Cybersécurité des dispositifs médicaux

Sytance · Mis à jour 6 octobre 2026

La cybersécurité des dispositifs médicaux couvre les menaces susceptibles d’affecter leur sécurité et leurs performances pendant toute leur durée de vie. Les fabricants évaluent ces risques à l’aide de dossiers de conception, de modèles de menace, de SBOM et d’essais, puis maintiennent la protection au moyen de mises à jour, d’informations destinées aux utilisateurs et d’une surveillance après commercialisation. Les exigences réglementaires diffèrent entre les États-Unis et l’Union européenne.

Exigences réglementaires et travaux techniques

Pour un dossier soumis aux États-Unis, commencez par les recommandations de la FDA avant commercialisation et les critères de la section 524B. Pour l’évaluation de la conformité dans l’UE, commencez par les exigences du MDR ou de l’IVDR. Les pages techniques décrivent les travaux d’appui, de l’architecture et de l’évaluation des risques aux essais et à la maintenance après commercialisation.

Preuves FDA avant commercialisation

La FDA recommande d’expliquer comment le dispositif a été conçu et testé de manière sécurisée, ainsi que la manière dont ses risques de cybersécurité seront gérés après sa mise sur le marché. La section 524B fixe des exigences juridiques supplémentaires pour les dossiers de soumission concernant les cyberdispositifs répondant aux critères.

Gestion FDA après commercialisation

Les recommandations de la FDA sur la gestion après commercialisation expliquent comment évaluer les vulnérabilités nouvellement découvertes et déterminer si les contrôles en place restent adéquats. Le risque qui en résulte pour la sécurité des patients influe sur l’urgence des mesures correctives et sur les considérations de signalement applicables.

Preuves MDR et MDCG de l’UE

Le MDR et l’IVDR traitent de la sécurité de l’information dans le cadre du développement logiciel et de la gestion des risques. La documentation technique et les instructions doivent expliquer comment utiliser le dispositif en toute sécurité dans l’environnement informatique prévu. Le MDCG 2019-16 fournit des orientations sur l’application de ces exigences.

Dossiers du cycle de vie

La norme IEC 81001-5-1 décrit les activités de développement et de maintenance sécurisés des logiciels de santé. Les pages techniques expliquent comment l’architecture, les informations sur les composants et les résultats des essais contribuent à évaluer un dispositif et à en assurer la maintenance après commercialisation.

Ordre de lecture

Cybersécurité FDA avant commercialisation pour le contenu des dossiers, la section 524B, l’architecture de sécurité, les essais, l’étiquetage et les plans de gestion.
Gestion FDA après commercialisation pour la surveillance des vulnérabilités, les risques contrôlés et non contrôlés, les mises à jour courantes, la divulgation coordonnée et les corrections sur le terrain.
Cybersécurité UE MDR et MDCG pour les exigences relatives aux logiciels et à la sécurité de l’annexe I, les preuves concernant l’environnement d’exploitation prévu, les informations destinées aux utilisateurs, la surveillance après commercialisation et la vigilance.
IEC 81001-5-1 pour le processus de cycle de vie sécurisé des logiciels de santé, qui peut étayer les preuves FDA et UE sans remplacer aucun des deux cadres.
SBOM et modélisation des menaces pour les deux types de dossiers le plus souvent confondus et leurs liens avec l’architecture, les essais et la surveillance après commercialisation.

Différences réglementaires

Les dossiers américains et européens peuvent s’appuyer sur la même conception et les mêmes résultats d’essais pour un dispositif, mais les exigences juridiques diffèrent. Par exemple, la section 524B précise le contenu requis pour certains dossiers américains de cyberdispositifs. Les activités de cybersécurité dans l’UE suivent les exigences applicables du MDR ou de l’IVDR. Expliquez comment les dossiers techniques répondent aux exigences du marché concerné.