قد يلتزم جهاز متصل بجميع فترات الفحص الدورية، ومع ذلك يشكّل خطرًا غير مقبول – كأن تبقى ثغرات معروفة دون تقييم، أو ألّا يلاحظ أحد اتصالات غير مألوفة. لذلك تشمل الصيانة اليوم الجرد وقائمة المكوّنات، وتقييم الثغرات الأمنية، والتحديثات، والعناية بالتهيئة، والمراقبة، ومعالجة الحوادث، والإبلاغ. وتشترط MDR تطوير البرمجيات وفق أحدث ما توصلت إليه التقنية مع إدارة مخاطر تشمل أمن المعلومات، كما تُلزم الشركات المصنِّعة بمراقبة منتجاتها بشكل نشط بعد طرحها في السوق. وفي هذا النظام تحديدًا تندرج المعارف الأمنية المكتسبة من الميدان.
إلى الأمن السيبراني في MDR →صيانة الأجهزة الطبية المتصلة بالشبكة
كيف تحافظ الشركات المصنِّعة والمستشفيات على أمن الأجهزة الطبية المتصلة في الميدان: بالجرد وقائمة مكوّنات البرمجيات، وبفرز مبرَّر سريريًا، وبالتعامل مع التصحيحات بوصفها تغييرات مضبوطة، وبإفصاح منظَّم عن الثغرات ومسارات إبلاغ منسَّقة.
آخر تحديث: أكتوبر 2026 · Valeri Milke, Lead Auditor لمعياري ISO 27001 وISO 42001
نُشر فيmt|medizintechnik 4.2026 ↗
2 · 10 · 15 يومًاالمهل القصوى لإبلاغات اليقظة وفق MDR على الشركات المصنِّعة، بحسب جسامة الحادث
24 ساعة · 72 ساعة · شهرمراحل الإبلاغ وفق NIS2 وقانون BSI للمستشفيات الخاضعة لهما
أكثر من 150ثغرة أبلغت عنها دراسة ManiMed الصادرة عن BSI عام 2020 في عشرة أجهزة طبية متصلة
6 ديسمبر 2025منذ هذا التاريخ يسري قانون BSI الجديد بالتزامات NIS2
تعني صيانة الأجهزة الطبية المتصلة بالشبكة الحفاظ على الجهاز بعد طرحه في السوق، وفي ظروف الاستخدام الفعلية، لا عاملًا فحسب، بل آمنًا وفعّالًا ومطابقًا للمتطلبات التنظيمية بشكل يمكن إثباته. ويشمل ذلك، إلى جانب الصيانة التقليدية، جردًا محدّثًا للمكوّنات مع قائمة مكوّنات البرمجيات (Software Bill of Materials – SBOM)، وصورة مستمرة للوضع بشأن الثغرات الأمنية، وفرزًا يراعي السياق السريري، والتعامل مع التحديثات بوصفها تغييرات مضبوطة، وقناة منظَّمة لتلقّي البلاغات عن الثغرات، إضافة إلى المراقبة ومعالجة الحوادث. ولأن ثغرة مستغَلّة قد تؤثر في التشخيص أو العلاج، فإن أمن تقنية المعلومات هنا جزء مباشر من سلامة المرضى. وتتقاسم المسؤولية الشركةُ المصنِّعة والمشغّل: فالشركة المصنِّعة تتحمل الالتزامات الناشئة عن MDR، بينما يتولى المستشفى التشغيل والصيانة – في ألمانيا وفق لائحة مشغّلي الأجهزة الطبية (MPBetreibV) – ويخضع في كثير من الأحيان أيضًا لقانون BSI. وتوضح هذه الصفحة كيف يربط الطرفان عملياتهما بعضها ببعض.
من الإرشادات إلى التزام الإبلاغ
محطات أمن الأجهزة الطبية المتصلة في الميدان – انقروا على المحطة لعرض التفاصيل.
يوليو 2020
MDCG 2019-16 Rev. 1
تُصدر مجموعة تنسيق الأجهزة الطبية (Medical Device Coordination Group) النسخة المنقّحة من إرشادات الأمن السيبراني. ولا تزال حتى اليوم وثيقة MDCG الوحيدة المخصّصة للأمن السيبراني، وتتناول أيضًا مراقبة ما بعد التسويق واليقظة.
ديسمبر 2020
تقرير BSI الختامي لدراسة ManiMed
يفحص BSI عشرة أجهزة طبية متصلة من خمس فئات منتجات، ويُبلغ الشركات المصنِّعة بأكثر من 150 ثغرة أمنية.
26 مايو 2021
بدء تطبيق MDR
بعد تأجيل لمدة عام بسبب الجائحة تدخل لائحة الأجهزة الطبية حيز التطبيق – مع أمن المعلومات جزءًا من المتطلبات الأساسية، والتزامٍ بمراقبة المنتجات بشكل نشط بعد طرحها في السوق.
10 ديسمبر 2021
Log4Shell
تُنشر الثغرة الحرجة في مكتبة Java المسماة Log4j. ولا تستطيع مؤسسات كثيرة في البداية تحديد المنتجات التي تحتوي على هذا المكوّن.
16 ديسمبر 2021
صدور IEC 81001-5-1
يصف المعيار الأنشطة الأمنية في دورة حياة برمجيات الرعاية الصحية – بما في ذلك مرحلة الصيانة صراحةً. ولم يُنسَّق بعد في إطار MDR.
20 فبراير 2025
لائحة جديدة للمشغّلين
تدخل الصيغة الجديدة من لائحة مشغّلي الأجهزة الطبية حيز النفاذ: تحديثات البرمجيات ذات الصلة بالأمن جزء صريح من الصيانة. وتسري فحوص أمن تقنية المعلومات للبرمجيات من الفئتين IIb وIII اعتبارًا من أغسطس 2025.
6 ديسمبر 2025
نفاذ قانون BSI الجديد
تنقل ألمانيا توجيه NIS2 إلى قانونها الوطني. ويتعيّن على المستشفيات الخاضعة له تنفيذ تدابير إدارة المخاطر، والإبلاغ عن الحوادث الأمنية الكبيرة إلى BSI على مراحل.
16 ديسمبر 2025
مقترح مراجعة MDR
تقترح المفوضية أن تُبلغ الشركات المصنِّعة عن الثغرات المستغَلّة فعليًا والحوادث الأمنية الجسيمة إلى فرق الاستجابة لطوارئ الحاسوب الوطنية (CSIRT) وإلى وكالة الاتحاد الأوروبي للأمن السيبراني ENISA. ولم يُعتمد المقترح بعد.
11 سبتمبر 2026
التزامات الإبلاغ وفق CRA
تسري التزامات الإبلاغ في قانون المرونة السيبرانية على المنتجات ذات العناصر الرقمية. والأجهزة الطبية مستثناة، لكن مكوّنات الموردين التي تُطرح في السوق بشكل مستقل قد تكون مشمولة.
ثماني رسائل أساسية حول الصيانة في الميدان
ملخص لكل رسالة أساسية – افتحوه للاطلاع على النص الكامل.
في الأجهزة الطبية لا يمكن اختزال الحادث الأمني في فقدان البيانات. فمن يصل دون تصريح إلى جهاز مراقبة المرضى أو مضخة تسريب أو نظام تصوير طبي، يستطيع تزييف القيم المقيسة أو كتم الإنذارات أو تغيير معاملات العلاج. لذلك تتوقع إرشادات MDCG 2019-16 أن تُربط إدارة المخاطر الأمنية (Security) بإدارة مخاطر السلامة (Safety) ربطًا وثيقًا. وعمليًا يعني ذلك أن كل ثغرة وكل حادث يُفحصان لمعرفة ما إذا كان الأداء المقصود أو سلامة المرضى والمستخدمين قد تأثر – ثم تُدرَج النتيجة في ملف المخاطر وفق ISO 14971.
تُلقي MDR مسؤولية الأمن السيبراني للمنتج على عاتق الشركة المصنِّعة. غير أن إرشادات MDCG 2019-16 تصف مسؤولية مشتركة بين الشركات المصنِّعة والموردين والمُدمِجين ومؤسسات الرعاية الصحية والسلطات. فالمشغّل ينفّذ المتطلبات الأمنية التي تحددها الشركة المصنِّعة، ويؤمّن الشبكة والمرافق، ويدرّب الموظفين، ويبلّغ الشركة المصنِّعة فورًا عن أي حدث أمني مشتبه به. وفي ألمانيا تعدّ لائحة مشغّلي الأجهزة الطبية تثبيت تحديثات البرمجيات ذات الصلة بالأمن جزءًا صريحًا من الصيانة – مع الالتزام دائمًا بتعليمات الشركة المصنِّعة. ولا يُتوقع أي تدخل في الجهاز، بما في ذلك التصحيحات أو البرمجيات الخارجية، إلا استنادًا إلى تعليمات منشورة من الشركة المصنِّعة. وبحسب حجم المنشأة تُضاف التزامات ناشئة عن قانون BSI.
