Die komplette Gesundheitsbranche wird 2018 mit tiefgreifenden Veränderungsprozessen konfrontiert. Regularien von KRITIS bis EU-DSGVO, vom IT-Sicherheitsgesetz bis zum E-Health-Gesetz werfen ihre Schatten voraus und fordern alle Beteiligten zur Überprüfung ihrer IT-Sicherheit auf. IT-Sicherheitslotse Pierre Gronau von Gronau IT Cloud Computing (https://www.gronau-it-cloud-computing.de) beleuchtet an diesem Abend die größten Herausforderungen für E-Health aus IT-Sicht. Warum muss IT Sicherheit mindestens dem Stand der Technik entsprechen, was bedeutet das konkret und wie kann ich meine sensiblen Daten bestmöglich vor Cyber-Angriffen schützen? Kann eine datenschutzkonforme Anbindung internetbasierter Gesundheitsakten gelingen und was folgt, wenn das Fernbehandlungsverbot fällt? Antworten auf diese und weitere gesundheitsbezogene Datenschutz- und IT-Sicherheitsfragen beantwortet Pierre Gronau gerne im Kurzvortrag sowie im persönlichen Dialog.

1. 1 / 29 23. März 2018| eHealth in der IT
eHealth in der IT
Pierre Gronau
22.03.2018

2. 2 / 29 23. März 2018| eHealth in der IT
Survival is optional

3. 3 / 29 23. März 2018| eHealth in der IT
eHealth
Herausforderungen 2018
Welche Regularien stellen aus der IT Sicht in2018 die größten Herausforderungen für eHealth
dar ?
• KRITIS -> https://www.aerztezeitung.de/praxis_wirtschaft/e-
health/telemedizin/article/937002/kritis-it-sicherheitsgesetz-scharf-geschaltet.html
• EU-DSGVO -> europäischer Datenschutz besonders hier mit Recht auf Vergessen,
Sicherheit bei Design und Nachweispflichten
• StGB § 203
• E-Health-Gesetz -> https://www.bundesgesundheitsministerium.de/service/begriffe-von-
a-z/e/e-health-gesetz.html
• IT-Sicherheitsgesetz (ITSIG) -> Stand der Technik
(https://www.teletrust.de/fileadmin/docs/fachgruppen/ag-stand-der-technik/TeleTrusT-
Handreichung_Stand_der_Technik.pdf)
• Am 25.05.2017 sind die neuen EU-Verordnungen zu Medizinprodukten [(EU) 2017/745]
und In-vitro-Diagnostika [(EU) 2017/746 in Kraft getreten.
Der Geltungsbeginn der Verordnungen ist - von einzelnen Vorschriften abgesehen - der
26.05.2020 für Medizinprodukte und der 26.05.2022 für In-vitro-Diagnostika.
Übergangsregelungen für Medizinprodukte sind in Artikel 120 sowie das Inkrafttreten und
Geltungsbeginn in Artikel 123 beschrieben. Für In-vitro-Diagnostika gelten die
korrespondierenden Artikel 110 und 113.
Bis zum Geltungsbeginn gilt das Medizinproduktegesetz fort.

4. 4 / 29 23. März 2018| eHealth in der IT
eHealth
Wo entfalten diese Regularien bei ihren IT Systeme Ihre
Wirkung ?
Produkte Menschen Prozesse
• Im HW/SW
Entwicklungsprozess
• Betrieb und Nutzung
der Produkte durch Ihr
Team
• Bei der IT Beschaffung
• Anforderungen an die
Produkte
• Schulungen und
Nachweise derselben
• Anforderungen an die
Anbieter
• Im IT Lebenszyklus
dieser Komponenten
• „(Selbst-) Ver-
pflichtungserkärungen
Ihres Team und
Nachweise
• Entsorgung
• Nachweise

