Focus sur les normes en vigueur
Les dispositifs médicaux, en cas de dysfonctionnement, peuvent avoir un impact tangible sur la sécurité des patients.
L’analyse de risques selon la norme ISO 14971 vise à assurer la sûreté de fonctionnement d’un dispositif médical (DM) y compris les risques aléatoires, les erreurs d’utilisation et les erreurs accidentelles.
Une autre famille de normes, l’IEC 80001-x, veut assurer la sécurité des patients dans un monde où l’internet des objets et la mise en réseau des dispositifs médicaux deviennent réalité. Cette norme est primordiale pour le maintien de la sécurité des patients qui dépendent de ces dispositifs mis en réseau.
La norme internationale ISO/IEC 80001 – Application de la gestion des risques pour les réseaux informatiques intégrant des dispositifs médicaux présente une approche unifiée et fusionnée de la sécurité des dispositifs médicaux connectés aux réseaux informatiques. Cette norme présente notamment un guide pour la sécurité et la gestion des risques dans les organismes de santé.
Illustration des normes en application
SurgiQual Institute vient d’accompagner la gestion des risques d’un tel projet dans le contexte de l‘utilisation d’un dispositif médical (pompe à perfusion) connecté pour la première fois à un réseau hospitalier via le « dongle réseau » d’un fabricant tiers, dongle destiné plus largement à l’internet des objets en contexte médical.
Dans ce projet, un autre fabricant fournit le logiciel de suivi à distance des traitements alors que des composants d’infrastructure réseau sont mis en place par l’hôpital lui-même. La gestion des risques est ici, plus que dans le contexte de la 14971, un travail collaboratif, mais réalisé sous la responsabilité de l’organisme de santé.
Ce dernier doit notamment :
- organiser cette gestion des risques,
- contractualiser les responsabilités collectives,
- rassembler les preuves documentaires de maîtrise des risques,
- piloter le suivi des risques tant que les dispositifs médicaux sont utilisés.
Au niveaux des acteurs, il s’agit de fournir des preuves de sûreté de leur composant ainsi que les conditions sûres d’utilisation en réseau. Une analyse de risques (selon la norme 14971 pour les fabricants de DM) et une analyse de cybersécurité sont les points clés de ce travail. Un formalisme de description des contrôles techniques de sécurité de chaque composant est aussi proposé par la norme.
Au niveau de l’organisme de santé, l’analyse de risques doit être élargie, au delà de la norme 14971 et du risque de dommage patient, à l’efficacité de l’organisation des soins et à la sécurité des données.
En pratique, l’organisme de santé doit mettre en place des procédures d’installation, de tests, de mise à jour de l’infrastructure créée. Les tests incluront a minima l’évaluation des mesures de mitigation de risques proposées lors de l’analyse de risques. Plus largement, les aspects de contrat, d’interopérabilité, de redondance de matériels, de cybersécurité, deviennent sa responsabilité. De même, il devra piloter tous les changements de l’infrastructure.
Pour rendre les choses un peu plus complexes, cette famille de normes risque d’être en permanente évolution pour rester en lien avec les meilleures pratiques en matière de cybersécurité !
Dans une prochaine news, nous présenterons les perspectives de la norme 80001-1, en lien avec les publications récentes de l’AFNOR.
