Beveiligingsarchitectuur van medische hulpmiddelen

Architectuur als bewijs

De FDA adviseert architectuurweergaven waarmee beoordelaars de blootstelling van het hulpmiddel aan aanvallen en de ingebouwde bescherming van het systeem kunnen begrijpen. In een technisch EU-dossier ondersteunt dezelfde ontwerpinformatie de toepasselijke MDR- of IVDR-vereisten. De wettelijke toelichting kan verschillen, maar de onderliggende architectuur moet het daadwerkelijke hulpmiddel en de beoogde omgeving beschrijven.

Een verbinding voor ondersteuning op afstand kan bijvoorbeeld van het netwerk van een dienstverlener naar een ziekenhuis lopen. De architectuur moet laten zien welk eindpunt de technicus authenticeert en welk deel van het hulpmiddel onderhoudshandelingen beperkt.

FDA-architectuurweergaven

De definitieve FDA-richtsnoeren van februari 2026 adviseren architectuurweergaven die aansluiten op de architectuur en cyberbeveiligingsrisico’s van het hulpmiddel. Elke weergave licht een ander aspect toe van hoe het systeem kan worden aangevallen en hoe het wordt beschermd.

Weergaven voor het technisch EU-dossier

De MDR en IVDR schrijven de FDA-benamingen voor weergaven niet voor. Architectuurinformatie ondersteunt de beoordeling van softwarebeveiliging en de interactie van het hulpmiddel met de beoogde IT-omgeving. De informatie moet de ontwerpaannames achter de risicobeoordeling en de voorwaarden die de gebruiker moet handhaven toelichten.

• Een gegevensstroomweergave laat zien waar klinische gegevens kunnen worden gelezen of gewijzigd en welke maatregelen die gegevens langs het pad beschermen.
• Een interfaceweergave identificeert toegestane verbindingen en de controles die het gebruik ervan beperken. Deze details ondersteunen de relevante algemene veiligheids- en prestatie-eisen (GSPR’s).
• Een weergave van de gebruiksomgeving licht toe welke bescherming van de zorgorganisatie wordt verwacht, zoals beperking van het netwerksegment dat toegang heeft tot een onderhoudsdienst.
• Een weergave van het updatepad legt uit hoe een geteste patch de beoogde hulpmiddelen bereikt en hoe herstel na een mislukte installatie verloopt.

MDCG 2019-16 Rev.1 licht toe hoe fabrikanten en zorgorganisaties verantwoordelijkheid delen voor een veilig gebruik. De richtsnoeren helpen ontwerpaannames te koppelen aan minimale IT-vereisten en beveiligingsinformatie die bij het hulpmiddel wordt geleverd.

Systeemafhankelijkheden

De diepgang van de architectuur moet aansluiten op het daadwerkelijke systeem van het hulpmiddel. Een eenvoudig lokaal hulpmiddel kan minder weergaven nodig hebben dan een cloudverbonden, mobiel, genetwerkt of centraal beheerd systeem. Afhankelijkheden die de veiligheid van het hulpmiddel beïnvloeden, moeten worden opgenomen, ook als de klant het verbonden systeem beheert.

Architectuur koppelen aan risicobeheersmaatregelen

Voor elke belangrijke interface moet de architectuur de beoordelaar helpen de aangepakte dreiging en de test die de bescherming controleert te vinden. Als het ontwerp afhankelijk is van een netwerkbeperking van het ziekenhuis, moet de gebruikersinformatie die beperking beschrijven zodat deze tijdens het gebruik kan worden gehandhaafd.