Medizingeräte: FDA verlangt SBOM-Nachweise für vernetzte Geräte

Hersteller von Medizinprodukten sehen sich wachsenden behördlichen Anforderungen bei der Absicherung ihrer vernetzten Geräte gegenüber. Wie aus einem Branchenbericht vom 11. November 2026 hervorgeht, verlangen Aufsichtsbehörden zunehmend lückenlose Nachweise für die Cybersicherheit. Eine Schlüsselrolle nehmen dabei maschinenlesbare Software-Stücklisten ein, die im Englischen als Software Bill of Materials (SBOM) bezeichnet werden.

Strenge Vorgaben der US-Behörden

In den Vereinigten Staaten verpflichtet die Arzneimittelbehörde FDA Hersteller über den Paragrafen 524B zur Vorlage einer solchen SBOM für vernetzte Medizingeräte, sogenannte Cyber-Devices. Diese Übersicht muss sämtliche enthaltenen Software-Elemente abbilden – von kommerziellen Modulen über Open-Source-Bibliotheken bis hin zu handelsüblichen Off-the-Shelf-Komponenten.

Ergänzend definiert die Leitlinie der Behörde zur Cybersicherheit in Medizinprodukten fundamentale Prinzipien. Dazu zählen neben der Software-Stückliste die Umsetzung eines Sicherheitskonzepts nach dem Prinzip der Sicherheit durch Design (Secure-by-Design), ein funktionierendes Schwachstellenmanagement, koordinierte Offenlegungsverfahren sowie strukturierte Prozesse zur Reaktion auf Vorfälle.

Damit die Software-Inventare praxistauglich ausgewertet werden können, gewinnen standardisierte Datenformate an Relevanz. Spezifikationen wie SPDX und CycloneDX ermöglichen eine automatisierte Verarbeitung der Bestandslisten. Als maßgebliche Kriterien für entsprechende Sicherheitslösungen gelten unter anderem der Im- und Export nach den Standards SPDX 2.3 sowie CycloneDX 1.5 oder höher.

Ebenso gefordert werden die direkte Zuordnung bekannter Sicherheitslücken auf exakte Versionsstände, der Einsatz von VEX-Dokumenten zur Einschätzung der tatsächlichen Ausnutzbarkeit und Programmierschnittstellen zu Entwicklerplattformen wie Jira, Azure DevOps oder GitLab.

Wer sich mit der Absicherung vernetzter Systeme befasst, muss heute auch die komplexen rechtlichen Rahmenbedingungen für digitale Technologien im Blick behalten. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und Bedrohungen Unternehmer jetzt kennen müssen. KI-Gesetze und Cyberrisiken: Kostenlosen Report anfordern

Zudem spielen rollenbasierte Zugriffsberechtigungen sowie revisionssichere Protokolle mit Freigabeprozessen, Zeitstempeln und Firmware-Hashwerten eine zentrale Rolle bei Prüfungen.

Europäische Regulierung und Abgrenzung

Im europäischen Raum stellt sich das regulatorische Umfeld vielschichtig dar. Zwar trat der Cyber Resilience Act (CRA) bereits am 10. Dezember 2024 in Kraft, und seit dem 11. September 2026 gelten schrittweise Meldepflichten für aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle.

Allerdings nimmt Artikel 2 des CRA Medizinprodukte, die unter die europäische Medizinprodukteverordnung (MDR) oder die Verordnung über In-vitro-Diagnostika (IVDR) fallen, ausdrücklich von diesem Regelwerk aus.

Dennoch beeinflussen die europäischen Vorgaben für die übrige Industrie auch die Standards in vernetzten Systemen: Ab dem 11. Dezember 2027 greifen die vollständigen Pflichten des CRA für Produkte mit digitalen Elementen, flankiert von Bußgeldobergrenzen von bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes bei schweren Verstößen.

Angesichts immer strengerer EU-Vorgaben für digitale Produkte und Systeme stehen IT-Abteilungen unter wachsendem Dokumentationsdruck. Ein kostenloser Download verschafft Ihnen den Überblick über Fristen und Pflichten, den Ihre Rechts- und IT-Abteilung jetzt dringend braucht. EU-Regulierung in 5 Schritten verstehen – Gratis-Leitfaden

Defizite in der industriellen Lieferkette

Die lückenlose Absicherung und Erfassung von Softwarekomponenten über die gesamte Lieferkette stellt die Industrie vor spürbare Herausforderungen. Eine Untersuchung im Rahmen des IoT & OT Cybersecurity Report 2026 der Organisation ONEKEY unter 200 deutschen Industrieunternehmen veranschaulicht den aktuellen Stand bei vernetzten Geräten: Lediglich 25,8 Prozent der befragten Betriebe fordern Cybersicherheitskriterien konsequent und aktiv von ihren Zulieferern ein. Ein Drittel der Unternehmen tut dies nur teilweise, während 20,8 Prozent bisher gar keine derartigen Maßnahmen ergreifen.

Auf Seiten der Zulieferer zeichnet sich ein ähnliches Bild ab. Laut derselben Untersuchung setzen lediglich 17,5 Prozent der Lieferanten die Vorgaben konsequent um. Bei 44,2 Prozent erfolgt die Umsetzung nur lückenhaft, während 13,3 Prozent als kaum vorbereitet gelten. Zudem zeigt sich bei einem Viertel der befragten Hersteller, dass sie den tatsächlichen Konformitätsstatus ihrer Partner in der Lieferkette derzeit nicht einschätzen können.