منظور المشغّل: الذكاء الاصطناعي في المنشآت الطبية →لا يمكن الإجابة عمّا إذا كانت ثغرة منشورة حديثًا ذات صلة إلا إذا عُرف أيّ المكوّنات موجود في أيّ جهاز وبأيّ إصدار. وتوفّر قائمة مكوّنات البرمجيات (SBOM) هذه البيانات بصيغة قابلة للقراءة آليًا، مثل CycloneDX المعتمدة معيارًا باسم ECMA-424، أو SPDX المعتمدة باسم ISO/IEC 5962. ولا تتشكّل صورة يمكن الاعتماد عليها إلا بالجمع بينها وبين جرد الأجهزة في المستشفى وبيانات الشركة المصنِّعة عن مدى التأثر الفعلي (Vulnerability Exploitability eXchange – VEX). وينبغي للمستشفيات أن تشترط SBOM والنشرات الأمنية تعاقديًا منذ مرحلة الشراء.
إلى إدارة SBOM →يقيّم نظام تقييم الثغرات الشائع (Common Vulnerability Scoring System – CVSS) الخطورة التقنية، ويقدّر نظام التنبؤ باستغلال الثغرات (Exploit Prediction Scoring System – EPSS) احتمال الاستغلال خلال الثلاثين يومًا التالية، بينما يوثّق كتالوج الثغرات المستغَلّة المعروفة (Known Exploited Vulnerabilities – KEV) الصادر عن الوكالة الأمريكية CISA هجماتٍ جارية بالفعل. لكن الأجهزة الطبية تطرح أسئلة حاسمة لا تجيب عنها هذه الأدوات: هل يمكن الوصول إلى الجهاز عبر الشبكة؟ هل هو موصول بالمريض؟ هل تعمل إجراءات الحماية؟ وما عواقب التلاعب به على التشخيص أو العلاج؟ هذا التقييم وحده يحدد فئة الأولوية. فقد تكون ثغرة متوسطة التقييم في نظام علاجي أكثر إلحاحًا من ثغرة حرجة في جهاز معزول.
إلى إدارة الثغرات الأمنية →قد يسدّ التحديث ثغرة، لكنه في الوقت نفسه يغيّر حالة جرى التحقق من صحتها. لذلك لا يمكن تبرير التصحيح بأي ثمن، ولا الامتناع عنه من حيث المبدأ. فالطريق الموثوق يمرّ بالتحقق من التأثر، والتقييم، والاختبار في بيئة قريبة من الواقع، والاعتماد، والنشر التدريجي، والتحقق، والتوثيق. وحيث لا يتوفر تصحيح، تُقيَّم الإجراءات البديلة مثل تجزئة الشبكة أو تقييد الاستخدام وتُوثَّق بالقدر نفسه. وفي التحديثات عبر الشبكة (Over-the-Air – OTA) تحمي الحزمُ الموقَّعة والإقلاعُ الآمن (Secure Boot) وصورةُ النظام الاحتياطية والحمايةُ من الرجوع إلى إصدارات أقدم أسطولَ الأجهزة بأكمله.
إذا كانت ثغرة يجري تداولها بنشاط لا تزال بلا تصحيح، فإن الاستعداد المسبق هو الحاسم: مسار تصعيد يشمل إدارة المنتج والأمن وتقنية المعلومات في المستشفى والشؤون التنظيمية، وإجراءات فورية متفق عليها مسبقًا، وتهيئات بديلة جرى فحصها سريريًا. كما تحتاج البلاغات الواردة من باحثين خارجيين إلى نقطة استقبال ثابتة. ويجعل هذا المسارَ موثوقًا كلٌّ من الإفصاح المنسَّق عن الثغرات (Coordinated Vulnerability Disclosure – CVD) وفق ISO/IEC 29147 وISO/IEC 30111، وجهة اتصال معلنة عبر ملف security.txt، وفريق الاستجابة لحوادث أمن المنتجات (Product Security Incident Response Team – PSIRT) لدى الشركة المصنِّعة. وبالنسبة للمستشفيات تُعدّ هذه السمات معيارًا مهمًا في تقييم الموردين.
إلى Bug Bounty وVDP →قد يُطلق هجوم سيبراني على أجهزة طبية متصلة عدة التزامات إبلاغ في آن واحد: إبلاغ الشركة المصنِّعة في إطار اليقظة وفق MDR بمهل قصوى تبلغ 2 أو 10 أو 15 يومًا، وإبلاغ المستشفى عن الحوادث التي يُشتبه في جسامتها إلى السلطة الاتحادية العليا المختصة، والإبلاغ المتدرّج وفق قانون BSI خلال 24 ساعة ثم 72 ساعة ثم شهر واحد، وإبلاغ سلطة الرقابة على حماية البيانات خلال 72 ساعة. ولهذه المسارات جهات مستقبِلة ومحفّزات ومحتويات مختلفة. ومن يحدد المسؤوليات والنماذج والمهل مسبقًا لا يضيّع الساعات الأولى في التنسيق.
إلى NIS2 →من يتحمّل ماذا في أمن الأجهزة في الميدان؟
المسؤولية المشتركة وفق MDCG 2019-16 – اختاروا الدور.
التزامات MDRالمسؤولة قانونًا عن المنتج
- تراقب المنتج ومكوّنات الأطراف الثالثة بعد الطرح في السوق، وتُدخل المعارف الأمنية في تقييم المخاطر والتوثيق الفني.
- توفّر التحديثات والمعلومات الأمنية والتعليمات، وتحدد التدخلات التي يجوز للمشغّل إجراؤها بنفسه.
- تقيّم الحوادث من حيث التزام الإبلاغ والحاجة إلى إجراءات تصحيحية، وتُبلغ عن الحوادث الجسيمة ضمن المهل المحددة.
PMSاليقظةSBOMPSIRT
بيئة التشغيللائحة المشغّلين، وغالبًا قانون BSI
- يصون الأجهزة وفق تعليمات الشركة المصنِّعة – بما في ذلك تحديثات البرمجيات ذات الصلة بالأمن – ويفصلها عن الإنترنت حيث لا حاجة إليه، ويُبقي برمجيات الحماية محدّثة.
- يطلب المعلومات الأمنية الناقصة، مثل نموذج الإفصاح الأمني للشركة المصنِّعة (Manufacturer Disclosure Statement for Medical Device Security – MDS2)، ويؤمّن الشبكة والمرافق.
- يبلّغ الشركة المصنِّعة فورًا عن الأحداث الأمنية المشتبه بها، ويفي بالتزامات الإبلاغ الخاصة به.
لائحة المشغّلينIEC 80001-1تجزئة الشبكةالإبلاغ للشركة المصنِّعة
الدمجبتكليف من المشغّل
- يهيّئ الأجهزة والواجهات بشكل آمن ويوثّق عملية الدمج.
- يدعم تثبيت التصحيحات ومعالجة الحوادث، ويدرّب الموظفين.
- إذا عمل بتكليف من المستشفى، تبقى مسؤولية أمن المعلومات للجهاز المدمج على عاتق مؤسسة الرعاية الصحية.
التهيئةالتوثيقالتدريب
سلسلة التوريدCRA في السياق الأوسع
- يورّد أنظمة التشغيل والمكتبات والوحدات وحزم تطوير البرمجيات (SDK) التي تنتقل ثغراتها مباشرة إلى الجهاز الطبي.
- تُلزمه الشركة المصنِّعة تعاقديًا بقوائم المكوّنات والنشرات الأمنية وأزمنة الاستجابة.
- تخضع المكوّنات ذات العناصر الرقمية المطروحة بشكل مستقل لقانون المرونة السيبرانية، أما الجهاز الطبي النهائي فلا يخضع له.
