Cibersicurezza e dispositivi medici: la tutela della salute e della sicurezza dei pazienti dalle vulnerabilità informatiche nel Regolamento (UE) 2017/745 e nell'Artificial Intelligence Act

Cybersecurity is an increasingly crucial issue with healthcare, especially due to the sector’s growing digitization and the rise of cyber threats that endanger the protection of personal data and, more generally, the health and physical integrity of patients. This paper focuses on a circumscribed aspect, namely the cybersecurity of medical devices, viewed as an essential component within the broader issue of cyber resilience in the healthcare sector. The analysis starts with Regulation (EU) 2017/745 on medical devices, aiming to clarify the defining aspects and, especially, the meaning of the term software, which allows to include AI-based products within its scope. Indeed, the definition and classification of medical devices represent crucial elements to determine the applicability or not to the specific device not only of the sectoral legislation, but also of the Artificial Intelligence Act. Finally, the contribution will focus on the measures aimed at ensuring the cybersecurity of medical devices, starting with those established in Regulation (EU) 2017/745, and ending with an examination of the novelties introduced by the AI Act.

La cibersicurezza è una questione sempre più centrale in ambito sanitario, soprattutto a fronte della crescente digitalizzazione del settore e dell’incremento delle minacce informatiche a danno della tutela dei dati personali e, più in generale, della salute e integrità fisica dei pazienti. Il presente contributo si focalizza su un profilo circoscritto, ovvero la cibersicurezza dei dispositivi medici, quale parte integrante del più ampio tema della resilienza informatica del settore sanitario. L’analisi prende avvio dal Regolamento (UE) 2017/745 sui dispositivi medici, al fine di chiarire gli aspetti defini-tori e, in particolar modo, il significato del termine software, che consente di estendere il campo di applicazione anche ai prodotti AI-based. La definizione di dispositivo medico e la relativa classificazione rappresentano, infatti, elementi cruciali per determinare l’applicabilità o meno allo specifico device non solo della legislazione di settore, ma anche – come si vedrà – dall’Artificial Intelligence Act. Infine, il contributo si con-centrerà sulle misure a garanzia della cibersicurezza dei dispositivi medici, partendo da quelle stabilite nel Regolamento (UE) 2017/745, fino ad esaminare le novità introdotte dall’AI Act.