Serverraum, Gehirnscan, Cloud und Krankenhaus: miteinander verbunden

Leistungen · Cybersicherheit für Medizinprodukte

Cybersicherheitsdokumentation für vernetzte Medizinprodukte

Gerätesoftware, die sich mit dem Internet verbinden kann, macht das Gerät nach Abschnitt 524B des FD&C Act zu einem Cyber-Gerät, und die EU MDR verlangt, dass Softwareprodukte im Hinblick auf Informationssicherheit entwickelt werden (Anhang I, 17.2, 17.4 und 18.8). Silurus Software schreibt das Threat Model (eine strukturierte Analyse, wie das Gerät angegriffen werden könnte), die Sicherheitsanforderungen und ihre Verifizierung, die SBOM (Software Bill of Materials, die Liste aller Softwarekomponenten im Build) und den Schwachstellenprozess nach IEC 81001-5-1, für die technische Dokumentation nach EU MDR und die FDA-Einreichung vor dem Inverkehrbringen. Die regulatorische Verantwortung und die Freigabeentscheidung bleiben beim Kunden, als rechtlichem Hersteller.

30-minütiges Gespräch buchen Schreiben Sie uns

Norm: IEC 81001-5-1
FDA: Cybersicherheit vor dem Inverkehrbringen
SBOM: CycloneDX · SPDX · VEX-Aussagen
So gehen wir vor: IEC 62304 · ISO 13485 · ISO 14971

Leistungsumfang

Das gesamte Produkt absichern

Bedrohungsmodellierung

Wir betrachten das gesamte System und bewerten jede Bedrohung nach ihrer Ausnutzbarkeit und den möglichen Folgen für Patienten. Kann eine Bedrohung zu einem Schaden führen, verknüpfen wir sie mit der Risikomanagementakte nach ISO 14971. Für jede Bedrohung legen wir eine Schutzmaßnahme fest oder dokumentieren, warum das Risiko akzeptiert wird.

Sicherheitsarchitektur

Bereits beim Entwurf der Architektur berücksichtigen wir Identitäten, Verschlüsselung, Secure Boot, Protokollierung und Netzwerksegmentierung.

Sicherheitsanforderungen und Tests

Aus jeder Schutzmaßnahme leiten wir eine Anforderung ab und verifizieren sie durch Tests, Analysen oder Prüfungen. Eine gemeinsame Rückverfolgbarkeitsmatrix erfasst diese Nachweise, die Restrisiken und die funktionalen Tests.

Verifizierung und Validierung →

SBOM und SOUP

Die SBOM wird aus jedem Build in CycloneDX oder SPDX generiert, gegen das freigegebene Artefakt geprüft und teilt ihre Kennungen mit der SOUP-Liste (Software unbekannter Herkunft, also Code von Drittanbietern, der im Gerät verwendet wird), einschließlich Supportstatus und Supportende jeder Komponente.

Schwachstellen nach der Freigabe überwachen

Wir gleichen neue Schwachstellen mit der SBOM ab und bewerten ihre Bedeutung für das jeweilige Produkt. Die Ergebnisse dokumentieren wir für jede Schwachstelle. Wenn Kunden es benötigen, stellen wir die Informationen als VEX-Erklärung bereit. Korrekturen unterliegen der Änderungslenkung.

Software sicher aktualisieren

Wir sichern Softwareaktualisierungen durch digitale Signaturen und deren Prüfung gegen Manipulationen ab. Ein Schutz vor der Installation älterer Versionen und ein kontrolliertes Wiederherstellungsverfahren ergänzen diese Maßnahmen. Wir berücksichtigen sie im Bedrohungsmodell und in der Risikomanagementakte.

Embedded- und Firmware-Entwicklung →

Vernetzte Schnittstellen

Wir untersuchen jede Schnittstelle auf mögliche Bedrohungen und sichern sie ab. Dabei berücksichtigen wir auch die Anbindung an das Krankenhausnetz.

