Consultoria em Cibersegurança e Conformidade de Dispositivos Médicos

Qualquer dispositivo ou sistema conectado com software, lógica programável, interfaces de rede, funções sem fio, mídias removíveis, serviços em nuvem, aplicativos móveis, mecanismos de atualização ou outra tecnologia explorável pode apresentar risco de cibersegurança e deve ser avaliado em seu ambiente pretendido. O termo legal mais restrito da FDA, ​dispositivo cibernético​, possui três elementos: software autorizado pelo patrocinador, conectividade com a internet e características tecnológicas que possam ser vulneráveis a ameaças de cibersegurança. Um produto ainda pode necessitar de gerenciamento de risco de cibersegurança mesmo quando não cumpre essa definição legal específica.

Para uma submissão pré-comercialização abrangida pela seção 524B, o patrocinador deve fornecer informações que demonstrem que o dispositivo cibernético atende aos requisitos legais de cibersegurança. Estes incluem um plano para monitorar, identificar e tratar vulnerabilidades e explorações pós-comercialização; processos e procedimentos destinados a fornecer garantia razoável de que o dispositivo e os sistemas relacionados sejam ciberseguros e possam receber atualizações e correções adequadas; e uma lista de componentes de software (SBOM) que abranja componentes comerciais, de código aberto e prontos para uso. A FDA explica o escopo em suas perguntas frequentes sobre cibersegurança em dispositivos médicos.

As evidências devem ser proporcionais ao risco de cibersegurança do dispositivo e ao tipo de submissão. Dependendo da aplicabilidade, podem incluir documentação de gerenciamento de risco de segurança, modelagem de ameaças, visões de arquitetura, requisitos de segurança e rastreabilidade, testes de cibersegurança, avaliação de anomalias não resolvidas, uma SBOM, rotulagem e planos para monitoramento de vulnerabilidades, divulgação coordenada, atualizações e correções. O guia de cibersegurança pré-comercialização de fevereiro de 2026 da FDA é a fonte atual para suas recomendações e abordagem da seção 524B.

A MDR da UE trata a cibersegurança no âmbito da segurança, desempenho, gerenciamento de risco, ciclo de vida do software, documentação técnica e obrigações pós-comercialização, em vez de exigir uma autorização de comercialização separada. Os controles aplicáveis dependem do dispositivo, do uso pretendido, do ambiente operacional e do estado da arte. Os fabricantes devem associar os riscos e controles de cibersegurança aos Requisitos Gerais de Segurança e Desempenho do Anexo I e manter a documentação comprobatória na documentação técnica. A Comissão Europeia lista o MDCG 2019-16 rev.1 como seu guia sobre cibersegurança para dispositivos médicos.

Nenhuma regra universal exige que todo dispositivo médico conectado possua um certificado IEC 81001-5-1. A norma IEC 81001-5-1:2021 define atividades e tarefas do ciclo de vida para o desenvolvimento e manutenção de software em saúde seguro. Ela pode fornecer uma estrutura de processos e uma fonte de evidências úteis, mas o uso da norma não autoriza, por si só, o dispositivo nem substitui os requisitos aplicáveis da FDA, da UE, do sistema de gestão da qualidade, de gerenciamento de risco, de software, de testes e de pós-comercialização. A declaração de conformidade aplicável deve ser definida para o produto e o mercado.

Não. A cibersegurança continua ao longo de todo o ciclo de vida do produto. Os fabricantes precisam de processos controlados para monitorar vulnerabilidades e ameaças, receber relatos externos, avaliar a segurança e a explorabilidade, coordenar divulgações, desenvolver e validar atualizações ou correções, comunicar-se com os usuários, avaliar a obrigatoriedade de notificação e atualizar registros de risco, técnicos, de rotulagem e de qualidade. Alterações no produto também devem ser avaliadas para determinar se é necessária uma nova submissão regulatória, interação com o organismo notificado ou outra ação específica do mercado.