Cybersécurité des dispositifs médicaux
Exigences imposées aux fabricants de dispositifs médicaux connectés pour prévenir, détecter et corriger les vulnérabilités, devenues une condition de mise sur le marché aux États-Unis depuis 2023 et dans l'Union par le règlement de 2017.
Pompes à perfusion, stimulateurs cardiaques, appareils d'imagerie, moniteurs de patients sont désormais connectés aux réseaux hospitaliers et parfois à internet. Une vulnérabilité peut permettre d'en modifier le fonctionnement, d'en extraire des données de santé, ou de s'en servir comme porte d'entrée vers tout le système d'information d'un hôpital. Pendant longtemps, la sécurité informatique de ces appareils est restée secondaire, leurs systèmes d'exploitation vieillissant sans correctifs pendant des années d'utilisation. Les régulateurs ont durci le cadre. Aux États-Unis, une disposition ajoutée en 2022 à la loi fédérale sur les aliments, les médicaments et les cosmétiques, la section 524B, impose depuis mars 2023 aux fabricants de présenter, pour toute nouvelle autorisation, un plan de surveillance et de correction des vulnérabilités, une nomenclature des composants logiciels et des preuves de conception sécurisée. Dans l'Union européenne, le règlement de 2017 sur les dispositifs médicaux inclut la sécurité informatique parmi les exigences générales de sécurité et de performance. Pour l'assurance, le sujet touche la responsabilité du fait des produits des fabricants, qui s'étend aux défauts de sécurité logicielle, les rappels de produits déclenchés par une vulnérabilité, et l'assurance cyber des établissements de santé, dont le parc d'appareils anciens et non corrigeables pèse sur la tarification.
Cas d'école : un fabricant découvre qu'une vulnérabilité de ses pompes à perfusion permet de modifier à distance le débit administré. Il publie un correctif et rappelle les appareils qui ne peuvent pas le recevoir. Son assureur de rappel de produits couvre le coût de l'opération ; son assureur de responsabilité reste exposé si un patient a été lésé avant le correctif.
section 524B, medical device cybersecurity, cybersécurité des dispositifs médicaux connectés
Suivez la recherche
Une lettre par semaine. En tête, la note de souscription de la semaine, quand il en paraît une : une décision datée et argumentée, signée de Paul Bernardski. Ensuite, ce que l'observatoire a publié en risque cyber, en risque politique et en assurance. Sans compte, sans suivi.
Pas de spam, désinscription en un clic, aucune donnée revendue.