Regulatorische Dokumentation und Anfragen aus Krankenhäusern

Unsere Spezialisten für Regulatory Affairs und unsere FDA-Berater erstellen die Sicherheitsunterlagen für die Einreichung. Außerdem beantworten sie Sicherheitsfragebögen, die Krankenhäuser bei der Beschaffung verwenden.

Regulatorische Beratung →

In der Praxis

Typische Aufgaben unserer Kunden

Ausgangslage

Ein vernetztes Produkt vor der FDA-Einreichung

Ein vernetztes Produkt soll bei der FDA eingereicht werden. Dafür muss es die Anforderungen an die Cybersicherheit nach Section 524B erfüllen.

Unser Vorgehen

Wir erstellen das Bedrohungsmodell, die Darstellungen der Sicherheitsarchitektur und die Bewertung der Sicherheitsrisiken. Außerdem erstellen wir die SBOM mit der Bewertung bekannter Schwachstellen und den Plan für das Cybersicherheitsmanagement nach der Freigabe. Unsere Ingenieure führen Sicherheitstests einschließlich Penetrationstests durch und ordnen die Ergebnisse den jeweiligen Schutzmaßnahmen zu. Die Nachweise bereiten wir für die Einreichung über eSTAR auf.

Ausgangslage

Ein bereits vermarktetes Produkt ohne Cybersicherheitsdokumentation

Ein vernetztes Gerät ist am Markt, und ein Krankenhaus oder die Benannte Stelle (die unabhängige Organisation, die ein Produkt nach der EU MDR zertifiziert) fragt nach seiner Sicherheitsdokumentation.

Unser Vorgehen

Wir untersuchen die bestehende Architektur und den aktuellen Quellcode. Darauf aufbauend erstellen wir das Bedrohungsmodell und die SBOM und prüfen die Schutzmaßnahmen. Anschließend beantworten wir die Sicherheitsfragen, auch in Beschaffungsfragebögen von Krankenhäusern wie MDS2.

Ablauf

Von der Systemarchitektur bis zum Umgang mit Schwachstellen

Schritt 1

Systemarchitektur

Wir erfassen die Datenflüsse, Schnittstellen und Vertrauensgrenzen des gesamten Systems.

Schritt 2

Bedrohungsmodell

Wir bewerten jede Bedrohung nach ihrer Ausnutzbarkeit und dem möglichen Schaden. Dazu dokumentieren wir eine Schutzmaßnahme oder begründen, warum das Risiko akzeptiert wird.

Schritt 3

Anforderungen und Tests

Wir formulieren jede Schutzmaßnahme als Anforderung und verifizieren sie durch Tests, Analysen oder Prüfungen.

Schritt 4

SBOM und Schwachstellenüberwachung nach der Freigabe

Wir erzeugen bei jedem Build eine SBOM, gleichen sie mit der freigegebenen Version ab und bewerten und dokumentieren neue Schwachstellen.

Was Sie erhalten

Unterlagen zur Cybersicherheit

D-01

Bedrohungsmodell und Darstellungen der Sicherheitsarchitektur

Wir erstellen die vom FDA-Leitfaden geforderten Architekturdarstellungen. Sie zeigen das Gesamtsystem, mögliche Schäden für mehrere Patienten, die Aktualisierbarkeit und Patchfähigkeit sowie sicherheitsbezogene Anwendungsfälle. Auch die Vertrauensgrenzen werden dargestellt. Jede Bedrohung verknüpfen wir mit einer Schutzmaßnahme, ihrem Verifizierungsnachweis und dem verbleibenden Risiko.

Beispiel einer Bedrohungstabelle nach STRIDE →

D-02

Sicherheitsrisiken bewerten und Schutzmaßnahmen prüfen

Wir bewerten jede Bedrohung nach ihrer Ausnutzbarkeit und verknüpfen sie mit dem möglichen Schaden in der Risikomanagementakte nach ISO 14971. Jede Schutzmaßnahme formulieren wir als Anforderung und verknüpfen sie nachvollziehbar mit dem Entwurf und dem Verifizierungsnachweis. Hinzu kommen der Bericht über die Sicherheitstests und die Sicherheitsbewertung noch offener Anomalien.

