Gesundheitswesen Compliance Softwareentwicklung

Sie umfassen die Arbeit, um ein Produkt an die geltenden Vorschriften anzupassen: die Datenschutzbestimmungen unter HIPAA oder GDPR für Patientendaten und die Regeln für Medizinprodukte unter der FDA oder der EU MDR, sobald Ihre Software einen klinischen Zweck erfüllt. Ein vollständiges Compliance-Programm für die Gesundheitsbranche erstreckt sich von der ersten Bewertung über das Risikobuch und die technischen Kontrollen bis hin zum Nachweispaket, das dahinter steht. Beratungsleistungen beschränken sich in der Regel auf die Empfehlung, und wir übernehmen die Umsetzung, sodass die Compliance-Experten, die ein Problem feststellen, mit den Ingenieuren zusammenarbeiten, die das Problem beheben.

Welche Compliance-Anforderungen gelten, hängt davon ab, was die Software tut. Wenn sie in den USA geschützte Gesundheitsdaten speichert oder überträgt, gelten die HIPAA- und HITECH-Gesetze, und alles, was mit EU-Reisenden in Kontakt kommt, unterliegt der DSGVO. Wenn die Software einen medizinischen Zweck hat, handelt es sich um ein Gerät, und dann gilt unter dem QMSR und IEC 21 CFR Part 820 für den Software-Lebenszyklus die 21 CFR-Abschnitt 820 sowie die ISO 14971 für das Risikomanagement im gesamten Prozess.

Der Verkauf in Europa unterliegt der EU-Verordnung MDR. Unternehmenskäufer verlangen in der Regel auch SOC 2 Type II oder HITRUST, obwohl diese beiden Normen weder eine gesetzliche Verpflichtung darstellen noch vor Vertragsabschluss in der Beschaffung berücksichtigt werden.

Die Einhaltung der medizinischen Gerätevorschriften ist die engere der beiden Kategorien. Sie umfasst die Anforderungen, die eine regulierte Medizin-Einrichtung und ihre Software erfüllen müssen: ein Qualitätsmanagementsystem nach ISO 13485 und ein Software-Lebenszyklus nach IEC 62304, mit einem aktuellen Risikobuch nach ISO 14971. Die breitere Kategorie umfasst Datenschutz- und Rückerstattungsbestimmungen sowie Pflichten, die für Organisationen in der gesamten Gesundheitsbranche gelten, wenn kein Gerät beteiligt ist. Viele Produkte fallen sowohl in diese als auch in die andere Kategorie, weshalb wir die regulatorischen und Einhaltungsarbeiten als ein Programm anstatt als zwei separate Programme abdecken.

Beginnen Sie mit der Klassifizierung, denn die Klassifizierung bestimmt Ihren Weg und die Beweismittel, die Sie vorlegen müssen. Danach wird die Arbeit in zwei Teile aufgeteilt: ein Qualitätsmanagementsystem gemäß Teil 820 in der aktuellen Fassung des QMSR sowie Kontrollen für Design und Entwicklung, die die Rückverfolgbarkeit zwischen den entsprechenden Anwendungsanforderungen, den Designinputs, den Ausgaben, den Risikoüberprüfungen sowie den Nachweis und die Validierung gewährleisten.

Die Software fügt die IEC 62304-Dokumentation bei jeder Sicherheitsklasse hinzu, in der Ihre Gefahrenanalyse resultiert, und ein angeschlossenes Gerät fügt einen Cybersicherheitsplan mit einer Software-Materialliste gemäß Abschnitt 524B hinzu. Verpassen Sie diese, kann die Einreichung abgelehnt werden, bevor jemand den klinischen Inhalt liest. Die eigentliche Einreichung ist meist eine Zusammenstellung, die viel einfacher ist, wenn die Beweislage vor der Fertigstellung des Produkts vorgelegt wurde.

Die HIPAA-Richtlinie gilt für versicherte Einrichtungen wie Anbieter und Krankenversicherungen sowie für die Geschäftspartner, die für diese Unternehmen geschützte Gesundheitsdaten verwalten. Die meisten Anbieter von Gesundheitstechnologie sind Geschäftspartner, was bedeutet, dass die Sicherheitsrichtlinie direkt auf Sie angewendet wird und eine unterzeichnete Vereinbarung mit einem Geschäftspartner Voraussetzung für die Geschäftsbeziehung ist.

Für ein Softwareteam bedeutet die Einhaltung der Gesundheitssoftware-Compliance die Kontrolle des Zugriffs, die Protokollierung von Audits, die Verschlüsselung während der Übertragung und im Ruhezustand sowie eine auf Anfrage erstellte Risikobewertung. Richtlinien und Verfahren gehören dazu, doch die Security Rule verlangt auch technische Kontrollen, die diese durchsetzen. Die Risikobewertung ist das, was die Leute überrascht, denn sie muss das System so beschreiben, wie es heute funktioniert.

