Ciberseguridad para productos sanitarios

El MDR no utiliza literalmente el término «ciberseguridad», pero su anexo I establece requisitos claros: la sección 17.1 exige, para los productos con sistemas electrónicos programables, repetibilidad, fiabilidad y funcionamiento acordes con su finalidad prevista; la sección 17.2 exige un desarrollo de software conforme al estado de la técnica, teniendo en cuenta el ciclo de vida, la gestión de riesgos – incluida la seguridad de la información – así como la verificación y la validación. Según la sección 17.4, los fabricantes deben establecer requisitos mínimos de hardware, características de las redes informáticas y medidas de seguridad informática, incluida la protección contra el acceso no autorizado; la sección 18.8 y la sección 23.4, letra ab), añaden la protección contra el acceso no autorizado y la obligación de comunicar estos requisitos mínimos en las instrucciones de uso. El Cyber Resilience Act (Reglamento (UE) 2024/2847) excluye expresamente los productos sanitarios de su ámbito de aplicación en el art. 2, porque el MDR ya impone requisitos de seguridad informática para todo el ciclo de vida.

La guía MDCG 2019-16 Rev. 1 (julio de 2020) del Medical Device Coordination Group concreta cómo aplicar los requisitos del anexo I a lo largo de todo el ciclo de vida: secure by design, una gestión de riesgos de seguridad propia, engranada con la gestión de riesgos de safety, y un catálogo de security capabilities como autenticación, autorización, cifrado y registro de auditoría. Establece el principio de responsabilidad compartida («joint responsibility»): además del fabricante, también los integradores, operadores y usuarios asumen obligaciones definidas para una operación segura – por ejemplo, la configuración segura y el cumplimiento de los requisitos informáticos mínimos del fabricante. Una tabla de correspondencias relaciona las secciones pertinentes de los anexos I del MDR y del IVDR, y un anexo con casos prácticos delimita los incidentes de ciberseguridad frente a los incidentes graves de notificación obligatoria.

La IEC 81001-5-1:2021 («Health software and health IT systems safety, effectiveness and security – Part 5-1: Security – Activities in the product life cycle») define los requisitos de proceso para el desarrollo y el mantenimiento seguros del software sanitario: gestión de riesgos de seguridad con modelado de amenazas, pruebas de seguridad, gestión de la configuración y procesos de monitorización de vulnerabilidades y resolución de problemas. Amplía la estructura de ciclo de vida de la IEC 62304 con actividades de seguridad y se inspira en la IEC 62443-4-1. La versión europea EN IEC 81001-5-1:2022 está prevista para la armonización bajo el MDR y el IVDR, pero incluso tras la actualización de las listas de normas en junio de 2026 (Decisión de Ejecución (UE) 2026/1231) todavía no se cita en el Diario Oficial de la UE, por lo que no existe presunción de conformidad. En la práctica, los organismos notificados tratan no obstante la norma como estado de la técnica para demostrar el cumplimiento de los requisitos de las secciones 17.2 y 17.4 del anexo I.

El Reglamento de IA (Reglamento (UE) 2024/1689, en vigor desde el 1 de agosto de 2024) complementa el MDR, pero no lo sustituye: según el art. 6(1), un sistema de IA se considera IA de alto riesgo si es un componente de seguridad de un producto sanitario, o es él mismo tal producto, y su evaluación de la conformidad requiere un organismo notificado – lo que bajo el MDR ocurre por regla general a partir de la clase IIa. La FAQ MDCG 2025-6 (junio de 2025), elaborada conjuntamente con el AI Board, responde a 36 preguntas prácticas sobre la interacción de ambos marcos, por ejemplo sobre la asignación de roles (el fabricante según el MDR corresponde al proveedor según el Reglamento de IA) y sobre la combinación de las evaluaciones de la conformidad. En cuanto a los plazos, 2026 trajo un cambio esencial: el «Digital Omnibus» acordado en mayo de 2026 por el Parlamento y el Consejo aplaza la aplicación de las obligaciones de alto riesgo para los sistemas de IA integrados en productos regulados del 2 de agosto de 2027 al 2 de agosto de 2028; surtirá efecto con su publicación en el Diario Oficial de la UE. Una propuesta más amplia de excluir en gran medida los productos sanitarios del Reglamento de IA no fue adoptada.

Dado que el panorama de amenazas y las vulnerabilidades cambian continuamente tras la introducción en el mercado, el MDR exige un sistema activo de vigilancia poscomercialización (art. 83) con un plan de PMS (art. 84) y – según la clase – un informe de PMS o un informe periódico de seguridad actualizado (PSUR, art. 86); según MDCG 2019-16, la ciberseguridad forma parte expresa de este sistema. Si una vulnerabilidad explotada o explotable provoca un incidente grave, se aplican las obligaciones de vigilancia del art. 87: notificación a más tardar 15 días después de tener conocimiento, 10 días en caso de fallecimiento o de deterioro grave e imprevisto del estado de salud, 2 días en caso de amenaza grave para la salud pública; a ello se añade el trend reporting del art. 88. Para la notificación existen códigos IMDRF para causas relacionadas con la seguridad, como «Computer System Security Problem» y «Software Security Vulnerability». Desde el punto de vista regulatorio, los parches de seguridad son acciones correctivas y pueden ser notificables como acciones correctivas de seguridad en campo (FSCA) – un proceso estructurado de gestión de vulnerabilidades conforme a la IEC 81001-5-1 conecta ambos mundos. Relevante de cara al futuro: la propuesta de la Comisión de diciembre de 2025 para la revisión del MDR (COM(2025) 1023) prevé además notificaciones de tipo CRA de vulnerabilidades activamente explotadas a los CSIRT y a ENISA – aún no adoptada.

Los organismos notificados examinan la ciberseguridad como parte de la documentación técnica según los anexos II y III del MDR – desde el análisis de riesgos de seguridad y la definición de las security capabilities hasta las evidencias de las pruebas de seguridad y los procesos de gestión de vulnerabilidades y PMS. El position paper de Team-NB «Cyber Security» (octubre de 2022) describe las expectativas comunes de los organismos notificados europeos respecto a estas evidencias; en un escrito de febrero de 2026, Team-NB insta además a la rápida armonización de normas como la IEC 81001-5-1. Mientras falten normas de ciberseguridad armonizadas, no existe presunción de conformidad: los fabricantes deben fundamentar por sí mismos el estado de la técnica y deberían construir su argumentación en torno a MDCG 2019-16 e IEC 81001-5-1.