Cyberbezpieczeństwo wyrobu medycznego. Kto odpowiada po sprzedaży?

Zdjęcie: Cyberbezpieczeństwo wyrobu medycznego.

Cyberbezpieczeństwo wyrobu medycznego nie kończy się wraz z jego sprzedażą. Jak podzielić odpowiedzialność pomiędzy producenta i dostawców technologii? Cyberbezpieczeństwo wyrobu medycznego. Kto odpowiada po sprzedaży?Współczesny wyrób medyczny coraz rzadziej jest samodzielnym urządzeniem funkcjonującym w zamkniętym środowisku. Łączy się z siecią, komunikuje z aplikacjami i chmurą, korzysta z zewnętrznych bibliotek, komponentów software’owych, usług hostingowych, a coraz częściej również modeli sztucznej inteligencji. Powoduje to, iż producent może odpowiadać za bezpieczeństwo produktu, nad którego wszystkimi elementami technologicznymi nie sprawuje bezpośredniej kontroli. Problem staje się szczególnie widoczny już po wprowadzeniu wyrobu do obrotu. Podatność wykryta w zewnętrznej bibliotece, luka bezpieczeństwa w usłudze chmurowej albo przejęcie konta użytkownika mogą pojawić się wiele miesięcy czy lat po zakończeniu procesu certyfikacji. Powstaje wtedy pytanie: kto powinien zareagować i kto ponosi odpowiedzialność, o ile reakcja okaże się zbyt późna? Z perspektywy producenta odpowiedź nie może ograniczać się do wskazania dostawcy technologii. Rozporządzenie 2017/745 w sprawie wyrobów medycznych wymaga od producenta zapewnienia zgodności wyrobu z wymaganiami dotyczącymi bezpieczeństwa i działania. Załącznik I MDR odnosi się również bezpośrednio do bezpieczeństwa elektronicznych systemów programowalnych i oprogramowania, wskazując m.in. na konieczność uwzględniania bezpieczeństwa informacji oraz ochrony przed nieuprawnionym dostępem. Cyberbezpieczeństwo nie jest więc dodatkową usługą IT. W przypadku wyrobu połączonego z siecią staje się elementem jego bezpieczeństwa. Co szczególnie istotne, obowiązki producenta nie kończą się w dniu umieszczenia oznakowania CE ani sprzedaży produktu. MDR opiera się na zarządzaniu bezpieczeństwem wyrobu w całym jego cyklu życia. System nadzoru po wprowadzeniu do obrotu powinien umożliwiać producentowi aktywne zbieranie i analizowanie informacji dotyczących jakości, działania i bezpieczeństwa wyrobu oraz podejmowanie odpowiednich działań zapobiegawczych i korygujących. W przypadku urządzeń zależnych od systemu oznacza to również potrzebę reagowania na nowe zagrożenia cybernetyczne. W praktyce producent rzadko jest jednak twórcą wszystkich komponentów technologicznych. Może korzystać z systemu operacyjnego innego podmiotu, zewnętrznej biblioteki, infrastruktury chmurowej, modułu komunikacyjnego czy rozwiązania AI. Każdy z tych elementów może posiadać własny cykl aktualizacji i własne podatności. Powstaje wówczas istotna asymetria: producent odpowiada za bezpieczeństwo wyrobu, ale wiedzę konieczną do wykonania części jego obowiązków posiada dostawca. Dlatego zarządzanie cyberbezpieczeństwem wyrobu medycznego zaczyna się znacznie wcześniej niż w momencie wystąpienia incydentu. Powinno rozpocząć się już przy wyborze dostawcy oraz konstruowaniu umowy. Tradycyjna umowa technologiczna może okazać się tutaj niewystarczająca. Dla producenta istotne jest nie tylko to, czy dostawca zobowiązuje się dostarczyć działające oprogramowanie. Znaczenie ma również, czy będzie monitorował podatności, jak gwałtownie poinformuje o wykrytym zagrożeniu, przez jaki okres będzie zapewniał poprawki bezpieczeństwa, jakie informacje przekaże producentowi oraz jak będzie współpracował w przypadku konieczności podjęcia działań wobec użytkowników, organów albo jednostki notyfikowanej. Szczególnie istotny jest czas reakcji. Wyobraźmy sobie, iż dostawca zewnętrznej biblioteki wykrywa krytyczną podatność. Informacja zostaje przekazana producentowi wyrobu dopiero po kilku tygodniach, ponieważ umowa nie przewidywała szczególnych obowiązków notyfikacyjnych. Z perspektywy dostawcy problem mógł zostać rozwiązany w kolejnej standardowej aktualizacji. Dla producenta wyrobu medycznego okres ten może oznaczać utrzymywanie na rynku produktu narażonego na znane już zagrożenie. Dlatego umowa powinna jasno określać nie tylko obowiązek informowania