KI-assistierte Regulatorik für Medizin und Cybersecurity (SEMECO-Q2)

Abstract

Im Rahmen des SEMECO-Q2 Projekts wurde ein integrierter methodischer Ansatz zur strukturierten Erfassung, Modellierung und Bewertung von Cybersecurity-Risiken in medizinischen Mikrosystemen entwickelt. Ziel war es, regulatorische Anforderungen, technische Systemaspekte und sicherheitsrelevantes Domänenwissen in einem konsistenten, formal auswertbaren Gesamtmodell zusammenzuführen. Zentraler Bestandteil der Arbeiten war die parallele Entwicklung eines regulatorischen Security-Workflows (Q2.1) und einer darauf abgestimmten Ontologiestruktur für strukturierte Nachweise (Q2.2). Durch die enge Abstimmung dieser beiden Komponenten entstand eine methodische Einheit, die regulatorische Prozesse, Terminologie und Nachweisartefakte konsistent abbildet und eine Grundlage für automatisierte Validierungs- und Schlussfolgerungsverfahren schafft. Das entwickelte Modell wurden im weiteren Projektverlauf systematisch erweitert und angewendet. Im Bereich der Standardisierung (Q2.3) wurden die Konzepte in ein geeignetes Format übersetzt und in nationale und internationale Gremien eingebracht. Parallel dazu erfolgte in Q2.4 eine umfassende Analyse regulatorischer Anforderungen sowie die Entwicklung von Angreifermodellen und praxisnahen Handlungsempfehlungen zur Integration von IT-Sicherheit in den Produktlebenszyklus. Mit der Entwicklung einer Workbench (Q2.5) wurde eine technische Grundlage geschaffen, um die im Projekt zusammengetragenen Anwendungsfälle strukturiert zu erfassen und nachvollziehbar zu visualisieren. Die Workbench ermöglicht insbesondere die getrennte, perspektivisch jedoch integrierbare Betrachtung von Safety- und Security-Risiken. Ein weiterer Schwerpunkt lag auf der Nutzung realer Daten aus der Marktüberwachung (Q2.6). Hier wurden Methoden zur Analyse und Klassifikation von Vigilanzmeldungen entwickelt, einschließlich des Einsatzes klassischer Machine-Learning-Verfahren und großer Sprachmodelle. Die Ergebnisse zeigen ein hohes Potenzial für die frühzeitige Identifikation cyber-sicherheitsrelevanter Ereignisse. Die entwickelten Konzepte wurden zudem in einen modernen Software- und Projektentwicklungsworkflow überführt (Q2.7), der auf dem Prinzip "Security by Design" basiert und eine frühzeitige Integration von Cyber-Sicherheitsaspekten in Entwicklungsprozesse ermöglicht. Abschließend wurde das domänenspezifische Wissen aus regulatorischen Anforderungen, technischen Systemen und realen Anwendungsfällen in die ontologische Struktur überführt und im Kontext von Marktüberwachung und Risikomanagement validiert (Q2.8). Die Ergebnisse zeigen anhand konkreter Beispiele die grundsätzliche Anwendbarkeit des entwickelten Ansatzes über den gesamten Produktlebenszyklus hinweg. Im Verbundvorhaben SEMECO-Q2 wurde ein digitaler methodischer Rahmen entwickelt, mit dem Cybersecurity-Risiken medizinischer Mikrosysteme strukturiert erfasst, bewertet und für regulatorische Nachweise nutzbar gemacht werden können. Der Ansatz verbindet regulatorische Prozessmodelle, formale Wissensstrukturen, technische Security-Anforderungen, eine prototypische Workbench und Methoden zur Auswertung realer Vigilanzdaten. Damit wurde gezeigt, wie Security-Informationen über den Produktlebenszyklus hinweg systematisch dokumentiert und perspektivisch maschinell geprüft werden können.