المصادر المفتوحةSLSACSAFCRA
للتعمّق
الأمن في الميدان: تسعة فصول من الصيانة حتى مسار الإبلاغ
تتبع الفصول مسار الثغرة الأمنية – من الجرد مرورًا بالتقييم والتغيير وصولًا إلى الإبلاغ – وتميّز باستمرار بين ما تتحمله الشركة المصنِّعة وما يتحمله المستشفى. كما توضّح ما إذا كانت المعلومة تستند إلى نص قانوني أو إرشادات أو توصية عملية.
من الصيانة إلى المرونة السيبرانية
طويلًا كان الجهاز يُعدّ في حالة صيانة جيدة إذا جرى فحصه ومعايرته وكان متاحًا للاستخدام. أما في الأجهزة الطبية المتصلة فهذا نصف الحقيقة فقط.
تخطط أقسام الهندسة الطبية للصيانة تقليديًا وفق مواعيد الفحص وتعليمات الشركة المصنِّعة وتكاليف الأعطال. ولم يعد ذلك كافيًا للأجهزة المتصلة: فنظام الموجات فوق الصوتية أو جهاز مراقبة المرضى أو مضخة التسريب الموصولة بالشبكة يحتوي على نظام تشغيل ومكتبات وواجهات يتغيّر وضعها الأمني يوميًا – حتى إن لم يطرأ على الجهاز نفسه أي تغيير. لذلك قد يجتاز الجهاز كل فحوص السلامة الكهربائية، ويشكّل في الوقت ذاته بوابة مفتوحة للمهاجمين.
وقد أظهرت دراسة ManiMed التي أجراها BSI مدى واقعية المشكلة: إذ فحص المكتب الاتحادي عشرة أجهزة طبية قابلة للاتصال بالشبكة من خمس فئات منتجات، وأبلغ الشركات المصنِّعة خلال المشروع بأكثر من 150 ثغرة أمنية. وصدر التقرير الختامي في ديسمبر 2020.
ماذا تعني المرونة السيبرانية في التشغيل
تعني المرونة السيبرانية القدرة على مواصلة تشغيل الجهاز بأمان رغم الثغرات والهجمات الجديدة، أو تقييد تشغيله بشكل مبرَّر. وينتج عن ذلك مهام إضافية إلى جانب خطة الصيانة:
- جرد محدّث لجميع الأجهزة وإصدارات البرمجيات ومكوّنات الأطراف الثالثة،
- صورة مستمرة للوضع بشأن الثغرات الجديدة والهجمات النشطة،
- تقييم يربط الخطورة التقنية بالعواقب السريرية،
- تحديثات وإجراءات بديلة بوصفها تغييرات موثَّقة ومعتمدة،
- قناة لتلقّي البلاغات عن الثغرات من الخارج،
- المراقبة ومعالجة الحوادث والإبلاغ ضمن المهل المحددة.
تلخّص هذه الصفحة المقال المتخصص «Instandhaltung vernetzter Medizinprodukte» (صيانة الأجهزة الطبية المتصلة بالشبكة) المنشور بالألمانية في مجلة mt|medizintechnik، العدد 4.2026، وتعيد ترتيبه وتستكمله بالتطورات حتى أكتوبر 2026.
الأمن السيبراني مسألة سلامة: النظرة السريرية إلى الثغرات
في الأجهزة الطبية لا يتوقف الحادث الأمني عند حماية البيانات، بل قد يؤثر في العلاج نفسه.
إلى جانب السرية وسلامة البيانات والتوافر، يُطرح في الأجهزة الطبية سؤال رابع: هل يمكن لهجوم أن يُضعف الأداء المقصود للجهاز أو أن يُلحق الضرر بالأشخاص؟ وتؤكد إرشادات MDCG 2019-16 أن المخاطر الأمنية في الأجهزة الطبية لا يجوز النظر إليها بمعزل عن مخاطر السلامة.
كيف تتحول ثغرة تقنية إلى خطر سريري
- سلامة البيانات: قيم مقيسة أو صور أو نتائج فحوص جرى التلاعب بها تؤدي إلى تشخيصات خاطئة.
- التوافر: نظام شفّرته برمجية فدية أو تعطّل يؤخّر الفحوص أو التدخلات.
- التحكم: من يستطيع تغيير معاملات العلاج أو الإنذار يتدخل مباشرة في المعالجة.
- السرية: تسرّب البيانات الصحية يمسّ حماية البيانات وثقة المرضى.
ومن هنا تنشأ قاعدة محورية للتقييم في الميدان: درجة الخطورة التقنية وحدها لا تحدد مدى الإلحاح – بل الحاسم هو ما يمكن أن يُحدثه مهاجم في الجهاز المحدد وفي مسار العلاج المحدد.
ملفّا مخاطر ونتيجة واحدة
تدير الشركات المصنِّعة مخاطرها وفق ISO 14971، المنسَّق في إطار MDR بصيغة EN ISO 14971. وكثيرًا ما تُقيَّم المخاطر الأمنية في تحليل منفصل. والحاسم هو الربط بينهما: فكل سيناريو أمني قد يؤثر في المرضى أو المستخدمين يجب أن يظهر في ملف مخاطر السلامة، وكل إجراء سلامة يعتمد على البرمجيات يحتاج إلى دراسة أمنية. وفي الميدان يتكرر هذا الفحص مع كل ثغرة جديدة وكل حادث – بما في ذلك السؤال عمّا إذا كان يجب إعادة تقييم نسبة الفائدة إلى المخاطر.
اللوائح والأدوار: من يتحمّل أيّ التزام
يتداخل في أمن الأجهزة في الميدان قانون الأجهزة الطبية وقانون المشغّلين والإرشادات والمعايير وتشريعات NIS2 – ولكلٍّ منها مخاطَبون مختلفون.
MDR: التزامات الشركة المصنِّعة
تسري MDR منذ 26 مايو 2021. وهي تشترط تطوير البرمجيات وفق أحدث ما توصلت إليه التقنية مع إدارة مخاطر تشمل أمن المعلومات، والحماية من الوصول غير المصرّح به، وذكر الحد الأدنى من متطلبات شبكات تقنية المعلومات في تعليمات الاستخدام. وبعد الطرح في السوق تشغّل الشركات المصنِّعة نظامًا لمراقبة ما بعد التسويق (Post-Market Surveillance – PMS). واعتبارًا من الفئة IIa يشمل ذلك تقرير سلامة مُحدَّثًا دوريًا (Periodic Safety Update Report – PSUR)، يُعدّ سنويًا على الأقل للفئتين IIb وIII، وكل سنتين على الأقل للفئة IIa.
MDCG 2019-16: المسؤولية المشتركة
تنقل إرشادات MDCG 2019-16، في مراجعتها الصادرة في يوليو 2020، هذه المتطلبات إلى دورة الحياة بأكملها. وتوضح أن الأمن السيبراني جزء من نظام PMS ويشمل مكوّنات الأطراف الثالثة أيضًا. وفي الوقت نفسه تصف مسؤولية مشتركة: فالشركة المصنِّعة ملزمة قانونيًا، لكن الموردين والمُدمِجين ومؤسسات الرعاية الصحية والسلطات يتحملون أيضًا مسؤولية عملية. ولا يُتوقع إجراء تغييرات على الجهاز، بما في ذلك التصحيحات والبرمجيات الخارجية، إلا استنادًا إلى تعليمات صريحة ومنشورة من الشركة المصنِّعة.
المعايير بوصفها أحدث ما توصلت إليه التقنية
IEC 81001-5-1
معيار دورة حياة لبرمجيات الرعاية الصحية صدر في ديسمبر 2021، وصدرت نسخته المصحَّحة في ديسمبر 2025. يغطي التطوير والصيانة، ويُكمل هيكل العمليات في IEC 62304 بأنشطة أمنية، ويستند إلى IEC 62443-4-1. وهو غير منسَّق في إطار MDR، لكنه يُعدّ أحدث ما توصلت إليه التقنية.
IEC 80001-1
في طبعته الثانية منذ سبتمبر 2021. يتوجّه المعيار إلى المؤسسات التي تدمج أنظمة تقنية المعلومات الصحية في بنيتها التحتية، ويشترط إدارة المخاطر قبل الربط وأثناءه وبعده – مع أهداف الحماية الثلاثة: السلامة والفعالية والأمن.
AAMI TIR57 وSW96
وثيقتان أمريكيتان بشأن إدارة المخاطر الأمنية لدى الشركات المصنِّعة؛ وكلتاهما تربطها صراحةً بإدارة المخاطر وفق ISO 14971.
