Annonce – sponsoreret indhold.
Cybersikkerhed i genoptræningsudstyr bliver et juridisk spørgsmål, når klinikken ikke kun bruger udstyret, men også tilpasser det, sætter eget navn på det eller sælger det videre til patienter. Så kan EU’s Cyber Resilience Act (CRA) gælde for klinikken som producent, importør eller distributør. Almindelig brug af færdigt udstyr i egne behandlinger gør ikke klinikken til producent. Medicinsk udstyr med CE-mærkning efter medicinsk udstyrsforordning (MDR) er desuden som udgangspunkt undtaget fra CRA. Grænsen er dog smallere, end mange tror, og derfor gennemgår artiklen her, hvad reglerne kræver, og hvordan du afklarer klinikkens situation.
Cybersikkerhed i genoptræningsudstyr: Hvad CRA er, og hvilket udstyr der rammes
Cyber Resilience Act er EU-forordning 2024/2847. Den stiller cybersikkerhedskrav til produkter med digitale elementer, altså hardware og software, der kan forbindes til andre enheder eller netværk. Kravene gælder produktet, udviklingsprocessen og dokumentationen. Indberetningspligten for aktivt udnyttede sårbarheder gælder fra september 2026, og hovedparten af de øvrige krav gælder fra december 2027.
I en fysioterapiklinik er det typisk disse produkttyper, der kan komme i spil:
- Hjemmetræningsapps med brugerlogin, videoøvelser, patientdata og kommunikation mellem patient og behandler.
- Bevægelsessensorer og wearables, der sender data via Bluetooth eller wifi, fx til at måle ledvinkler eller træningsmængde.
- Smarte træningsenheder som netforbundne styrkemaskiner, balanceplatforme og biofeedback-udstyr.
- Gateways og portaler, hvor klinikken samler data fra flere enheder.
Hvis produktet er medicinsk udstyr med CE-mærkning efter MDR, følger cybersikkerhedskravene af den forordning. Ved sådanne produkter er Lægemiddelstyrelsen relevant at kontakte. Fitness- og wellnessprodukter og klinikkens egne digitale løsninger uden medicinsk formål ligger i en gråzone, som man bør vurdere konkret.
Dokumentationskravene: sikker udvikling, sårbarhedshåndtering og vejledninger
Når kravene første gang rammer en klinik, er en CRA gapanalyse et godt første skridt. Den kortlægger produkter, softwarekomponenter og roller i værdikæden og viser, hvor klinikken står i dag, før der bruges penge på tiltag. Kravene falder i tre grupper.
Sikker udvikling
Produktet skal være designet med cybersikkerhed fra start (secure by design). I praksis betyder det en dokumenteret risikovurdering, sikre standardindstillinger og beskyttelse af personoplysninger og sundhedsdata. Producenten skal kunne vise, hvordan sikkerheden indgår i udviklingsprocessen. Derudover skal producenten føre en SBOM, en softwarestykliste over alle komponenter og biblioteker i produktet.
Sårbarhedshåndtering
Producenten skal have en proces til at modtage, vurdere og rette sårbarheder, herunder et kontaktpunkt hvor andre kan melde fejl. Sikkerhedsopdateringer skal leveres i hele supportperioden, som typisk er mindst fem år, medmindre produktet forventes brugt kortere tid. Aktivt udnyttede sårbarheder skal indberettes til myndighederne inden for korte frister.
Brugervejledninger og teknisk dokumentation
Brugeren skal have klar information om produktets sikkerhedsegenskaber, om hvordan det tages i brug og opdateres sikkert, og hvordan supportperioden er fastsat. Bagved ligger en teknisk dokumentation og en EU-overensstemmelseserklæring, før produktet CE-mærkes. Det er her, mange klinikker undervurderer arbejdet, hvis de selv står som producent.
Sådan finder klinikken ud af, om den er omfattet
Svaret afhænger af klinikkens rolle, ikke kun af udstyret. Gennemgå disse fem trin i rækkefølge:
- Kortlæg alt digitalt udstyr. Skriv apps, sensorer, netforbundne maskiner og tilhørende software ned med leverandør og version. Mange klinikker opdager her udstyr, som ingen ejer ansvaret for.
- Afklar, om produktet er medicinsk udstyr. Tjek leverandørens CE-mærkning og klassificering. Er produktet CE-mærket efter MDR, er det som udgangspunkt MDR og ikke CRA, der sætter rammen. Er det uklart, så spørg leverandøren skriftligt.
- Afklar klinikkens rolle. Bruger klinikken kun udstyret i egne behandlinger, er den slutbruger. Udleverer eller sælger den udstyret til patienter, kan den være distributør. Sætter den eget navn eller varemærke på produktet, eller ændrer den det væsentligt, kan den blive betragtet som producent. Importerer den udstyr fra lande uden for EU, kan den være importør.
- Kortlæg softwarekomponenterne. Har klinikken bestilt en app, eller har den bygget videre på en open source-løsning, skal det være klart, hvem der vedligeholder koden, og hvordan sårbarheder rettes.
- Få en uafhængig vurdering. CRA indeholder mange undtagelser og definitioner, og en forkert vurdering kan blive dyr. Rådgivning fra en specialist i cybersikkerhed og compliance giver et mere sikkert grundlag end et gæt. Myndigheder som EU-Kommissionen, ENISA og Center for Cybersikkerhed offentliggør vejledning, der kan supplere.
Tjekliste: Advarselstegn på, at klinikkens udstyr kan være omfattet
Svarer du ja til et eller flere af punkterne, bør du undersøge sagen nærmere med det samme:
- Klinikken sælger eller udlåner digitalt udstyr til patienter, fx sensorer til hjemmetræning, og tager sig betalt for det eller gør det som en del af et tilbud.
- Udstyret eller appen bærer klinikkens navn eller logo, selvom den er udviklet af en anden.
- Klinikken har ladet en udvikler bygge en app eller en integration til egne patienter uden skriftlig aftale om sikkerhedsopdateringer.
- Klinikken har ændret i udstyrets software eller opsætning, så funktionerne afviger fra leverandørens oprindelige produkt.
- Udstyret er købt direkte fra en producent uden for EU, og klinikken står som køber og videresælger.
- Leverandøren kan ikke svare på, hvordan sårbarheder håndteres, hvor længe der leveres opdateringer, eller om der findes en SBOM.
- Ingen i klinikken ved, om udstyret er CE-mærket som medicinsk udstyr eller sælges som fitness- og wellnessprodukt.
- Udstyret indsamler patientdata og sender dem til en sky eller en tredjepart, uden at klinikken har overblik over datastrømmen.
Typiske fejl
Den hyppigste fejl er at antage, at ansvaret ligger hos leverandøren, uden at klinikken har ændret på rollen ved at rebrande eller videresælge. En anden er at forveksle databeskyttelse med produktsikkerhed: GDPR-compliance er nødvendig, men dækker ikke CRA’s krav til sårbarhedshåndtering og opdateringer. Endelig venter mange med at kigge på reglerne, til de træder i kraft, selvom dokumentationen tager tid at opbygge. Start med at få overblik over udstyr og roller, og tag derefter stilling til, om der er behov for professionel rådgivning.