Cibersegurança de dispositivos médicos no âmbito do MDR da UE e das orientações MDCG

Requisitos de cibersegurança do anexo I

O MDR não utiliza a formulação da secção 524B. As evidências de cibersegurança assentam nos requisitos gerais de segurança e desempenho, em especial nas regras relativas à conceção de software, à gestão de riscos, à segurança da informação, à proteção contra o acesso não autorizado, ao ambiente operacional previsto e às instruções de utilização.

For devices that incorporate software or for software that are devices in themselves, the software shall be developed and manufactured in accordance with the state of the art taking into account the principles of development life cycle, risk management, including information security, verification and validation.

Regulamento (UE) 2017/745, anexo I, ponto 17.2 (original em inglês)

O anexo I integra a segurança da informação na gestão dos riscos do software. Por exemplo, alterações não autorizadas a dados clínicos podem afetar um diagnóstico, enquanto a indisponibilidade de um serviço necessário pode impedir o dispositivo de executar a sua função prevista. Avalie as consequências no ambiente de utilização efetivo do dispositivo.

Estatuto da MDCG 2019-16

A MDCG 2019-16 foi publicada pela primeira vez em dezembro de 2019 e revista em julho de 2020, na revisão 1. É uma orientação oficial da MDCG, publicada pela Comissão Europeia para apoiar uma aplicação coerente do MDR e do IVDR. A orientação não é juridicamente vinculativa.

A MDCG 2019-16 explica de que forma as decisões de segurança afetam a segurança e o desempenho dos dispositivos. Aborda também a proteção esperada do ambiente operacional e as informações que os fabricantes têm de fornecer aos utilizadores. Estas explicações ajudam a relacionar a conceção do produto com os requisitos aplicáveis do MDR ou do IVDR.

Estrutura do ficheiro técnico

Os registos de cibersegurança fazem parte da documentação técnica do MDR e do sistema de vigilância pós-comercialização. A sua organização deve demonstrar como o fabricante cumpre os requisitos pertinentes do MDR.

• Gestão de riscos: ameaças de segurança, vulnerabilidades, controlos de risco, riscos residuais, interação com a segurança e evidências de verificação.
• Conceção e fabrico: arquitetura segura, controlos do ciclo de vida do software, codificação segura, gestão de configuração, mecanismos de atualização e premissas relativas à cadeia de abastecimento.
• Verificação e validação: ensaios das funcionalidades de segurança, análise de vulnerabilidades, ensaios fuzz, testes de penetração, análise de código seguro e revisão de componentes de terceiros, quando pertinente.
• Informações para o utilizador: configuração segura, instruções de atualização, restrições de compatibilidade, portas e protocolos de rede, cópia de segurança e restauro, registos, período de suporte e informações sobre a desativação.
• Vigilância pós-comercialização e vigilância regulamentar: monitorização de vulnerabilidades emergentes, incidentes no terreno, problemas com componentes de terceiros, alterações ao panorama de ameaças e ações corretivas ou preventivas.

A MDCG aborda capacidades de segurança destinadas a resolver problemas distintos. A autenticação e a autorização restringem o acesso; os registos de auditoria ajudam a investigar ações; a cópia de segurança e a recuperação restabelecem a operação após uma interrupção. Selecione e verifique as capacidades necessárias para o dispositivo concreto e os respetivos riscos.

Diferenças face às submissões da FDA

A documentação da FDA e da UE utiliza frequentemente os mesmos registos de engenharia, mas segue requisitos e estruturas regulamentares diferentes. Um modelo de ameaças, uma SBOM, uma arquitetura de segurança ou um relatório de testes de penetração só podem sustentar ambas as jurisdições se o ficheiro explicar de que forma abordam os requisitos legais pertinentes.