Gdzie zaczyna się problem
Jeżeli wyrób komunikuje się z aplikacją, chmurą, systemem szpitalnym, kontem użytkownika albo bazą danych, producent powinien wykazać, że ryzyka cyberbezpieczeństwa są rozpoznane i kontrolowane. Dotyczy to zarówno urządzeń, jak i MDSW, czyli oprogramowania jako wyrobu medycznego.
Co powinno być w dokumentacji
- opis architektury i przepływu danych
- lista aktywów, interfejsów i punktów dostępu
- analiza zagrożeń i podatności
- wymagania bezpieczeństwa przypisane do ryzyk
- walidacja zabezpieczeń i testy
- proces aktualizacji, łatania podatności i obsługi incydentów
- informacje dla użytkownika dotyczące bezpiecznej konfiguracji
Częsty błąd młodych firm technologicznych
Firma traktuje cyberbezpieczeństwo jako sprawę infrastruktury chmurowej, a nie jako element dokumentacji wyrobu. Tymczasem jednostka notyfikowana może oczekiwać powiązania zabezpieczeń z przewidzianym zastosowaniem, ryzykiem klinicznym, walidacją i informacją dla użytkownika.
Od czego zacząć
Dobrym punktem wyjścia jest wstępny przegląd cyberbezpieczeństwa oprogramowania medycznego lub wyrobu połączonego: analiza architektury, danych, ryzyk, dokumentacji i brakujących dowodów przed rozmową z placówką medyczną, inwestorem albo jednostką notyfikowaną.
Źródła i punkty odniesienia
- MDCG 2019-16 rev.1: wytyczne dotyczące cyberbezpieczeństwa wyrobów medycznych
- PN-EN ISO 27799:2026-03 — zabezpieczenia informacji w ochronie zdrowia
- MDR 2017/745 — ogólne wymogi bezpieczeństwa i działania
Prowadzi kwalifikację wyrobu, dobór ścieżki oceny zgodności oraz prace nad dokumentacją techniczną i systemem jakości.
