Cybersicurezza dei dispositivi medici secondo il MDR UE e le linee guida MDCG
Sytance · Aggiornato
MDR e IVDR richiedono di considerare la sicurezza delle informazioni nello sviluppo software e nella gestione dei rischi. La documentazione tecnica del fabbricante deve mostrare come il dispositivo resti sicuro e funzioni come previsto nel proprio ambiente operativo. MDCG 2019-16 fornisce indicazioni sull’applicazione di tali requisiti.
Requisiti di cibersicurezza dell’allegato I
L’MDR non utilizza la terminologia della sezione 524B. Le evidenze di cibersicurezza si basano sui requisiti generali di sicurezza e prestazione, in particolare sulle norme per la progettazione del software, la gestione dei rischi, la sicurezza delle informazioni, la protezione dagli accessi non autorizzati, l’ambiente operativo previsto e le istruzioni per l’uso.
Ciclo di vita del software e gestione dei rischi
L’allegato I dell’MDR richiede che il software sia sviluppato e fabbricato allo stato dell’arte, tenendo conto del ciclo di vita dello sviluppo, della gestione dei rischi, della verifica e della convalida.
Sicurezza delle informazioni
L’allegato I integra la sicurezza delle informazioni nella gestione dei rischi del software. Quando la cibersicurezza incide sulla sicurezza o sulle prestazioni, la valutazione deve affrontarne gli effetti.
Requisiti IT minimi
I fabbricanti devono indicare i requisiti hardware minimi, le caratteristiche della rete IT e le misure di sicurezza IT necessarie affinché il software funzioni come previsto, compresa la protezione dagli accessi non autorizzati.
Riscontri PMS
I dati di sorveglianza post-commercializzazione dovrebbero aggiornare le registrazioni di rapporto benefici-rischi, gestione dei rischi, progettazione, fabbricazione, etichettatura, IFU, valutazione clinica, azioni preventive e correttive, usabilità, prestazioni e sicurezza.
Per i dispositivi che incorporano software o per il software che costituisce un dispositivo a sé stante, il software è sviluppato e fabbricato allo stato dell’arte tenendo conto dei principi del ciclo di vita dello sviluppo, della gestione dei rischi, compresa la sicurezza delle informazioni, della verifica e della convalida.
Regolamento (UE) 2017/745, allegato I, punto 17.2 (originale inglese)
L’allegato I integra la sicurezza delle informazioni nella gestione dei rischi del software. Ad esempio, modifiche non autorizzate ai dati clinici possono incidere su una diagnosi, mentre la perdita di un servizio necessario può impedire al dispositivo di svolgere la funzione prevista. Valutare le conseguenze nell’effettivo ambiente d’uso del dispositivo.
Stato di MDCG 2019-16
MDCG 2019-16 è stata pubblicata per la prima volta nel dicembre 2019 e rivista nel luglio 2020 come revisione 1. È una guida ufficiale MDCG, pubblicata dalla Commissione europea per supportare un’attuazione coerente di MDR e IVDR. La guida non è giuridicamente vincolante.
MDCG 2019-16 spiega come le decisioni di sicurezza incidano sulla sicurezza e sulle prestazioni del dispositivo. Tratta inoltre la protezione attesa dall’ambiente operativo e le informazioni che i fabbricanti devono fornire agli utenti. Queste spiegazioni aiutano a collegare la progettazione del prodotto ai requisiti MDR o IVDR applicabili.
MDCG spiega che una misura di controllo dei rischi per la sicurezza delle informazioni può incidere sulla sicurezza o sulle prestazioni e che una misura di controllo dei rischi per la sicurezza può incidere sulla sicurezza delle informazioni. Il fascicolo dovrebbe quindi mostrare entrambe le direzioni dell’analisi anziché mantenere due registri separati.
MDCG considera la modellazione delle minacce un metodo sistematico per individuare vulnerabilità e rischi in dispositivi, software, sistemi, reti e processi. Le vulnerabilità note possono diventare rischi prevedibili quando il fabbricante ne è o dovrebbe esserne a conoscenza.
MDCG si aspetta che i fabbricanti definiscano l’ambiente IT previsto e i controlli minimi necessari. Se il dispositivo dipende da un firewall ospedaliero, gestione degli accessi, hardening, gestione delle patch, segmentazione, cifratura o altri controlli esterni, tali ipotesi vanno documentate e comunicate.
Struttura del fascicolo tecnico
Le registrazioni di cibersicurezza fanno parte della documentazione tecnica MDR e del sistema di sorveglianza post-commercializzazione. La loro organizzazione dovrebbe mostrare come il fabbricante soddisfa i requisiti MDR pertinenti.
- Gestione dei rischi: minacce alla sicurezza, vulnerabilità, controlli dei rischi, rischi residui, interazione con la sicurezza ed evidenze di verifica.
- Progettazione e fabbricazione: architettura sicura, controlli del ciclo di vita del software, codifica sicura, gestione della configurazione, meccanismi di aggiornamento e ipotesi sulla catena di fornitura.
- Verifica e convalida: test delle funzioni di sicurezza, scansione delle vulnerabilità, fuzz testing, test di penetrazione, analisi del codice sicuro e revisione dei componenti di terze parti, se pertinente.
- Informazioni per l’utente: configurazione sicura, istruzioni di aggiornamento, vincoli di compatibilità, porte e protocolli di rete, backup e ripristino, registrazione, durata del supporto e informazioni sulla dismissione.
- PMS e vigilanza: monitoraggio di nuove vulnerabilità, incidenti sul campo, problemi dei componenti di terze parti, cambiamenti del panorama delle minacce e azioni correttive o preventive.
MDCG tratta capacità di sicurezza che risolvono problemi diversi. Autenticazione e autorizzazione limitano gli accessi; i registri di audit aiutano a indagare sulle azioni; backup e ripristino consentono di riprendere il funzionamento dopo un’interruzione. Selezionare e verificare le capacità necessarie per lo specifico dispositivo e i relativi rischi.
Differenze rispetto alle presentazioni FDA
La documentazione FDA e UE utilizza spesso le stesse registrazioni ingegneristiche, ma segue requisiti e strutture normative diversi. Un modello delle minacce, una SBOM, un’architettura di sicurezza o un rapporto di test di penetrazione può supportare entrambe le giurisdizioni solo se il fascicolo spiega come risponde ai requisiti giuridici pertinenti.
Applicabilità nell’UE
L’MDR non chiede se un dispositivo soddisfi la definizione di dispositivo cyber del FD&C Act. I fascicoli UE dovrebbero illustrare sicurezza, prestazioni, sicurezza delle informazioni, ambiente operativo e controlli post-commercializzazione secondo i termini MDR/IVDR.
Struttura della documentazione UE
Il fascicolo UE segue gli allegati II e III. Dovrebbe collegare le registrazioni della gestione dei rischi, i requisiti generali di sicurezza e prestazione, le istruzioni per l’uso e la sorveglianza post-commercializzazione.
Obblighi di sorveglianza post-commercializzazione
L’articolo 83 dell’MDR impone ai fabbricanti di raccogliere, registrare e analizzare in modo attivo e sistematico i dati pertinenti su qualità, prestazioni e sicurezza durante l’intero ciclo di vita del dispositivo e di aggiornare di conseguenza la documentazione tecnica.
Uso delle norme sul ciclo di vita
IEC 81001-5-1 può supportare il processo del ciclo di vita del software e di cibersicurezza, ma il fascicolo necessita comunque di una chiara mappatura MDR. Una norma riconosciuta o utile non elimina l’obbligo MDR di giustificare l’approccio specifico per il dispositivo.