Regulacje dotyczące cyberbezpieczeństwa wyrobów medycznych

Sytance · Zaktualizowano 15 września 2026

Cyberbezpieczeństwo wyrobów medycznych dotyczy ataków, które mogą wpływać na bezpieczne i skuteczne użytkowanie wyrobu. Wymagania regulacyjne odnoszą się do projektu produktu oraz sposobu, w jaki producent utrzymuje ochronę po jego wprowadzeniu do obrotu. Obowiązujące przepisy zależą od rynku, na którym wyrób jest dostarczany.

Przepisy dotyczące bezpieczeństwa i cyklu życia

Luka w zabezpieczeniach może umożliwić atakującemu zmianę pomiaru klinicznego lub zakłócenie działania wyrobu. Analiza musi wyjaśniać wpływ na zamierzone zastosowanie wyrobu, a następnie oceniać, czy projekt uwzględnia dane ryzyko za pomocą środków kontroli. Nowe podatności i zmiany oprogramowania mogą wymagać aktualizacji oceny.

Warstwy regulacyjne

Wnioski składane w USA podlegają wymaganiom i wytycznym FDA; dokumentacja techniczna dla UE odnosi się do MDR lub IVDR. Ten sam wynik testu może stanowić dowód na potrzeby obu rynków, jeśli dotyczy konfiguracji wyrobu objętej wnioskiem. Każda dokumentacja musi jednak wyjaśniać, które wymaganie regulacyjne potwierdza ten wynik.

FDA — etap przedrynkowy

Należy opisać projekt zabezpieczeń wyrobu i testy. W przypadku kwalifikujących się wniosków dotyczących wyrobów cybernetycznych wymagane są także informacje określone w sekcji 524B.

FDA — etap poproduktowy

Należy oceniać nowe podatności, wprowadzać odpowiednie poprawki i ustalać, czy działanie dotyczące wyrobów znajdujących się u użytkowników podlega zgłoszeniu.

UE MDR i MDCG

Należy wyjaśnić, w jaki sposób bezpieczeństwo oprogramowania wspiera bezpieczeństwo i działanie wyrobu, oraz dostarczyć informacje potrzebne dla jego zamierzonego środowiska IT.

Normy i zapisy

IEC 81001-5-1 opisuje bezpieczny rozwój i utrzymanie oprogramowania medycznego. Zapisy dotyczące produktu pokazują, jak zastosowano te działania do konkretnego wyrobu.

Zapisy dotyczące cyberbezpieczeństwa

Zapisy te wyjaśniają różne elementy analizy. Na przykład SBOM identyfikuje komponent użyty w wyrobie, a model zagrożeń wyjaśnia, w jaki sposób atakujący mógłby wykorzystać lukę w tym komponencie. Wynik testu pomaga następnie ustalić, czy wybrana ochrona działa.

Architektura bezpieczeństwa wyjaśnia granice wyrobu, przepływy danych, granice zaufania, ścieżkę aktualizacji i połączone systemy.
Modelowanie zagrożeń wyjaśnia, w jaki sposób niewłaściwe użycie, ścieżki ataku i awarie środków kontroli mogą wpływać na bezpieczeństwo lub działanie.
Zapisy SBOM wymieniają komponenty oprogramowania, umożliwiając śledzenie monitorowania podatności i decyzji dotyczących aktualizacji.
Oznakowanie i informacje dla użytkownika wyjaśniają bezpieczne użytkowanie, minimalne wymagania dotyczące środowiska IT, obsługę aktualizacji oraz podział obowiązków.