referencial
Os dispositivos médicos ligados em rede e o software enquanto dispositivo médico têm de ser desenvolvidos, documentados e monitorizados no terreno de forma segura, nos termos do MDR e do IVDR. O Complass guia fabricantes e fornecedores de tecnologia médica do modelo de ameaças à notificação de vulnerabilidades.
O Regulamento (UE) 2017/745 relativo aos dispositivos médicos (MDR) e o Regulamento (UE) 2017/746 relativo aos dispositivos médicos para diagnóstico in vitro (IVDR) exigem que o software seja desenvolvido de acordo com o estado da técnica, que a gestão de riscos inclua a segurança da informação e que os fabricantes definam requisitos mínimos para o hardware, as redes informáticas e as medidas de segurança informática. A orientação MDCG 2019-16 Rev. 1 explica o que isso significa na prática.
Atualidade dos conteúdos:
Os requisitos aplicam-se a fabricantes de dispositivos médicos e de dispositivos para diagnóstico in vitro que contêm software ou são eles próprios software. Fornecedores de eletrónica, software embebido, módulos de rádio ou fabrico por encomenda são afetados indiretamente: os fabricantes transmitem-lhes os requisitos através do sistema de gestão da qualidade e de contratos e esperam, por exemplo, SBOM, ficha técnica de segurança e compromissos de atualização.
Os dispositivos médicos estão excluídos do Cyber Resilience Act. Os componentes com elementos digitais que também são vendidos de forma autónoma ou fora da tecnologia médica ficam, em regra, abrangidos pelo CRA. Os fabricantes de dispositivos médicos e de dispositivos para diagnóstico in vitro podem, a partir de uma dimensão média, ficar adicionalmente abrangidos pela NIS2 (anexo 2 BSIG).
Esta panorâmica não substitui aconselhamento jurídico. O texto legal ou normativo é o que faz fé; no Complass, verifica a aplicabilidade com orientações baseadas nas referências.
Início de aplicação e prazos transitórios segundo as versões consolidadas do MDR e do IVDR. Uma proposta da Comissão de 16.12.2025 (COM(2025) 1023) prevê obrigações de notificação adicionais para vulnerabilidades; ainda não foi aprovada.
Classificação e função, desenvolvimento seguro com gestão de riscos, requisitos mínimos para o ambiente informático, documentação técnica, vigilância pós-comercialização e vigilância, bem como uma fase própria para fornecedores.
Requisitos de cibersegurança do MDR e do IVDR, medidas segundo a MDCG 2019-16 e atividades de segurança no ciclo de vida com estado e evidência, interligáveis com CRA, IEC 62443 e ISO 27001.
entre outros: plano de segurança, modelo de ameaças, dossiê de gestão de riscos de segurança, registo de SBOM, requisitos mínimos para o ambiente informático, política de divulgação coordenada, conceito de patches e atualizações e acordo de segurança com fornecedores.
Comparação da SBOM com vulnerabilidades conhecidas, registo de incidentes e visão geral dos prazos de notificação.
Catálogo: MDR/IVDR requirements relevant to cybersecurity
Aplicar referenciais de forma guiada: fases, modelos, pirâmide documental, catálogos, análise de lacunas, objetivos e plano de ação até à auditoria no portal do auditor.
Saber maisEncontrar vulnerabilidades conhecidas nos seus ativos, priorizá-las em contexto e tratá-las com recomendações e prazos.
Saber maisRegisto de riscos com avaliação qualitativa ou quantitativa, apetite pelo risco e plano de tratamento, ligado a ativos, vulnerabilidades e incidentes.
Saber maisO modelo setorial «Tecnologia médica» pré-seleciona o referencial para o MDR e o IVDR e os módulos de que precisa para o modelo de ameaças, as vulnerabilidades e os fornecedores.
disponível
a partir de 476 € por mês mais IVA no pacote Start, tamanho S, pagamento anual
Todos os preços destinam-se a empresas, não a consumidores. Entendem-se líquidos mais IVA com pagamento anual; com pagamento mensal aplica-se um acréscimo de 15 %. Atualizado em 16/10/2026. Enterprise e grupos empresariais sob consulta.
Indiretamente, sim: os seus clientes têm de comprovar os requisitos de cibersegurança do MDR e esperam de si informações e compromissos para isso. Se vender o componente também a outros setores, aplica-se em regra adicionalmente o Cyber Resilience Act. O módulo contém uma fase própria para fornecedores.
Não. O Complass estrutura os requisitos de cibersegurança e as evidências e pode ser integrado no seu SGQ existente; a avaliação da conformidade e as aprovações permanecem consigo e com o seu organismo notificado.
O módulo descreve as atividades por palavras próprias, com referência às secções. O texto da norma obtém-no através do comércio de normas; pode guardar no projeto excertos da sua edição licenciada.
Crie o seu próprio acesso de teste, se quiser com um projeto de exemplo por referencial. Se preferir ver primeiro o Complass, peça uma demonstração.
