Cybersicurezza dei dispositivi medici: domande frequenti

No. Il software è centrale, ma il fascicolo comprende anche architettura del dispositivo, interfacce, percorsi di aggiornamento, flussi di dati, ambiente operativo, informazioni per l’utente, gestione delle vulnerabilità e impatto clinico.

No. Una presentazione negli Stati Uniti riguarda i requisiti FDA, compresa la sezione 524B ove applicabile. Un fascicolo tecnico dell’UE spiega la conformità a MDR o IVDR. Alcune registrazioni di progettazione e di prova possono supportare entrambi, ma il loro utilizzo va spiegato rispetto ai requisiti pertinenti.

Non automaticamente. La sezione 524B richiede che il dispositivo soddisfi tutti e tre i criteri relativi a software, capacità di connessione a Internet e suscettibilità alle minacce di cibersicurezza. La pagina sui dispositivi cyber illustra ciascun criterio e le procedure di presentazione applicabili.

No. Una SBOM elenca i componenti software. Un modello delle minacce spiega come architettura, interfacce, flussi di dati, uso improprio e percorsi di attacco possano incidere su sicurezza, prestazioni o efficacia.

No. È una norma di processo del ciclo di vita per il software sanitario. Può supportare evidenze sullo sviluppo e la manutenzione sicuri, ma gli obblighi giuridici derivano comunque dall’autorità di regolamentazione e dalla normativa sui prodotti applicabili.

Dipende dalla giurisdizione, dallo stato del dispositivo, dal rischio, dal potenziale di danno ai pazienti, dalle norme su correzione o rimozione e dal fatto che l’aggiornamento sia manutenzione ordinaria o risolva un problema grave.

Le informazioni per l’utente dovrebbero spiegare cosa deve fare l’utente previsto per utilizzare il dispositivo in modo sicuro. Indicare la configurazione e l’ambiente IT necessari, come ottenere aggiornamenti e ripristinare il funzionamento e quali responsabilità spettano all’utente o all’organizzazione sanitaria.