Regelgeving voor cyberbeveiliging van medische hulpmiddelen

Sytance · Bijgewerkt 15 september 2026

Cyberbeveiliging van medische hulpmiddelen richt zich op aanvallen die het veilige en doeltreffende gebruik van een hulpmiddel kunnen aantasten. De wettelijke vereisten betreffen het ontwerp van het product en de manier waarop de fabrikant de bescherming na uitgave in stand houdt. De toepasselijke regels hangen af van de markt waarop het hulpmiddel wordt geleverd.

Veiligheids- en levenscyclusregelgeving

Een beveiligingszwakte kan een aanvaller in staat stellen een klinische meting te wijzigen of een functie van het hulpmiddel te onderbreken. De analyse moet het effect op het beoogde gebruik van het hulpmiddel toelichten en vervolgens beoordelen of het ontwerp dat risico beheerst. Nieuwe kwetsbaarheden en softwarewijzigingen kunnen aanleiding geven tot een bijgewerkte beoordeling.

Regelgevingslagen

Indieningen in de VS volgen de vereisten en richtsnoeren van de FDA; de technische documentatie voor de EU behandelt de MDR of IVDR. Hetzelfde testresultaat kan beide ondersteunen wanneer het van toepassing is op de ingediende configuratie van het hulpmiddel. In elk dossier moet wel worden uitgelegd welke wettelijke eis door dat resultaat wordt ondersteund.

FDA vóór het in de handel brengen

Licht het beveiligingsontwerp en de tests van het hulpmiddel toe. Indieningen voor kwalificerende cyberapparaten moeten ook de informatie bevatten die op grond van artikel 524B vereist is.

FDA na het in de handel brengen

Beoordeel nieuwe kwetsbaarheden, lever passende oplossingen en bepaal of een actie in het veld moet worden gemeld.

EU-MDR en MDCG

Licht toe hoe softwarebeveiliging de veiligheid en prestaties van het hulpmiddel ondersteunt en verstrek de informatie die nodig is voor de beoogde IT-omgeving.

Normen en registraties

IEC 81001-5-1 beschrijft de veilige ontwikkeling en het onderhoud van gezondheidssoftware. Productregistraties laten zien hoe deze activiteiten op een hulpmiddel zijn toegepast.

Cyberbeveiligingsregistraties

De registraties lichten verschillende onderdelen van de analyse toe. Een SBOM identificeert bijvoorbeeld een component in het hulpmiddel, terwijl een dreigingsmodel beschrijft hoe een aanvaller een zwakte kan uitbuiten. Een testresultaat helpt vervolgens bepalen of de gekozen bescherming werkt.

De beveiligingsarchitectuur beschrijft de grens van het hulpmiddel, gegevensstromen, vertrouwensgrenzen, het updatepad en verbonden systemen.
Dreigingsmodellering beschrijft hoe misbruik, aanvalspaden en falende maatregelen de veiligheid of prestaties kunnen beïnvloeden.
Een SBOM registreert softwarecomponenten zodat monitoring van kwetsbaarheden en beslissingen over updates traceerbaar zijn.
Etikettering en gebruikersinformatie lichten veilig gebruik, minimale vereisten voor de IT-omgeving, de afhandeling van updates en gedeelde verantwoordelijkheden toe.