MDR — Medical Device Regulation
Kybernetická bezpečnost zdravotnických prostředků. Pomůžeme výrobcům splnit požadavky nařízení MDR v oblasti bezpečnosti software, komunikace a řízení rizik.
MDR a kybernetická bezpečnost
Nařízení MDR (EU 2017/745) stanovuje, že zdravotnické prostředky musí být navrženy a vyrobeny tak, aby eliminovaly nebo minimalizovaly rizika spojená s kybernetickou bezpečností. To zahrnuje software jako zdravotnický prostředek (SaMD) i software zabudovaný v prostředku (SiMD).
Výrobci musí prokázat, že implementovali přiměřená bezpečnostní opatření během celého životního cyklu produktu — od návrhu přes vývoj, validaci, uvedení na trh až po post-market surveillance.
Požadavky MDR na bezpečnost
- Bezpečný návrh a vývoj software
- Ochrana proti neoprávněnému přístupu
- Řízení rizik dle ISO 14971
- Validace bezpečnostních opatření
Klíčové výzvy
- Rostoucí počet kybernetických útoků na zdravotnictví
- Konektivita a IoMT prostředky
- Ochrana osobních údajů pacientů
- Dlouhý životní cyklus prostředků
Bezpečnost v životním cyklu prostředku
Kybernetická bezpečnost musí být integrována do každé fáze životního cyklu zdravotnického prostředku
Koncept & plánování
Definice bezpečnostních požadavků, threat modeling, bezpečnostní architektura
Vývoj & testování
Secure coding, code review, SAST/DAST, penetrační testy
Validace & certifikace
Validace bezpečnosti, příprava dokumentace pro notifikovaný orgán
Uvedení na trh
Deployment bezpečnostních opatření, školení uživatelů
Post-market
Monitoring zranitelností, incident response, aktualizace
Vyřazení
Bezpečná dekomise, výmaz dat, dokumentace ukončení
Naše služby pro MDR
Komplexní podpora kybernetické bezpečnosti zdravotnických prostředků
Bezpečnost software
Zajišťujeme kybernetickou bezpečnost softwaru zdravotnických prostředků v souladu s MDR a harmonizovanými normami.
- Bezpečnostní architektura software
- Secure coding guidelines
- Validace vstupů a výstupů
- Bezpečné šifrování dat
Aktualizace a patch management
Řízení procesu aktualizací a záplatování zranitelností po celou dobu životního cyklu zdravotnického prostředku.
- Strategie aktualizací
- Testování bezpečnostních záplat
- Řízený deployment
- Dokumentace změn dle MDR
Ochrana proti manipulaci
Implementace opatření proti neoprávněné manipulaci se zdravotnickým prostředkem a jeho softwarem.
- Tamper detection & prevention
- Integritní kontroly
- Zabezpečení boot procesu
- Digitální podpisy firmware
Bezpečnost komunikace
Zabezpečení veškeré komunikace zdravotnického prostředku s okolním prostředím a dalšími systémy.
- Šifrovaná komunikace (TLS/mTLS)
- Autentizace a autorizace
- Bezpečné API rozhraní
- Síťová segmentace
Risk management životního cyklu
Průběžné řízení kybernetických rizik během celého životního cyklu zdravotnického prostředku dle ISO 14971.
- Analýza hrozeb a zranitelností
- FMEA a fault tree analysis
- Hodnocení reziduálního rizika
- Post-market surveillance
Technická dokumentace MDR
Příprava kompletní technické dokumentace kybernetické bezpečnosti vyžadované nařízením MDR.
- Cybersecurity file
- Software Bill of Materials (SBOM)
- Penetrační testy a reporty
- Dokumentace pro notifikovaný orgán
Relevantní normy a regulace
Orientujeme se v komplexním regulatorním prostředí zdravotnických prostředků
Nařízení EU o zdravotnických prostředcích
Bezpečnost průmyslových řídicích systémů
Řízení rizik zdravotnických prostředků
Bezpečnost softwaru zdravotnických prostředků
Pokyny pro kybernetickou bezpečnost
Premarket & postmarket cybersecurity
Často kladené otázky
Co je MDR a jak souvisí s kybernetickou bezpečností?
MDR (Medical Device Regulation, EU 2017/745) je nařízení EU o zdravotnických prostředcích, které klade důraz na bezpečnost a výkonnost. Kybernetická bezpečnost je klíčovou součástí, zejména pro prostředky obsahující software nebo připojené k síti.
Které zdravotnické prostředky podléhají požadavkům na kybernetickou bezpečnost?
Všechny zdravotnické prostředky obsahující software (SaMD i SiMD), prostředky připojené k síti, prostředky zpracovávající osobní údaje pacientů a prostředky s bezdrátovou komunikací.
Jaké normy se vztahují na kybernetickou bezpečnost zdravotnických prostředků?
Klíčové normy zahrnují IEC 81001-5-1 (bezpečnost software), ISO 14971 (řízení rizik), IEC 62443 (průmyslová bezpečnost) a pokyny MDCG 2019-16. FDA má vlastní guidance dokumenty pro americký trh.
Je nutné provádět penetrační testování zdravotnických prostředků?
Ano, penetrační testování je očekáváno notifikovanými orgány jako součást validace kybernetické bezpečnosti. Je důležité testovat jak software samotný, tak komunikační rozhraní a integraci s dalšími systémy.
Jak řešit zranitelnosti po uvedení prostředku na trh?
MDR vyžaduje post-market surveillance včetně sledování nových zranitelností (CVE), koordinovaného zveřejňování zranitelností, procesu pro bezpečnostní aktualizace a komunikaci s uživateli a regulačními orgány.
Potřebujete pomoc s kybernetickou bezpečností zdravotnických prostředků?
Kontaktujte nás pro nezávaznou konzultaci. Pomůžeme vám s MDR compliance a bezpečností vašich zdravotnických prostředků.