Cyberbezpieczeństwo wyrobów medycznych na podstawie MDR UE i wytycznych MDCG

Wymagania dotyczące cyberbezpieczeństwa w załączniku I

MDR nie posługuje się terminologią sekcji 524B. Podstawą dowodów dotyczących cyberbezpieczeństwa są ogólne wymagania dotyczące bezpieczeństwa i działania, zwłaszcza zasady projektowania oprogramowania, zarządzania ryzykiem, bezpieczeństwa informacji, ochrony przed nieuprawnionym dostępem, zamierzonego środowiska działania i instrukcji użytkowania.

W przypadku wyrobów zawierających oprogramowanie lub oprogramowania stanowiącego wyrób oprogramowanie należy rozwijać i wytwarzać zgodnie z aktualnym stanem wiedzy technicznej, z uwzględnieniem zasad cyklu życia oprogramowania, zarządzania ryzykiem, w tym bezpieczeństwem informacji, weryfikacji i walidacji.

Rozporządzenie (UE) 2017/745, załącznik I, pkt 17.2 (oryginał angielski)

Załącznik I uwzględnia bezpieczeństwo informacji w zarządzaniu ryzykiem oprogramowania. Na przykład nieuprawnione zmiany danych klinicznych mogą wpłynąć na diagnozę, a utrata wymaganej usługi może uniemożliwić wyrobowi realizację jego zamierzonej funkcji. Należy ocenić konsekwencje w rzeczywistym środowisku użytkowania wyrobu.

Status MDCG 2019-16

MDCG 2019-16 wydano po raz pierwszy w grudniu 2019 r., a następnie znowelizowano w lipcu 2020 r. jako rewizję 1. Są to oficjalne wytyczne MDCG, opublikowane przez Komisję Europejską w celu wspierania spójnego stosowania MDR i IVDR. Wytyczne nie są prawnie wiążące.

MDCG 2019-16 wyjaśnia, w jaki sposób decyzje dotyczące bezpieczeństwa wpływają na bezpieczeństwo i działanie wyrobu. Omawia także oczekiwany poziom ochrony zapewnianej przez środowisko działania oraz informacje, które producenci powinni przekazywać użytkownikom. Wyjaśnienia te pomagają powiązać projekt produktu z odpowiednimi wymaganiami MDR lub IVDR.

Struktura dokumentacji technicznej

Dokumentacja dotycząca cyberbezpieczeństwa stanowi część dokumentacji technicznej MDR i systemu nadzoru po wprowadzeniu do obrotu. Jej układ powinien pokazywać, w jaki sposób producent spełnia odpowiednie wymagania MDR.

• Zarządzanie ryzykiem: zagrożenia bezpieczeństwa, podatności, środki kontroli ryzyka, ryzyko resztkowe, powiązanie z bezpieczeństwem wyrobu i dowody weryfikacji.
• Projektowanie i produkcja: bezpieczna architektura, środki kontroli cyklu życia oprogramowania, bezpieczne kodowanie, zarządzanie konfiguracją, mechanizmy aktualizacji i założenia dotyczące łańcucha dostaw.
• Weryfikacja i walidacja: testowanie funkcji bezpieczeństwa, skanowanie podatności, testy fuzzingowe, testy penetracyjne, analiza bezpiecznego kodu oraz, w stosownych przypadkach, przegląd komponentów stron trzecich.
• Informacje dla użytkownika: bezpieczna konfiguracja, instrukcje aktualizacji, ograniczenia kompatybilności, porty i protokoły sieciowe, tworzenie kopii zapasowych i odtwarzanie, rejestrowanie zdarzeń, okres wsparcia i informacje o wycofaniu z eksploatacji.
• PMS i zgłaszanie incydentów (vigilance): monitorowanie nowych podatności, incydentów dotyczących wyrobów znajdujących się u użytkowników, problemów z komponentami stron trzecich, zmian w krajobrazie zagrożeń oraz działań korygujących i zapobiegawczych.

MDCG omawia funkcje bezpieczeństwa rozwiązujące różne problemy. Uwierzytelnianie i autoryzacja ograniczają dostęp; zapisy audytowe pomagają badać działania; kopie zapasowe i odzyskiwanie przywracają działanie po zakłóceniu. Należy dobrać i zweryfikować funkcje potrzebne dla danego wyrobu i jego ryzyka.

Różnice w stosunku do wniosków FDA

Dokumentacja FDA i UE często opiera się na tych samych zapisach inżynieryjnych, ale ma różne wymagania i struktury regulacyjne. Model zagrożeń, SBOM, architektura bezpieczeństwa lub raport z testów penetracyjnych mogą wspierać oba systemy tylko wtedy, gdy dokumentacja wyjaśnia, w jaki sposób odpowiadają one właściwym wymaganiom prawnym.