Bildquelle: Adobe
Vernetzte Medizinprodukte sind heute fester Bestandteil des klinischen Alltags. Infusionspumpen, Beatmungsgeräte und implantierbare Geräte mit Funkverbindung sind in Krankenhäusern und zunehmend auch im Homecare-Bereich Standard. Gleichzeitig stellen diese Geräte dauerhaft exponierte Angriffsziele dar. In dokumentierten Fällen hat Ransomware (Schadsoftware, die Daten verschlüsselt und Lösegeld fordert) klinische Abläufe tagelang lahmgelegt. Studien beschreiben dabei einen Zusammenhang mit erhöhter Patientenmortalität.
Die regulatorische Antwort ist eindeutig: Die internationale Norm IEC 81001-5-1 aus dem Jahr 2021 legt Prozessanforderungen für die sichere Entwicklung und Wartung von Health-Software und Health-IT-Systemen über den gesamten Produktlebenszyklus fest und schafft damit einen verbindlichen Rahmen. Cybersecurity bei vernetzten Medizinprodukten und IEC 81001-5-1 sind somit zwei Seiten derselben Herausforderung, die Unternehmen unter Druck setzt und Spezialistinnen und Spezialisten neue Chancen eröffnet. Personen, die sowohl die regulatorische Pflicht als auch den daraus entstehenden Personalbedarf verstehen, sind klar im Vorteil.
Die IEC 81001-5-1 ist eine Prozessnorm und keine Produktnorm. Sie regelt, wie Unternehmen ihre Entwicklungs- und Wartungsprozesse für Health-Software gestalten müssen und nicht, welche technischen Features ein Produkt enthalten muss. Die Norm erweitert den internationalen Standard IEC 62304 für den Software-Lebenszyklus von Medizinprodukten um sicherheitsrelevante Aktivitäten und unterstützt die Konformität zu IEC 62443-4-1, einem Teil einer Normenreihe für die Cybersecurity industrieller Steuerungssysteme, der sichere Produktentwicklungsprozesse adressiert.
Zu den Kernforderungen gehören:
- Risk Assessment und Threat Modeling (strukturiertes Verfahren zur systematischen Identifikation potenzieller Angriffspfade) als Grundlage,
- Security by Design (Sicherheitsanforderungen werden von Beginn der Entwicklung integriert und nicht nachträglich ergänzt),
- strukturiertes Patch Management (Bewertung und Einspielung von Sicherheitsupdates),
- Incident Response (organisiertes Vorgehen bei Sicherheitsvorfällen) sowie
- Post-Market Surveillance (verpflichtende Überwachung von Medizinprodukten nach Markteinführung).
Eine durchgängige Dokumentation ist ebenfalls verpflichtend.
Primär betroffen sind Medizinproduktehersteller mit Software-Komponenten, Health-IT-Anbieter und CDMOs (Contract Development and Manufacturing Organizations, die die Entwicklung und Herstellung im Auftrag anderer Hersteller übernehmen). Indirekt sind auch Krankenhäuser und Medizinische Versorgungszentren (MVZ) einbezogen. MDR (Medical Device Regulation, die europäische Medizinprodukteverordnung) und IVDR (In-vitro-Diagnostika-Verordnung) verlangen „Stand der Technik”-Cybersecurity. IEC 81001-5-1 liefert dafür den anerkannten Prozessrahmen. Der Marktzugang hängt somit zunehmend von nachweisbarer Compliance ab und nicht nur von der medizinischen Wirksamkeit eines Produkts.
Der Rat der Europäischen Union beziffert den Bedarf an zusätzlichen Cybersecurity-Fachkräften in Europa auf rund 299.000 Personen. In Nischenbereichen wie der Medizintechnik und der Health-IT ist dieser Mangel besonders ausgeprägt, da die Stellen zusätzlich tiefes Domänenwissen erfordern.
Gesucht wird eine seltene Kombination aus IT-Sicherheit (Secure Coding, Threat Modeling, Incident Response), Medizinprodukte-Regulierung (MDR/IVDR, ISO 14971 als internationaler Standard für das Risikomanagement bei Medizinprodukten, IEC 62304 und IEC 81001-5-1) sowie klinischem Verständnis für Patientensicherheit und klinische Workflows. Je nach Rolle sind zudem Kenntnisse in Embedded Systems (fest in Geräte integrierte Computersysteme, die spezifische Steuerungsaufgaben übernehmen, etwa in implantierbaren Geräten) oder Cloud-Architektur für IoMT-Plattformen (IoMT: Internet of Medical Things, die Vernetzung medizinischer Geräte untereinander und mit dem Internet) erforderlich.
In unserer Beratungspraxis sehen wir regelmäßig, dass Rollen wie „Product Security Manager” oder „Cybersecurity Regulatory Specialist” besonders lange Besetzungszeiten aufweisen. Der Wettbewerb mit Tech-Konzernen und der Finanzbranche um dieselben Profile ist spürbar. Hinzu kommt ein kultureller Wandel, den viele mittelgroße MedTech-Unternehmen gerade durchlaufen: weg von einer Entwicklungsphilosophie, die Features priorisiert, hin zu einer, die Security als integralen Bestandteil des Produktlebenszyklus begreift. Dieser Wandel betrifft nicht nur die Technik, sondern auch Rollenprofile, Budgets und interne Zuständigkeiten.
