الأمن السيبراني للأجهزة الطبية

لا تستخدم MDR مصطلح «الأمن السيبراني» حرفيًا، لكنها تضع في الملحق I متطلبات واضحة: يشترط القسم 17.1 للمنتجات ذات الأنظمة الإلكترونية القابلة للبرمجة قابلية التكرار والموثوقية والأداء بما يتوافق مع الغرض المقصود؛ ويشترط القسم 17.2 تطوير البرمجيات وفق أحدث ما توصلت إليه التقنية مع مراعاة دورة الحياة وإدارة المخاطر – بما في ذلك أمن المعلومات – والتحقق والمصادقة. ووفق القسم 17.4 يجب على الشركات المصنِّعة تحديد الحد الأدنى من المتطلبات المتعلقة بالأجهزة وخصائص شبكات تقنية المعلومات وإجراءات أمن تقنية المعلومات بما في ذلك الحماية من الوصول غير المصرّح به؛ ويُكمل القسم 18.8 والقسم 23.4 البند ab الحماية من الوصول غير المصرّح به والتزام إبلاغ هذه المتطلبات الدنيا في تعليمات الاستخدام. ويستثني Cyber Resilience Act (اللائحة (EU) 2024/2847) الأجهزة الطبية صراحةً من نطاق تطبيقه في المادة 2، لأن MDR تفرض بالفعل متطلبات لأمن تقنية المعلومات على امتداد دورة الحياة.

تفصّل إرشادات MDCG ⁦2019-16⁩ Rev. 1 (يوليو 2020) الصادرة عن Medical Device Coordination Group كيفية تنفيذ متطلبات الملحق I على امتداد دورة الحياة بأكملها: الأمان منذ التصميم (Secure by Design)، وإدارة مستقلة للمخاطر الأمنية مترابطة مع إدارة مخاطر السلامة، وقائمة بالقدرات الأمنية (Security Capabilities) مثل المصادقة والتفويض والتشفير وتسجيل التدقيق (Audit-Logging). وهي ترسّخ مبدأ المسؤولية المشتركة («joint responsibility»): فإلى جانب الشركة المصنِّعة يتحمّل أيضًا المُدمِجون والمشغّلون والمستخدمون التزامات محددة للتشغيل الآمن – مثل التهيئة الآمنة والالتزام بالحد الأدنى من متطلبات تقنية المعلومات التي تحددها الشركة المصنِّعة. ويربط جدول مطابقة بين الأقسام ذات الصلة في الملحق I من MDR وIVDR، ويفصل ملحق بأمثلة حالات بين حوادث الأمن السيبراني والحوادث الجسيمة الخاضعة لالتزام الإبلاغ.

يحدد معيار IEC ⁦81001-5-1⁩:2021 («Health software and health IT systems safety, effectiveness and security – Part ⁦5-1⁩: Security – Activities in the product life cycle») متطلبات العمليات للتطوير والصيانة الآمنين لبرمجيات الرعاية الصحية: إدارة المخاطر الأمنية مع نمذجة التهديدات والاختبارات الأمنية وإدارة التهيئة، إضافة إلى عمليات لمراقبة الثغرات الأمنية ومعالجة المشكلات. وهو يوسّع هيكل دورة الحياة في IEC 62304 بأنشطة أمنية ويستند إلى IEC 62443-4-1. ورغم أن النسخة الأوروبية EN IEC ⁦81001-5-1⁩:2022 مخصّصة للتنسيق بموجب MDR وIVDR، فإنها لم يُستشهد بها بعد في الجريدة الرسمية للاتحاد الأوروبي حتى بعد تحديث قوائم المعايير في يونيو 2026 (القرار التنفيذي (EU) 2026/1231) – وبذلك لا يوجد افتراض مطابقة. ومع ذلك تتعامل الجهات المُخطَرة في الممارسة مع المعيار باعتباره أحدث ما توصلت إليه التقنية لإثبات المتطلبات الواردة في الملحق I القسمين 17.2 و17.4.

