Consulenza su sicurezza informatica e conformità dei dispositivi medici

Qualsiasi dispositivo o sistema connesso dotato di software, logica programmabile, interfacce di rete, funzionalità wireless, supporti rimovibili, servizi cloud, applicazioni mobili, meccanismi di aggiornamento o altre tecnologie sfruttabili può presentare rischi di cybersicurezza e dovrebbe essere valutato nel suo ambiente di utilizzo previsto. Il termine legale più restrittivo di FDA, ​dispositivo cyber​, presenta tre elementi: software autorizzato dallo sponsor, connettività Internet e caratteristiche tecnologiche che potrebbero essere vulnerabili a minacce di cybersicurezza. Un prodotto può comunque necessitare della gestione del rischio di cybersicurezza anche laddove non soddisfi tale specifica definizione legale.

Per una sottomissione pre-market rientrante nella sezione 524B, lo sponsor deve fornire informazioni che dimostrino che il dispositivo cyber soddisfa i requisiti di cybersicurezza previsti dalla legge. Tali requisiti includono un piano per monitorare, identificare e gestire le vulnerabilità e i relativi exploit post-commercializzazione; processi e procedure volti a fornire una ragionevole garanzia che il dispositivo e i sistemi correlati siano informaticamente sicuri e possano ricevere aggiornamenti e patch adeguati; e una distinta base software (SBOM) che copra componenti commerciali, open-source e pronti all'uso. FDA ne spiega l'ambito nelle sue domande frequenti sulla cybersicurezza dei dispositivi medici.

Le evidenze dovrebbero essere commisurate al rischio di cybersicurezza del dispositivo e al tipo di sottomissione. A seconda dell'applicabilità, possono includere la documentazione sulla gestione del rischio di sicurezza, il threat modeling, le viste architetturali, i requisiti di sicurezza e la tracciabilità, i test di cybersicurezza, la valutazione delle anomalie non risolte, una SBOM, l'etichettatura e i piani per il monitoraggio delle vulnerabilità, la divulgazione coordinata, gli aggiornamenti e le patch. La linea guida sulla cybersicurezza pre-market di FDA di febbraio 2026 è la fonte attuale per le sue raccomandazioni e per la trattazione della sezione 524B.

L'MDR UE affronta la cybersicurezza nell'ambito della sicurezza, delle prestazioni, della gestione del rischio, del ciclo di vita del software, della documentazione tecnica e degli obblighi post-commercializzazione, anziché come un'autorizzazione all'immissione in commercio separata. I controlli applicabili dipendono dal dispositivo, dalla destinazione d'uso, dall'ambiente operativo e dallo stato dell'arte. I fabbricanti devono collegare i rischi e i controlli di cybersicurezza ai Requisiti Generali di Sicurezza e Prestazione dell'Allegato I e conservare le evidenze di supporto nella documentazione tecnica. La Commissione europea indica la guida MDCG 2019-16 rev.1 come proprio documento di orientamento sulla cybersicurezza dei dispositivi medici.

Nessuna norma universale impone che ogni dispositivo medico connesso sia in possesso di un certificato IEC 81001-5-1. La norma IEC 81001-5-1:2021 definisce le attività e i compiti del ciclo di vita per lo sviluppo e la manutenzione di software sanitario sicuro. Può fornire un utile quadro di riferimento per i processi e una fonte di evidenze, ma l'uso dello standard non autorizza di per sé un dispositivo né sostituisce i requisiti applicabili in materia di FDA, UE, sistema di gestione della qualità, gestione del rischio, software, collaudo e post-commercializzazione. La dichiarazione di conformità applicabile deve essere definita per lo specifico prodotto e mercato.

No. La cybersicurezza prosegue lungo l'intero ciclo di vita del prodotto. I fabbricanti necessitano di processi controllati per il monitoraggio delle vulnerabilità e delle minacce, la ricezione di segnalazioni esterne, la valutazione della sicurezza e della sfruttabilità, la divulgazione coordinata, lo sviluppo e la validazione di aggiornamenti o patch, la comunicazione con gli utenti, la valutazione dell'obbligo di segnalazione e l'aggiornamento della documentazione relativa a rischi, aspetti tecnici, etichettatura e qualità. Le modifiche al prodotto devono inoltre essere valutate per determinare se sia necessaria una nuova sottomissione regolatoria, l'interazione con un organismo notificato o un'altra azione specifica per il mercato target.