Статья 14. Государственные информационные системы:Без названия

8. Технические средства, предназначенные для обработки информации, содержащейся в государственных информационных системах, в том числе программно-технические средства и средства защиты информации, должны соответствовать требованиям законодательства Российской Федерации о техническом регулировании.

В Федеральном законе от 27 декабря 2002 года № 184-ФЗ в статье 4 указано «федеральные органы исполнительной власти наделены правом издавать в сфере технического регулирования акты обязательного характера в случаях, установленных статьей 5».

Уполномоченным органом, наделенным правом устанавливать обязательные требования по защите информации, в соответствии со ст. 15 Федерального закона от 27.07.2006 № 149-ФЗ является Федеральная служба по техническому и экспортному контролю (ФСТЭК России).

В случае, если производитель устанавливает возможность взаимодействия Программного обеспечения, являющегося медицинским изделием, с иными информационными системами (определение «иных информационных систем» приведено в постановлении Правительства Российской Федерации от 12.04.2018 № 447), он должен обеспечить защиту своего медицинского изделия от возможных угроз со стороны таких иных информационных систем. Защита должна обеспечиваться с учетом требований постановления Правительства Российской Федерации от 01.11.2012 № 1119.

Для подтверждения качества и достаточности средств защиты Программного обеспечения, являющегося медицинским изделием, необходимо предоставить сведения от уполномоченного Правительством Российской Федерации федерального органа власти.

В случае если выявляется несоответствие (в том числе опечатки и неточности), эксперт указывает об этом в том пункте заключения комиссии экспертов, который содержит анализ соответствия технической документации (Приложение А основных Методических рекомендаций).

Применяются положения основных Методических рекомендаций с учетом применения требований к Программному обеспечению, в том числе установленных приказом Минздрава России от 19 января 2017 года № 11н:

6. Эксплуатационная документация производителя (изготовителя) на медицинское изделие (далее — эксплуатационная документация), представляемая производителем (изготовителем) или уполномоченным представителем производителя (изготовителя), в составе регистрационного досье на медицинское изделие, должна содержать: 11) информацию для проверки правильности установки (монтажа) медицинского изделия и его готовности к безопасной работе эксплуатации, включая:

б) перечень предоставленных производителем (изготовителем) медицинского изделия сведений, ключей, паролей доступа, программ, необходимых для монтажа, наладки, эксплуатации и технического обслуживания медицинского изделия;

Критерии несоответствия — по основным Методическим рекомендациям (все по применимости к конкретному Программному обеспечению), с учетом следующих особенностей:

а) отсутствуют сведения, регламентирующие конструкцию, условия и правила эксплуатации Программного обеспечения <1>;

---

<1> Примечание:

• в соответствии с Примечанием <1> пункта 2.8 настоящих Методических рекомендаций:
• в описании Программного обеспечения не определены все целевые рабочие задачи, которые могут быть выполнены данным Программным обеспечением;
• не определена система (технические и программные средства и их конфигурация), необходимая для ввода Программного обеспечения в эксплуатацию, включая наименования изготовителей и обозначения типов всех ее частей, например: процессоры, объем основной (оперативной) памяти, типы и объемы (памяти) периферийных запоминающих устройств, оборудование ввода и вывода, сетевое оборудование, системные и прочие программные средства;
• не указаны программные средства управления предупреждением и оповещением оператора;
• не определен каждый физический компонент Программного обеспечения, в частности, все печатные документы и все носители данных;
• не предусмотрено (или недостаточно предусмотрено) удобство и простота использования (эксплуатационная пригодность), которые чувствительны к человеческим ошибкам и обучению (поддержка операций, выполняемых вручную, взаимодействие между человеком и оборудованием, ограничения в отношении персонала, сведения о том, где требуется пристальное человеческое внимание);
• не установлен (не определен) план (или планы) технической поддержки Программного обеспечения для выполнения деятельности и задач процесса технической поддержки;
• не представлены сведения о порядке инсталляции Программного обеспечения;
• не приведен обзор функций Программного обеспечения, вызываемых пользователем, необходимых для них данных и предоставляемых средств;
• не установлены граничные значения Программного обеспечения (минимальные или максимальные значения, длины ключей, максимальное число записей в файле, максимальное число критериев поиска, минимальный объем выборки и т.п.);
• не определены конкретные знания, которые необходимо усвоить пользователю для применения соответствующего Программного обеспечения (знание соответствующей технической области, знание операционной системы, знания, получаемые в результате специального обучения, знание языков, отличных от языка, на котором написано описание продукта;
• не указаны инструментальные средства для проведения настройки Программного обеспечения (в случае, если возможна настройка пользователем) и условия их применения.

