Regulamentação da cibersegurança dos dispositivos médicos

Sytance · Atualizado 15 de setembro de 2026

A cibersegurança dos dispositivos médicos aborda ataques que possam afetar a utilização segura e eficaz de um dispositivo. Os requisitos regulamentares dizem respeito à conceção do produto e à forma como o fabricante mantém a proteção após a sua comercialização. As regras aplicáveis dependem do mercado em que o dispositivo é fornecido.

Regulamentação da segurança e do ciclo de vida

Uma vulnerabilidade de segurança pode permitir que um atacante altere uma medição clínica ou interrompa uma função do dispositivo. A análise tem de explicar o efeito na utilização prevista do dispositivo e, em seguida, avaliar se a conceção controla esse risco. Novas vulnerabilidades e alterações de software podem exigir a atualização da avaliação.

Camadas regulamentares

As submissões nos EUA seguem os requisitos e as orientações da FDA; a documentação técnica da UE aborda o MDR ou o IVDR. O mesmo resultado de ensaio pode sustentar ambos quando se aplica à configuração do dispositivo submetida. Ainda assim, cada ficheiro tem de explicar que requisito regulamentar é sustentado por esse resultado.

FDA antes da comercialização

Explique a conceção e os ensaios de segurança do dispositivo. As submissões relativas a ciberdispositivos que cumpram os critérios também necessitam das informações exigidas pela secção 524B.

FDA após a comercialização

Avalie novas vulnerabilidades, disponibilize correções adequadas e determine se é necessário comunicar uma medida no terreno.

MDR da UE e MDCG

Explique de que forma a segurança do software sustenta a segurança e o desempenho do dispositivo e forneça as informações necessárias para o ambiente informático previsto.

Normas e registos

A IEC 81001-5-1 descreve o desenvolvimento e a manutenção seguros de software de saúde. Os registos do produto demonstram como essas atividades foram aplicadas a um dispositivo.

Registos de cibersegurança

Os registos explicam diferentes partes da análise. Por exemplo, uma SBOM identifica um componente utilizado no dispositivo, enquanto um modelo de ameaças explica como um atacante poderia explorar uma vulnerabilidade nesse componente. Um resultado de ensaio ajuda, então, a determinar se a proteção escolhida funciona.

A arquitetura de segurança explica o perímetro do dispositivo, os fluxos de dados, os limites de confiança, a via de atualização e os sistemas ligados.
A modelação de ameaças explica de que forma a utilização indevida, as vias de ataque e as falhas dos controlos podem afetar a segurança ou o desempenho.
Os registos SBOM identificam componentes de software para que a monitorização de vulnerabilidades e as decisões de atualização sejam rastreáveis.
A rotulagem e as informações para o utilizador explicam a utilização segura, os requisitos mínimos do ambiente informático, a gestão de atualizações e as responsabilidades partilhadas.