لائحة مشغّلي الأجهزة الطبية: التحديثات جزء من الصيانة
بالنسبة للمشغّلين في ألمانيا، تحدد لائحة مشغّلي الأجهزة الطبية، السارية بصيغتها الجديدة منذ 20 فبراير 2025، ما تشمله الصيانة: فإلى جانب الصيانة الدورية والفحص والإصلاح، تشمل في حالة البرمجيات صراحةً تثبيت التحديثات ذات الصلة بالأمن – مع مراعاة تعليمات الشركة المصنِّعة. وإذا غيّر التحديث طريقة الاستخدام بشكل جوهري، وجب تدريب الموظفين من جديد. وبالنسبة للبرمجيات المصنّفة جهازًا طبيًا من الفئة IIb أو III، تشترط اللائحة في مؤسسات الرعاية الصحية منذ 1 أغسطس 2025 أيضًا فحوصًا لأمن تقنية المعلومات وفق القواعد التقنية المعترف بها، مرة كل سنتين على الأقل ومع محضر موثَّق.
قانون BSI: التزامات المستشفى
منذ 6 ديسمبر 2025 ينقل قانون BSI الجديد توجيه NIS2 إلى القانون الألماني. وتنتمي المستشفيات إلى قطاع الصحة. ويشمل القانون عادةً المنشآت التي يعمل فيها 50 موظفًا فأكثر، أو التي يتجاوز حجم مبيعاتها وميزانيتها العمومية 10 ملايين يورو؛ وتُعدّ جهات بالغة الأهمية اعتبارًا من 250 موظفًا، أو إذا تجاوز حجم مبيعاتها 50 مليون يورو وميزانيتها العمومية 43 مليون يورو. أما المستشفيات التي تشغّل منشأة حيوية – وحتى الآن اعتبارًا من 30,000 حالة استشفاء داخلي كامل سنويًا – فتُعدّ كذلك بصرف النظر عن حجمها. ومن بين الالتزامات صراحةً الأمن عند الاقتناء والتطوير والصيانة، بما في ذلك إدارة الثغرات الأمنية والإفصاح عنها، وأمن سلسلة التوريد.
قانون المرونة السيبرانية وFDA في السياق الأوسع
لا يسري قانون المرونة السيبرانية (Cyber Resilience Act) على المنتجات الخاضعة لـ MDR أو IVDR. ومع ذلك يمتد أثره إلى التقنية الطبية: فالموردون الذين يطرحون مكوّنات ذات عناصر رقمية بشكل مستقل يخضعون منذ 11 سبتمبر 2026 لالتزامات الإبلاغ فيه، واعتبارًا من 11 ديسمبر 2027 لالتزاماته الرئيسية. وعلى الصعيد الدولي تضع إدارة الغذاء والدواء الأمريكية FDA المعايير: فهي تشترط منذ 29 مارس 2023 في طلبات الترخيص لما يُسمّى الأجهزة السيبرانية (Cyber Devices)، من بين أمور أخرى، قائمة SBOM وخطة للتعامل مع الثغرات تشمل الإفصاح المنسَّق عنها، وتحديثات وفق دورة زمنية مبرَّرة.
الشفافية: الجرد وSBOM وسلسلة التوريد
لا يمكن الإجابة عمّا إذا كانت ثغرة جديدة ذات صلة إلا بقائمة مكوّنات محدّثة – لدى الشركة المصنِّعة وفي المستشفى.
في يوم نشر Log4Shell، في 10 ديسمبر 2021، طُرح السؤال نفسه في مؤسسات كثيرة: في أيّ المنتجات توجد المكتبة المتأثرة؟ وهذا الغموض بالغ الحساسية في الأجهزة الطبية، لأن المستشفيات لا يُسمح لها عادةً بفحص الأجهزة أو تعديلها بنفسها ما لم تنص الشركة المصنِّعة على ذلك.
ما الذي تقدّمه SBOM
تسرد قائمة مكوّنات البرمجيات (SBOM) المكوّنات البرمجية لمنتج ما بصيغة قابلة للقراءة آليًا – مع الاسم والإصدار والمورّد والمجموع الاختباري والاعتماديات. وقد ترسّخت صيغتان: CycloneDX، المعتمدة معيارًا منذ يونيو 2024 باسم ECMA-424، وSPDX التي اعتُمد إصدارها 2.2.1 معيارًا دوليًا باسم ISO/IEC 5962:2021. أما الحد الأدنى من المحتويات التي ينبغي أن تتضمنها SBOM، فتصفه في ألمانيا المبادئ التوجيهية الفنية TR-03183-2 الصادرة عن BSI.
التزام أم توقّع؟
في الولايات المتحدة تُعدّ SBOM جزءًا من طلب الترخيص للأجهزة السيبرانية. أما قانون الأجهزة الطبية الأوروبي فلا يتضمن التزامًا صريحًا بها؛ وتذكر إرشادات MDCG 2019-16 قائمة المكوّنات مثالًا على المعلومات الأمنية المقدَّمة للمشغّلين. وينبع التوقع هنا من أحدث ما توصلت إليه التقنية وفق IEC 81001-5-1. أما مكوّنات الموردين الخاضعة لقانون المرونة السيبرانية، فتصبح SBOM إلزامية لها بوصفها جزءًا من التوثيق الفني اعتبارًا من 11 ديسمبر 2027.
من القائمة إلى صورة الوضع
لا تصبح SBOM فعّالة إلا إذا أعادت الشركة المصنِّعة إنشاءها مع كل عملية بناء وقارنتها باستمرار ببيانات الثغرات. ولأن المكتبة المعرّضة للخطر لا تعني تلقائيًا أن الجهاز معرّض للخطر، تضيف الشركة المصنِّعة بيانات عن مدى التأثر الفعلي (Vulnerability Exploitability eXchange – VEX) لكل ثغرة على حدة. وتُتبادل هذه المعلومات بصيغة قابلة للقراءة آليًا عبر إطار النشرات الأمنية الموحّد (Common Security Advisory Framework – CSAF)، وهو معيار من OASIS في إصداره 2.0 منذ نوفمبر 2022.
ما الذي ينبغي للمستشفيات تحديده عند الشراء
- تسليم SBOM قابلة للقراءة آليًا مع الجهاز وتحديثها مع كل إصدار برمجي،
- تقديم النشرات الأمنية وبيانات VEX عبر قناة ثابتة، ويُفضَّل أن تكون بصيغة CSAF،
- بيانات عن فترة الدعم بالتحديثات الأمنية وعن طريقة توفيرها،
- نموذج MDS2 مستوفى، والحد الأدنى من متطلبات بيئة الشبكة،
- جهة اتصال محددة للمسائل الأمنية والحوادث.
مخاطر تتجاوز الشيفرة الخاصة
تُظهر هجمات سلسلة التوريد، مثل الهجوم على SolarWinds Orion في أواخر 2020 أو الباب الخلفي في XZ Utils في مارس 2024، كيف تتسلل الشيفرات الخبيثة عبر مصادر موثوقة. ومن وسائل المواجهة عمليات البناء القابلة للتحقق، والمخرجات الموقَّعة، وأدلة المنشأ، واختيار الاعتماديات باقتصاد؛ ويقدّم إطار Supply-chain Levels for Software Artifacts (SLSA) نموذجًا متدرّجًا لذلك، وإصداره الحالي هو 1.2.
صورة الوضع والفرز في السياق السريري
ليست كل ثغرة على القدر نفسه من الإلحاح. والمهارة تكمن في ربط الإشارات التقنية بموقع الجهاز في المسار السريري.
مصادر صورة الوضع
- النشرات الأمنية الصادرة عن الشركات المصنِّعة للأجهزة ومورّدي المكوّنات، ويُفضَّل أن تكون قابلة للقراءة آليًا بصيغة CSAF،
- خدمة التحذير والمعلومات التابعة لـ CERT-Bund لدى BSI،
- كتالوج الثغرات المستغَلّة المعروفة (KEV) الصادر عن الوكالة الأمريكية CISA،
- تبادل المعلومات في Health-ISAC، الشبكة الدولية لتبادل المعلومات في قطاع الرعاية الصحية،
- المعارف الذاتية المستمدة من مراقبة الشبكة والسجلات والحوادث.
ثلاث إشارات تقنية
يستند التصنيف التقني إلى ثلاث إشارات: CVSS، في إصداره 4.0 منذ نوفمبر 2023، لقياس الخطورة؛ وEPSS لتوقّع الاستغلال خلال الثلاثين يومًا القادمة، ويُحدَّث يوميًا؛ وكتالوج KEV، الذي يُدار منذ نوفمبر 2021، لرصد الهجمات المثبتة.
