Predictive Maintenance in der Medizinprodukte-Fertigung (IEC 62443 SL-1)

Bei Präsentationen zur Predictive Maintenance stehen meist Verfügbarkeit und Kosteneinsparungen im Vordergrund. In der Medizinprodukte- und pharmazeutischen Fertigung kommen diese Argumente erst nach einer anderen Hürde: Werden IT-Sicherheit und Qualitätsabteilung dieses Tool überhaupt auf das Netzwerk lassen?

Diese Werke betreiben validierte Prozesse unter Qualitätsmanagementsystemen und OT-Sicherheitsrahmenwerken. Ein PdM-Tool, das diese Realität ignoriert, scheitert bereits beim ersten Review — unabhängig davon, wie gut seine Modelle sind. Dieser Beitrag behandelt daher die Anforderungen, die vor dem ROI-Gespräch zu klären sind.

Der Entscheider, den Sie zuerst überzeugen müssen

In einem regulierten Werk berührt ein PdM-Kauf mindestens drei Stakeholder-Gruppen — und die Reihenfolge ihrer Bewertung ist entscheidend:

OT / IT-Sicherheit — „Darf dieses Tool unsere Leitsysteme berühren? Wie groß ist die Angriffsfläche? Kommuniziert es nach außen?"
Qualität / Validierung — „Geht es korrekt mit regulierten Daten um? Gibt es einen Audit-Trail / Prüfprotokoll? Gefährdet es unsere validierte Umgebung?"
Instandhaltung / Zuverlässigkeit — „Prognostiziert es tatsächlich die für uns relevanten Ausfälle, und können wir den Vorhersagen vertrauen?"

Die meisten Anbieter sind darauf ausgelegt, Gespräch Nr. 3 zu gewinnen, und improvisieren bei Nr. 1 und Nr. 2. In der Medizinprodukte-Fertigung müssen Sie Nr. 1 und Nr. 2 zuerst bestehen.

IEC 62443: das Rahmenwerk, das entscheidet

IEC 62443 ist die internationale Norm für die Sicherheit industrieller Automatisierungs- und Leitsysteme. Sie definiert Sicherheitsstufen (SL-1 bis SL-4) und sieben grundlegende Anforderungen (FR1–FR7): Identifizierung und Authentifizierung, Nutzungskontrolle, Systemintegrität, Datenvertraulichkeit, eingeschränkter Datenfluss, zeitgerechte Reaktion auf Ereignisse und Ressourcenverfügbarkeit.

Ein an SL-1 ausgerichtetes Überwachungstool bildet diese Anforderungen auf konkrete, prüfbare Maßnahmen ab. Prevly veröffentlicht eine IEC 62443-3-3 SL-1 Konformitätserklärung; die zugrunde liegenden Designentscheidungen sind genau jene, die ein Prüfer untersucht:

| Grundlegende Anforderung | Antwort eines schreibgeschützten On-Premise-Monitors | |---|---| | FR1 Identifizierung & Authentifizierung | Integration in den betrieblichen Identity Provider; keine geteilten oder anbieterseitigen Cloud-Konten. | | FR2 Nutzungskontrolle | Rollenbasierter Zugriff; die Monitoring-Berechtigung ist auf dem Leitsystem schreibgeschützt. | | FR3 Systemintegrität | Kein Schreibpfad in das Leitsystem; signierte, versionierte Deployments. | | FR4 Datenvertraulichkeit | On-Premise-Speicherung; Mandantenisolation; keine personenbezogenen Gesundheitsdaten (PHI) werden erfasst. | | FR5 Eingeschränkter Datenfluss | Kein erforderlicher ausgehender Datenverkehr; Daten verbleiben innerhalb der Werksgrenze. | | FR6 Zeitgerechte Reaktion auf Ereignisse | Audit-Protokollierung von Systemereignissen. | | FR7 Ressourcenverfügbarkeit | Passives Monitoring; das Tool kann das Leitsystem weder aushungern noch stören. |

Ein Detail, das regelmäßig überrascht: Ein Predictive-Maintenance-Tool für Maschinen benötigt keine Patientendaten. Es erfasst Schwingungen, Temperatur, Druck, Strom — Gerätetelemetrie. Keine PHI, keine Patientenakten, nichts, das es in die höchste Datenschutzkategorie zieht. Dieser einzelne Sachverhalt beseitigt einen erheblichen Teil des Review-Aufwands und sollte in jeder Medizinprodukte-PdM-Evaluierung ausdrücklich festgestellt werden.