5. 5 / 29 23. März 2018| eHealth in der IT
eHealth
Wo liegen die großen Veränderungen ?
• IT Sicherheit muß mindestens Stand der Technik entsprechen -> mindestens stammt von
mir, da dies bei Cyber Angriffen nicht gilt, die nutzen auch auf der dunklen Seite der
Macht nur Stand der Technik -> Irrtum: Stand der Technik und Forschung -> beispielhaft
Meltdown und Spectre
• Nachweise und periodische/monatliche Überprüfung der angemessenen IT Sicherheit
und Belastbarkeit (Penetrations Tests, Schwachstellen Überprüfungen)
• Anbindung an die Gesundheitsakte/Patientenakte (ist im Internet…)
• Datenschutz: Das Recht auf Vergessen, Sicherheit bei Design
• Patchen muß innerhalb von 4 Stunden bei den produktiven Systemen mit
Servicewiederherstellung möglich sein -> dies praktisch, das muss daher automatisiert
erfolgen
• Dokumentation, Dokumentation und nochmals Dokumentation (siehe auch MDR)
• Verantwortung kann praktisch nicht mehr outgesourct werden …

6. 6 / 29 23. März 2018| eHealth in der IT
MDR – Grundlegende Anforderun an die SW
Grundlegende Anforderungen der
Medical Device Regulation (MDR) an Software:
• Kompatibilität
• Interoperabilität
• IT-Sicherheit
• Mobile Plattformen

7. 7 / 29 23. März 2018| eHealth in der IT
Medical Device Regulation MDR -
Medizinprodukteverordnung (Stand 2018)
Medical Device Regulation (MDR) - Doku
Was die MDR in der technischen Dokumentation bezüglich Software fordert:
• Software Design
• Software-Entwicklungsprozess
• Software-Verifizierung
• Software-Validierung (jetzt im engeren Sinn)
• Weitere Tests (in der Firma und in einer simulierten oder echten
Gebrauchsumgebung)
• Informationen zur Laufzeitumgebung wie unterschiedliche Hardware-
Konfigurationen, Betriebssysteme usw.

8. 8 / 29 23. März 2018| eHealth in der IT
MDR – Definition Interoperabilität
MDR - Definition Interoperabilität
Fähigkeit von zwei oder mehr Geräten, einschließlich Software, vom gleichen oder von
unterschiedlichen Herstellern
• Informationen auszutauschen und die ausgetauschte Information für die
korrekte Ausführung einer spezifizierten Funktion zu nutzen, ohne den Inhalt der
Daten zu verändern oder/und
• untereinander zu kommunizieren oder/und
• wie spezifiziert zusammen zu arbeiten.

9. 9 / 29 23. März 2018| eHealth in der IT
MDR – Ebenen der Interoperabilität
MDR – Ebenen der Interoperabilität
Ebene Aufgabe Typische Standards
Organisatorische Ebene Systemübergreifende
Prozesse, Rollen,
Berechtigungen ermöglichen
Hier gibt es wenige
Semantische Ebene Einheitliches Verständnis der
Informationseinheiten
erlangen
Klassifikationssysteme wie
ICD, LOINC, ATC.
Wertetabellen in HL7 und
DICOM
Strukturelle Ebene Daten von einem zum
anderen System bringen
Alle Protokolle des OSI-
Schichtenmodells wie TCP/IP,
(S)FTP, HTTP(S) usw. Datei
und Netzprotokolle

10. 10 / 29 23. März 2018| eHealth in der IT
Veranschaulichung
eHealth - heute

11. 11 / 29 23. März 2018| eHealth in der IT
Veranschaulichung
eHealth - zukünftig

12. 12 / 29 23. März 2018| eHealth in der IT
eHealth - Zusammenfassung
Management Summary
Anbieter, Betreiber sind jetzt in der Pflicht

13. 13 / 29 23. März 2018| eHealth in der IT
Questions?
• Herausforderungen 2018
• Wo entfalten diese Regularien bei ihren IT Systeme Ihre
Wirkung?
• Wo liegen die großen Veränderungen?
• Grundlegende Anforderungen der MDR an Software
• Medical Device Regulation MDR
• eHealth - heute - zukünftig
• Management Summary

14. 14 / 29 23. März 2018| eHealth in der IT
Unsere Partnerschaften

15. 15 / 29 23. März 2018| eHealth in der IT
Thank you!
Company Blog: Gronau IT Cloud Computing Blog