Die Digitalisierung des Gesundheitswesens, Telemedizin, IoMT und Cloud-Diagnostik vergrößern die Angriffsfläche kontinuierlich. Der Bedarf an Security-Experten mit Healthcare-Hintergrund ist strukturell bedingt und kein kurzfristiger Trend.
Konkret nachgefragt werden drei Rollentypen. Security Engineers mit Medical-Fokus sind für sichere Architektur, Vulnerability-Management und Secure Coding für Medizinprodukte verantwortlich. Product Security Manager steuern die Sicherheitsstrategie einer Produktlinie über den gesamten Lebenszyklus bis zur Post-Market-Surveillance. Compliance- und Regulatory-Spezialist:innen mit Cybersecurity-Fokus bilden die Schnittstelle zwischen IEC 81001-5-1, MDR/IVDR und technischer Umsetzung.
Ein typischer Karrierepfad beginnt als Software- oder System-Engineer, führt über die Spezialisierung auf sichere Entwicklungsprozesse und Normen zu Rollen als Security-Architect oder -Lead und schließlich in Leitungsfunktionen wie Head of Product Security oder CISO mit Healthcare-Fokus.
Als Fundament für die Weiterbildung empfehlen sich anerkannte Zertifikate wie CISSP (Certified Information Systems Security Professional, international anerkanntes Zertifikat für IT-Sicherheitsexperten), CEH (Certified Ethical Hacker, Zertifikat für offensive Sicherheitsanalyse) oder CompTIA Security+. Ergänzend sind Spezialisierungsschulungen zu IEC 81001-5-1 und IEC 62443 sowie Kenntnisse in ISO 14971 und dem Qualitätsmanagementsystem (QMS) nach MDR-Anforderungen sinnvoll. Die Kombination aus allgemeinem Security-Zertifikat, Normkompetenz und klinischem Verständnis erhöht den Marktwert nachweislich. In einem Markt mit strukturellem Mangel stärkt dies die Verhandlungsposition bezüglich Gehalt, Weiterbildungsbudget und Rollengestaltung.
Für Unternehmen gibt es drei wirksame Hebel. Erstens: interne Kompetenzentwicklung. Schulungsprogramme zu IEC 81001-5-1, Threat Modeling und sicheren Entwicklungsprozessen lassen sich rollenspezifisch für die Bereiche Entwicklung, RA/QA (Regulatory Affairs/Quality Assurance) und Produktmanagement aufbauen. Security-Champions in den Produktlinien fungieren als Brücke zwischen der Entwicklung und dem zentralen Security-Team.
Zweitens: Externe Überbrückung. Technische Beratungsunternehmen, Prüforganisationen und Interim-Experten können dabei helfen, Sicherheitsprozesse aufzubauen, bis interne Kapazitäten vorhanden sind. Drittens: Employer Branding. Unternehmen, die ihre Cybersecurity-Strategie klar kommunizieren und konkrete Weiterbildungsangebote wie Zertifizierungsbudgets und Lernzeit sichtbar machen, signalisieren Fachkräften, dass Security strategische Priorität hat.
Wir beobachten in unserer Branche, dass Unternehmen mit einer sichtbaren Security-Kultur bei der Gewinnung qualifizierter Fachkräfte klar im Vorteil sind.
Für Bewerber gilt: Eine frühzeitige Spezialisierung auf Healthcare-IT-Sicherheit und Normenwelt zahlt sich aus. Die Kombination von allgemeinen Security-Zertifikaten mit IEC-81001-5-1-Schulungen ist ein klarer Differenzierungsfaktor. Wer zusätzlich an Fachkonferenzen, Normungsgremien und Arbeitsgruppen teilnimmt oder Vorträge hält, erhöht seine Sichtbarkeit in einem überschaubaren Spezialistenmarkt.
IEC 81001-5-1 ist kein temporärer Compliance-Aufwand, sondern Teil einer dauerhaften Standardisierung der Cybersicherheit im Gesundheitswesen. Der Fachkräftemangel bei Spezialisten, die Technik, Regulierung und Patientensicherheit verbinden, ist akut und wird sich mit wachsender Gerätevernetzung weiter verschärfen.
Unternehmen, die jetzt in die Entwicklung interner Kompetenzen und strukturierter Prozesse investieren, sind besser aufgestellt als jene, die auf behördlichen Druck warten. Bewerber, die sich gezielt im Bereich Healthcare-Cybersecurity positionieren, finden einen Markt mit nachhaltig hoher Nachfrage und guten Verhandlungsoptionen. Eine Spezialisierung in diesem Bereich ist für beide Seiten von Vorteil.
Wenn Sie qualifizierte und motivierte Fach- und Führungskräfte für Ihr Unternehmen suchen, unterstützen wir Sie mit unserem spezialisierten Netzwerk. Gerade für Positionen an der Schnittstelle von Medizintechnik, Health-IT, Cybersecurity und Regulierung kennen wir die gefragten Kombinationsprofile und sprechen die passenden Kandidaten gezielt und diskret an. Seit über 15 Jahren besetzen die Personalberater von BESTMINDS mit viel Know-how und Engagement Vakanzen in den Branchen Medizintechnik, Gesundheitswesen, Life Sciences / Pharma, Energie- / Versorgungswirtschaft und IT / Medien. Fair, loyal und diskret finden wir für Sie die passenden Kandidaten. Kontaktieren Sie uns für ein unverbindliches Erstgespräch, damit wir Ihre Vakanzen zeitnah optimal besetzen können.
