Regolamentazione della cybersicurezza dei dispositivi medici

Sytance · Aggiornato 15 settembre 2026

La cibersicurezza dei dispositivi medici riguarda gli attacchi che potrebbero incidere sull’uso sicuro ed efficace di un dispositivo. I requisiti normativi riguardano la progettazione del prodotto e il modo in cui il fabbricante mantiene la protezione dopo il rilascio. Le norme applicabili dipendono dal mercato in cui il dispositivo viene fornito.

Normativa sulla sicurezza e sul ciclo di vita

Una debolezza di sicurezza può consentire a un aggressore di alterare una misurazione clinica o interrompere una funzione del dispositivo. L’analisi deve spiegare l’effetto sull’uso previsto del dispositivo e poi valutare se la progettazione controlla tale rischio. Nuove vulnerabilità e modifiche software possono richiedere l’aggiornamento della valutazione.

Livelli normativi

Le presentazioni negli Stati Uniti utilizzano requisiti e linee guida FDA; la documentazione tecnica dell’UE riguarda MDR o IVDR. Lo stesso risultato di prova può supportare entrambi i fascicoli se è pertinente alla configurazione del dispositivo presentata. Ciascun fascicolo deve comunque spiegare quale requisito normativo supporta il risultato.

FDA pre-commercializzazione

Descrivere la progettazione della sicurezza e i test del dispositivo. Le presentazioni di dispositivi cyber che soddisfano i criteri richiedono anche le informazioni previste dalla sezione 524B.

FDA post-commercializzazione

Valutare le nuove vulnerabilità, fornire le correzioni appropriate e stabilire se un’azione sul campo debba essere segnalata.

MDR e MDCG dell’UE

Spiegare in che modo la sicurezza del software supporta la sicurezza e le prestazioni del dispositivo e fornire le informazioni necessarie per l’ambiente IT previsto.

Norme e registrazioni

IEC 81001-5-1 descrive lo sviluppo e la manutenzione sicuri del software sanitario. I registri del prodotto mostrano come tali attività sono state applicate a un dispositivo.

Registrazioni di cibersicurezza

Le registrazioni illustrano diverse parti dell’analisi. Ad esempio, una SBOM identifica un componente utilizzato nel dispositivo, mentre un modello delle minacce spiega come un aggressore potrebbe sfruttarne una debolezza. Il risultato di un test aiuta poi a stabilire se la protezione scelta funziona.

L’architettura di sicurezza descrive il confine del dispositivo, i flussi di dati, i confini di fiducia, il percorso di aggiornamento e i sistemi connessi.
La modellazione delle minacce descrive come uso improprio, percorsi di attacco e guasti dei controlli possano incidere sulla sicurezza o sulle prestazioni.
I registri SBOM identificano i componenti software, consentendo la tracciabilità del monitoraggio delle vulnerabilità e delle decisioni sugli aggiornamenti.
L’etichettatura e le informazioni per l’utente descrivono l’uso sicuro, i requisiti minimi dell’ambiente IT, la gestione degli aggiornamenti e le responsabilità condivise.