الأسئلة السريرية
- إمكانية الوصول: هل يمكن الوصول إلى الجهاز من شبكة المستشفى أو عبر منافذ الصيانة عن بُعد أو حتى من الإنترنت؟
- الموقع السريري: هل يتحكم الجهاز في علاج أو يراقبه، أو يقدّم نتائج فحوص، أو هو موصول بالمريض؟
- عواقب التلاعب: ما أثر فقدان سلامة البيانات أو التوافر على التشخيص والعلاج؟
- إجراءات الحماية: هل تعمل تجزئة الشبكة أو قيود الوصول أو المراقبة بشكل يمكن إثباته؟
- بيان الشركة المصنِّعة: هل تؤكد بيانات VEX التأثر، أم أن المكوّن غير قابل للوصول؟
فئات الأولوية لغةً مشتركة
تستفيد الشركات المصنِّعة والمستشفيات من عدد قليل من فئات الأولوية الموصوفة بوضوح. والتقسيم التالي مقترح؛ أما أزمنة الاستجابة الملموسة فتحددها كل مؤسسة بحسب المنتج.
| الفئة | السمات النموذجية | الاستجابة المتوقعة | الإثبات |
|---|---|---|---|
| طارئة | استغلال مثبت أو وشيك، وجهاز يؤثر في العلاج أو التشخيص، ولا يوجد إجراء حماية فعّال | تشكيل خلية أزمة، وعزل الجهاز أو تقييد وظائفه، وحلّ مؤقت من الشركة المصنِّعة أو تحديث طارئ، وفي الحالات القصوى إيقاف الجهاز عن التشغيل | محضر القرار، وتقييم السلامة، وفحص التزامات الإبلاغ |
| عاجلة | سهولة الوصول أو تأثير ملموس في السلامة أو الأداء، وإجراءات الحماية جزئية فقط | اختبار معجَّل واعتماد بأولوية، وتكثيف المراقبة، والتخطيط للنشر في وقت قريب | تقرير الاختبار، والاعتماد، والمخاطر المتبقية |
| قابلة للتخطيط | إمكانية وصول محدودة، ووجود إجراءات حماية فعّالة | التحديث ضمن عملية التغيير الاعتيادية، ومراجعة إجراءات الحماية بانتظام | تقييم المخاطر، والموعد، والتحقق من الفعالية |
| روتينية | يصعب الوصول إليه، ولا صلة واضحة بسلامة المرضى | التثبيت مع الإصدار البرمجي الاعتيادي التالي | قيد في الجرد وفي سجل التغييرات |
أزمنة الاستجابة الداخلية ليست مهلًا قانونية. فمهل اليقظة في MDR ومراحل الإبلاغ في قانون BSI تسري بشكل مستقل عنها، كما يوضّح فصل مسارات الإبلاغ.
التصحيح بوصفه تغييرًا مضبوطًا – عبر الشبكة أيضًا
يسدّ التحديث ثغرة، ويغيّر في الوقت نفسه منتجًا جرى التحقق من صحته. لذلك يحتاج إلى عملية تغيير تجمع بين السرعة والإثبات.
ثمة طرفان محفوفان بالمخاطر: تثبيت كل تحديث متاح بشكل آلي دون تمحيص، أو الامتناع من حيث المبدأ عن أي تغيير في الأجهزة الطبية. وتتوقع إرشادات MDCG 2019-16 أن تكون لدى المشغّلين عمليات تصحيح تتيح نشر التحديثات ذات الصلة بالأمن في الوقت المناسب، وأن تسمح بيئة التشغيل بالتحديثات دون فقدان التوافق. كما تنص الإرشادات صراحةً على توفير التحديثات حتى خارج إطار إجراء تصحيحي ميداني للسلامة.
من البلاغ إلى التحديث الموثَّق
- 1تحديد التأثر
مطابقة البلاغ مع SBOM وجرد الأجهزة وبيانات VEX: أيّ الأجهزة وإصدارات البرمجيات والمواقع متأثرة فعلًا؟
- 2التقييم والتصنيف
الجمع بين الإشارات التقنية والموقع السريري وإجراءات الحماية القائمة، وتحديد فئة الأولوية، وتوثيق الصلة بالسلامة.
- 3اختيار الإجراء
تحديث أو تغيير في التهيئة أو إجراء بديل مثل تجزئة الشبكة أو التحصين أو تكثيف المراقبة أو تقييد الاستخدام – بالتنسيق مع تعليمات الشركة المصنِّعة.
- 4الاختبار والاعتماد
تتحقق الشركة المصنِّعة من التحديث وتصادق عليه؛ ويختبره المستشفى في بيئة قريبة من الواقع مع واجهاته، ثم يعتمده وفق معايير محددة.
- 5النشر التدريجي
أولًا على أجهزة تجريبية، ثم على الأسطول كله، ضمن نوافذ صيانة متفق عليها ومع مسار رجوع مُعدّ مسبقًا في حال حدوث أعطال.
- 6التحقق والتوثيق
فحص حالة التثبيت، وتأكيد الوظائف، وتسجيل المخاطر المتبقية، وتحديث الجرد وSBOM وملف المخاطر.
تُقيَّم الإجراءات البديلة وتُعتمد وتُحدَّد بمدة زمنية وتُراجَع تمامًا كما يحدث مع التصحيح. فمن منظور MDR، المهم هو إثبات أن القرار جرى تبريره واختباره وتوثيقه مع مخاطره المتبقية – لا التثبيت وحده.
تحديثات OTA عبر الشبكة
توصل التحديثات عبر الهواء (Over-the-Air) التصحيحات إلى عدد كبير من الأجهزة بسرعة أكبر، لكنها تُنشئ خطر تركّز: فقد تصل حزمة معيبة أو متلاعَب بها في أسوأ الأحوال إلى الأسطول بأكمله. وتحدد بنية تحديث البرامج الثابتة الصادرة عن IETF، الموصوفة في RFC 9019 الصادر في أبريل 2021، المبادئ الأساسية التالية:
- بيان (Manifest) موقَّع يصف منشأ الحزمة وتوافقها ومجاميعها الاختبارية،
- التحقق من الأصالة وسلامة البيانات قبل التثبيت، ثم مرة أخرى عند بدء التشغيل عبر الإقلاع الآمن (Secure Boot) بمحمّل إقلاع ذي مرساة ثقة،
- صورة نظام احتياطية في منطقة تخزين منفصلة وفق مبدأ A/B، حتى لا يعطّل تحديثٌ فاشل الجهاز،
- حماية من الرجوع إلى إصدارات أقدم عبر أرقام تسلسلية، كي لا يتمكن المهاجمون من تثبيت إصدار أقدم معرّض للخطر لكنه موقَّع توقيعًا صالحًا،
- المتانة في مواجهة انقطاع التيار الكهربائي أو انقطاع الاتصال.
تحلّ صورة النظام الاحتياطية والحماية من الرجوع إلى إصدارات أقدم مشكلتين مختلفتين: فالأولى تضمن التوافر، والثانية تمنع هجومًا. ويُضاف إلى ذلك نقل مشفّر، وموجات نشر متدرّجة، وقياس عن بُعد لنسبة النجاح، وفي التشغيل السريري أيضًا نوافذ صيانة متفق عليها وإبلاغ المستخدمين بوضوح. وإذا غيّر التحديث خصائص السلامة أو الأداء بشكل جوهري، فقد يلزم بحسب التصنيف إجراء تقييم جديد بمشاركة الجهة المُخطَرة.
ثغرات يوم الصفر والإفصاح المنسَّق وفريق PSIRT
حين تكون الثغرة معروفة ولا يوجد تحديث بعد، يكون الاستعداد هو الحاسم. وكي تصل البلاغات أصلًا، لا بد من نقطة استقبال منظَّمة.