Nein, und das ist wichtig zu klären. Zertifikate werden von einer Notifizierungsstelle oder einem akkreditierten Prüfer ausgestellt, und die Marktzulassung erfolgt über die FDA. Was wir tun können, ist die Zusammenstellung der Unterlagen zu optimieren und sicherzustellen, dass das Produkt, das dahintersteht, wie in der Dokumentation beschrieben funktioniert. Unsere eigene ISO 13485-Zertifizierung hilft Ihnen dabei, da Ihr Projekt innerhalb eines Qualitätsmanagementsystems abläuft, das bereits zertifiziert ist.

Bei einem bereits auf dem Markt erhältlichen Produkt mit einer Codebasis in einem vernünftigen Zustand dauert ein Programm zur Einhaltung der Datenschutzbestimmungen oder des SOC 2-Standards in der Regel drei bis sechs Monate, wobei der Großteil der Arbeit eher der Engineeringphase als der eigentlichen Programmierung zugeordnet ist. Ein erster Antrag bei der FDA für Software der Klasse II ist eine längere Strecke: In der Regel dauert es neun bis achtzehn Monate, nachdem das Projekt gestartet wurde. Was die Zahl an Zielen erreicht, bestimmt die Menge der Änderungen an der Architektur, um die Kontrollen zu unterstützen. Daher geben wir Ihnen nach der Bewertung ein Datum an, anstatt es vor der Bewertung zu nennen.

Die Verpflichtungen nach dem Markteinstieg scheinen nie wirklich zu enden. Man muss bei jeder Komponente in der Software-Materialliste nach neu entdeckten Fehlern suchen und die für die Sicherheit relevanten Fehler beheben, anschließend muss man Meldungen über Ereignisse melden, die die Meldungsschwelle in jedem Markt überschreiten, in dem man verkauft.

All dies hängt davon ab, dass die Patchierung sicher ist. Deshalb haben wir den Updatepfad richtig eingerichtet: signierte Images auf A/B-Partitionen, mit einer Überprüfung der Integrität vor dem Switch und einer Rollback-Testung auf Produktionshardware. Die Signierung von Schlüsseln erfolgt direkt im Hardware-Root of Trust, anstatt in einer Konfigurationsdatei. Die Überwachungsinformationen werden dann in die Risiko-Datei zurückgespielt, die Ihre Dokumentation stets aktuell hält, anstatt sie auf dem Datum der Genehmigung festzuhalten.

Ja, und das ist normalerweise der Grund, warum Teams uns kontaktieren. Unsere Beratungsleistungen im Bereich der Medizinproduktekonformität liegen in derselben Gesellschaft wie die Ingenieure, die die Firmware schreiben und die Cloud-Plattform dahinter entwickeln. Daher wird eine Feststellung eher zu einem Ticket als zu einer Meldung, die jemand für einen separaten Entwickler übersetzen muss.

Sie können auch einzelne Komponenten mitbringen. Einige Teams bringen uns nur für die Bewertung mit, andere für die IEC 62304-Dokumentation zu bereits existierender Software, und wir passen den Umfang entsprechend an.

In den Anfangsjahren outsourcen die meisten finanzierten Teams diese Aufgabe. Ein Teilbereichs-Compliance-Manager bietet Ihnen Compliance-Expertise, die bereits bei der Übermittlung und Inspektion eingesetzt wurde – ohne die Kosten einer festangestellten Position – und die Sie normalerweise durch die Einrichtung des Qualitätsmanagementsystems und die erste Übermittlung führt. Der Zeitpunkt, in dem diese Aufgabe intern durchgeführt wird, tritt in der Regel erst dann ein, wenn das Produkt auf den Markt gekommen ist und die Nachmarkttransparenz für ein internes Compliance-Team zu einer festen Aufgabe wird. Wir üben diese Aufgabe dann oft selbst aus und bleiben anschließend für die technische Umsetzung verantwortlich.

Es folgt der Form der Interventionsphase. Eine Gap-Analyse ist ein festes Projekt, das mehrere Wochen in Anspruch nimmt, während ein Sanierungsprogramm nach der Anzahl der zu durchgeführten Maßnahmen und der Dauer der Projektabwicklung berechnet wird. Als Nearshore-Partnerin bieten wir eine Mischrate, die deutlich unter derjenigen der großen Beratungsunternehmen liegt. Ein deutlich größeres Budget wird für die Implementierung eingesetzt, anstatt für die Berichterstattung, was ein vollständiges Sanierungsprogramm kostengünstiger macht als ein Beratungsengagement der gleichen Größe. Sobald das Projekt abgeschlossen ist, können wir eine konkrete Zahl nennen, da dies davon abhängt, wie viel bereits vorhanden ist.