Étiquetage de cybersécurité et informations destinées aux utilisateurs des dispositifs médicaux

Informations destinées aux utilisateurs comme mesure de maîtrise des risques

La FDA considère la transparence en matière de cybersécurité comme un élément de l’utilisation et de l’intégration sûres et efficaces des dispositifs. Selon l’utilisateur prévu et le type d’information, celle-ci peut figurer dans l’étiquetage du dispositif, les manuels de l’opérateur, les guides de l’administrateur, la documentation de sécurité destinée aux clients, un MDS2, des portails en ligne ou d’autres canaux contrôlés.

Les dossiers de l’UE suivent une structure juridique différente au titre du MDR et de l’IVDR. Le fabricant doit indiquer les exigences minimales relatives au matériel, aux caractéristiques du réseau informatique et aux mesures de sécurité informatique nécessaires pour faire fonctionner le logiciel comme prévu. Le MDCG 2019-16 explique ensuite les liens avec l’environnement d’exploitation prévu, la configuration sécurisée, les correctifs, les informations aux administrateurs et les responsabilités des prestataires de soins.

Pour les dispositifs intégrant un logiciel ou pour les logiciels qui constituent eux-mêmes des dispositifs, le logiciel est développé et fabriqué conformément à l’état de l’art, en tenant compte des principes du cycle de vie du développement, de la gestion des risques, y compris de la sécurité de l’information, de la vérification et de la validation.

Règlement (UE) 2017/745, annexe I, point 17.2 (texte original anglais)

Contenu de l’étiquetage FDA

Les recommandations actuelles de la FDA avant commercialisation recensent des exemples d’informations de sécurité susceptibles d’aider les utilisateurs à gérer les risques de cybersécurité. Le niveau de détail approprié dépend du public visé. Une instruction destinée à un patient ne doit pas ressembler à un guide de renforcement de la sécurité d’un réseau hospitalier, et un guide d’administrateur ne doit pas dissimuler les détails opérationnels derrière des avertissements génériques.

Informations destinées aux utilisateurs dans l’UE

Le dossier européen doit relier les informations destinées aux utilisateurs à l’annexe I du MDR ou de l’IVDR. Pour les logiciels et systèmes programmables, les éléments de cybersécurité importants sont l’état de l’art, la gestion des risques, la sécurité de l’information, la vérification, la validation, les facteurs propres aux plateformes mobiles, les exigences informatiques minimales et la protection contre les accès non autorisés.

• Exigences minimales en matière de matériel et de postes de travail pour l’usage prévu.
• Caractéristiques du réseau informatique, notamment la segmentation, les voies de communication, les services compatibles et les protocoles pris en charge.
• Mesures de sécurité informatique telles que le contrôle d’accès, les attentes en matière de lutte contre les logiciels malveillants, les règles de pare-feu, les hypothèses relatives aux correctifs, la journalisation et les sauvegardes.
• Restrictions de compatibilité concernant les appareils connectés, plateformes mobiles, services cloud, navigateurs, systèmes d’exploitation et outils de sécurité.
• Risques liés à une utilisation en dehors de l’environnement d’exploitation prévu.

Le MDCG 2019-16 reconnaît également que certaines informations de sécurité détaillées peuvent se trouver hors de la notice d’utilisation (IFU), par exemple dans les instructions destinées aux administrateurs, les manuels d’exploitation sécurisée, une divulgation de type MDS2 ou des guides d’installation. Ces informations doivent néanmoins être contrôlées, à jour et cohérentes avec le dossier technique.

Responsabilité partagée avec les organismes de santé

Le MDCG 2019-16 décrit le partage des responsabilités entre les personnes qui fournissent et utilisent un dispositif. Le fabricant doit communiquer les contrôles externes dont dépend sa conception. L’organisme de santé a ensuite besoin d’informations suffisantes pour fournir et maintenir ces contrôles dans son propre environnement.

Communication des mises à jour et des correctifs

Les informations sur les mises à jour doivent être pratiques avant même qu’une vulnérabilité ne survienne. La FDA attend des informations destinées aux utilisateurs sur les logiciels et micrologiciels autorisés par le fabricant, la manière de savoir qu’une mise à jour est disponible, l’assistance et la fin de vie, ainsi que la manière de transférer ou communiquer les risques à la fin de l’assistance. Les cyberdispositifs relevant de la section 524B doivent également prévoir la gestion des vulnérabilités, mises à jour et correctifs après commercialisation.