Cybersécurité des dispositifs médicaux : exigences MDR, MDCG et FDA

Un dispositif médical connecté hérite des risques de tout système informatique : accès non autorisé, logiciel malveillant, vulnérabilité d'une bibliothèque tierce. Pour un patient, ces risques peuvent devenir cliniques. Les régulateurs l'ont intégré : la cybersécurité est aujourd'hui une exigence de conformité à part entière, en Europe comme aux États-Unis. Ce guide fait le point.

Ce qu'exige le MDR

Le MDR ne contient pas de chapitre « cybersécurité », mais ses exigences générales de sécurité et de performance (annexe I) la couvrent :

• Section 17.2 : les logiciels sont développés et fabriqués selon l'état de l'art, en tenant compte du cycle de vie, de la gestion des risques, y compris la sécurité de l'information, de la vérification et de la validation.
• Section 17.4 : le fabricant définit les exigences minimales en matière de matériel, de caractéristiques des réseaux informatiques et de mesures de sécurité informatique, y compris la protection contre l'accès non autorisé, nécessaires au fonctionnement prévu du logiciel.
• Section 18.8 : les dispositifs actifs sont conçus pour être protégés autant que possible contre un accès non autorisé qui pourrait nuire à leur fonctionnement.

L'IVDR contient des exigences équivalentes.

Le MDCG 2019-16

Le guide MDCG 2019-16, révisé en 2020, explique comment satisfaire ces exigences. Il insiste sur plusieurs points :

• la sécurité dès la conception et sur tout le cycle de vie ;
• l'articulation entre sécurité (security) et sûreté (safety) dans la gestion des risques ;
• les informations à fournir aux utilisateurs et aux établissements : environnement informatique requis, mesures attendues de l'exploitant, fin de prise en charge ;
• la surveillance après commercialisation des vulnérabilités et le déploiement des correctifs ;
• la responsabilité partagée entre fabricant et établissement de santé.

Les normes utiles

• IEC 81001-5-1 : processus de cycle de vie sécurisé des logiciels de santé, complémentaire de l'IEC 62304.
• IEC 62304 : cycle de vie du logiciel de dispositif médical.
• ISO 14971 : la menace informatique est une source de danger à intégrer à la gestion des risques.
• IEC/TR 60601-4-5 : capacités de sécurité des équipements électromédicaux en réseau.
• AAMI TIR57 : gestion des risques de sécurité des dispositifs médicaux.

Les textes européens voisins

• Le Cyber Resilience Act (règlement (UE) 2024/2847) exclut de son champ les produits relevant du MDR et de l'IVDR : la cybersécurité d'un dispositif médical reste régie par ces règlements.
• La directive NIS 2 (directive (UE) 2022/2555) vise, selon leur taille, les fabricants de dispositifs médicaux et de dispositifs de diagnostic in vitro (annexe II). Elle porte sur la sécurité des organisations (gouvernance, gestion des incidents, notification) plutôt que sur celle des produits.
• L'AI Act ajoute des exigences de robustesse et de cybersécurité pour les systèmes d'IA à haut risque, dont l'application aux dispositifs médicaux est fixée au 2 août 2028 ; voir notre article sur le calendrier de l'AI Act.

Ce qu'exige la FDA

Aux États-Unis, la section 524B du FD&C Act, introduite fin 2022 et applicable aux dossiers soumis depuis le 29 mars 2023, impose pour les dispositifs dits cyber (comportant un logiciel, pouvant se connecter à Internet et potentiellement vulnérables) :

• un plan de surveillance, d'identification et de traitement des vulnérabilités après commercialisation, y compris la divulgation coordonnée ;
• des processus garantissant que le dispositif et ses systèmes associés sont raisonnablement sécurisés, avec des mises à jour et correctifs ;
• un SBOM (Software Bill of Materials), liste des composants logiciels, y compris commerciaux et open source.

Le guide de la FDA sur la cybersécurité dans le système qualité et les dossiers de pré-commercialisation précise le contenu attendu.

Après la mise sur le marché

La cybersécurité ne s'arrête pas au marquage CE :

• surveiller les vulnérabilités publiées sur les composants du dispositif, notamment les avis de la CISA ;
• évaluer leur impact sur la sécurité et les performances, dans la gestion des risques ;
• corriger et communiquer, par des correctifs ou des avis de sécurité, et déclarer en vigilance lorsqu'un incident grave ou une action corrective de sécurité est en jeu ;
• intégrer ces éléments au PSUR et au plan de surveillance après commercialisation.

Les écarts fréquemment relevés

1. Une analyse de risques sans volet sécurité, ou une analyse de sécurité déconnectée de l'ISO 14971.
2. Aucun SBOM tenu à jour, ce qui empêche de savoir si une vulnérabilité publiée concerne le dispositif.
3. Des exigences d'environnement informatique absentes de la notice, contrairement à la section 17.4.
4. Pas de processus de correctifs ni de fin de prise en charge annoncée.
5. La surveillance des vulnérabilités oubliée dans le plan de surveillance après commercialisation.

Les guides, normes et avis de vulnérabilité évoluent vite : la cybersécurité est l'un des sujets où la veille réglementaire des dispositifs médicaux a le plus d'impact.