تُكمل لائحة الذكاء الاصطناعي (اللائحة (EU) 2024/1689، النافذة منذ 1 أغسطس 2024) MDR لكنها لا تحل محلها: فوفق المادة 6(1) يُعدّ نظام الذكاء الاصطناعي عالي المخاطر إذا كان مكوّنًا أمنيًا لجهاز طبي أو كان هو نفسه جهازًا من هذا القبيل ويتطلب تقييم مطابقته جهة مُخطَرة – وفي إطار MDR عادةً اعتبارًا من الفئة IIa. وتجيب الأسئلة الشائعة MDCG ⁦2025-6⁩ (يونيو 2025)، التي أُعدّت بالتعاون مع AI Board، عن 36 سؤالًا عمليًا حول التكامل بين الإطارين التنظيميين، مثلًا حول توزيع الأدوار (الشركة المصنِّعة وفق MDR تقابل المزوّد وفق لائحة الذكاء الاصطناعي) والجمع بين تقييمات المطابقة. وفيما يخص المواعيد النهائية حدث في 2026 تغيير جوهري: إذ يرجئ «Digital Omnibus» الذي اتفق عليه البرلمان والمجلس في مايو 2026 تطبيق التزامات المخاطر العالية على أنظمة الذكاء الاصطناعي المدمجة في منتجات منظَّمة من 2 أغسطس 2027 إلى 2 أغسطس 2028؛ ويسري ذلك بعد النشر في الجريدة الرسمية للاتحاد الأوروبي. ولم يُعتمد في هذا السياق مقترح أوسع لاستثناء الأجهزة الطبية إلى حد كبير من لائحة الذكاء الاصطناعي.

نظرًا لأن مشهد التهديدات والثغرات الأمنية يتغيّر باستمرار بعد الطرح في السوق، تشترط MDR نظامًا نشطًا لمراقبة ما بعد التسويق (المادة 83) مع خطة PMS (المادة 84) و– بحسب الفئة – تقرير PMS أو تقرير سلامة مُحدَّث دوريًا (PSUR، المادة 86)؛ ويُعدّ الأمن السيبراني وفق MDCG ⁦2019-16⁩ صراحةً جزءًا من هذا النظام. وإذا أدّت ثغرة أمنية مستغَلّة أو قابلة للاستغلال إلى حادث جسيم، تسري التزامات اليقظة وفق المادة 87: الإبلاغ في موعد أقصاه 15 يومًا من العلم، و10 أيام في حالة الوفاة أو التدهور الصحي الخطير غير المتوقع، ويومان في حالة الخطر الجسيم على الصحة العامة؛ ويُضاف إلى ذلك الإبلاغ عن الاتجاهات وفق المادة 88. وتتوفر للإبلاغ رموز IMDRF للأسباب الأمنية، مثل «Computer System Security Problem» و«Software Security Vulnerability». وتُعدّ التصحيحات ذات الصلة بالأمن من الناحية التنظيمية إجراءات تصحيحية وقد تخضع لالتزام الإبلاغ باعتبارها إجراءات تصحيحية ميدانية للسلامة (FSCA) – وتربط عملية منظَّمة لمعالجة الثغرات الأمنية وفق IEC ⁦81001-5-1⁩ بين العالمين. وذو صلة مستقبلًا: يتضمن مقترح المفوضية لمراجعة MDR المقدَّم في ديسمبر 2025 (COM(2025) 1023) إضافة إبلاغات على غرار CRA عن الثغرات الأمنية المستغَلّة فعليًا إلى فرق CSIRT وENISA – ولم يُعتمد بعد حاليًا.

تفحص الجهات المُخطَرة الأمن السيبراني كجزء من التوثيق الفني وفق الملحقين II وIII من MDR – بدءًا من تحليل المخاطر الأمنية مرورًا بتحديد القدرات الأمنية (Security Capabilities) وحتى أدلة الإثبات من الاختبارات الأمنية وعمليات معالجة الثغرات الأمنية وPMS. وتصف ورقة الموقف «Cyber Security» الصادرة عن Team-NB (أكتوبر 2022) التوقعات المشتركة للجهات المُخطَرة الأوروبية بشأن أدلة الإثبات هذه؛ كما تحثّ Team-NB في رسالة بتاريخ فبراير 2026 على التنسيق السريع لمعايير مثل IEC 81001-5-1. وما دامت معايير الأمن السيبراني المنسَّقة غائبة فلا يوجد افتراض مطابقة – ويتعيّن على الشركات المصنِّعة تبرير أحدث ما توصلت إليه التقنية بأنفسها، وينبغي أن تبني حجّتها وفق MDCG ⁦2019-16⁩ وIEC 81001-5-1.