D-03

SBOM und VEX

Wir stellen die beim Build erzeugte SBOM bereit und analysieren jede bekannte Schwachstelle hinsichtlich ihrer Bedeutung für das Produkt.

Beispielauszug aus einer SBOM →

D-04

Cybersicherheit nach der Freigabe gewährleisten

Wir planen die Schwachstellenüberwachung, die koordinierte Offenlegung und das Einspielen von Patches unter Ihrer Änderungslenkung. Außerdem erstellen wir die sicherheitsrelevanten Kennzeichnungsinformationen und die Anweisungen zur sicheren Konfiguration im Krankenhausnetz.

EU und USA

Eine Nachweisbasis, zwei Einreichungen

Europäische Union

EU MDR

Gemeinsam mit unseren Spezialisten für Regulatory Affairs ordnen wir die Sicherheitsnachweise den Anforderungen in Anhang I der EU MDR zu (17.2, 17.4 und 18.8). Diese Zuordnung fließt in die technische Dokumentation ein.

Vereinigte Staaten

FDA

Gemeinsam mit unseren FDA-Beratern erstellen wir die Unterlagen zur Cybersicherheit für die FDA-Einreichung vor dem Inverkehrbringen.

Technologien und Normen

Unsere Arbeitsgrundlagen

Technologien und Werkzeuge

SonarQubeCoverityPolyspacePC-lintclang-tidyCodeQLSemgrepOWASP Dependency-CheckSyftGrypeDependency-TrackANSI/AAMI SW96:2023

Normen, Vorschriften und Verfahren

MISRA CIEC 81001-5-1FDA section 524BFDA premarket cybersecurity guidanceMDCG 2019-16 rev.1EU MDREU MDR Annex IISO 14971AAMI TIR57IEC 62304ISO 13485Threat modellingSTRIDECybersecurity risk assessmentSecurity architecture viewsSBOMCycloneDXSPDXVEXPenetration testingCoordinated vulnerability disclosureeSTARMDS2

Silurus Software

Silurus Software, gegründet 2017, Standorte in Budapest (Ungarn) und Singapur
Mehr als 40 Entwickler, Spezialisten für Regulatory Affairs nach EU MDR und FDA-Berater
Wir arbeiten im ISO-13485-Qualitätsmanagementsystem des Kunden und legen die Aufgabenteilung vor Projektbeginn schriftlich fest. Hat der Kunde noch keinen dokumentierten Softwareprozess, bringen wir IEC-62304-Vorlagen mit, die er in sein eigenes System übernimmt
Mehrjähriger Entwicklungspartner eines europäischen MedTech-Herstellers
Gründer und CTO Péter Török entwickelt seit 1999 Software für die Medizintechnik. Zuvor leitete er die Softwareentwicklung bei Siemens Healthcare (syngo.via) und die Forschung und Entwicklung bei Mediso Medical Imaging Systems.
Zertifiziert nach ISO 9001:2015 (NQA, Zertifikat 171041, gültig bis März 2027) und ISO/IEC 27001:2022 (NQA, Zertifikat 728872, gültig bis August 2029)
2025 von Dun & Bradstreet mit der Bestnote AAA für höchste Bonität ausgezeichnet
Forschungspartner der ELTE Eötvös-Loránd-Universität in Budapest
Ab 2027 Industriepartner im EU-Projekt LOGOS des Programms Horizon Europe. Weitere Partner sind die Universitäten Bologna, Pisa und Amsterdam sowie die Masaryk-Universität in Brno.
Geschäftsführerin Dr. Linda Szántó erhielt die Auszeichnungen Female Business Leader of the Year 2025 und The Pioneer Award 2026.

Unsere Arbeitsweise →Qualität und Normen →Arbeitsbeispiele →Fallstudien →

Weiterführend

Häufige Fragen

In welchem Format liefern Sie die SBOM?

Wir erzeugen bei jedem Build eine SBOM im Format CycloneDX oder SPDX und gleichen sie mit dem freigegebenen Softwareartefakt ab. So entspricht die SBOM der jeweiligen freigegebenen und ausgelieferten Softwareversion.

