Ciberseguridad de productos sanitarios conforme al MDR de la UE y las orientaciones MDCG

Requisitos de ciberseguridad del anexo I

El MDR no utiliza la terminología de la sección 524B. Las pruebas de ciberseguridad se sustentan en los requisitos generales de seguridad y funcionamiento, especialmente las normas sobre diseño de software, gestión de riesgos, seguridad de la información, protección frente al acceso no autorizado, entorno operativo previsto e instrucciones de uso.

Para los productos que incorporen software o para los programas informáticos que sean productos en sí mismos, el software se desarrollará y fabricará conforme al estado de la técnica, teniendo en cuenta los principios del ciclo de vida de desarrollo, la gestión de riesgos, incluida la seguridad de la información, la verificación y la validación.

Reglamento (UE) 2017/745, anexo I, punto 17.2 (original en inglés)

El anexo I integra la seguridad de la información en la gestión de riesgos del software. Por ejemplo, los cambios no autorizados en datos clínicos pueden afectar a un diagnóstico, mientras que la pérdida de un servicio necesario puede impedir que el dispositivo realice su función prevista. Evalúe las consecuencias en el entorno de uso real del dispositivo.

Situación de MDCG 2019-16

MDCG 2019-16 se publicó por primera vez en diciembre de 2019 y se revisó en julio de 2020 como revisión 1. Es una guía oficial de MDCG, publicada por la Comisión Europea para respaldar una aplicación coherente del MDR y el IVDR. La guía no es jurídicamente vinculante.

MDCG 2019-16 explica cómo las decisiones de seguridad afectan a la seguridad y al funcionamiento del dispositivo. También aborda la protección que se espera del entorno operativo y la información que los fabricantes deben proporcionar a los usuarios. Estas explicaciones ayudan a relacionar el diseño del producto con los requisitos aplicables del MDR o el IVDR.

Estructura del expediente técnico

Los registros de ciberseguridad forman parte de la documentación técnica del MDR y del sistema de vigilancia poscomercialización. Su organización debe mostrar cómo cumple el fabricante los requisitos pertinentes del MDR.

• Gestión de riesgos: amenazas de seguridad, vulnerabilidades, controles de riesgos, riesgos residuales, interacción con la seguridad y pruebas de verificación.
• Diseño y fabricación: arquitectura segura, controles del ciclo de vida del software, codificación segura, gestión de la configuración, mecanismos de actualización e hipótesis sobre la cadena de suministro.
• Verificación y validación: pruebas de funciones de seguridad, análisis de vulnerabilidades, pruebas fuzz, pruebas de penetración, análisis de código seguro y revisión de componentes de terceros cuando corresponda.
• Información para el usuario: configuración segura, instrucciones de actualización, restricciones de compatibilidad, puertos y protocolos de red, copia de seguridad y restauración, registro, vida útil de soporte e información sobre la retirada del servicio.
• Vigilancia poscomercialización y vigilancia de incidentes: supervisión de nuevas vulnerabilidades, incidentes en campo, problemas de componentes de terceros, cambios del panorama de amenazas y acciones correctivas o preventivas.

MDCG trata capacidades de seguridad que abordan problemas distintos. La autenticación y la autorización restringen el acceso; los registros de auditoría ayudan a investigar acciones; las copias de seguridad y la recuperación permiten restablecer el funcionamiento tras una interrupción. Seleccione y verifique las capacidades necesarias para el dispositivo concreto y sus riesgos.

Diferencias con las presentaciones de la FDA

La documentación de la FDA y de la UE suele utilizar los mismos registros de ingeniería, pero sigue requisitos y estructuras normativas diferentes. Un modelo de amenazas, una SBOM, una arquitectura de seguridad o un informe de pruebas de penetración pueden respaldar ambas jurisdicciones solo si el expediente explica cómo abordan los requisitos jurídicos pertinentes.