IEC 81001-5-1: ciclo de vida de seguridad del software sanitario
Sytance · Actualizado
IEC 81001-5-1 es una norma de ciberseguridad del ciclo de vida para software sanitario. Establece procesos de desarrollo y mantenimiento seguros, incluidos el modelado de amenazas, las actualizaciones y la revisión de la documentación adjunta. Estos registros pueden respaldar las presentaciones normativas de productos sanitarios.
Enfoque en el software sanitario
IEC 81001-5-1:2021 se aplica al software sanitario, incluido el software de productos sanitarios. Su ámbito es más amplio que el de los productos sanitarios regulados y su efecto jurídico depende de la jurisdicción que la utilice. Por tanto, conviene tratarla como una norma de procesos del ciclo de vida que respalda un expediente normativo, no como el expediente normativo en sí.
Estado de publicación
ISO e IEC enumeran IEC 81001-5-1:2021 como primera edición publicada. ISO también enumera un proyecto de segunda edición en desarrollo, por lo que la edición de 2021 sigue siendo la edición publicada vigente hasta que se publique su sustitución. La versión corregida de IEC de diciembre de 2025 incorpora la Hoja de Interpretación 1 (ISH1:2025); la copia actualizada conserva el número de la primera edición.
Reconocimiento de la FDA
La FDA reconoce IEC 81001-5-1, edición 1.0 de 2021, como norma de consenso 13-122. Ese reconocimiento puede respaldar pruebas para la FDA, pero no sustituye la guía previa a la comercialización de la FDA ni las obligaciones de la sección 524B.
Uso en la UE
En un expediente de la UE, la norma puede ayudar a organizar las pruebas del ciclo de vida del software, la gestión de riesgos de ciberseguridad y el mantenimiento. El fabricante aún debe relacionar las pruebas con los requisitos del MDR o el IVDR.
Actividades del ciclo de vida
IEC 81001-5-1 integra la ciberseguridad en el ciclo de vida del software. Las actividades de seguridad se planifican y realizan durante el desarrollo, se revisan y documentan, y después se mantienen tras el lanzamiento.
La norma vincula el desarrollo seguro de software sanitario con un sistema de gestión de la calidad y un proceso de gestión de riesgos. Las pruebas deben mostrar la trazabilidad continua de los requisitos, el diseño, la implementación, la verificación, la validación, el control de cambios y el mantenimiento.
La planificación del desarrollo establece cómo se implementarán y comprobarán los requisitos de seguridad y cómo se registrarán los cambios. También define el entorno de desarrollo y las prácticas de codificación, además de las responsabilidades de soporte del producto y de las actualizaciones de seguridad.
El modelo de amenazas describe el software y sus interfaces, incluidos el acceso de mantenimiento o depuración que podría crear una vía de ataque. Explica las condiciones de ataque y los controles propuestos. El equipo de desarrollo revisa el modelo y lo actualiza cuando cambia un producto publicado o su entorno de amenazas.
El ciclo de vida debe incluir un método para recibir, analizar, priorizar y resolver problemas de ciberseguridad tras el lanzamiento. Esto abarca la gestión de vulnerabilidades, el mantenimiento de seguridad, las actualizaciones, los parches, los registros de soporte y la comunicación con usuarios u operadores.
La documentación de seguridad explica cómo se protege el software y qué controles externos necesita. Los usuarios deben saber cómo configurar y mantener esos controles, obtener actualizaciones de seguridad y notificar problemas. La información sobre los componentes respalda la evaluación de las dependencias de software.
El ámbito excluye la especificación del contenido de la documentación adjunta. Esto no elimina las actividades de documentación del ciclo de vida: ISH1:2025 aclara la actividad de revisión del punto 4.1.9 y remite a las directrices de seguridad de los puntos 5.8.2 y 5.8.7. También explica las categorías de soporte y la transferencia de riesgos entre fabricantes y operadores. Las normas aplicables a los productos sanitarios siguen determinando el contenido normativo de la información para el usuario.
Relación con IEC 62443-4-1
IEC 81001-5-1 se desarrolló para respaldar un ciclo de vida seguro del software sanitario teniendo en cuenta conceptos de IEC 62443-4-1. El cumplimiento de IEC 81001-5-1 no demuestra automáticamente la plena conformidad con IEC 62443-4-1 para un producto de sistemas de automatización y control industrial.
- Utilice IEC 81001-5-1 para estructurar el trabajo del ciclo de vida seguro del software sanitario.
- Utilice conceptos de IEC 62443-4-1 cuando el producto o el entorno del cliente requiera un enfoque de sistemas de control industrial.
- Mantenga las pruebas vinculadas al dispositivo concreto: el uso previsto, el entorno previsto, el impacto en la seguridad, el modelo de actualización y las responsabilidades del operador importan más que las referencias generales a nombres de normas.
Uso con la regulación
El fabricante puede utilizar los registros del ciclo de vida de IEC 81001-5-1 para respaldar el desarrollo seguro de productos conforme a la FDA, las pruebas del ciclo de vida del software y de gestión de riesgos de ciberseguridad conforme al MDR de la UE, el mantenimiento de la SBOM, la gobernanza del modelado de amenazas, la planificación de parches y la documentación para el usuario.
FDA
Relacione los registros de IEC 81001-5-1 con temas de la guía previa a la comercialización de la FDA, como el marco de desarrollo seguro de productos (SPDF), el modelado de amenazas, la arquitectura de seguridad, las pruebas de seguridad, la SBOM, el etiquetado y el plan de gestión de ciberseguridad.
MDR e IVDR de la UE
Relacione los registros del ciclo de vida con los requisitos del anexo I sobre software, seguridad de la información y entorno operativo, y después con la documentación técnica del anexo II y las pruebas de vigilancia poscomercialización del anexo III.
SBOM y seguridad de los componentes
Utilice la SBOM como un artefacto mantenido durante el ciclo de vida, no como un anexo puntual de una presentación. El inventario de componentes, el estado del soporte y la supervisión de vulnerabilidades deben mantenerse alineados tras el lanzamiento.
Actualizaciones posteriores a la comercialización
Las expectativas de mantenimiento y resolución de problemas de la norma pueden respaldar la gestión de vulnerabilidades, las actualizaciones de seguridad, la validación de parches y la comunicación con clientes durante el período de soporte del software.
Fuentes
- IEC, IEC 81001-5-1:2021, seguridad, eficacia y protección de software sanitario y sistemas informáticos sanitarios
- IEC, IEC 81001-5-1:2021/ISH1:2025 Hoja de interpretación 1
IEC, IEC 81001-5-1:2021/ISH1:2025, Hoja de Interpretación 1
- ISO, ficha de la norma IEC 81001-5-1:2021
- ISO, proyecto de segunda edición IEC/AWI 81001-5-1
- FDA, norma de consenso reconocida 13-122