16. 16 / 29 23. März 2018| eHealth in der IT
Backup

17. 17 / 29 23. März 2018| eHealth in der IT
Why is security so important?
Why is security so important? Spectre
CVE-2017-5753 and CVE-2017-5715 aka Spectre
CVE-2017-5753
Systems with microprocessors utilizing speculative
execution and branch prediction may allow unauthorized
disclosure of information to an attacker with local user
access via a side-channel analysis.
CVE-2017-0571
An elevation of privilege vulnerability in the Broadcom Wi-
Fi
driver could enable a local malicious application to execute
arbitrary code within the context of the kernel. This issue is
rated as High because it first requires compromising a
privileged process. Product: Android. Versions: Kernel-
3.10,
Kernel-3.18. Android ID: A-34203305. References:

18. 18 / 29 23. März 2018| eHealth in der IT
Why is security so important?
Why is security so important? Meltdown
CVE-2017-5754 aka Meltdown
Systems with microprocessors utilizing speculative
execution and indirect branch prediction may allow
unauthorized disclosure of information to an attacker
with
local user access via a side-channel analysis of the data
cache.

19. 19 / 29 23. März 2018| eHealth in der IT
Why is security so important?
Why is security so important? Ghost
CVE-2015-0235 aka GHOST
“GHOST is a buffer overflow bug affecting the
gethostbyname() and gethostbyname2() function calls in
the glibc library. This vulnerability allows a remote
attacker
that is able to make an application call to either of these
functions to execute arbitrary code.”

20. 20 / 29 23. März 2018| eHealth in der IT
Why is security so important?
Why is security so important? Heartbleed
CVE-2014-0116 aka Heartbleed
“The TLS and DTLS implementations in OpenSSL do
not
properly handle Heartbeat Extension packets, which
allows
remote attackers to obtain sensitive information from
process memory via crafted packets that trigger a buffer
over-read.”

21. 21 / 29 23. März 2018| eHealth in der IT
Medizinprodukterecht – Links - Gesetze
Gesetze
• Gesetz über Medizinprodukte - MPG
(vom 7. August 2002, zuletzt geändert 7. August 2013)
• Gesetz zur Änderung medizinprodukterechtlicher Vorschriften (PDF, 140 kB)
(vom 29. Juli 2009)
• Gesetz zur Änderung medizinprodukterechtlicher und anderer Vorschriften (PDF, 17 MB)
(vom 14. Juni 2007)
• Zweites Gesetz zur Änderung des Medizinproduktegesetzes (PDF, 103 kB)
(vom 13. Dezember 2001)
• MDR: Deutsch (HTML) original
• Deutsch verlinktes Dokument
• Deutsch (PDF)
• Englisch (HTML)
• Englisch (PDF)

22. 22 / 29 23. März 2018| eHealth in der IT
Medizinprodukterecht – Links - Gesetze
Verordnungen/Verwaltungsvorschrift
Verordnung über die Abgabe von Medizinprodukten und zur Änderung medizinprodukterechtlicher Vorschriften (MPAV)
(früher MPVertrV und MPVerschrV) (vom 25. Juli 2014)
Allgemeine Verwaltungsvorschrift zur Durchführung des Medizinproduktegesetzes (Medizinprodukte-
Durchführungsvorschrift - MPGVwV) (PDF, 29 kB)
(vom 18. Mai 2012)
Verordnung über klinische Prüfungen von Medizinprodukten und zur Änderung medizinprodukterechtlicher Vorschriften
(vom 10. Mai 2010, zuletzt geändert 25. Juli 2014)
Erste Verordnung zur Änderung der DIMDI-Verordnung (PDF, 613 kB)
(vom 10. Mai 2010)
DIMDI-Verordnung - DIMDIV
Verordnung über das datenbankgestützte Informationssystem über Medizinprodukte des Deutschen Instituts für
Medizinische Dokumentation und Information (vom 4. Dezember 2002, zuletzt geändert 25. Juli 2014)
Verordnung zur Änderung medizinprodukterechtlicher Vorschriften (PDF, 43 kB)
(vom 16. Februar 2007)
Verordnung über Medizinprodukte - MPV
(vom 20. Dezember 2001, zuletzt geändert 10. Mai 2010)
Medizinprodukte-Betreiberverordnung - MPBetreibV
Verordnung über das Errichten, Betreiben und Anwenden von Medizinprodukten, (vom 21. August 2002, zuletzt geändert
1. August 2017)
Spezifikation der Anlage 1 der MPBetreibV
Medizinprodukte-Sicherheitsplanverordnung - MPSV
Verordnung über die Erfassung, Bewertung und Abwehr von Risiken bei Medizinprodukten, (vom 24. Juni 2002, zuletzt
geändert 27. September 2016)
Gebührenverordnung zum Medizinproduktegesetz
und den zu seiner Durchführung ergangenen Rechtsverordnungen, (vom 27. März 2002, zuletzt geändert 10. Mai 2010)

