医療機器のサイバーセキュリティ：FDA、MDR、IEC 81001-5-1

医療機器のサイバーセキュリティ

機器の接続性、ソフトウェアおよび保守用インターフェースは、安全性と性能に影響する場合があります。Sytanceは、チームによるリスク分析、設計・テスト記録の維持、およびFDA・EU MDR対応のサイバーセキュリティ文書の準備を支援します。

機器ライフサイクル全体のサイバーセキュリティ業務

意図された医療目的、利用者、接続システムおよび運用環境を記述します。攻撃によって影響を受ける可能性のある機能とデータを特定します。

機器および接続システムに対する攻撃を分析します。患者への危害につながる可能性がある場合は、セキュリティ上の発見事項を安全リスク評価に関連付けます。

セキュリティ要件と設計上の管理策を文書化します。テスト方法、結果および未解決の発見事項を、対応する要件に関連付けて記録します。

SBOMを維持し、脆弱性をレビューして、更新を計画します。利用者が機器を運用・保守するために必要なセキュリティ情報を準備します。

米国への申請

FDA 2026年2月サイバーセキュリティガイダンスおよび第524B条の適用可否

EU文書

MDRまたはIVDRの要件とMDCG 2019-16 Rev.1ガイダンス

セキュア開発

IEC 81001-5-1のライフサイクルと製品記録

技術業務

脅威モデル、SBOM、リスク評価、検証および保守

同じアーキテクチャやテスト結果を、米国への申請とEU技術文書の双方に活用できる場合があります。ただし規制上の説明は提出先によって異なります。機器構成と技術記録の整合性を保ち、各市場で必要な内容を個別にレビューしてください。

いいえ。第524B条は、法令上の「サイバー機器」の定義を満たす機器に関する、指定された市販前申請・提出に適用されます。FDAのより広範なサイバーセキュリティガイダンスは、サイバーセキュリティリスクのある機器も扱います。機器の特性と申請経路の両方を確認してください。

医療機器の記録には、脅威モデリング、リスク評価、SBOM、セキュリティ要件、設計、検証、テスト報告書、利用者向け情報および市販後計画が含まれます。チームは機器と提出先の要件に照らして内容をレビューします。

セキュリティ上の弱点によって、攻撃者が治療設定を変更したり、アラームを停止させたり、臨床データを改変したりする可能性があります。サイバーセキュリティ評価で攻撃条件を分析し、機器の安全リスク管理プロセスで、結果として生じる危険状態と危害を評価してください。

いいえ。報告書には、記載された機器バージョンおよび構成で実施したテストの結果が必要です。プラットフォームは記録を整理しますが、技術テストの計画、実施およびレビューは別途必要です。

FDAサイバーセキュリティガイダンス — 2026年2月 — https://www.fda.gov/regulatory-information/search-fda-guidance-documents/cybersecurity-medical-devices-quality-management-system-considerations-and-content-premarket
MDCG 2019-16 Rev.1 — https://health.ec.europa.eu/system/files/2022-01/md_cybersecurity_en.pdf