Cybersécurité des dispositifs médicaux : foire aux questions

Non. Le logiciel est essentiel, mais le dossier couvre également l’architecture du dispositif, les interfaces, les voies de mise à jour, les flux de données, l’environnement d’exploitation, les informations destinées aux utilisateurs, le traitement des vulnérabilités et les conséquences cliniques.

Non. Un dossier soumis aux États-Unis répond aux exigences de la FDA, y compris celles de la section 524B le cas échéant. Un dossier technique européen explique la conformité au MDR ou à l’IVDR. Certains dossiers de conception et d’essais peuvent étayer les deux, mais leur contribution aux exigences applicables doit être expliquée.

Pas automatiquement. La section 524B exige que le dispositif remplisse les trois critères relatifs au logiciel, à sa capacité de connexion à Internet et à sa vulnérabilité aux menaces de cybersécurité. La page sur les cyberdispositifs explique chaque critère et les voies de soumission applicables.

Non. Une SBOM répertorie les composants logiciels. Un modèle de menace explique comment l’architecture, les interfaces, les flux de données, les usages abusifs et les chemins d’attaque peuvent affecter la sécurité, les performances ou l’efficacité.

Non. Il s’agit d’une norme de processus couvrant le cycle de vie des logiciels de santé. Elle peut étayer les preuves de développement et de maintenance sécurisés, mais les obligations juridiques découlent toujours de l’autorité compétente et de la législation applicable aux produits.

Cela dépend de la juridiction, du statut du dispositif, des risques, du potentiel de préjudice pour les patients, des règles relatives aux corrections ou retraits et du fait que la mise à jour relève de la maintenance courante ou traite un problème grave.

Les informations destinées aux utilisateurs doivent expliquer les actions nécessaires à l’utilisateur prévu pour exploiter le dispositif en toute sécurité. Précisez la configuration et l’environnement informatique requis, comment obtenir des mises à jour et rétablir le fonctionnement, ainsi que les responsabilités qui incombent à l’utilisateur ou à l’organisme de santé.