23. 23 / 29 23. März 2018| eHealth in der IT
Medizinprodukterecht – Links - Gesetze
Bekanntmachungen
Bekanntmachung gemäß § 2 Abs. 3 der DIMDI-Verordnung zu den Modalitäten der Durchführung der
Anzeigen nach §§ 20, 24, 25 und 30 des Medizinproduktegesetzes, (vom 23. Juni 2003)
Bekanntmachung der Erreichbarkeit der zuständigen Behörden der Länder zur Meldung von Risiken aus
Medizinprodukten außerhalb der Dienstzeit gemäß § 18 der Medizinprodukte-Sicherheitsplanverordnung
(MPSV) sowie der zuständigen Dienststelle der Bundeswehr und der Erreichbarkeit der zuständigen
Bundesoberbehörden gemäß § 7 MPSV, (vom 1. März 2006)
Bekanntmachung gemäß § 7 und § 18 der Medizinprodukte-Sicherheitsplanverordnung
(vom 28. Juni 2002, zuletzt geändert 1. März 2006)
Bekanntmachung der zuständigen Behörden der Länder und der für den Bereich der Bundeswehr (PDF,
19 kB) zuständigen Stelle für die Anzeigen von klinischen Prüfungen nach § 20 Abs. 6 des
Medizinproduktegesetzes und Leistungsbewertungsprüfungen nach § 24 Abs.2 des
Medizinproduktegesetzes, (vom 6. November 2002)
zu den Adressen der zuständigen Länderbehörden »

24. 24 / 29 23. März 2018| eHealth in der IT
Medizinprodukterecht – Links - Gesetze
Bekanntmachungen
Bekanntmachung gemäß § 2 Abs. 3 der DIMDI-Verordnung zu den Modalitäten der Durchführung der
Anzeigen nach §§ 20, 24, 25 und 30 des Medizinproduktegesetzes, (vom 23. Juni 2003)
Bekanntmachung der Erreichbarkeit der zuständigen Behörden der Länder zur Meldung von Risiken aus
Medizinprodukten außerhalb der Dienstzeit gemäß § 18 der Medizinprodukte-Sicherheitsplanverordnung
(MPSV) sowie der zuständigen Dienststelle der Bundeswehr und der Erreichbarkeit der zuständigen
Bundesoberbehörden gemäß § 7 MPSV, (vom 1. März 2006)
Bekanntmachung gemäß § 7 und § 18 der Medizinprodukte-Sicherheitsplanverordnung
(vom 28. Juni 2002, zuletzt geändert 1. März 2006)
Bekanntmachung der zuständigen Behörden der Länder und der für den Bereich der Bundeswehr (PDF,
19 kB) zuständigen Stelle für die Anzeigen von klinischen Prüfungen nach § 20 Abs. 6 des
Medizinproduktegesetzes und Leistungsbewertungsprüfungen nach § 24 Abs.2 des
Medizinproduktegesetzes, (vom 6. November 2002)
zu den Adressen der zuständigen Länderbehörden »