الاستعداد لثغرة يوم الصفر
تُعدّ ثغرة يوم صفر كلُّ ثغرة لا يتوفر لها تصحيح لحظة الكشف عنها. وفي الأجهزة الطبية يزداد الأمر صعوبة: فالجهاز يجب أن يواصل خدمة المرضى، والتحديث المعتمد غائب، والتدخلات المنفردة من المستشفى مستبعدة. وقد أثبتت أربعة احتياطات جدواها:
- مسار تصعيد موثَّق يحدد من يتخذ القرار في الساعات الأولى – مسؤولية المنتج، والأمن، وتقنية المعلومات في المستشفى، والهندسة الطبية، والشؤون التنظيمية،
- إجراءات فورية متفق عليها مسبقًا، مثل فصل الشبكة، وإيقاف الخدمات غير الضرورية، والمراقبة الموجّهة بحثًا عن آثار الهجوم،
- تهيئات بديلة مُعدّة مسبقًا ومفحوصة سريريًا لفئات الأجهزة الحرجة من حيث السلامة،
- نماذج لإشعارات السلامة الميدانية (Field Safety Notice) الموجّهة إلى المستخدمين، تكون صحيحة تقنيًا ومفهومة سريريًا.
يجب وفق MDR، من حيث المبدأ، إبلاغ السلطة بالإجراء التصحيحي الميداني للسلامة (Field Safety Corrective Action – FSCA) قبل تنفيذه؛ ولا يجوز أن يأتي الإبلاغ لاحقًا إلا في الحالات العاجلة. وإذا كانت الثغرة مستغَلّة فعليًا، يزداد الوضع حدّة – تقنيًا وتنظيميًا على حد سواء.
الإفصاح المنسَّق عن الثغرات
يكتشف كثيرًا من الثغرات باحثون ومختبرو اختراق ومُدمِجون أو مستخدمون. ودون مسار إبلاغ واضح تبقى هذه البلاغات مهملة أو تصل إلى العلن دون تنسيق. وينظّم الإفصاح المنسَّق عن الثغرات (CVD) هذه العملية: يُستقبل البلاغ ويُفحص وتُعالَج الثغرة، ثم يُنشر الأمر بشكل مشترك. ويضع الإطارَ المعيارُ ISO/IEC 29147:2018 لاستقبال البلاغات والنشر، والمعيارُ ISO/IEC 30111:2019 للمعالجة الداخلية.
إمكانية التواصل
ملف security.txt وفق RFC 9116 الصادر في أبريل 2022 تحت المسار /.well-known/ على الموقع الإلكتروني، وسياسة للمبلّغين، وجهة اتصال تتيح المراسلة المشفّرة.
المعالجة
فريق للاستجابة لحوادث أمن المنتجات (PSIRT) بأزمنة استجابة محددة؛ ويقدّم إطار PSIRT Services Framework الصادر عن FIRST التوجيه اللازم.
التعريف
معرّفات CVE فريدة، تُمنح عبر جهة ترقيم CVE خاصة بالشركة (CVE Numbering Authority – CNA) أو بالتعاون مع جهة ترقيم قائمة.
النشر
نشرات أمنية تتضمن الإصدارات المتأثرة والإجراءات وحالة VEX، ويُفضَّل أن تكون قابلة للقراءة آليًا بصيغة CSAF.
ما الذي ينبغي للمستشفيات فحصه
دون عملية CVD فعّالة يصعب تقدير قدرة الشركة المصنِّعة على الاستجابة. ومن المؤشرات المعبّرة: سياسة منشورة، وفريق PSIRT يمكن التواصل معه، وسجل نشرات أمنية قابل للتتبع.
المراقبة والاستجابة للحوادث ومسارات الإبلاغ المتوازية
بين أول مؤشر غير مألوف ونشوء التزام الإبلاغ لا تفصل أحيانًا سوى ساعات. ومن لا يحدد إلا أثناء الحادث مَن يبلّغ عن ماذا، يخسر وقتًا ثمينًا.
مراقبة تتجاوز التوافر
المراقبة التي تكتفي بالتحقق من إمكانية الوصول إلى الجهاز لا تكتشف الهجمات. فالمؤشرات المعبّرة هي الاتصالات غير المألوفة، وتكرار محاولات تسجيل الدخول الفاشلة، والتغييرات غير المتوقعة في التهيئة، وإخفاق فحوص سلامة البيانات. ولأن كثيرًا من الأجهزة الطبية لا يجوز تثبيت برمجيات إضافية عليها، فإن المراقبة السلبية للشبكة في مناطق الأجهزة المجزّأة خيار مناسب.
الاستجابة للحوادث عبر حدود المؤسسات
يجب أن تتحول المؤشرات غير المألوفة إلى إجراء عملي قابل للتنفيذ – بأدوار ومعايير تصعيد وواجهات مع الهندسة الطبية وإدارة المستشفى وحماية البيانات والشركة المصنِّعة. وتتوقع إرشادات MDCG 2019-16 صراحةً أن يبلّغ المشغّلون الشركة المصنِّعة فورًا عن أي حادث أمني مشتبه به. ولدى الشركة المصنِّعة يجمع فريق PSIRT التحليل وتحديد الأولويات والمعالجة، ويرافق التواصل مع فرق CERT وشبكات تبادل المعلومات والسلطات.
مقارنة بين أربعة مسارات للإبلاغ
| مسار الإبلاغ | مَن يبلّغ | المحفّز | المهل | الجهة المستقبِلة |
|---|---|---|---|---|
| اليقظة وفق MDR | الشركة المصنِّعة | حادث جسيم، ولو كان سببه رقميًا، أو إجراء تصحيحي ميداني للسلامة | دون تأخير، وفي موعد أقصاه يومان عند وجود خطر جسيم على الصحة العامة، و10 أيام في حالة الوفاة أو التدهور الخطير غير المتوقع في الحالة الصحية، و15 يومًا في غير ذلك | السلطة المختصة، وفي ألمانيا عادةً المعهد الاتحادي للأدوية والأجهزة الطبية BfArM |
| بلاغ المستخدم في ألمانيا | المشغّلون والمستخدمون، مثل المستشفى | حادث يُشتبه في جسامته مرتبط بجهاز طبي | دون تأخير | السلطة الاتحادية العليا المختصة، وعادةً BfArM |
| قانون BSI وفق NIS2 | المستشفى بوصفه جهة بالغة الأهمية أو جهة مهمة | حادث أمني كبير | إنذار مبكر خلال 24 ساعة، وبلاغ بتقييم أولي خلال 72 ساعة، وتقرير نهائي في موعد أقصاه شهر بعد البلاغ | BSI |
| اللائحة العامة لحماية البيانات | المتحكّم في البيانات، مثل المستشفى | انتهاك لحماية البيانات الشخصية ينطوي على خطر على أصحابها | دون تأخير، وخلال 72 ساعة إن أمكن؛ ويجب تبرير أي تأخير | سلطة الرقابة على حماية البيانات |
تسري المهل بشكل مستقل بعضها عن بعض، وعادةً من لحظة العلم بالحادث؛ ويُحتسب موعد التقرير النهائي وفق قانون BSI من تاريخ بلاغ الـ 72 ساعة. ويُضاف إلى ذلك إبلاغ الشركة المصنِّعة عن الاتجاهات عند تزايد ملحوظ إحصائيًا في الحوادث غير الجسيمة.
بالنسبة لليقظة وفق MDR لا يهم ما إذا كان الحدث ناجمًا عن هجوم أو ثغرة أو خطأ برمجي. بل المهم هو ما إذا كانت سلامة المنتج أو أداؤه قد تأثرا أو كان يمكن أن يتأثرا. وتتضمن إرشادات MDCG 2019-16 أمثلة للتمييز بين الحادث والحادث الجسيم؛ ولأغراض الترميز يوفّر المنتدى الدولي لمنظّمي الأجهزة الطبية (International Medical Device Regulators Forum – IMDRF) رموزًا للمشكلات، مثل «Software Security Vulnerability». وعند الشك في وجود التزام بالإبلاغ، ينبغي الإبلاغ ضمن المهلة، إذ يجوز تقديم بلاغ غير مكتمل في البداية.
ما الذي سيغيّره مقترح المراجعة
اقترحت المفوضية في 16 ديسمبر 2025 مراجعة MDR وIVDR. ووفق المقترح يتعيّن على الشركات المصنِّعة الإبلاغ عن الثغرات المستغَلّة فعليًا والحوادث الأمنية الجسيمة خلال 30 يومًا عبر قاعدة البيانات الأوروبية Eudamed إلى فرق CSIRT المختصة وإلى ENISA؛ كما يُفترض أن ترتفع مهلة اليقظة العامة للحوادث الجسيمة الأخرى من 15 إلى 30 يومًا. ولم يُعتمد المقترح بعد، وحتى ذلك الحين تظل المهل الحالية سارية.