б) отсутствуют сведения о наличии, наименовании и местонахождении на территории Российской Федерации уполномоченного представителя производителя, в том числе авторизованного сервиса;

в) отсутствуют сведения о мерах, предпринимаемых пользователем Программного обеспечения для обеспечения информационной безопасности <1>.

---

<1> Примечание:

К таким сведениям относятся:

• не указан порядок применения имеющихся ключей доступа, а также порядок определения пользователей с санкционированным доступом;
• отсутствуют сведения об уровне конфиденциальности информации, в том числе информации о пациенте, применяемой для осуществления функционирования Программного обеспечения;
• отсутствуют сведения о надлежащем кодировании (при необходимости) информации, предназначенной для передачи по интернет-сетям открытого доступа (например, в режиме телемедицинских консультаций);
• отсутствуют сведения о порядке обеспечения пользователем защиты информации, предназначенной для длительного хранения, от несанкционированного удаления;
• отсутствуют критерии оценки возможного повреждения и нарушения архитектуры Программного обеспечения для свидетельства попытки несанкционированного доступа.

В случае, если производитель устанавливает возможность взаимодействия Программного обеспечения, являющегося медицинским изделием, с иными информационными системами (определение «иных информационных систем» приведено в постановлении Правительства Российской Федерации от 12.04.2018 № 447), он должен информировать потребителя о возможных угрозах со стороны таких иных информационных систем. Информирование потребителя должно обеспечиваться с учетом требований постановления Правительства Российской Федерации от 01.11.2012 № 1119.

Проверяется наличие фотографий, предусмотренных подпунктом «д)» пункта 10 Правил государственной регистрации.

В качестве фотографий Программного обеспечения рассматриваются:

а) фотографическое изображение электронного носителя (при поставке Программного обеспечения на физическом носителе);

б) фотографическое изображение (скриншот) экрана в случае поставки Программного обеспечения без участия физического электронного носителя (по сети Интернет).

Фотография должна позволять четко и однозначно идентифицировать Программное обеспечение, включая его версию/дату выпуска.

2.11. Оценка объема и полноты проведенных технических испытаний Программного обеспечения.

Применяются положения основных Методических рекомендаций с учетом применения требований к Программному обеспечению. Перечень стандартов, рекомендуемых для подтверждения соответствия при проведении технических испытаний в аккредитованной испытательной организации, приведен в разделе Введение настоящих методических рекомендаций.

Для проведения испытаний системы Программного обеспечения должны быть определены и выполнены испытания, выраженные как входные данные, ожидаемые результаты, критерии приемки и процедуры, с целью учета всех требований Программного обеспечения.

Критерии несоответствия — по основным Методическим рекомендациям (все по применимости к конкретному Программному обеспечению), с учетом следующих особенностей, в результирующих документах по техническим испытаниям:

• не определены тестируемые функции, тестовые данные, процедура тестирования, среда тестирования и другие условия (уточнение конфигурации средств испытаний и подготовительная работа);
• не представлены сведения о программных модулях, которые должны быть интегрированы в программные элементы и программные системы;
• не определены и не испытаны аппаратные элементы, программные элементы и поддержка ручного управления (например, интерфейс, приспособленный для человека, диалоговые меню подсказки, распознавание речи, речевое управление системой), интегрированные в систему;
• не приведены результаты тестирования комбинаций требований, для случаев если между требованиями существуют зависимости.