o podatnościach, ale również termin i sposób przekazywania informacji oraz zasady oceny ich znaczenia. Kolejnym zagadnieniem są aktualizacje bezpieczeństwa. Producent musi mieć możliwość usunięcia podatności, ale jednocześnie każda zmiana komponentu wykorzystywanego w wyrobie może wymagać oceny jej wpływu na działanie produktu. Poprawka bezpieczeństwa nie może powodować nowych zagrożeń dla bezpieczeństwa klinicznego ani zmieniać działania wyrobu w sposób, który nie został odpowiednio zweryfikowany. Cybersecurity i regulatory compliance nie mogą więc funkcjonować w dwóch niezależnych procesach. Szczególnego znaczenia nabiera także okres wsparcia technologicznego. Dostawca może zakładać, iż określona wersja systemu będzie wspierana przez trzy lata, podczas gdy producent przewiduje dziesięcioletni cykl życia wyrobu. o ile problem ten nie zostanie zidentyfikowany przy zawieraniu umowy, producent może po kilku latach znaleźć się w sytuacji, w której przez cały czas odpowiada za bezpieczeństwo produktu znajdującego się na rynku, ale najważniejszy komponent nie otrzymuje już aktualizacji. Dlatego kwestie end-of-support oraz end-of-life powinny być częścią oceny dostawcy i negocjacji kontraktowych. Na sytuację producentów wpływa również rozwój kolejnych regulacji unijnych dotyczących cyberbezpieczeństwa. NIS2 zwiększa wymagania w zakresie zarządzania ryzykiem cybernetycznym wobec podmiotów znajdujących się w jej zakresie, natomiast Cyber Resilience Act buduje horyzontalny system wymagań cyberbezpieczeństwa dla produktów z elementami cyfrowymi. Relacja poszczególnych regulacji z MDR wymaga każdorazowej analizy konkretnego produktu i podmiotu; nie można zakładać, iż wszystkie te akty znajdą automatycznie zastosowanie do każdego wyrobu medycznego. Kierunek regulacyjny jest jednak jednoznaczny: cyberbezpieczeństwo produktu ma być zarządzane w całym jego cyklu życia, a nie weryfikowane jednorazowo przed wejściem na rynek. Nie oznacza to, iż producent musi wykonywać wszystkie działania samodzielnie. Może i powinien wykorzystywać kompetencje wyspecjalizowanych dostawców. Nie może jednak całkowicie przenieść na nich własnej odpowiedzialności regulacyjnej. Umowa może rozdzielić obowiązki pomiędzy strony. Może określić odpowiedzialność finansową dostawcy, obowiązek naprawienia szkody, zasady regresu czy współpracy przy incydencie. Nie zmieni jednak automatycznie obowiązków, które przepisy nakładają bezpośrednio na producenta wyrobu. Dlatego zarządzanie dostawcami powinno być elementem systemu compliance producenta. W praktyce warto ustalić co najmniej: jakie komponenty zewnętrzne mają znaczenie dla bezpieczeństwa produktu, kto je dostarcza, kto monitoruje związane z nimi podatności, jak wygląda przepływ informacji o incydentach, kto przygotowuje poprawki, jak są one testowane i przez jaki okres dostawca gwarantuje wsparcie. W przypadku bardziej złożonych produktów potrzebna może być również możliwość audytowania dostawcy lub uzyskiwania od niego dokumentacji i informacji niezbędnych do wykazania zgodności. Producent, który nie posiada dostępu do danych o kluczowym komponencie swojego produktu, może mieć trudność z wykazaniem, iż rzeczywiście kontroluje związane z nim ryzyko. Najważniejsza jest jednak zmiana sposobu myślenia. Cyberbezpieczeństwo wyrobu medycznego nie jest problemem, który można zamknąć w dziale IT, podobnie jak odpowiedzialności za bezpieczeństwo produktu nie można zamknąć w jednej klauzuli umownej. Jest to proces obejmujący producenta, jego dostawców, regulatory affairs, quality, IT, osoby odpowiedzialne za bezpieczeństwo oraz prawników. Musi funkcjonować od projektowania produktu, przez jego ocenę zgodności i wprowadzenie do obrotu, aż do ostatniego dnia, w którym wyrób pozostaje na rynku i wymaga wsparcia. Producent powinien więc zadać dostawcy nie tylko pytanie: „czy Wasza technologia jest bezpieczna?”. Znacznie ważniejsze jest: „co zrobicie i jak gwałtownie nas o tym poinformujecie, kiedy przestanie być bezpieczna?”. Bo w przypadku wyrobu medycznego podatność wykryta u dostawcy technologii bardzo gwałtownie może stać się problemem