007, Definition 2.15] 2.23 Risiko Kombination der Wahrscheinlichkeit des Auftretens eines Sc h a d e n s und des Schweregrades dieses Schadens [ISO 14971:2007, Definition 2.16] 2.24 Ri s i k o a n a l y s e Systematische Verwendung von verfügbaren Informationen zur Identifizierung von Ge f ä h rd u n- gen und zur Einschätzung von Risiken [ISO 14971:2007, Definition 2.17] 18

21 Risk Management for IT-networks incorporating medical devices in operating theatre as covered by IEC Top management person or group of people who direct(s) and control(s) the responsible organization accountable for a medical IT-Network at the highest level. Note: Adapted from ISO 9000:2005, definition Pa t i e n t living being (person or animal) undergoing a medical, surgical or dental procedure [IEC :2005, definition 3.76] 2.20 Pro c e s s a set of interrelated or interacting activities that transform inputs into outputs [ISO 14971:2007, definition 2.13] Note: The term activities covers use of resources Pro c e s s o w n e r The person ultimately responsible for the business process or processes being managed. This person is usually the head of the functional unit or department using a particular IT- Network, although the role should be based on specific knowledge of the process rather than position in the organization. The process owner is responsible for ensuring that IT-Networks and their operation are in compliance and fit for intended purpose in accordance with applicable SOPs throughout their useful life. Note 1: Ownership of the data held on an IT-Ne t w o r k should be defined and typically belongs to the process owner Residual risk r i s k remaining after r i s k c o n t ro l measures have been taken. [ISO 14971:2007, definition 2.15] 2.23 Ri s k combination of the probability of occurrence of h a r m and the severity of that h a r m [ISO 14971:2007, definition 2.16] 2.24 Risk analysis systematic use of available information to identify hazards and to estimate the r i s k [ISO 14971:2007, definition 2.17] 19

22 Risikomanagement für IT-Netzwerke mit Medizinprodukten im Operationssaal 2.25 Ri s i k o b e h e r r s c h u n g Pro z e s s, in dem Entscheidungen getroffen und Maßnahmen implementiert werden, durch die Risiken auf festgelegte Bereiche verringert oder auf diesen gehalten werden [ISO 14971:2007, Definition 2.19] 2.26 Ri s i k o b e w e r t u n g Pro z e s s des Vergleichs des eingeschätzten Risikos mit gegebenen Risiko-Kriterien, um die Akzeptanz des Risikos zu bestimmen [ISO 14971:2007, Definition 2.21] 2.27 Ri s i k o m a n a g e m e n t Systematische Anwendung von Managementstrategien, Verfahren und Praktiken auf die Aufgaben der Analyse, Bewertung, Beherrschung und Überwachung von Risiken [ISO 14971:2007, Definition 2.22] 2.28 Ri s i k o m a n a g e m e n t a k t e Reihe von Aufzeichnungen und sonstigen Dokumenten, die beim Risikomanagement entstehen [ISO 14971:2007, Definition 2.23] 2.29 Risikomanager für das medizinsiche IT-Netzwerk Person, Gruppe oder Organisation, die für das Riskiomanagement eines medizinischen IT-Netzwerk verantwortlich ist Anmerkung: Dies kann eine zugewiesene Rolle innerhalb der Ve r a n t w o r t l i c h e n Organisation sein Ri s i k o p r ü f u n g Rahmen-prozess, der eine Risikoanalyse und eine Ri s i k o b e w e r t u n g enthält [ISO/IEC Guide 51:1999, Definition 3.12] 2.31 Sc h a d e n Physische Verletzung oder Schädigung der menschlichen Gesundheit oder Schädigung von Gütern oder der Umwelt [ISO 14971:2007, Definitionen 2.2] Anmerkung: In der vorliegenden Norm enthält der Begriff Sc h a d e n die Unterbrechung oder den Verlust der Verabreichung wirksamer Gesundheitsmaßnahmen und/oder den Verlust der Vertraulichkeit Semantische Interoperabilität Fähigkeit eines Gerätes mit zwei oder mehr Geräten Informationen auszutauschen und diese effektiv zu nutzen, dies bedeutet, dass die Information vom Empfängergerät inhaltlich richtig interpretiert wird, so wie es vom aussendenden Gerät beabsichtigt ist. 20

23 Risk Management for IT-networks incorporating medical devices in operating theatre 2.25 Risk control process in which decisions are made and measures are implemented by which r i s k s are reduced to, or maintained within, specified levels [ISO 14971:2007, definition 2.19] 2.26 Risk evaluation Process of comparing the estimated risk against given risk criteria to determine the acceptability of the risk [ISO 14971:2007, definition 2.21] 2.27 Risk management systematic application of management policies, procedures and practices to the tasks of analyzing, evaluating, controlling, and monitoring r i s k [ISO 14971:2007, definition 2.22] 2.28 Risk management file set of records and other documents that are produced by r i s k m a n a g e m e n t [ISO 14971:2007, definition 2.23] 2.29 Medical IT-Network Risk manager person, group or organization accountable for r i s k m a n a g e m e n t when i n t e g r a t i n g equipment into a medical IT-Network Note: This can be an assigned role within the responsible o r g a n iz a t i o n Risk assessment overall process comprising a risk analysis and a risk evaluation [ISO/IEC Guide 51:1999, definition 3.12] 2.31 Ha r m physical injury or damage to the health of people, or damage to property or the environment [ISO 14971:2007, definitions 2.2] Note: In the present standard, h a r m includes disruption or loss of effective care delivery and/or loss of privacy Semantic interoperability the ability of a device to interpret the information exchanged with two or more devices, and to make effective use of it. Effective use means that the information can be used in any type of computable algorithm (appropriate) to that information 21