Cibersegurança dos dispositivos médicos

Sytance · Atualizado 6 de outubro de 2026

A cibersegurança dos dispositivos médicos aborda ameaças que podem afetar a segurança e o desempenho do dispositivo ao longo de todo o seu ciclo de vida. Os fabricantes utilizam registos de conceção, modelos de ameaças, SBOM e ensaios para avaliar esses riscos e, em seguida, mantêm a proteção através de atualizações, informações para o utilizador e monitorização pós-comercialização. Os requisitos regulamentares diferem entre os Estados Unidos e a União Europeia.

Requisitos regulamentares e trabalho técnico

Para uma submissão nos EUA, comece pela orientação da FDA para a fase pré-comercialização e pelos critérios da secção 524B. Para a avaliação da conformidade na UE, comece pelos requisitos do MDR ou do IVDR. As páginas técnicas explicam o trabalho de suporte, desde a arquitetura e a avaliação de riscos até aos ensaios e à manutenção pós-comercialização.

Evidências da FDA antes da comercialização

A FDA recomenda explicar como o dispositivo foi concebido e ensaiado de forma segura e como serão geridos os respetivos riscos de cibersegurança após a comercialização. A secção 524B estabelece requisitos legais adicionais para submissões relativas a ciberdispositivos que cumpram os critérios.

Gestão pós-comercialização da FDA

A orientação pós-comercialização da FDA explica como avaliar vulnerabilidades recentemente descobertas e decidir se os controlos existentes continuam a ser adequados. O risco resultante para a segurança dos doentes influencia a urgência da correção e as considerações de comunicação aplicáveis.

Evidências do MDR da UE e da MDCG

O MDR e o IVDR abordam a segurança da informação no desenvolvimento de software e na gestão de riscos. A documentação técnica e as instruções têm de explicar a utilização segura no ambiente informático previsto. A MDCG 2019-16 fornece orientações para aplicar estes requisitos.

Registos do ciclo de vida

A IEC 81001-5-1 descreve atividades de desenvolvimento e manutenção seguros para software de saúde. As páginas técnicas explicam como a arquitetura, as informações sobre componentes e os resultados dos ensaios ajudam a avaliar um dispositivo e a mantê-lo após a comercialização.

Ordem de leitura

Cibersegurança pré-comercialização da FDA para o conteúdo da submissão, a secção 524B, a arquitetura de segurança, os ensaios, a rotulagem e os planos de gestão.
Gestão pós-comercialização da FDA para a monitorização de vulnerabilidades, os riscos controlados e não controlados, as atualizações de rotina, a divulgação coordenada e as correções no terreno.
Cibersegurança do MDR da UE e da MDCG para os requisitos de software e segurança do anexo I, as evidências relativas ao ambiente operacional previsto, as informações para o utilizador, a vigilância pós-comercialização e a vigilância regulamentar.
IEC 81001-5-1 para o processo do ciclo de vida seguro do software de saúde, que pode sustentar evidências da FDA e da UE sem substituir nenhum dos dois enquadramentos.
SBOM e modelação de ameaças para os dois registos que mais frequentemente se confundem e para a forma como se relacionam com a arquitetura, os ensaios e a monitorização pós-comercialização.

Distinção regulamentar

As submissões dos EUA e da UE podem basear-se na mesma conceção do dispositivo e nos mesmos resultados de ensaio, mas os requisitos legais diferem. Por exemplo, a secção 524B especifica o conteúdo das submissões dos EUA relativas a ciberdispositivos que cumpram os critérios. O trabalho de cibersegurança na UE segue os requisitos aplicáveis do MDR ou do IVDR. Explique de que forma os registos técnicos abordam os requisitos do mercado em causa.