Qu'est-ce que la norme CEI EN 81001-5-1 ?
Maurice Navarro
Consultant qualité & logiciel pour dispositifs médicaux
La norme CEI EN 81001-5-1 (Logiciels de santé et sécurité, efficacité et sûreté des systèmes TI de santé – Partie 5-1 : Sûreté – Activités du cycle de vie du produit) traite de cybersécurité du logiciel.
Elle est notamment prévue pour les logiciels dispositifs médicaux en soi (ou SaMD pour "Software as Medical Device") et pour les logiciels inclus dans des dispositifs médicaux.
Actuellement, la norme CEI EN 81001-5-1 est en cours d'harmonisation pour la mise en œuvre de la réglementation applicable aux logiciels (de) dispositifs médicaux.
Dans ce contexte, cet article vous présente le domaine d'application de la norme CEI EN 81001-5-1 ainsi que les incidences et l'intérêt de sa mise en œuvre pour les fabricants de dispositifs médicaux.
Domaine d'application de la norme CEI EN 81001-5-1
La norme CEI EN 81001-5-1 est applicable aux logiciels de santé.
Et ces logiciels regroupent
- les logiciels pour usage sanitaire non qualifiés de dispositif médical,
- les logiciels incorporés dans du matériel de santé non qualifié de dispositif médical,
- les logiciels qui font partie intégrante de dispositifs médicaux et
- les logiciels dispositifs médicaux en soi.
Sur cette base, cette norme est pleinement applicable aux logiciels (de) dispositifs médicaux.
En termes de contenu, la norme CEI EN 81001-5-1 indique, entre autres, les activités requises pendant la conception, le développement et la maintenance d'un logiciel de santé pour assurer sa cybersécurité (ou sûreté).
Ces processus ont pour objet de renforcer la cybersécurité des logiciels de santé par l'établissement de certaines activités et tâches dans les processus du cycle de vie desdits logiciels […]
Source : CEI EN 81001-5-1:2022
Et la mise en œuvre de ces activités permet d'assurer la conformité des logiciels (de) dispositifs médicaux à des exigences de cybersécurité prévues par
le Règlement (UE) 2017/745 relatif aux dispositifs médicaux (DM) et
le Règlement (UE) 2017/746 relatif aux dispositifs médicaux de diagnostic in vitro (DMDIV).
De fait, la Décision d'exécution de la Commission du 14 avril 2021 prévoit que la norme CEI EN 81001-5-1 soit harmonisée pour la mise en œuvre de cette réglementation, au plus tard en 2024.
Une fois que cette norme sera harmonisée, son respect confèrera aux fabricants de dispositifs médicaux une présomption de conformité aux exigences réglementaires de cybersécurité des logiciels (de) dispositifs médicaux dont elle traite.
Et sa mise en œuvre impactera
- le système de management de la qualité (SMQ) du fabricant et,
- le cas échéant, les logiciels (de) dispositifs médicaux qu'il a mis sur le marché.
La norme CEI EN 81001-5-1 impacte les processus de conception et développement
La norme CEI EN 81001-5-1 complète la norme CEI EN 62304 (Logiciels de dispositifs médicaux – Processus du cycle de vie du logiciel) pour répondre aux exigences réglementaires applicables à la conception et le développement de logiciels (de) dispositifs médicaux.
En effet, les activités que ces deux normes prévoient pour les processus du cycle de vie des logiciels (de) dispositifs médicaux ont pour but de répondre à des exigences de types distincts :
- d'une part des exigences de sécurité du logiciel et
- d'autre part des exigences de cybersécurité (ou sûreté) du logiciel.
De surcroît, les exigences des normes CEI EN 81001-5-1 et CEI EN 62304 impactent les mêmes processus du cycle de vie du logiciel :
- la gestion des risques du logiciel,
- la conception et le développement du logiciel,
- la maintenance du logiciel,
- la gestion de configuration du logiciel et
- la résolution de problème logiciel.
Ceci est particulièrement visible quand on compare les titres des chapitres de ces deux normes.
| Chapitres de la norme CEI EN 62304 |
Chapitres de la norme CEI EN 81001-5-1 |
||||
|---|---|---|---|---|---|
|
|
||||
|
|
||||
|
|
||||
|
|
||||
|
|
||||
|
|
||||
|
|
||||
|
|
||||
|
|
Par voie de conséquence, la mise en conformité du système de management de la qualité (SMQ) des fabricants de logiciels (de) dispositifs médicaux eu égard des exigences de la norme CEI EN 81001-5-1 requerra notamment
- la mise à jour des procédures qui implémentent ces processus et
- la mise à jour des modèles de documents associés.
