Réglementation sur la cybersécurité des dispositifs médicaux

Sytance · Mis à jour 15 septembre 2026

La cybersécurité des dispositifs médicaux concerne les attaques susceptibles d’affecter leur utilisation sûre et efficace. Les exigences réglementaires portent sur la conception du produit et sur la manière dont le fabricant maintient la protection après la mise sur le marché. Les règles applicables dépendent du marché sur lequel le dispositif est fourni.

Réglementation de la sécurité et du cycle de vie

Une faiblesse de sécurité peut permettre à un attaquant de modifier une mesure clinique ou d’interrompre une fonction du dispositif. L’analyse doit expliquer les effets sur la destination du dispositif, puis évaluer si la conception maîtrise ce risque. De nouvelles vulnérabilités et des modifications logicielles peuvent nécessiter une mise à jour de l’évaluation.

Niveaux réglementaires

Les dossiers soumis aux États-Unis suivent les exigences et les orientations de la FDA ; la documentation technique européenne porte sur le MDR ou l’IVDR. Le même résultat d’essai peut étayer les deux dossiers s’il s’applique à la configuration du dispositif soumise. Chaque dossier doit néanmoins expliquer quelle exigence réglementaire ce résultat étaye.

FDA avant commercialisation

Expliquez la conception de sécurité et les essais du dispositif. Les dossiers concernant les cyberdispositifs répondant aux critères doivent également inclure les informations exigées par la section 524B.

FDA après commercialisation

Évaluez les nouvelles vulnérabilités, fournissez des corrections appropriées et déterminez si une action sur le terrain doit être signalée.

MDR de l’UE et MDCG

Expliquez comment la sécurité logicielle contribue à la sécurité et aux performances du dispositif, et fournissez les informations nécessaires pour son environnement informatique prévu.

Normes et dossiers

La norme IEC 81001-5-1 décrit le développement et la maintenance sécurisés des logiciels de santé. Les dossiers du produit montrent comment ces activités ont été appliquées à un dispositif.

Dossiers de cybersécurité

Les dossiers expliquent différentes parties de l’analyse. Par exemple, une SBOM identifie un composant utilisé dans le dispositif, tandis qu’un modèle de menace explique comment un attaquant pourrait exploiter une faiblesse. Un résultat d’essai aide ensuite à déterminer si la protection choisie fonctionne.

L’architecture de sécurité décrit le périmètre du dispositif, les flux de données, les frontières de confiance, le chemin de mise à jour et les systèmes connectés.
La modélisation des menaces explique comment les usages abusifs, les chemins d’attaque et les défaillances des mesures de contrôle peuvent affecter la sécurité ou les performances.
La SBOM consigne les composants logiciels pour assurer la traçabilité de la surveillance des vulnérabilités et des décisions relatives aux mises à jour.
L’étiquetage et les informations destinées aux utilisateurs expliquent l’utilisation sécurisée, les exigences minimales de l’environnement informatique, la gestion des mises à jour et le partage des responsabilités.