Ciberseguridad de productos sanitarios: preguntas frecuentes

No. El software es fundamental, pero el expediente también abarca la arquitectura del dispositivo, las interfaces, las vías de actualización, los flujos de datos, el entorno operativo, la información para el usuario, la gestión de vulnerabilidades y el impacto clínico.

No. Una presentación en Estados Unidos aborda los requisitos de la FDA, incluida la sección 524B cuando corresponda. Un expediente técnico de la UE explica la conformidad con el MDR o el IVDR. Algunos registros de diseño y pruebas pueden respaldar ambos, pero debe explicarse cómo se relacionan con los requisitos pertinentes.

No automáticamente. La sección 524B exige que el dispositivo cumpla los tres criterios relativos al software, la capacidad de conexión a internet y la susceptibilidad a amenazas de ciberseguridad. La página sobre dispositivos cibernéticos explica cada criterio y las vías de presentación aplicables.

No. Una SBOM enumera los componentes de software. Un modelo de amenazas explica cómo la arquitectura, las interfaces, los flujos de datos, el uso indebido y las vías de ataque pueden afectar a la seguridad, el funcionamiento o la eficacia.

No. Es una norma de procesos del ciclo de vida para el software sanitario. Puede respaldar pruebas de desarrollo y mantenimiento seguros, pero las obligaciones jurídicas siguen derivándose del regulador y la legislación sobre productos aplicables.

Depende de la jurisdicción, el estado del dispositivo, el riesgo, la posibilidad de daño a pacientes, las normas sobre corrección o retirada y de si la actualización es mantenimiento rutinario o aborda un problema grave.

La información para el usuario debe explicar qué debe hacer el usuario previsto para utilizar el dispositivo de forma segura. Indique la configuración y el entorno de TI requeridos, cómo obtener actualizaciones y recuperar el funcionamiento, y qué responsabilidades corresponden al usuario o a la organización sanitaria.