Risikomanagement für medizinische IT-Netzwerke

EN 80001-1
Bereich Gesundheitswesen
Titel Anwendung des Risikomanagements für IT-Netzwerke, die Medizinprodukte beinhalten – Teil 1: Aufgaben, Verantwortlichkeiten und Aktivitäten (IEC 80001-1:2010)
Letzte Ausgabe November 2011

Die Norm Anwendung des Risikomanagements für IT-Netzwerke, die Medizinprodukte beinhalten (EN 80001-1:2011), ist hauptsächlich für die Betreiber von medizinischen IT-Netzwerken (Krankenhäuser, Pflegeeinrichtungen sowie Arztpraxen etc.) gedacht. Diese Norm ist, wie alle Normen, nicht unmittelbar verpflichtend. Eine Pflicht zur Umsetzung ergibt sich jedoch insbesondere für Betreiber stationärer Behandlungen (Krankenhäuser) durch §75c SGB-V sowie dem dort benannten branchenspezifischen Sicherheitsstandard. Für Betreiber außerhalb dieses Kontextes (Pflegeeinrichtungen, Arztpraxen etc.) wird eine Umsetzung hingegen empfohlen, um möglichen Haftungsansprüchen entgegenzuwirken. Die Umsetzung sowie deren Dokumentation ist nicht formgebunden. Ein unabhängiges Auditing empfiehlt sich.

Die Norm ist in Deutschland als DIN-Norm DIN EN 80001-1 veröffentlicht. Die internationale Norm ist die IEC 80001-1:2010 „Application of risk management for IT-networks incorporating medical devices“.

Definitionen

  1. der Erkennung, Verhütung, Überwachung, Behandlung oder Linderung von Krankheiten,
  2. der Erkennung, Überwachung, Behandlung, Linderung oder Kompensierung von Verletzungen oder Behinderungen,
  3. der Untersuchung, der Ersetzung oder der Veränderung des anatomischen Aufbaus oder eines physiologischen Vorgangs oder
  4. der Empfängnisregelung

zu dienen bestimmt sind und deren bestimmungsgemäße Hauptwirkung im oder am menschlichen Körper weder durch pharmakologisch oder immunologisch wirkende Mittel noch durch Metabolismus erreicht wird, deren Wirkungsweise aber durch solche Mittel unterstützt werden kann.

Im Europäischen Raum ist der Begriff Medizinprodukt in der Verordnung (EU) 2017/745 über Medizinprodukte definiert.

Notwendigkeit

IT-Netzwerke erlangen nach und nach eine immer höhere Bedeutung in Krankenhäusern, zum Beispiel für die Dokumentation verschiedener Behandlungen, für die Speicherung und Übertragung von Bildern und medizinischen Daten. Durch den Einsatz solcher Netzwerke kann die Behandlungsqualität verbessert und die Patientensicherheit erhöht werden.

Aufgrund der Vielfältigkeit an Medizinprodukten existieren damit aber auch verschiedene Standards, Normen und Konfigurationen beim Betrieb dieser Medizinprodukte. Hier könnte es zu Störungen und Beeinträchtigungen des medizinischen IT-Netzwerkes kommen, wenn z. B. die neu einzubindenden Medizinprodukte nicht im vorab auf ihre Tauglichkeit für das medizinische IT-Netzwerk geprüft worden sind.

Um medizinische IT-Netzwerke möglichst ohne Ausfälle zu betreiben, bedarf es eines Risikomanagements, welches mögliche Netzwerkausfälle frühzeitig erkennt und, falls eine Störung auftritt, festlegt, wie diese schnellstmöglich zu beseitigen ist.

Nach aktuellen IT-Zwischenfällen (2016: Locky, 2017: WannaCry) infolge derer Daten in klinischen IT-Netzwerke derart beschädigt wurden, dass wichtige Funktionen und auch vernetzte Medizingeräte nicht ausreichend verfügbar waren, ist die Bedeutung des IT-Risikomanagement deutlicher geworden.

Verantwortlichkeiten

Im nahen Bereich des Krankenhauses ist die IT-Abteilung (Informationstechnik), die Medizintechnik, die Haustechnik, die Abteilung Einkauf und/oder der Risikomanager verantwortlich für das Risikomanagement. Externe Partner sind die Medizinprodukte-Hersteller und mögliche Dienstleister. Diese Zusammenarbeit wird durch eine Verantwortlichkeitsvereinbarung (siehe DIN EN 80001-1:2011) geregelt.

Die Gesamtverantwortung für das Risikomanagement liegt beim Krankenhausträger als in der Norm genannte „Verantwortliche Organisation“.