الوضع المستهدف وخطة البدء للصيانة في الميدان
لا تصبح الصيانة في الميدان فعّالة إلا عندما يتشارك الأمن والجودة والشؤون التنظيمية والمستشفى عملية إدارة واحدة.
تحتاج مراقبة السوق وإدارة الثغرات ومعالجة الحوادث بعضها إلى بعض: فالمخاطر الجديدة لا تظهر إلا إذا غذّت صورة الوضع الأمني مراقبة السوق؛ والأولويات لا تكون صحيحة إلا إذا رافقها تقييم السلامة؛ والمهل لا تُحترم إلا إذا أُشركت الشؤون التنظيمية مبكرًا. ويجمع الوضع المستهدف هذه المسارات في دورة واحدة بمسؤولين واضحين.
الشفافية
جرد كامل للأجهزة وإصدارات البرمجيات ومكوّنات الأطراف الثالثة، يستند إلى قوائم SBOM محدّثة.
صورة الوضع
تحليل مستمر لنشرات الشركات المصنِّعة وCERT-Bund وKEV والملاحظات الذاتية.
القرار
اختيار قائم على المخاطر بين التحديث وموجة OTA والإجراء البديل وتقييد الاستخدام – مع تقييم السلامة.
استقبال البلاغات
قناة CVD فعّالة وفريق PSIRT يعالج البلاغات بموثوقية.
الإثبات
نتائج PMS، وملف مخاطر محدَّث، وسجل التغييرات، وعند الاقتضاء البلاغات المقدَّمة، ضمن التوثيق الفني.
المسؤولية
أدوار ثابتة للمنتج والجودة والأمن والخدمة والشؤون التنظيمية والتشغيل السريري، مع دورات مراجعة ومعايير تصعيد.
خطة البدء للأشهر الأولى
- الجرد والمسؤولون: حصر جميع الأجهزة الطبية المتصلة مع إصدار البرمجيات والربط الشبكي وجهة الاتصال لدى الشركة المصنِّعة وتاريخ انتهاء الدعم.
- سدّ النقص في معلومات الشركات المصنِّعة: طلب SBOM ونموذج MDS2 والنشرات الأمنية وتعليمات التصحيح، وترسيخها في العقود.
- تحديد فئات الأولوية وأزمنة الاستجابة الداخلية التي تجمع بين المعايير التقنية والسريرية.
- إرساء عملية تغيير للتحديثات والإجراءات البديلة بخطوات للاختبار والاعتماد والتوثيق، وربطها بالتزامات الصيانة والفحص الواردة في لائحة المشغّلين.
- إعداد مصفوفة إبلاغ لليقظة وفق MDR وبلاغ المستخدم وقانون BSI وحماية البيانات، مع النماذج والمسؤوليات والبدلاء، والتدرّب عليها.
- اعتماد مؤشرات أداء، مثل نسبة الأجهزة ذات SBOM محدّثة، ومدة المعالجة لكل فئة أولوية، وعدد الإجراءات البديلة المؤقتة.
من يربط هذه العناصر مبكرًا يستجيب أسرع، ويستطيع إثبات قراراته، ويعزّز الثقة في التقنية الطبية الرقمية. فالجهاز الذي طُوِّر بشكل آمن لا يبقى آمنًا إلا إذا صِين في الميدان بالعناية نفسها.
لا تُغني المعلومات الواردة في هذه الصفحة عن الاستشارة القانونية. وتتوقف الالتزامات السارية في كل حالة على تصنيف المنتج ودور المؤسسة وحجمها.
مقال متخصص · mt|medizintechnik
صيانة الأجهزة الطبية المتصلة بالشبكة
يبيّن Valeri Milke، الرئيس التنفيذي لشركة VamiSec GmbH والمدقق الرئيسي لمعياري ISO/IEC 27001 وISO/IEC 42001، في مقاله المنشور في المجلة لماذا تُعدّ إدارة الثغرات والتصحيحات في الأجهزة الطبية المتصلة مسألة تمسّ سلامة المرضى، وكيف تنظّم الشركات المصنِّعة والمشغّلون الصيانة بوصفها عملية متكاملة. وتلخّص هذه الصفحة المقال وتعيد ترتيبه وتستكمله بالتطورات الراهنة، مثل الصيغة الجديدة من لائحة مشغّلي الأجهزة الطبية وقانون BSI الجديد ومقترح مراجعة MDR.
العدد4.2026
الناشرTÜV Media
محور العددالصيانة
الحجم5 صور وجدول واحد
- قد يشكّل جهاز يعمل من الناحية الشكلية خطرًا أمنيًا غير مقبول.
- لا تُحدَّد أولويات الثغرات بشكل صحيح إلا بمراعاة السياق السريري.
- التصحيحات وتحديثات OTA تغييرات مضبوطة تمرّ بالاختبار والاعتماد والإثبات.
- تتطلب اليقظة وفق MDR وNIS2 وحماية البيانات عمليات إبلاغ منسَّقة تسير بالتوازي.
نُشر المقال الكامل باللغة الألمانية في النسخة المطبوعة وفي النسخة الرقمية المتاحة للمشتركين.
الأسئلة الشائعة
أسئلة شائعة حول صيانة الأجهزة الطبية المتصلة بالشبكة
إجابات موجزة للشركات المصنِّعة والهندسة الطبية وتقنية المعلومات في المستشفيات – محدّثة حتى أكتوبر 2026.
تشمل، إلى جانب الصيانة الدورية والفحوص، جردًا محدّثًا بإصدارات البرمجيات وقوائم SBOM، ومتابعة مستمرة للثغرات الجديدة، وتقييمًا يراعي السياق السريري، والتعامل مع التحديثات والإجراءات البديلة بوصفها تغييرات مضبوطة، وقناة لتلقّي البلاغات الخارجية عن الثغرات، إضافة إلى المراقبة ومعالجة الحوادث والإبلاغ. ولدى الشركة المصنِّعة تصبّ النتائج في مراقبة ما بعد التسويق وإدارة المخاطر، وفي المستشفى في تشغيل الأجهزة الطبية وإدارة أمن المعلومات.
نعم، إذا نصّت الشركة المصنِّعة على ذلك. ففي ألمانيا تعدّ لائحة مشغّلي الأجهزة الطبية تثبيت تحديثات البرمجيات ذات الصلة بالأمن جزءًا من التزام المشغّل بالصيانة، مع الالتزام دائمًا بتعليمات الشركة المصنِّعة. ولا تتوقع إرشادات MDCG 2019-16 تغييرات على الجهاز، بما فيها التصحيحات والبرمجيات الخارجية، إلا استنادًا إلى تعليمات منشورة من الشركة المصنِّعة. وإذا اعتمدت الشركة المصنِّعة تحديثًا، يثبّته المستشفى سريعًا عبر عملية منظَّمة تشمل الاختبار والاعتماد والتوثيق. ودون اعتماد تبقى الإجراءات البديلة، مثل تجزئة الشبكة أو تقييد الاستخدام.
لا يتضمن قانون الأجهزة الطبية الأوروبي حاليًا التزامًا صريحًا بتقديم SBOM. وتذكر إرشادات MDCG 2019-16 قائمة المكوّنات مثالًا على المعلومات الأمنية المقدَّمة للمشغّلين، ويحدد IEC 81001-5-1 أحدث ما توصلت إليه التقنية. وفي الولايات المتحدة تشترط FDA منذ مارس 2023 تقديم SBOM ضمن طلب الترخيص للأجهزة السيبرانية. وينبغي للمستشفيات اشتراطها تعاقديًا عند الشراء، وللشركات المصنِّعة توفيرها بصيغة قابلة للقراءة آليًا مثل CycloneDX أو SPDX.
لا. يستثني قانون المرونة السيبرانية المنتجات الخاضعة لـ MDR أو IVDR، لأن قانون الأجهزة الطبية يفرض متطلبات أمنية خاصة به. لكنه يؤثر بشكل غير مباشر: فالموردون الذين يطرحون مكوّنات ذات عناصر رقمية بشكل مستقل يخضعون منذ 11 سبتمبر 2026 لالتزامات الإبلاغ فيه، واعتبارًا من 11 ديسمبر 2027 لسائر التزاماته، ومنها تقديم SBOM. كما يتبنى مقترح مراجعة MDR مفاهيم من قانون المرونة السيبرانية.