Warum schreibgeschützter OT-Zugriff und On-Premise keine optionalen Eigenschaften sind

Zwei Architekturentscheidungen leisten in einer regulierten Umgebung den größten Teil der Arbeit:

Schreibgeschützter OT-Zugriff. Condition Monitoring sollte keine einzige Möglichkeit hinzufügen, das Maschinenverhalten zu verändern. Ein schreibgeschütztes OPC-UA-Abonnement beobachtet; es schreibt niemals einen Tag oder ruft eine Methode auf. Das schlimmste Szenario bei einer Kompromittierung des Monitors ist der Lesezugriff auf Werte, die der Historian ohnehin exponiert — nicht die Steuerung. (Wir behandeln dies ausführlich in unserem Beitrag zum schreibgeschützten OPC-UA.)
On-Premise-Deployment. Datenresidenz, kein ausgehender Datenverkehr und ein Prüfer, der vor Ort alles einsehen kann, lassen sich weit einfacher erfüllen, wenn das analytische System innerhalb des Werks betrieben wird. On-Premise ist dabei der Marktstandard, nicht die Ausnahme — Grand View Research (2025) beziffert den On-Premise-Anteil auf 57,3 % des PdM-Markts und nennt Kontrolle, Sicherheit und Datenschutz als Hauptgründe.

Gemeinsam verwandeln diese Entscheidungen den Sicherheitsreview von einer Liste offener Punkte in ein kurzes Gespräch.

Integration in eine validierte Umgebung / GMP-Umgebung

Ein Punkt verdient Präzision: Ein PdM-Tool macht Sie nicht compliant, und kein seriöser Anbieter behauptet das. Compliance ist eine Eigenschaft Ihrer validierten Prozesse und Ihres Qualitätssystems. Was ein gut konzipiertes Tool leisten kann, ist, sich in dieses System einzufügen, ohne neue Probleme zu erzeugen:

Audit-Trail / Prüfprotokoll. Systemereignisse und Wartungsmaßnahmen werden protokolliert, sodass die Aktivitäten des Tools nachvollziehbar und nicht intransparent sind.
Versioniertes, reproduzierbares Deployment. Eine validierte Umgebung muss exakt wissen, was betrieben wird; ein signiertes, versioniertes Deployment unterstützt dies.
Vorhersehbare Datenverarbeitung. Sie wissen, welche Daten das Tool hält, wo, und dass diese die Systemgrenze nicht verlassen — was Ihr Datenflussdiagramm nachweisen muss.
Erklärbare Vorhersagen. Im GMP-Kontext ist „das Modell hat es so prognostiziert" keine belastbare Handlungsgrundlage. Die merkmalsbezogene Attribution bei jeder Vorhersage liefert die dokumentierte Begründung, die ein Qualitätssystem erwartet.

Wir vermeiden bewusst die Sprache regulatorischer Freigaben und Compliance-Versprechen, zu der manche Anbieter greifen — ein Tool kann diese nicht erteilen. Was es kann: so konzipiert sein, dass seine Einführung einen bereits validierten Zustand nicht gefährdet. Das ist der realistische und ehrliche Anspruch.

Die Evaluierungscheckliste für ein reguliertes Werk

Gibt es eine IEC 62443-Konformitätserklärung, die wir einsehen können?
Werden PHI oder Patientendaten erfasst? (Bei der Maschinenüberwachung sollte die Antwort nein lauten.)
Ist der OT-Zugriff strikt schreibgeschützt — im Code, nicht nur in der Konfiguration?
Kann das System On-Premise ohne erforderlichen ausgehenden Datenverkehr betrieben werden?
Liefert es einen Audit-Trail / Prüfprotokoll und erklärbare Vorhersagen, die die Qualitätsabteilung dokumentieren kann?
Unterstützt der Anbieter unsere Validierung mit Architektur- und Datenflussdiagramm-Dokumentation?

Ein Anbieter, der diese Fragen präzise beantworten kann, hat den schwierigen Teil bereits geleistet. Das Gespräch über Verfügbarkeit und Kosteneinsparungen — womit die meisten Anbieter einsteigen — ist der einfache Teil, der danach kommt.

Prevly ist eine On-Premise-Predictive-Maintenance-Plattform, ausgerichtet an IEC 62443-3-3 SL-1, entwickelt für die Medizinprodukte-Fertigung und pharmazeutische Fertigung: schreibgeschützter OPC-UA-Zugriff, keine PHI, ML vor Ort und ein Audit-Trail, der in eine validierte Umgebung passt. Architektur ansehen oder technisches Walkthrough anfragen.

Weiterführende Artikel: Pharma-GMP vorausschauende Instandhaltung (Annex 1 / GAMP 5 / Part 11) · DSGVO und industrielles IoT · On-Premise vs. Cloud-PdM · Schreibgeschütztes OPC-UA-Monitoring