Unser Produkt ist bereits auf dem Markt. Können Sie die Dokumentation zur Cybersicherheit nachträglich erstellen?

Ja. Wir untersuchen die bestehende Architektur und den aktuellen Quellcode. Anschließend erstellen wir das Bedrohungsmodell, die SBOM sowie die noch fehlenden Anforderungen und Tests. Die nachträglich erstellten Unterlagen beschreiben den tatsächlichen Zustand des Produkts. Fehlende Schutzmaßnahmen setzen wir in der Software um und dokumentieren sie anschließend.

Wie stellen Sie die Rückverfolgbarkeit der Sicherheitstests sicher?

Wir verwenden dieselbe Rückverfolgbarkeitsmatrix wie für die funktionalen Tests. Jeder Sicherheitstest ist mit der Schutzmaßnahme verknüpft, deren Wirksamkeit er überprüft.

Arbeiten Sie in unserem QMS und mit unseren Vorlagen?

Ja. Wir verwenden Ihre Dokumentvorlagen und beachten Ihre Vorgaben zur Dokumentenlenkung.

Lassen sich dieselben Nachweise für die EU MDR und die FDA verwenden?

Ja. Bedrohungsmodell, Tests und SBOM bilden eine gemeinsame Nachweisgrundlage für beide Verfahren. Unsere Spezialisten für Regulatory Affairs und unsere FDA-Berater bereiten die Unterlagen für das jeweilige Verfahren auf. Dazu gehören die FDA-Einreichung und die Zuordnung der Nachweise zu Anhang I der EU MDR.

Wer trägt die Verantwortung für die Cybersicherheitsdokumentation?

Die Verantwortung liegt bei Ihnen als Hersteller. Sie geben die Unterlagen frei, treffen die Freigabeentscheidung und tragen die regulatorische Verantwortung. Wir erstellen und verifizieren die Dokumentation innerhalb Ihres Qualitätsmanagementsystems.

Führen Sie Penetrationstests durch?

Ja. Unsere Ingenieure prüfen das Produkt, seine Schnittstellen und die Cloud-Komponenten mit Penetrationstests und weiteren Sicherheitstests. Die Ergebnisse fließen in die Risikobewertung und die Änderungslenkung ein.

Welche Unterlagen zur Cybersicherheit erstellen Sie für die FDA?

Wir erstellen das Bedrohungsmodell, die Darstellungen der Sicherheitsarchitektur und die Bewertung der Sicherheitsrisiken. Hinzu kommen die SBOM mit der Bewertung bekannter Schwachstellen, die Sicherheitstestberichte und der Plan für das Cybersicherheitsmanagement.

Wie lange dauert es, die Cybersicherheitsdokumentation zu erstellen?

Das hängt von der Architektur und vom Bestand ab. Zuerst kommt eine Gap-Analyse (eine Prüfung, was gegenüber der Norm fehlt) des aktuellen Stands, die den Aufwand bemisst.

Welche Auswirkungen hat die FDA QMSR auf die Cybersicherheitsdokumentation?

Die Quality Management System Regulation der FDA (QMSR, 21 CFR 820) gilt seit dem 2. Februar 2026. Sie übernimmt ISO 13485 durch Verweis. Wir dokumentieren Bedrohungsmodell, Risikobewertung und Sicherheitstests als Entwicklungsaufzeichnungen im Qualitätsmanagementsystem. Auch die technische Dokumentation nach EU MDR stützt sich auf diese Aufzeichnungen nach ISO 13485. Damit können dieselben Nachweise sowohl für Section 524B als auch für die EU MDR dienen.

Sprechen Sie mit uns

Beschreiben Sie uns Ihr Produkt

Beschreiben Sie Ihr Produkt, seine Verbindungen und die vorgesehenen Zielmärkte. Wir erläutern Ihnen, welche Unterlagen erforderlich sind und womit die Arbeit beginnt.

30-minütiges Fachgespräch buchen