Zdravotnické prostředky: Kybernetická bezpečnost a vývoj softwaru

Záleží na typu zařízení, ale často je to Integrita (aby data/dávkování nebyly změněny) a Dostupnost (aby přístroj fungoval, když je potřeba). Důvěrnost je důležitá pro ochranu dat (GDPR), ale u život zachraňujících přístrojů má často nižší prioritu než funkčnost.

Je to soubor všech záznamů a dokumentů, které prokazují, že jste provedli proces řízení rizik v souladu s normou. Obsahuje například Plán řízení rizik, provedené analýzy, hodnocení, záznamy o zavedených opatřeních a Zprávu o řízení rizik. Je to klíčový dokument pro audity a certifikaci.

Řízení rizik je kontinuální proces. Dokumentaci musíte aktualizovat při každé změně designu, softwaru, nebo na základě nových informací z trhu (reklamace, nežádoucí příhody).

Klíčová je tzv. sdílená odpovědnost (Shared Responsibility Model). Poskytovatel cloudu ručí za infrastrukturu, vy ručíte za konfiguraci, řízení přístupů a šifrování dat.

Zatímco banka se soustředí primárně na důvěrnost a integritu finančních transakcí, v nemocnici je často prioritou dostupnost dat (lékař musí mít informace okamžitě pro záchranu života) a specifická ochrana citlivých údajů o zdraví (GDPR/HIPAA).

Norma IEC 62304 definuje obecný životní cyklus softwaru. IEC 81001-5-1 tento cyklus doplňuje o specifické bezpečnostní aktivity (secure coding, testování bezpečnosti, správa zranitelností), které v původní 62304 chyběly.

U softwaru se neurčuje pravděpodobnost výskytu chyby (ta je 100 %, pokud tam chyba je), ale pravděpodobnost, že tato chyba povede k nebezpečné situaci a následné škodě. Vychází se z pravděpodobnosti výskytu spouštěcí události.

U SaaS nástrojů se validace zaměřuje na konfiguraci a způsob používání (Intended Use), nikoliv na infrastrukturu poskytovatele. Využívá se tzv. vendor assessment a certifikáty dodavatele.

CRA zavádí povinnost řešit kybernetickou bezpečnost po celou dobu životnosti produktu. Musíte aktivně monitorovat zranitelnosti (CVE), vydávat bezpečnostní záplaty a mít zabezpečený dodavatelský řetězec softwaru (SBOM).

Velmi zjednodušeně: ISO 13485 definuje požadavky na celý systém managementu kvality (QMS) pro výrobce. ISO 14971 je podpůrná norma, na kterou se ISO 13485 odkazuje, a která se detailně zaměřuje pouze na jednu specifickou oblast – proces řízení rizik.

Safety řeší riziko poškození zdraví pacienta (neúmyslné selhání). Security řeší riziko útoku na data nebo systém (úmyslný útok). V moderním pojetí však Security incidenty často vedou k Safety rizikům, proto je nutné je řešit společně.

FMEA je pouze jedním z nástrojů pro analýzu selhání. ISO 14971 je komplexní proces, který zahrnuje nejen analýzu, ale i hodnocení, kontrolu, sledování po uvedení na trh a posouzení celkového přínosu a rizika.

GDPR řeší únik osobních údajů a hlásí se ÚOOÚ. NIS2 řeší ohrožení funkčnosti služby (např. výpadek systému) a hlásí se NÚKIB. Často se však jedná o jeden útok, který vyvolá obě povinnosti.

MDR je evropská legislativa (zákon), která je povinná. Stanovuje, co musíte splnit, včetně obecných požadavků na bezpečnost a výkon. ISO 14971 je harmonizovaná norma, která popisuje, jak tyto požadavky v oblasti řízení rizik splnit. Použitím této normy prokazujete shodu s legislativou.

Ano, v praxi je to povinnost. Shoda s normou ISO 14971 je považována za „stav techniky“ (state of the art) a je nejuznávanějším způsobem, jak prokázat splnění požadavků na řízení rizik, které vyžaduje jak norma ISO 13485, tak evropské nařízení MDR (EU) 2017/745.

Pokud vaše firma spadá pod regulaci NIS2 (např. jako dodavatel do zdravotnictví), pak ano. Zákon explicitně stanovuje odpovědnost vedení za zajištění kybernetické bezpečnosti. Nelze se vymluvit na to, že jste to delegovali na IT.

Ano, je to možné a dnes již běžné. Norma nepředepisuje vodopádový model, vyžaduje pouze definované výstupy a kontroly. V kurzu učíme, jak namapovat agilní ceremonie a artefakty na požadavky normy.

Ano, pokud je software klasifikován jako zdravotnický prostředek (SaMD), vztahuje se na něj norma ISO 14971. Rizika softwaru mohou zahrnovat chybné diagnózy nebo špatná doporučení léčby.

Ano. Kybernetická zranitelnost (Security) může vést k selhání přístroje a poškození pacienta (Safety). Musíte posoudit, zda hackerský útok může způsobit klinickou újmu, a toto riziko řídit podle ISO 14971.

Pravděpodobně ano. NIS2 vyžaduje řízení rizik v dodavatelském řetězci. Budete muset do smluv zakotvit bezpečnostní požadavky, právo na audit a povinnosti při hlášení incidentů.

Nemusíte, a dokonce to nedoporučujeme. Ideální je integrovaný přístup, kde bezpečnostní rizika (Security) vstupují do celkové analýzy rizik výrobku (Safety), pokud mohou ohrozit pacienta. Na kurzu ukážeme jak.

Nikoliv. Rozsah dokumentace se řídí bezpečnostní třídou (A, B, C). Klíčová je také dekompozice systému, která umožňuje izolovat kritické části a snížit administrativní zátěž u těch méně kritických.

Ano, je to dokonce velmi doporučeno. Obě normy mají podobnou strukturu (řízení dokumentace, audity, nápravná opatření). Integrace šetří čas a snižuje byrokracii.

Ano, a je to doporučený postup. Klíčové je prokázat, že nástroj (Jira) je validovaný pro tento účel a že zajišťuje integritu dat, historii změn a sledovatelnost (Traceability).

Záleží na vaší velikosti a kritičnosti vašich produktů. Nicméně i pokud nespadáte přímo pod regulaci, vaši zákazníci (nemocnice) budou soulad vyžadovat v rámci řízení dodavatelského řetězce.