IEC 81001-5-1

Che cos'è la norma IEC 81001-5-1?

IEC 81001-5-1:2021 definisce i requisiti del ciclo di vita per lo sviluppo e la manutenzione del software sanitario. Stabilisce un quadro comune di processi, attività e compiti destinati a rafforzare sia il software risultante sia i processi del ciclo di vita utilizzati per crearlo e mantenerlo.

Il suo ambito di applicazione va oltre una singola scansione delle vulnerabilità o un singolo penetration test. La cybersecurity è trattata come una responsabilità del ciclo di vita del prodotto che deve essere bilanciata con la sicurezza e l'efficacia.

Quali prodotti può coprire la norma IEC 81001-5-1?

La norma si applica al software sanitario, una categoria più ampia rispetto al software che si qualifica come dispositivo medico regolamentato in ciascuna giurisdizione. Un fabbricante deve quindi determinare sia se il prodotto rientra nell'ambito di applicazione della norma, sia se è regolamentato come dispositivo medico o cyber device in ciascun mercato di destinazione.

L'applicazione della norma non determina di per sé la qualificazione del prodotto, la classificazione o il percorso di sottomissione richiesto.

In che modo la norma IEC 81001-5-1 si collega ad altre norme sul software?

La norma IEC 81001-5-1 adatta i principi di sviluppo sicuro associati alla norma IEC 62443-4-1 alle esigenze del software sanitario. Può operare parallelamente ai processi relativi al ciclo di vita del software per dispositivi medici, alla gestione del rischio, all'usabilità e ai sistemi di gestione della qualità.

I confini dovrebbero essere documentati chiaramente: una norma non soddisfa automaticamente tutti i requisiti di un'altra e le evidenze di sicurezza dovrebbero rimanere collegate all'architettura del dispositivo, ai rischi per la sicurezza, all'ambiente previsto e al modello di manutenzione.

Che cosa ha chiarito il foglio di interpretazione 2025?

Il foglio di interpretazione 1:2025 chiarisce i requisiti esistenti relativi alle informazioni di accompagnamento essenziali per il trasferimento dei rischi degli elementi software dal fabbricante all'organizzazione responsabile o all'operatore, nonché i requisiti necessari per mantenere la sicurezza del prodotto.

La pubblicazione di base IEC specifica ora che i contenuti del foglio di interpretazione sono inclusi. I team che utilizzano una copia controllata meno recente dovrebbero assicurarsi che l'interpretazione venga presa in considerazione nella loro valutazione di conformità.

La norma IEC 81001-5-1 soddisfa i requisiti di cybersecurity di FDA?

Non da sola. La guida sulla cybersecurity pre-market di FDA di febbraio 2026 affronta la progettazione della cybersecurity dei dispositivi, l'etichettatura, le considerazioni sul sistema di gestione della qualità e la documentazione di sottomissione. I requisiti normativi di legge si applicano anche ai prodotti che soddisfano la definizione statunitense di cyber device.

I fabbricanti dovrebbero mappare le evidenze della norma rispetto all'autorità regolatoria di destinazione, invece di formulare una dichiarazione generica di equivalenza. Il servizio di cybersecurity per dispositivi medici di Pure Global supporta tale mappatura specifica per il mercato e la relativa strategia di sottomissione.