Под информационной безопасностью Программного обеспечения понимается состояние сохранности полноты, целостности, точности полученных данных и конфиденциальности при передаче, хранении и анализе данных пациентов. Неверный анализ или нарушенная передача информации о пациенте может привести к неправильной или несвоевременной диагностике и терапии.

При проведении оценки информационной безопасности рекомендуется опираться на положения ГОСТ Р 51188-98 «Защита информации. Испытания программных средств на наличие компьютерных вирусов. Типовое руководство». Испытательная организация может применять для тестирования защищенности Программного обеспечения и другие действующие нормативные документы и стандарты в соответствии со своей областью аккредитации.

Проверяются результаты технических испытаний Программного обеспечения на наличие оценки, представленной производителем (изготовителем) технической и эксплуатационной документации в части:

• соблюдения норм информационной безопасности при сохранении необходимого объема и своевременной доступности информации;
• наличия идентификации и внедрения безопасных и формализованных способов получения, хранения, преобразования и передачи данных;
• использования надлежащих мер контроля для обеспечения целостности данных в тех случаях, когда доступ к общей информации осуществляется несколькими видами Программного обеспечения;
• определения всех возможных опасностей при обновлении Программного обеспечения;
• обеспечения защиты конфиденциальной информации, в том числе в части достаточного контроля доступа и соответствующих ограничений системных настроек и процессов;
• обеспечения и учета возможных неблагоприятных взаимодействий Программного обеспечения с другими системами с включением соответствующих мер устойчивости и надежности.

2.13. Оценка документов, подтверждающих результаты испытаний медицинского изделия в целях утверждения типа средств измерений (в отношении медицинских изделий, относящихся к средствам измерений в сфере государственного регулирования обеспечения единства измерений, перечень которых утверждается Министерством здравоохранения Российской Федерации).

Применяются положения основных Методических рекомендаций.

Результаты экспертизы оформляются в соответствии с основными Методическими рекомендациями.

3.1. Применяются все положения основных Методических рекомендаций с некоторыми дополнениями и уточнениями.

3.2. Оценка результатов технических испытаний и испытаний для целей утверждения типа средств измерений проводится в соответствии с разделом 2 настоящих Методических рекомендаций.

3.3. Программное обеспечение — медицинское изделие должно проходить клинические исследования, целью которых должно служить подтверждение эффективности, безопасности использования, а также соответствие его характеристик использованию по назначению, указанному изготовителем.

3.4. В ходе клинических исследований должна быть дана клиническая оценка клинической связи (научной обоснованности), т.е. степени адекватности подбора данных и системы их анализа (концепция, измерения, заключение) целевому назначению. Оценка клинической значимости может подтвердить, что:

• Программное обеспечение имеет устойчивую клиническую связь, базирующуюся на документально подтвержденных результатах, как это определено в клинических рекомендациях, клинических исследованиях в рецензируемых журналах, согласии на использование Программного обеспечения, международных справочных материалах или других подобных хорошо зарекомендовавших себя данных;
• Программное обеспечение имеет новую клиническую значимость, базирующуюся на способности использовать новые входные данные, алгоритмы или результаты, новую целевую группу или новое предназначение.

3.5. Определение клинического значения является необходимым компонентом клинической оценки для любого Программного обеспечения, являющегося медицинским изделием и может быть продемонстрировано ссылками:

а) на существующие данные исследований, проведенных для того же предполагаемого использования;

б) на существующие данные исследований, проведенных для другого предполагаемого использования, где может быть оправдана экстраполяция таких данных;

в) генерацией и определением новых клинических данных для конкретного предполагаемого использования Программного обеспечения.

3.6. Необходимость проведения клинических испытаний Программного обеспечения с участием человека в качестве субъекта устанавливается в соответствии с критериями пункта 37 Порядка, установленного приказом Минздрава России от 09.01.2014 № 2н.