Schutzziele laut Norm EN 80001-1:2011

Schutzziele sind:

Damit sollen mögliche Gefährdungen minimiert oder ganz ausgeschlossen werden.

Das Schutzziel Sicherheit wird auf Situationen analysiert, die im Hinblick auf die Patientensicherheit Gefährdungssituationen für ein Medizinprodukt darstellen. Zum Beispiel könnten dies defekte Hard- und Software des Medizinproduktes sein.

Das Schutzziel Daten- und Systemsicherheit wird auf Situationen analysiert, in welchen es um die Sicherheit von Daten geht, wie der Verfügbarkeit und Vertraulichkeit dieser Daten. Zum Beispiel könnten dies Patientendaten aus dem Krankenhausinformationssystem (KIS) betreffen oder auch Schäden durch Manipulation der Daten, wie sie durch Hacker verursacht werden können.

Das Schutzziel Effektivität analysiert die Ergebnisse, die erreicht wurden in Hinblick auf die Durchführung von z. B. einer Gesundheitsmaßnahme oder klinischen Abläufen.

Maßnahmen für die Einführung eines Risikomanagements

Gemäß der Norm sind insbesondere folgende Maßnahmen für die Einführung eines Risikomanagements von wesentlicher Bedeutung:

Der Prozess des Risikomanagements ist für alle drei oben genannten Schutzziele durchzuführen.

Ergänzungsnormen für das Risikomanagement IEC/TR 80001-2-1

Wichtige Gesetze und Begleitnormen

10-Punkte-Plan

Auf Basis des Technical Report TR 719 „Step by Step risk Management of medical IT-Networks“ wird die Risikoanalyse durchgeführt. Dies geschieht im Rahmen eines 10-Punkte-Planes:

Dieser ist in 5 Abschnitte eingeteilt:

  1. Risiken erfassen
  2. Qualitative Risikoanalyse
  3. Quantitative Risikoanalyse
  4. Risikoantworten planen
  5. Risiken beobachten und kontrollieren

Bevor man mit dem „10-Punkte-Plan“ beginnt, ist es sinnvoll, eine IST-Analyse sämtlicher Netzwerke und Medizinprodukte, die an ein solches Netzwerk angeschlossen werden können, durchzuführen. Hierbei wird in der DKG-Broschüre empfohlen, eine Bestandsliste zu erstellen und einen Netzplan der Netzwerke zu erarbeiten. Diese Bestandsliste ist ein wichtiges Werkzeug für den Risikomanager und wird in der Risikomanagement-Akte gespeichert.

Risikomanagement-Akte

In der Risikomanagement-Akte werden die Ergebnisse aller Analysen, notwendige Dokumente, Aufzeichnungen, Dateien usw. gespeichert und verwaltet. Dies geschieht durch den Risikomanager, welcher auch gegenüber der verantwortlichen Leitung über sämtliche Vorgänge und Änderungen eine Berichtspflicht hat.

Gesetzliche Regelung

Das Klinische Risikomanagement soll laut einem Beschluss des Gemeinsamen Bundesausschusses vom 23. Januar 2014, (gemäß § 137 Abs. 1 Satz 3 Nr. 1 SGB V über die grundsätzlichen Anforderungen an ein einrichtungsinternes Qualitätsmanagement für nach § 108 SGB V zugelassene Krankenhäuser in der Fassung vom 21. Juni 2005 (BAnz Nr. 242, S. 16 896)), bald verpflichtend für Krankenhäuser werden.

Literatur

DKG-Broschüre Anwendung des Risikomanagements für IT-Netzwerke, die Medizinprodukte beinhalten (DIN EN 80001-1:2011). 1. Auflage. Deutsche Krankenhaus Verlagsgesellschaft mbH, Düsseldorf 2011, ISBN 978-3-942734-19-6, S. 81.

Einzelnachweise

  1. ↑ Branchenspezifischer Sicherheitsstandard für die Gesundheitsversorgung im Krankenhaus. In: dkgev.de. Deutsche Krankenhausgesellschaft e. V. 2021, abgerufen am 15. Juni 2021.
  2. ↑ dkgev.de
  3. ↑ dkgev.de
  4. ↑ dkgev.de
  5. ↑ http://www.g-ba.de/downloads/39-261-1919/2014-01-23_KQM-RL_137-1d.pdf PDF-Datei des Gemeinsamen Bundesausschusses, abgerufen am 25. März 2014.
  6. ↑ https://www.g-ba.de/ Website des Gemeinsamen Bundesausschusses, abgerufen am 25. Februar 2014.
  7. ↑ johner-institut.de