Cyberbezpieczeństwo wyrobów medycznych

Sytance · Zaktualizowano 6 października 2026

Cyberbezpieczeństwo wyrobów medycznych obejmuje zagrożenia mogące wpływać na bezpieczeństwo i działanie wyrobu przez cały okres jego użytkowania. Producenci oceniają takie ryzyko za pomocą dokumentacji projektowej, modeli zagrożeń, SBOM-ów i testów, a następnie utrzymują ochronę poprzez aktualizacje, informacje dla użytkowników i monitorowanie po wprowadzeniu do obrotu. Wymagania regulacyjne różnią się między Stanami Zjednoczonymi a Unią Europejską.

Wymagania regulacyjne i prace techniczne

W przypadku wniosku w USA należy zacząć od wytycznych FDA dotyczących etapu przedrynkowego i kryteriów z sekcji 524B. W przypadku oceny zgodności w UE należy zacząć od wymagań MDR lub IVDR. Strony techniczne opisują prace pomocnicze — od architektury i oceny ryzyka po testy i utrzymanie po wprowadzeniu do obrotu.

Dowody FDA na etapie przedrynkowym

FDA zaleca wyjaśnienie, w jaki sposób wyrób zaprojektowano i przetestowano z uwzględnieniem bezpieczeństwa oraz jak będą zarządzane zagrożenia cyberbezpieczeństwa po jego wprowadzeniu do obrotu. Sekcja 524B ustanawia dodatkowe wymagania prawne dla kwalifikujących się wniosków dotyczących wyrobów cybernetycznych.

Zarządzanie po wprowadzeniu do obrotu według FDA

Wytyczne FDA dotyczące okresu po wprowadzeniu do obrotu wyjaśniają, jak oceniać nowo wykryte podatności i ustalać, czy istniejące środki kontroli pozostają odpowiednie. Wynikające z tego ryzyko dla bezpieczeństwa pacjentów wpływa na pilność działań naprawczych oraz na obowiązujące zasady zgłaszania.

Dowody UE MDR i MDCG

MDR i IVDR uwzględniają bezpieczeństwo informacji w rozwoju oprogramowania i zarządzaniu ryzykiem. Dokumentacja techniczna i instrukcje muszą wyjaśniać bezpieczne użytkowanie w zamierzonym środowisku IT. MDCG 2019-16 zawiera wytyczne dotyczące stosowania tych wymagań.

Zapisy dotyczące cyklu życia

IEC 81001-5-1 opisuje działania na rzecz bezpiecznego rozwoju i utrzymania oprogramowania medycznego. Strony techniczne wyjaśniają, jak architektura, informacje o komponentach i wyniki testów pomagają oceniać wyrób oraz utrzymywać go po wprowadzeniu do obrotu.

Kolejność lektury

Cyberbezpieczeństwo FDA na etapie przedrynkowym wymagania dotyczące treści wniosku, sekcja 524B, architektura bezpieczeństwa, testy, oznakowanie i plany zarządzania.
Zarządzanie FDA po wprowadzeniu do obrotu monitorowanie podatności, ryzyko kontrolowane i niekontrolowane, rutynowe aktualizacje, skoordynowane ujawnianie podatności i działania korygujące w terenie.
Cyberbezpieczeństwo UE MDR i MDCG wymagania załącznika I dotyczące oprogramowania i bezpieczeństwa, dowody odnoszące się do zamierzonego środowiska działania, informacje dla użytkownika, nadzór po wprowadzeniu do obrotu (PMS) i zgłoszenia incydentów (vigilance).
IEC 81001-5-1 proces bezpiecznego cyklu życia oprogramowania medycznego, który może wspierać dowody dla FDA i UE bez zastępowania któregokolwiek z tych systemów regulacyjnych.
SBOM-y i modelowanie zagrożeń dwa rodzaje dokumentacji najczęściej ze sobą mylone oraz ich powiązania z architekturą, testami i monitorowaniem po wprowadzeniu do obrotu.

Podział wymagań regulacyjnych

Wnioski składane w USA i UE mogą opierać się na tym samym projekcie wyrobu i wynikach testów, ale wymagania prawne są różne. Na przykład sekcja 524B określa treść wniosków w USA dotyczących kwalifikujących się wyrobów cybernetycznych. Działania z zakresu cyberbezpieczeństwa w UE podlegają odpowiednim wymaganiom MDR lub IVDR. Należy wyjaśnić, w jaki sposób dokumentacja techniczna odpowiada wymaganiom właściwego rynku.