25. 25 / 29 23. März 2018| eHealth in der IT
Medizinprodukterecht – Links - Gesetze
Empfehlungen zu messtechnischen Kontrollen
Leitfaden zu messtechnischen Kontrollen von Medizinprodukten mit Messfunktion (LMKM) (PDF, 2,5 MB)

26. 26 / 29 23. März 2018| eHealth in der IT
Medizinprodukterecht – Links - Gesetze
Europäische Richtlinien und Verordnungen
EUR-Lex bietet einen Zugang zu den Rechtsvorschriften der Europäischen Union. Über das System können das Amtsblatt der
Europäischen Union sowie insbesondere die Verträge, die Rechtsetzungsakte, die Rechtsprechung und die vorbereitenden Rechtsakte
konsultiert werden.
Verordnung (EU) 2017/745 (PDF, 1,6 MB)
über Medizinprodukte
Verordnung (EU) 2017/746 (PDF, 1,5 MB)
über in-vitro Diagnostika und zur Aufhebung der Richtlinie 98/79/EG und des Beschlusses 2010/227/EU der Kommission vom 5. April
2017
Richtlinie 2007/47/EG
des Europäischen Parlaments und des Rates vom 5. September 2007 zur Änderung der Richtlinien 90/385/EWG des Rates zur
Angleichung der Rechtsvorschriften der Mitgliedstaaten über aktive implantierbare medizinische Geräte und 93/42/EWG des Rates über
Medizinprodukte
Richtlinie 93/42/EWG
des Rates vom 14. Juni 1993 über Medizinprodukte
Konsolidierte Fassung der Richtlinie 93/42/EWG (PDF, 279 kB)
Richtlinie 2000/70/EG
des Europäischen Parlaments und des Rates vom 16. November 2000 zur Änderung der Richtlinie 93/42/EWG des Rates hinsichtlich
Medizinprodukten, die stabile Derivate aus menschlichem Blut oder Blutplasma enthalten
Richtlinie 2001/104/EG (PDF, 95 kB)
des Europäischen Parlaments und des Rates vom 7. Dezember 2001 zur Änderung der Richtlinie 93/42/EWG des Rates über
Medizinprodukte
Richtlinie 2003/32/EG (PDF, 125 kB)
der Kommission vom 23. April 2003 mit genauen Spezifikationen bezüglich der in der Richtlinie 93/42/EWG des Rates festgelegten
Anforderungen an unter Verwendung von Gewebe tierischen Ursprungs hergestellte Medizinprodukte
Richtlinie 90/385/EWG
des Rates vom 20. Juni 1990 zur Angleichung der Rechtsvorschriften der Mitgliedstaaten über aktive implantierbare medizinische Geräte
Konsolidierte Fassung der Richtlinie 90/385/EWG (PDF, 180 kB)
Richtlinie 98/79/EG (PDF, 308 kB)
des Europäischen Parlaments und des Rates vom 27. Oktober 1998 über In-vitro-Diagnostika

27. 27 / 29 23. März 2018| eHealth in der IT
Medizinprodukterecht – Links - Gesetze
EUR-Lex
EUR-Lex Homepage
Amtsblatt der Europäischen Union

28. 28 / 29 23. März 2018| eHealth in der IT
Medizinprodukterecht – Links - Gesetze
Leitlinien und Normen
Europäische Kommission - Growth - Medizinprodukte
Guidance MEDDEVs - Guidelines relating to medical devices Directives
New Approach - Directive and Standards
Harmonisierte Normen zur Medizinprodukterichtlinie 93/42/EWG (Beuth Verlag GmbH)

29. 29 / 29 23. März 2018| eHealth in der IT
eHealth in der IT
Gronau IT Cloud Computing GmbH
Potsdamer Platz 10 Haus 2, 5.OG
D 10785 Berlin
Telefon +49 30 300 11 48 18
E-Mail: Kontakt@gronau-it-cloud-computing.de
Web: https://www.gronau-it-cloud-computing.de
Motto: The most dangerous phrase in the language is, "We've always done it this way." - Grace Hopper
Nehmen Sie mit uns Kontakt auf und wir werden Sie dabei unterstützen!