Was ist bei Sicherheitsvorfällen und meldepflichtigen Vorkommnissen zu tun?

Patientenschutz und Beweissicherung zuerst

Bei einer Fehlfunktion, falschen Softwareausgabe, Cyberattacke oder ausgefallenen Schnittstelle muss zuerst weiterer Schaden verhindert werden. Das kann eine sichere Abschaltung, Isolation eines Dienstes, Rückkehr zu einem validierten Verfahren oder Information betroffener Betreiber erfordern. Gleichzeitig sind Softwareversion, Konfiguration, Logs, Eingabedaten, Zeitpunkte und bereits vorgenommene Änderungen manipulationsgeschützt zu sichern. Eine ungeprüfte Neuinstallation kann wichtige Nachweise vernichten.

Parallel erfolgt die regulatorische Triage. Artikel 2 Nummer 64 MDR definiert ein Vorkommnis unter anderem als Fehlfunktion oder Leistungsverschlechterung, ergonomisch bedingten Anwendungsfehler, unzureichende Herstellerinformation oder unerwünschte Nebenwirkung. Nach Nummer 65 ist es schwerwiegend, wenn Tod, vorübergehende oder dauerhafte schwerwiegende Gesundheitsverschlechterung oder eine schwerwiegende Gefahr für die öffentliche Gesundheit eingetreten ist, hätte eintreten können oder eintreten könnte. Auch ein „Beinahe-Ereignis“ ohne tatsächlichen Schaden kann deshalb meldepflichtig sein.

Fristen nach Artikel 87 MDR

Hersteller melden nach Kenntniserlangung unverzüglich und spätestens:

• innerhalb von 15 Kalendertagen bei sonstigen schwerwiegenden Vorkommnissen,
• innerhalb von 10 Kalendertagen bei Tod oder unerwarteter schwerwiegender Verschlechterung des Gesundheitszustands,
• innerhalb von 2 Kalendertagen bei einer schwerwiegenden Gefahr für die öffentliche Gesundheit.

MDCG 2023-3 Rev. 2 erläutert Begriffe, Awareness Date und Fristberechnung. Besteht Unsicherheit, soll die Untersuchung die Meldung nicht verzögern: Eine fristgerechte Erstmeldung kann zunächst unvollständig sein und durch Folgeberichte ergänzt werden. Für Deutschland stellt das BfArM den aktuellen Meldeweg für Hersteller und Bevollmächtigte bereit; Zuständigkeiten können bei bestimmten IVD auch beim Paul-Ehrlich-Institut liegen.

Untersuchung, Korrektur und Kommunikation

Ein Incident-Team sollte regulatorische, klinische, technische, Datenschutz- und Kommunikationsrollen benennen. Die Untersuchung betrachtet Ursache, betroffene Versionen und Installationen, Eintrittswahrscheinlichkeit, mögliche klinische Folgen und die Frage, ob das Ereignis systematisch auftreten kann. Erkenntnisse fließen in Risikoakte, Cybersecurity-Bewertung, klinische Bewertung und Post-Market Surveillance zurück.

Erfordert die Risikoreduktion eine Sicherheitskorrekturmaßnahme im Feld, gelten zusätzlich Artikel 87 Absatz 1(b) und Absatz 8 sowie Artikel 89 MDR. Maßnahme, Behördenkommunikation und Sicherheitsinformation an Kunden müssen abgestimmt, nachvollziehbar und wirksamkeitsgeprüft sein. Technische Fehlerbehebung, CAPA und regulatorische Meldung sind drei verbundene, aber unterschiedliche Arbeitspakete.

Die konkrete Meldepflicht hängt von Produkt, Rolle, Ereignis und Land ab. Interne Eskalationswege sollten deshalb deutlich kürzer als die gesetzlichen Höchstfristen sein und zuständige Fachpersonen beziehungsweise Behörden früh einbeziehen.