Mais la mise en œuvre de la norme CEI EN 81001-5-1 peut aussi impacter l'implémentation des logiciels (de) dispositifs médicaux du fabricant.
Une mise à jour du logiciel (de) dispositif médical peut s'avérer nécessaire
La lecture de la norme CEI EN 81001-5-1 nous permet de constater que ses exigences sont particulièrement techniques.
Ainsi, quand on considère la conception d'un logiciel (de) dispositif médical, cette norme prévoit que le fabricant
- établisse une architecture de sûreté,
- définisse des exigences techniques pour chaque couche de défense,
- utilise des modèles de conception (ou "design patterns") sécurisés…
De plus, en ce qui concerne l'implémentation du logiciel (de) dispositif médical, la norme CEI EN 81001-5-1 précise qu'il convient d'éviter les fonctions et les constructions qui présentent des faiblesses de cybersécurité (ou sûreté) connues.
Il convient que les meilleures pratiques de codage sécurisé des logiciels de santé incluent au moins les éléments suivants :
a) […] b) l'évitement des fonctions et constructions de codage/modèles de conception interdits — fonctions logicielles et modèles de conception qu'il convient de ne pas utiliser en raison de leurs points faibles de sûreté connus. c) […]
Source : CEI EN 81001-5-1:2022
Ces considérations ont un impact direct
- sur le dossier de conception du logiciel (de) dispositif médical et
- sur l'implémentation du logiciel (de) dispositif médical.
De ce fait, la mise en œuvre des exigences de la norme CEI EN 81001-5-1 peut requérir du fabricant qu'il procède à une mise à jour de son logiciel si ces éléments n'ont pas été pris en compte dans la conception et l'implémentation du logiciel (de) dispositif médical existant.
Dans tous les cas, des mises à jour régulières du logiciel seront à prévoir pour prendre en compte de nouvelles failles de sûreté identifiées.
Intérêt pour les fabricants de dispositifs médicaux
D'un point de vue historique, les considérations de cybersécurité du logiciel sont associées au domaine de la défense et aux secteurs d'activité connexes.
De ce fait, les questions de cybersécurité (ou sûreté) des logiciels (de) dispositifs médicaux peuvent sembler éloignées des préoccupations premières des fabricants de dispositifs médicaux (DM ou DMDIV) :
- la sécurité des dispositifs et
- la santé des patients.
Malheureusement, les actualités de ces dernières années ont montré que les risques de cybersécurité sont effectifs pour les centres de santé.
De fait, pour pallier cette situation, le MDCG ("Medical Device Coordination Group") a publié un guide pour la mise en œuvre des exigences de cybersécurité prévues par les Règlements (UE) 2017/745 et 2017/746.
Dans ce contexte, le respect de la norme CEI EN 81001-5-1 présente un double intérêt pour les fabricants de dispositifs médicaux :
d'une part, elle aide à tenir compte de questions de génie logiciel souvent peu familières aux fabricants de dispositifs médicaux et,
- d'autre part, elle confèrera bientôt une présomption de conformité eu égard des exigences réglementaires dont elle traite.
D'autant que les exigences de cybersécurité prévues par les Règlements (UE) 2017/745 et 2017/746 sont d'ores et déjà applicables.
Au besoin, n'hésitez pas à prévoir du consulting pour la mise en place et/ou la mise en œuvre de cette norme dans le cadre de vos activités de génie logiciel pour dispositifs médicaux.
Pour en savoir plus
La norme CEI EN 81001-5-1 complète la norme CEI EN 62304 pour la conception et le développement de logiciel (de) dispositif médical.
Pour les dispositifs médicaux (DM ou DMDIV), les risques de cybersécurité du logiciel doivent être gérés dans le cadre d'un processus de gestion des risques conforme à la norme EN ISO 14971.
Quant à la conception et le développement du logiciel, elles doivent être mises en œuvre dans le cadre d'un système de management de la qualité (SMQ) conforme à la norme EN ISO 13485.