Die Gesamtfunktion zum Gegenstand machen
Ein vernetztes Medizinprodukt ist nur ein Teil einer größeren Funktionskette. Netzwerk, Server, Benutzerverwaltung und Datenempfänger können seine sichere Nutzung beeinflussen. Das Risikomanagement betrachtet deshalb die vorgesehene medizinische Gesamtfunktion und nicht lediglich den Anschluss einer Netzwerkdose. Die DIN EN IEC 80001-1 behandelt Sicherheit, Effektivität sowie Daten- und Systemsicherheit bei der Einbindung und Nutzung vernetzter Medizinprodukte beziehungsweise Gesundheitssoftware. Für die betriebliche Umsetzung bedeutet das: Eine benannte Koordination verbindet die beteiligten Fachfunktionen, ohne deren jeweilige Verantwortung zu ersetzen. Alle wissen, welche Entscheidungen gemeinsam und welche innerhalb klar abgegrenzter Zuständigkeiten zu treffen sind.
Vernetzungsrisiken und sichere medizintechnische Systemintegration
Datenflüsse und Abhängigkeiten erfassen
Ein verständliches Verbindungsbild zeigt, welche Informationen zwischen welchen Komponenten ausgetauscht werden. Ergänzt werden Zeitabhängigkeiten, benötigte Dienste und die Folgen einer Unterbrechung. Die Herstelleranforderungen an digitale Infrastruktur und Informationssicherheit sind gemäß § 4 MPBetreibV zu berücksichtigen. Eine reine Liste von IP-Adressen reicht dafür nicht aus. Benötigt werden auch Informationen darüber, welche Daten fachlich relevant sind und wie Fehler erkennbar werden. Besonders aufmerksam werden Übergänge betrachtet, an denen Identitäten, Einheiten oder Zeitstempel verändert werden. Eine technisch erfolgreiche Übertragung kann trotzdem fachlich unbrauchbare oder falsch zugeordnete Informationen liefern.
|
| Gerät zu Zentralsystem | Unvollständige Daten | Vollständigkeit im vorgesehenen Ablauf |
| Identitätsdienst | Falsche Fallzuordnung | Definierte Testfälle ohne Echtdaten |
| Zeitversorgung | Abweichende Zeitstempel | Konsistenz der Ereignisfolge |
| Netzwerkänderung | Unterbrochene Kommunikation | Auswirkungs- und Wiederanlauftest |
Risiken gemeinsam und konkret bewerten
Die Bewertung beschreibt nachvollziehbare Situationen: Daten kommen verspätet an, ein Befund wird dem falschen Fall zugeordnet oder ein notwendiger Dienst fällt aus. Medizinische Nutzung, IT und Medizintechnik beurteilen gemeinsam Auswirkungen und geeignete Schutzmaßnahmen. Allgemeine Sicherheitsbewertungen werden nicht ungeprüft als klinische Risikobewertung übernommen. Ebenso wenig genügt die Aussage, der Hersteller habe sein Produkt geprüft, um die örtliche Einbindung vollständig zu beurteilen. Annahmen und verbleibende Risiken werden dokumentiert. Eine Freigabe bezeichnet den betrachteten Einsatz und die verantwortete Konfiguration, statt eine unbegrenzte Zusicherung für alle denkbaren späteren Verbindungen abzugeben.
Änderungen an der Kette kontrollieren
Ein Netzumbau, Zertifikatswechsel oder neues Benutzerverzeichnis kann eine medizinische Funktion verändern, obwohl das Gerät selbst unverändert bleibt. Solche Änderungen erhalten deshalb eine Auswirkungsprüfung auf die verbundenen Systeme. Betroffene Fachstellen werden rechtzeitig beteiligt und vereinbaren Tests, Rückkehrmöglichkeiten und Informationswege. Der Prüfumfang richtet sich nach den konkreten Risiken. Ein vollständiger Wiederholungstest sämtlicher Funktionen ist nicht bei jeder kleinen Änderung sinnvoll, eine pauschale Freigabe ohne Bewertung jedoch ebenso wenig. Die nachweisliche Entscheidung über den angemessenen Umfang bildet den Kern eines handhabbaren und fachlich tragfähigen Änderungsprozesses.
Sicherheit als gemeinsame Betriebsleistung verstehen
Die laufende Betreuung verbindet technische Überwachung mit Rückmeldungen aus dem Versorgungsalltag. Wiederkehrende Verzögerungen oder manuelle Nacharbeiten können auf Risiken hinweisen, auch wenn kein System einen formalen Fehler meldet. Die Organisation bewertet solche Beobachtungen und verbessert die Kette an ihrer tatsächlichen Schwachstelle. Bei Verantwortungswechseln werden Konfiguration, offene Risiken und Ansprechpartner vollständig übergeben. Vernetzung gewinnt dadurch ihren Nutzen: Informationen stehen dort bereit, wo sie benötigt werden, während technische Änderungen und Störungen nicht unbemerkt die Verlässlichkeit medizinischer Abläufe beeinflussen. Entscheidend ist die beherrschte Gesamtfunktion, nicht die bloße Zahl erfolgreich verbundener Geräte.
