{"id":3856029,"date":"2020-12-01T09:00:00","date_gmt":"2020-12-01T08:00:00","guid":{"rendered":"https:\/\/www.johner-institut.de\/blog\/?p=3856029"},"modified":"2024-05-24T12:50:06","modified_gmt":"2024-05-24T10:50:06","slug":"iso-27034","status":"publish","type":"post","link":"https:\/\/www.johner-institut.de\/blog\/iec-62304-medizinische-software\/iso-27034\/","title":{"rendered":"ISO 27034 zur Sicherheit von Anwendungen: Lesen = Zeitverschwendung?"},"content":{"rendered":"\n

Die ISO 27034 tr\u00e4gt den Titel Informationstechnik – IT Sicherheitsverfahren – Sicherheit von Anwendungen<\/em>. Sie wird u.a. im Leitfaden des BSI referenziert.<\/p>\n\n\n\n

Doch mancher Hersteller fragt sich: Muss ich auch noch diese Norm lesen? Muss ich damit rechnen, dass mein Auditor diese Norm (mit Verweis auf den Stand der Technik) einfordert?<\/p>\n\n\n\n

Lesen Sie diesen Artikel, bevor Sie diese Norm f\u00fcr teures Geld kaufen und Zeit f\u00fcr deren Studium aufwenden (es sind Hunderte von Seiten), und entscheiden Sie dann.<\/p>\n\n\n\n\n\n\n\n

1. ISO 27034: Weshalb Sie diese Norm \u00fcberhaupt in Betracht ziehen sollten<\/h2>\n\n\n\n

a) Weil mangelnde IT-Sicherheit Sch\u00e4den verursacht und Patienten gef\u00e4hrdet<\/h3>\n\n\n\n

J\u00e4hrlich traurige Rekorde zu Angriffen, neuer Schad-Software, gesch\u00e4digten Firmen und Patienten machen klar: Wir haben die IT-Sicherheit der meisten Anwendungen nicht im Griff.<\/p>\n\n\n\n

Eine Norm wie die ISO 27034 kann dabei helfen, Best Practices kennenzulernen und schlie\u00dflich auch anzuwenden, um die IT-Sicherheit der eigenen Produkte und Systeme zu verbessern.<\/p>\n\n\n\n

b) Weil IT-Sicherheit eine regulatorische Anforderung ist<\/h3>\n\n\n\n

Die Anzahl der regulatorischen Anforderungen mit Bezug zur IT-Sicherheit und zum Datenschutz explodiert geradezu. Zu diesen Anforderungen z\u00e4hlen zum einen branchenunabh\u00e4ngige Vorschriften, z.B. die NIS Richtlinie (Directive on security of network and information systems)<\/a> und die Datenschutzgrundverordnung (DSGVO)<\/a>, zum anderen branchenspezifische Regulierungen.<\/p>\n\n\n\n

Bei Medizinprodukten stellen die EU-Medizinprodukteverordnungen (MDR<\/a>, IVDR<\/a>) ebenso Anforderungen an die IT-Sicherheit wie die deutsche Verordnung f\u00fcr digitale Gesundheitsanwendungen (DiGAV)<\/a>.<\/p>\n\n\n\n

\n
\n <\/i> Weiterf\u00fchrende Informationen\n <\/div>\n

Sie finden hier eine \u00dcbersicht \u00fcber die regulatorischen Anforderungen an die IT-Sicherheit von Medizinprodukten bzw. f\u00fcr das Gesundheitswesen<\/a>.<\/p>\n<\/div>\n\n\n\n

c) Weil Sie den Stand der Technik nicht nur im Audit kennen m\u00fcssen<\/h3>\n\n\n\n

Allerdings sind diese Gesetze und Verordnungen nicht in der Lage, dem technologischen Fortschritt in der Geschwindigkeit zu folgen, die notwendig w\u00e4re, um konkrete Vorgaben machen zu k\u00f6nnen. Daher fordern die Regularien, dass die Hersteller die IT Security ihrer Produkte nach Stand der Technik gew\u00e4hrleisten m\u00fcssen.<\/p>\n\n\n\n

Diesen Stand der Technik<\/a> beschreiben Normen. Dass die IEC 27034 dazu z\u00e4hlt, best\u00e4tigt auch das BSI in seinem Leitfaden zur Sicherheit von Medizinprodukten<\/a>.<\/p>\n\n\n\n

Als Hersteller oder Betreiber von Medizinprodukten sollten Sie im Audit<\/a> zumindest von der ISO 27034 geh\u00f6rt haben und es begr\u00fcnden k\u00f6nnen, wenn Sie diese Normenfamilie nicht angewendet haben.<\/p>\n\n\n\n

2. \u00dcbersicht \u00fcber die ISO 27034<\/h2>\n\n\n\n

a) An wen sich die ISO 27034 wendet<\/h3>\n\n\n\n

Die Normenfamilie wendet sich an eine sehr breite Leserschaft:<\/p>\n\n\n\n