Ciberseguridad de productos sanitarios

Sytance · Actualizado 6 de octubre de 2026

La ciberseguridad de los productos sanitarios aborda las amenazas que pueden afectar a la seguridad y al funcionamiento del dispositivo durante toda su vida útil. Los fabricantes utilizan registros de diseño, modelos de amenazas, SBOM y pruebas para evaluar esos riesgos, y después mantienen la protección mediante actualizaciones, información para el usuario y supervisión posterior a la comercialización. Los requisitos normativos difieren entre Estados Unidos y la Unión Europea.

Requisitos normativos y trabajo técnico

Para una presentación en Estados Unidos, empiece por la guía de la FDA para la fase previa a la comercialización y los criterios de la sección 524B. Para la evaluación de la conformidad en la UE, empiece por los requisitos del MDR o el IVDR. Las páginas técnicas explican el trabajo de apoyo, desde la arquitectura y la evaluación de riesgos hasta las pruebas y el mantenimiento posterior a la comercialización.

Pruebas de la FDA previas a la comercialización

La FDA recomienda explicar cómo se diseñó y probó el dispositivo de forma segura y cómo se gestionarán sus riesgos de ciberseguridad tras el lanzamiento. La sección 524B establece requisitos jurídicos adicionales para las presentaciones que reúnen los criterios relativos a dispositivos cibernéticos.

Gestión posterior a la comercialización de la FDA

La guía de la FDA para la fase posterior a la comercialización explica cómo evaluar las vulnerabilidades recién descubiertas y decidir si los controles existentes siguen siendo adecuados. El riesgo resultante para la seguridad del paciente determina la urgencia de la corrección y las consideraciones de notificación aplicables.

Pruebas del MDR de la UE y de MDCG

El MDR y el IVDR abordan la seguridad de la información en el desarrollo de software y la gestión de riesgos. La documentación técnica y las instrucciones deben explicar el uso seguro en el entorno de TI previsto. MDCG 2019-16 ofrece orientación sobre la aplicación de estos requisitos.

Registros del ciclo de vida

IEC 81001-5-1 describe actividades de desarrollo y mantenimiento seguros para software sanitario. Las páginas técnicas explican cómo la arquitectura, la información sobre componentes y los resultados de pruebas ayudan a evaluar un dispositivo y mantenerlo tras su lanzamiento.

Orden de lectura

Ciberseguridad previa a la comercialización de la FDA para el contenido de las presentaciones, la sección 524B, la arquitectura de seguridad, las pruebas, el etiquetado y los planes de gestión.
Gestión posterior a la comercialización de la FDA para la supervisión de vulnerabilidades, los riesgos controlados y no controlados, las actualizaciones rutinarias, la divulgación coordinada y las correcciones de campo.
Ciberseguridad del MDR de la UE y de MDCG para los requisitos de software y seguridad del anexo I, las pruebas del entorno operativo previsto, la información para el usuario, la vigilancia poscomercialización y la vigilancia de incidentes.
IEC 81001-5-1 para el proceso de ciclo de vida seguro del software sanitario que puede respaldar las pruebas para la FDA y la UE sin sustituir ninguno de los dos marcos.
SBOM y modelado de amenazas para los dos registros que más a menudo se confunden entre sí y cómo se relacionan con la arquitectura, las pruebas y la supervisión posterior a la comercialización.

Diferencias normativas

Las presentaciones de Estados Unidos y de la UE pueden basarse en el mismo diseño del dispositivo y en los mismos resultados de pruebas, pero los requisitos jurídicos son distintos. Por ejemplo, la sección 524B especifica el contenido para las presentaciones que cumplen los criterios relativos a dispositivos cibernéticos en Estados Unidos. El trabajo de ciberseguridad en la UE sigue los requisitos aplicables del MDR o el IVDR. Explique cómo los registros técnicos abordan los requisitos del mercado correspondiente.