Cybersicurezza dei dispositivi medici

Sytance · Aggiornato 6 ottobre 2026

La cibersicurezza dei dispositivi medici affronta le minacce che possono incidere sulla sicurezza e sulle prestazioni del dispositivo durante tutto il suo ciclo di vita. I fabbricanti utilizzano registrazioni di progettazione, modelli delle minacce, SBOM e test per valutare tali rischi, quindi mantengono la protezione tramite aggiornamenti, informazioni per l’utente e monitoraggio post-commercializzazione. I requisiti normativi differiscono tra Stati Uniti e Unione europea.

Requisiti normativi e attività tecniche

Per una presentazione negli Stati Uniti, iniziare dalle linee guida FDA pre-commercializzazione e dai criteri della sezione 524B. Per la valutazione della conformità nell’UE, iniziare dai requisiti MDR o IVDR. Le pagine tecniche illustrano le attività di supporto, dall’architettura e dalla valutazione dei rischi fino ai test e alla manutenzione post-commercializzazione.

Evidenze FDA pre-commercializzazione

La FDA raccomanda di spiegare come il dispositivo è stato progettato e testato in modo sicuro e come saranno gestiti i relativi rischi di cibersicurezza dopo il rilascio. La sezione 524B stabilisce ulteriori requisiti di legge per le presentazioni di dispositivi cyber che soddisfano i criteri.

Gestione FDA post-commercializzazione

Le linee guida FDA post-commercializzazione spiegano come valutare le vulnerabilità appena scoperte e decidere se i controlli esistenti siano ancora adeguati. Il conseguente rischio per la sicurezza del paziente determina l’urgenza della correzione e le considerazioni di segnalazione applicabili.

Evidenze UE MDR e MDCG

MDR e IVDR trattano la sicurezza delle informazioni nell’ambito dello sviluppo software e della gestione dei rischi. La documentazione tecnica e le istruzioni devono spiegare l’uso sicuro nell’ambiente IT previsto. MDCG 2019-16 fornisce indicazioni sull’applicazione di tali requisiti.

Registrazioni del ciclo di vita

IEC 81001-5-1 descrive le attività di sviluppo e manutenzione sicuri per il software sanitario. Le pagine tecniche spiegano come architettura, informazioni sui componenti e risultati dei test contribuiscano a valutare un dispositivo e a mantenerlo dopo il rilascio.

Ordine di lettura

Cibersicurezza FDA pre-commercializzazione per contenuto delle presentazioni, sezione 524B, architettura di sicurezza, test, etichettatura e piani di gestione.
Gestione FDA post-commercializzazione per monitoraggio delle vulnerabilità, rischi controllati e non controllati, aggiornamenti ordinari, divulgazione coordinata e correzioni sul campo.
Cibersicurezza UE MDR e MDCG per requisiti software e di sicurezza dell’allegato I, evidenze sull’ambiente operativo previsto, informazioni per l’utente, sorveglianza post-commercializzazione e vigilanza.
IEC 81001-5-1 per il processo del ciclo di vita sicuro del software sanitario che può supportare le evidenze FDA e UE senza sostituire nessuno dei due quadri normativi.
SBOM e modellazione delle minacce per le due registrazioni più spesso confuse tra loro e il loro collegamento con architettura, test e monitoraggio post-commercializzazione.

Distinzione normativa

Le presentazioni statunitensi e dell’UE possono utilizzare lo stesso progetto del dispositivo e gli stessi risultati di prova, ma i requisiti giuridici differiscono. Ad esempio, la sezione 524B specifica il contenuto delle presentazioni statunitensi per dispositivi cyber che soddisfano i criteri. Il lavoro di cibersicurezza nell’UE segue i requisiti MDR o IVDR applicabili. Spiegare in che modo le registrazioni tecniche affrontano i requisiti del mercato interessato.