Cybersécurité des dispositifs médicaux selon le MDR de l’UE et le MDCG
Sytance · Mis à jour
Le MDR et l’IVDR exigent de prendre en compte la sécurité de l’information lors du développement des logiciels et de la gestion des risques. La documentation technique du fabricant doit montrer que le dispositif reste sûr et fonctionne conformément à sa destination dans son environnement d’exploitation. Le MDCG 2019-16 fournit des orientations sur l’application de ces exigences.
Exigences de cybersécurité de l’annexe I
Le MDR n’utilise pas la terminologie de la section 524B. Les éléments de preuve en matière de cybersécurité s’appuient sur les exigences générales de sécurité et de performances, notamment les règles relatives à la conception logicielle, à la gestion des risques, à la sécurité de l’information, à la protection contre les accès non autorisés, à l’environnement d’exploitation prévu et à la notice d’utilisation.
Cycle de vie logiciel et gestion des risques
L’annexe I du MDR exige que les logiciels soient développés et fabriqués conformément à l’état de l’art, en tenant compte des principes du cycle de vie de développement, de la gestion des risques, de la vérification et de la validation.
Sécurité de l’information
L’annexe I intègre la sécurité de l’information à la gestion des risques logiciels. Lorsque la cybersécurité affecte la sécurité ou les performances, l’évaluation doit traiter ces effets.
Exigences informatiques minimales
Les fabricants doivent indiquer le matériel minimal, les caractéristiques du réseau informatique et les mesures de sécurité informatique nécessaires au fonctionnement prévu du logiciel, y compris la protection contre les accès non autorisés.
Retour de la PMS
Les données de PMS devraient mettre à jour les dossiers relatifs au rapport bénéfice-risque, à la gestion des risques, à la conception, à la fabrication, à l’étiquetage, à la notice d’utilisation (IFU), à l’évaluation clinique, aux actions préventives et correctives, à l’aptitude à l’utilisation, aux performances et à la sécurité.
Pour les dispositifs qui intègrent des logiciels ou pour les logiciels constituant eux-mêmes des dispositifs, le logiciel est développé et fabriqué conformément à l’état de l’art, en tenant compte des principes du cycle de vie de développement, de la gestion des risques, y compris de la sécurité de l’information, de la vérification et de la validation.
Règlement (UE) 2017/745, annexe I, point 17.2 (original en anglais)
L’annexe I intègre la sécurité de l’information à la gestion des risques logiciels. Des modifications non autorisées de données cliniques peuvent, par exemple, influer sur un diagnostic, tandis que la perte d’un service nécessaire peut empêcher le dispositif de remplir sa fonction prévue. Évaluez les conséquences dans l’environnement réel d’utilisation du dispositif.
Statut du MDCG 2019-16
Le MDCG 2019-16 a été publié pour la première fois en décembre 2019, puis révisé en juillet 2020 sous la révision 1. Il s’agit d’orientations officielles du MDCG publiées par la Commission européenne pour favoriser une mise en œuvre cohérente du MDR et de l’IVDR. Ces orientations ne sont pas juridiquement contraignantes.
Le MDCG 2019-16 explique comment les décisions de sécurité affectent la sécurité et les performances du dispositif. Il aborde également la protection attendue de l’environnement d’exploitation et les informations que les fabricants doivent fournir aux utilisateurs. Ces explications aident à relier la conception du produit aux exigences applicables du MDR ou de l’IVDR.
Le MDCG explique qu’une mesure de maîtrise des risques de cybersécurité peut affecter la sécurité ou les performances, et qu’une mesure de maîtrise des risques liés à la sécurité du dispositif peut affecter la cybersécurité. Le dossier devrait donc montrer les deux sens d’analyse au lieu de maintenir deux registres isolés.
Le MDCG considère la modélisation des menaces comme une méthode systématique d’identification des vulnérabilités et des risques concernant les dispositifs, logiciels, systèmes, réseaux et processus. Les vulnérabilités connues peuvent constituer des risques prévisibles dès lors que le fabricant les connaît ou devrait les connaître.
Le MDCG attend des fabricants qu’ils définissent l’environnement informatique prévu et les mesures minimales qui y sont nécessaires. Si le dispositif dépend d’un pare-feu hospitalier, de la gestion des accès, du durcissement, de la gestion des correctifs, de la segmentation, du chiffrement ou d’autres mesures externes, ces hypothèses doivent être documentées et communiquées.
Structure du dossier technique
Les dossiers de cybersécurité font partie de la documentation technique du MDR et du système de surveillance après commercialisation. Leur organisation devrait montrer comment le fabricant satisfait aux exigences pertinentes du MDR.
- Gestion des risques : menaces de sécurité, vulnérabilités, mesures de maîtrise des risques, risques résiduels, interactions avec la sécurité et preuves de vérification.
- Conception et fabrication : architecture sécurisée, mesures de maîtrise du cycle de vie logiciel, codage sécurisé, gestion de configuration, mécanismes de mise à jour et hypothèses relatives à la chaîne d’approvisionnement.
- Vérification et validation : essais des fonctions de sécurité, analyse des vulnérabilités, fuzzing, tests d’intrusion, analyse de code sécurisé et examen des composants tiers lorsque cela est pertinent.
- Informations destinées aux utilisateurs : configuration sécurisée, instructions de mise à jour, contraintes de compatibilité, ports et protocoles réseau, sauvegarde et restauration, journalisation, durée de support et informations de mise hors service.
- PMS et vigilance : surveillance des vulnérabilités émergentes, incidents sur le terrain, problèmes liés aux composants tiers, évolutions du paysage des menaces et actions correctives ou préventives.
Le MDCG aborde des capacités de sécurité qui répondent à différents problèmes. L’authentification et l’autorisation restreignent l’accès ; les journaux d’audit facilitent l’examen des actions ; la sauvegarde et la récupération rétablissent le fonctionnement après une interruption. Sélectionnez et vérifiez les capacités nécessaires pour le dispositif concerné et ses risques.
Différences avec les soumissions à la FDA
Les dossiers destinés à la FDA et à l’UE utilisent souvent les mêmes documents d’ingénierie, mais répondent à des exigences et structures réglementaires différentes. Un modèle de menace, une SBOM, une architecture de sécurité ou un rapport de test d’intrusion ne peut étayer les deux juridictions que si le dossier explique comment il répond aux exigences juridiques pertinentes.
Applicabilité dans l’UE
Le MDR ne demande pas si un dispositif répond à la définition de cyberdispositif du FD&C Act. Les dossiers de l’UE devraient expliquer la sécurité, les performances, la sécurité de l’information, l’environnement d’exploitation et les mesures après commercialisation selon les termes du MDR/IVDR.
Structure documentaire de l’UE
Le dossier de l’UE suit les annexes II et III. Il devrait relier les dossiers de gestion des risques, les exigences générales de sécurité et de performances, les notices d’utilisation et la surveillance après commercialisation.
Obligations de surveillance après commercialisation
L’article 83 du MDR exige que les fabricants recueillent, consignent et analysent de manière active et systématique les données pertinentes sur la qualité, les performances et la sécurité pendant toute la durée de vie du dispositif, et mettent à jour la documentation technique en conséquence.
Utilisation des normes de cycle de vie
L’IEC 81001-5-1 peut étayer le cycle de vie logiciel et le processus de cybersécurité, mais le dossier doit tout de même établir une correspondance claire avec le MDR. Une norme reconnue ou utile ne supprime pas l’obligation, au titre du MDR, de justifier l’approche propre au dispositif.