Verantwortung schon bei kleinen Änderungen

Medizin-Informatik und Medizin-Technik waren in den meisten Krankenhäusern bisher getrennte Welten. Die Medizin-Informatik beschäftigte sich mit administrativen Systemen zur Patientenverwaltung und Abrechnung und betreute die Krankenhaus-Informationssysteme, die medizinische Leistungen dokumentieren. Die Medizin-Technik hingegen kümmerte sich um die Medizingeräte, vom Fieberthermometer bis zum Computer-Tomographen.

Seit Software innovative Funktionen ermöglicht, sind Medizingeräte aber an die IT-Netzwerke im Krankenhaus angeschlossen und tauschen Daten mit diesen aus. Und auch die IT-Systeme sind in Bewegung: Sie übernehmen häufig Funktionen, die vormals Medizinprodukten vorbehalten waren. So prüft Software, bevor ein Medikament verordnet wird, auf mögliche Nebenwirkungen oder bereitet die Verläufe von Vitalparametern so auf, dass Diagnosen erstellt werden können.

Für die Hersteller und Betreiber von software-getriebenen Systemen im Krankenhaus ergeben sich daraus zwei spannende Herausforderungen. Erstens fallen unter das Medizinprodukte-Gesetz durch Änderungen der gesetzlichen Grundlagen nun auch die Software-Systeme, die Funktionen für die Diagnose und Überwachung von Patientendaten bereitstellen. Vor allem die Novellierung des Medizinprodukte-Gesetzes vom 19.06.2009 ist hier zu nennen. Software, die als Medizinprodukt gilt, darf demnach nur innerhalb enger Grenzen konfiguriert und angepasst werden. Wird die Software im Krankenhaus stärker modifiziert, verliert dieses seinen Status als Betreiber und wird selbst zum Hersteller – mit allen sich daraus ergebenden Verpflichtungen. Der Betrieb einer Software, die als Medizinprodukt eingestuft wird, darf darüber hinaus nur auf einer validierten Plattform erfolgen. Das schnelle Update eines Virenscanners beispielsweise ist ohne Einbeziehen des Herstellers nicht mehr einfach möglich. Anwender und Betreiber müssen auch, wie es für Medizingeräte schon lange selbstverständlich ist, geschult werden und im Zweifelsfall nachweisen können, dass sie fachkundig mit der Software umgegangen sind.

Zweitens müssen die Systeme reibungsfrei miteinander kommunizieren können. Dafür sind spezifizierte Schnittstellen und Kommunikationsstandards wie beispielsweise HL7 oder DICOM notwendig, die von allen Geräten eingehalten werden. In der Praxis macht aber die Integration unterschiedlicher Systeme erhebliche Probleme, auch wenn die Schnittstellen formal unterstützt werden. Lokale Anpassungen, mit denen Probleme häufig umgangen werden sollten, sind nun aber durch das Medizinprodukte-Gesetz und entsprechende Vorschriften erschwert.

Ein weiterer Stolperstein beim Zusammenspiel von Medizintechnik und IT sind die Risiken, die bei der Vernetzung von Medizinprodukten und IT-Systemen entstehen. Wenn Probleme erst durch die Verbindung von Produkten auftreten, ist die Verantwortung für die Fehlfunktion oft nicht klar. Letztlich steht das Krankenhaus als Betreiber in der Pflicht, die Risiken bei der Vernetzung zu erkennen und zu beherrschen. Die Norm ISO 80001 – „Anwendung des Risikomanagements auf IT-Systeme, die Medizingeräte beinhalten“ befindet sich zur Zeit in der Abstimmungsphase und soll laut Planung der ISO bis zum Herbst 2011 verabschiedet werden. Sie soll detaillierte Handlungsanweisungen an die Hersteller und Betreiber von vernetzten Medizinprodukten enthalten.

Die Einhaltung der Normen, die Definition der Prozesse und die Audits, mit denen die Konformität der Software nachgewiesen werden muss, erhöhen aber den Aufwand für die Entwicklung medizinischer Software. Dies macht sich bei den Beschaffungskosten der Software ebenso bemerkbar wie bei der Wirtschaftlichkeit von Eigenentwicklung im Krankenhaus. Hersteller und Betreiber müssen sich auf diese veränderte Situation einstellen, um die notwendige Infrastruktur im klinischen Alltag sicher und gesetzeskonform bereitzustellen. Die Auseinandersetzung mit den Normen und die Einführung eines Risikomanagements auch für IT-Systeme sind dazu ein erster Schritt.

Matthias Holzer-Klüpfel Principal Consultant für den Bereich Medizintechnik bei Method Park, Erlangen

Wer Software herstellt, die als Medizinprodukt eingestuft wird, muss über das Medizinprodukte-Gesetz hinaus einige harmonisierte Normen beachten.

Gerade die Norm IEC 62304 gilt es zu betrachten, denn sie enthält Forderungen für die wichtigsten Prozesse, die bei der Software-Entwicklung eingehalten werden müssen: Neben dem eigentlichen Entwicklungsprozess werden auch die Software-Wartung und das Risikomanagement für Software betrachtet. Hinzu kommen unterstützende Prozesse wie das Konfigurationsmanagement und die Software-Problemlösung.

Die Umsetzung dieser Anforderungen überlässt die Norm dem Hersteller. Er muss eine Vorgehensweise definieren und umsetzen, mit der er die Forderungen der Norm nachweislich erfüllt. Damit soll sichergestellt werden, dass seine Software Patienten oder Benutzer nicht in unvertretbarer Weise gefährdet.

Zur wichtigen Frage der Schnittstellen zu den Krankenhausnetzen äußern sich jedoch weder Norm noch gesetzliche Regelungen. Hier sind die Hersteller allein gefragt, auf deren Bemühen sich die Krankenhäuser als Betreiber verlassen müssen.