يخضع للإبلاغ الحادث الجسيم: أي خلل أو تراجع في الأداء – ولو نتج عن ثغرة مستغَلّة – أدى أو كان يمكن أن يؤدي إلى الوفاة أو تدهور خطير في الحالة الصحية أو خطر جسيم على الصحة العامة. وتبلغ المهل القصوى 2 أو 10 أو 15 يومًا. والثغرة المعروفة وحدها لا تستوجب الإبلاغ، لكن يجب فحص عواقبها وتوثيق هذا الفحص. وتتضمن إرشادات MDCG 2019-16 أمثلة تساعد على التمييز.
إذا كان المستشفى خاضعًا لقانون BSI بوصفه جهة بالغة الأهمية أو جهة مهمة، فإنه يبلّغ BSI عن الحادث الأمني الكبير بإنذار مبكر خلال 24 ساعة، وببلاغ يتضمن تقييمًا أوليًا خلال 72 ساعة، وبتقرير نهائي في موعد أقصاه شهر بعد هذا البلاغ. وإذا تأثرت بيانات شخصية، يجب إبلاغ سلطة الرقابة على حماية البيانات خلال 72 ساعة إن أمكن. أما الحادث الذي يُشتبه في جسامته والمرتبط بجهاز طبي، فيبلّغ عنه المستشفى دون تأخير السلطة الاتحادية العليا المختصة، وهي عادةً BfArM، ويُشرك الشركة المصنِّعة.
بالجمع بين الإشارات التقنية والسياق السريري. فنظام CVSS يصف الخطورة، وEPSS احتمال الاستغلال خلال الثلاثين يومًا القادمة، بينما يثبت كتالوج KEV وجود هجمات نشطة. ويُضاف إلى ذلك إمكانية الوصول إلى الجهاز، والقرب من المريض، والعواقب المحتملة على التشخيص أو العلاج، وإجراءات الحماية الفعّالة، وبيانات VEX الصادرة عن الشركة المصنِّعة. وينتج عن ذلك عدد قليل من فئات الأولوية بأزمنة استجابة تُحدَّد بحسب المنتج.
الإفصاح المنسَّق عن الثغرات إجراء منظَّم تستقبل به الشركة المصنِّعة البلاغات الخارجية عن الثغرات وتفحصها وتعالجها وتنشرها بشكل منسَّق – وفق ISO/IEC 29147 وISO/IEC 30111. وبالنسبة للمستشفيات يُعدّ مقياسًا لسرعة استجابة الشركة المصنِّعة للثغرات الحرجة. ومن الجدير بالفحص: سياسة منشورة، وجهة اتصال عبر security.txt، وفريق PSIRT يمكن التواصل معه، وسجل نشرات أمنية قابل للتتبع.
المعايير والمصادر
يستند محتوى هذه الصفحة إلى الأدلة والدراسات التالية المتاحة للعموم.
mt|medizintechnik · TÜV Media GmbH · 2026
Valeri Milke: «Instandhaltung vernetzter Medizinprodukte»، العدد 4.2026 ↗
المقال المتخصص الذي تستند إليه هذه الصفحة، ضمن محور العدد «الصيانة».
الجريدة الرسمية للاتحاد الأوروبي / EUR-Lex · 2017
لائحة الأجهزة الطبية MDR – اللائحة (EU) 2017/745 ↗
الملحق I البنود 17.2 و17.4 و18.8 و23.4؛ المواد 83–89: مراقبة ما بعد التسويق وتقرير PSUR ومهل اليقظة والإبلاغ عن الاتجاهات والإجراءات اللاحقة.
MDCG / المفوضية الأوروبية · 2020
MDCG 2019-16 Rev. 1 – Guidance on Cybersecurity for medical devices ↗
المسؤولية المشتركة، والتزامات المشغّلين والمُدمِجين، ومراقبة ما بعد التسويق واليقظة، ورموز IMDRF.
المفوضية الأوروبية · 2025
مقترح لتعديل MDR وIVDR – COM(2025) 1023، الإجراء 2025/0404(COD) ↗
مقترح بتاريخ 16 ديسمبر 2025: مادة جديدة 87a في MDR للإبلاغ خلال 30 يومًا إلى فرق CSIRT وENISA، ورفع مهلة اليقظة من 15 إلى 30 يومًا؛ لم يُعتمد بعد.
IEC · 2021
IEC 81001-5-1:2021 – Health software and health IT systems safety, effectiveness and security – Part 5-1: Security – Activities in the product life cycle ↗
الأنشطة الأمنية في التطوير والصيانة؛ نسخة مصحَّحة في ديسمبر 2025؛ غير منسَّق في إطار MDR حتى يونيو 2026.
IEC · 2021
IEC 80001-1:2021 – Application of risk management for IT-networks incorporating medical devices – Part 1 ↗
إدارة المخاطر لدى المؤسسة المشغّلة لشبكات تقنية المعلومات الطبية.
إدارة الغذاء والدواء الأمريكية FDA · 2026
Cybersecurity in Medical Devices: Quality Management System Considerations and Content of Premarket Submissions ↗
نهائية منذ 3 فبراير 2026؛ القسم 524B من قانون FD&C: قائمة SBOM وخطة لما بعد التسويق تشمل CVD ودورات التحديث.
BSI · 2025
المبادئ التوجيهية الفنية TR-03183، الجزء 2: قائمة مكوّنات البرمجيات (SBOM)، الإصدار 2.1.0 ↗
الحد الأدنى لمحتويات SBOM؛ CycloneDX من الإصدار 1.6 أو SPDX من الإصدار 3.0.1.
OASIS Open · 2022
Common Security Advisory Framework (CSAF) Version 2.0 ↗
نشرات أمنية قابلة للقراءة آليًا، بما في ذلك ملف تعريف VEX.
FIRST · 2026
Exploit Prediction Scoring System (EPSS) ↗
تقدير يومي لاحتمال استغلال كل ثغرة CVE خلال الثلاثين يومًا القادمة.
CISA · 2026
Known Exploited Vulnerabilities Catalog ↗
كتالوج الثغرات المستغَلّة فعليًا منذ نوفمبر 2021؛ يخضع اليوم للتوجيه BOD 26-04.
جمهورية ألمانيا الاتحادية · 2021
MPAMIV – لائحة الإبلاغ والمعلومات لمستخدمي الأجهزة الطبية ↗
المادة 3: يبلّغ المشغّلون والمستخدمون عن الحوادث المشتبه في جسامتها دون تأخير إلى السلطة الاتحادية العليا المختصة.
IETF · 2021
RFC 9019 – A Firmware Update Architecture for Internet of Things ↗
بيانات (Manifests) موقَّعة، والإقلاع الآمن، والحماية من الرجوع إلى إصدارات أقدم، وصورة النظام الاحتياطية.
جمهورية ألمانيا الاتحادية · 2025
لائحة تشغيل الأجهزة الطبية واستخدامها – لائحة مشغّلي الأجهزة الطبية (MPBetreibV)، صيغة 2025 ↗
نافذة منذ 20 فبراير 2025؛ المادة 7: الصيانة بما فيها تحديثات البرمجيات ذات الصلة بالأمن؛ المادة 4 الفقرة 3: التدريب بعد التحديثات؛ المادة 17: فحوص أمن تقنية المعلومات، المطبَّقة اعتبارًا من 1 أغسطس 2025.
جمهورية ألمانيا الاتحادية · 2025
BSIG – قانون المكتب الاتحادي لأمن المعلومات بصيغة قانون تنفيذ NIS2 المعروف اختصارًا باسم NIS2UmsuCG ↗
ينقل التوجيه (EU) 2022/2555 بشأن NIS2؛ نافذ منذ 6 ديسمبر 2025؛ المواد 28 و30 و32 والملحق 1: فئات الجهات والتدابير ومراحل الإبلاغ خلال 24 ساعة و72 ساعة وشهر.
BSI · 2020
ManiMed – التلاعب بالأجهزة الطبية، التقرير الختامي ↗
عشرة أجهزة طبية متصلة من خمس فئات، وأكثر من 150 ثغرة جرى الإبلاغ عنها.
ما مدى متانة صيانتكم للأجهزة في الميدان؟
في محادثة أولية غير ملزمة نراجع معكم عمليتكم – من جرد الأجهزة مرورًا بالفرز واعتماد التصحيحات حتى مصفوفة الإبلاغ – في ضوء متطلبات MDR ولائحة مشغّلي الأجهزة الطبية وقانون BSI، وكذلك IEC 80001-1 وIEC 81001-5-1 وإرشادات MDCG 2019-16.