référentiel
Les dispositifs médicaux connectés et les logiciels en tant que dispositifs médicaux doivent, selon le MDR et l’IVDR, être développés de façon sécurisée, documentés et surveillés sur le terrain. Complass accompagne les fabricants et fournisseurs de la technologie médicale, du modèle de menaces jusqu’à la déclaration des vulnérabilités.
Le règlement (UE) 2017/745 relatif aux dispositifs médicaux (MDR) et le règlement (UE) 2017/746 relatif aux dispositifs médicaux de diagnostic in vitro (IVDR) exigent que les logiciels soient développés selon l’état de l’art, que la gestion des risques inclue la sécurité de l’information et que les fabricants définissent des exigences minimales pour le matériel, les réseaux informatiques et les mesures de sécurité informatique. La ligne directrice MDCG 2019-16 Rev. 1 explique ce que cela signifie en pratique.
État des contenus:
Les exigences s’appliquent aux fabricants de dispositifs médicaux et de dispositifs médicaux de diagnostic in vitro qui contiennent des logiciels ou sont eux-mêmes des logiciels. Les fournisseurs d’électronique, de logiciels embarqués, de modules radio ou de fabrication sous contrat sont concernés indirectement : les fabricants leur transmettent les exigences par le système de management de la qualité et par contrat, et attendent par exemple un SBOM, une fiche technique de sécurité et des engagements sur les mises à jour.
Les dispositifs médicaux sont exclus du règlement sur la cyberrésilience. Les composants comportant des éléments numériques qui sont aussi vendus seuls ou en dehors de la technologie médicale relèvent en revanche en règle générale du CRA. Les fabricants de dispositifs médicaux et de dispositifs médicaux de diagnostic in vitro d’une taille au moins moyenne peuvent en outre relever de NIS2 (annexe 2 BSIG).
Cet aperçu ne remplace pas un conseil juridique. Le texte juridique ou normatif fait foi ; dans Complass, vous vérifiez l’applicabilité à l’aide de consignes fondées sur les références.
Date d’application et périodes transitoires selon les versions consolidées du MDR et de l’IVDR. Une proposition de la Commission du 16.12.2025 (COM(2025) 1023) prévoit des obligations de notification supplémentaires pour les vulnérabilités ; elle n’est pas encore adoptée.
Qualification et rôle, développement sécurisé avec gestion des risques, exigences minimales relatives à l’environnement informatique, documentation technique, surveillance après commercialisation et vigilance, ainsi qu’une phase dédiée aux fournisseurs.
Exigences cyber issues du MDR et de l’IVDR, mesures selon MDCG 2019-16 et activités de sécurité dans le cycle de vie avec statut et preuve, pouvant être reliées au CRA, à IEC 62443 et à ISO 27001.
notamment plan de sécurité, modèle de menaces, dossier de gestion des risques de sécurité, registre des SBOM, exigences minimales relatives à l’environnement informatique, politique de divulgation coordonnée, concept de correctifs et de mises à jour et accord de sécurité avec les fournisseurs.
Rapprochement des SBOM avec les vulnérabilités connues, enregistrement des incidents et aperçu des délais de notification.
Catalogue: MDR/IVDR requirements relevant to cybersecurity
Mettre en œuvre des référentiels de façon guidée : phases, modèles, pyramide documentaire, catalogues, analyse des écarts, objectifs et plan d'actions jusqu'à l'audit dans le portail des auditeurs.
En savoir plusTrouvez les vulnérabilités connues de vos actifs, priorisez-les en contexte et traitez-les avec des recommandations et des échéances.
En savoir plusRegistre des risques avec appréciation qualitative ou quantitative, appétence au risque et plan de traitement, relié aux actifs, aux vulnérabilités et aux incidents.
En savoir plusLe modèle sectoriel « Technologies médicales » présélectionne le référentiel pour le MDR et l’IVDR ainsi que les modules dont vous avez besoin pour le modèle de menaces, les vulnérabilités et les fournisseurs.
disponible
à partir de 476 € par mois HT dans l’offre Start, taille S, paiement annuel
Tous les prix s’adressent aux entreprises, et non aux consommateurs. Ils s’entendent hors TVA, avec paiement annuel ; en cas de paiement mensuel, une majoration de 15 % s’applique. État au 16/10/2026. Enterprise et groupes d’entreprises sur demande.
Indirectement, oui : vos clients doivent démontrer les exigences cyber du MDR et attendent pour cela des informations et des engagements de votre part. Si vous vendez aussi le composant à d’autres secteurs, le règlement sur la cyberrésilience s’applique en règle générale en plus. Le module comporte une phase dédiée aux fournisseurs.
Non. Complass structure les exigences cyber et les preuves et peut s’intégrer à votre SMQ existant ; l’évaluation de la conformité et les validations restent du ressort de votre entreprise et de votre organisme notifié.
Le module décrit les activités avec ses propres mots, avec renvoi aux sections. Vous vous procurez le texte de la norme lui-même auprès d’un distributeur de normes ; vous pouvez déposer dans le projet des extraits de votre édition sous licence.
Créez vous-même votre accès d'essai, avec un projet d'exemple par référentiel si vous le souhaitez. Si vous préférez d'abord voir Complass, demandez une démo.