ПРОВЕДЕНИЯ КЛИНИЧЕСКОЙ ОЦЕНКИ

3.7. Результаты клинических испытаний Программного обеспечения (как и любого другого медицинского изделия) должны быть оформлены в соответствии с Приложениями к приказу Минздрава России от 09.01.2014 № 2н.

3.8. Для проведения клинических испытаний необходимость инсталляции Программного обеспечения с применением технических средств клинической организации определяется испытательной клинической организацией и отражается в Программе проведения клинических испытаний.

В случае инсталляции (деинсталляции) программного обеспечения для проведения клинических испытаний медицинской организации следует руководствоваться положениями постановления Правительства Российской Федерации от 6 июля 2015 года № 676.

• при проведении клинических испытаний Программного обеспечения как медицинского изделия для диагностики in vitro Программное обеспечение проверяется с применением биоматериалов и всего необходимого оборудования (в том числе медицинских изделий), предназначенного для обеспечения надлежащей работы Программного обеспечения;
• при проведении испытаний с участием человека в качестве субъекта Программное обеспечение проверяется с применением биоматериалов и всего необходимого оборудования (в том числе медицинских изделий), предназначенного для обеспечения надлежащей работы Программного обеспечения;
• в процессе проведения клинических испытаний Программного обеспечения как медицинского изделия для диагностики in vitro или испытаний с участием человека в качестве субъекта должны быть задействованы все модули Программного обеспечения (при модульной архитектуре), опробованы все функции, указанные производителем в эксплуатационной документации (в случае невозможности такого опробования должны представляться подробные пояснения причин);
• в связи с тем, что Программное обеспечение для проведения клинических испытаний инсталлируется (устанавливается) на соответствующем оборудовании до получения регистрационного удостоверения, в Протоколе клинических испытаний медицинских изделий для диагностики in vitro или испытаний с участием человека в качестве субъекта должны быть сведения о деинсталляции Программного обеспечения;
• при проведении клинических испытаний Программного обеспечения без участия человека в качестве субъекта должны быть оценены все позиции доказательных баз (клинические данные, анализ взаимозаменяемых медицинских изделий и т.п.), представленных производителем (изготовителем) в медицинскую организацию;
• при проведении клинических испытаний Программного обеспечения (любых) испытательная медицинская организация в обязательном порядке оценивает эксплуатационный документ (руководство пользователя) и делает вывод как о том, что содержание документа доступно и понятно специалистам соответствующего профиля, так и о том, что его содержание обеспечивает надлежащее эффективное и безопасное медицинское применение.

4.1. Применяются все положения основных Методических рекомендаций с некоторыми дополнениями и уточнениями.

4.2. Для изделий 1-го класса потенциального риска и медицинских изделий для диагностики in vitro осуществляется экспертиза заявления о регистрации и документов, указанных в пункте 10 Правил государственной регистрации, полноты и результатов проведенных технических испытаний, токсикологических исследований, клинических испытаний, а также испытаний в целях утверждения типа средств измерений <1>.

---

<1> Примечание: в случае, если программное обеспечение для диагностики in vitro (например, Лабораторная информационная система (ЛИС)) входит в состав (как модуль) другого программного обеспечения, имеющего в назначении, кроме диагностики in vitro, и другие функции (например Медицинская информационная система (МИС)), то к нему не применяются положения Правил регистрации, установленные для медицинских изделий для диагностики in vitro в части одноэтапности экспертизы, а экспертиза выполняется на общих основаниях, в два этапа.

4.3. Результаты экспертизы оформляются Заключением комиссии экспертов в соответствии с формой Приложения 3 Порядка проведения экспертизы, порядок заполнения формы Заключения приведен в Приложении А основных Методических рекомендаций.

4.4. Экспертиза документов, указанных в пункте 10 Правил государственной регистрации, полноты и результатов проведенных технических испытаний, токсикологических исследований, а также испытаний в целях утверждения типа средств измерений осуществляется в порядке, указанном в разделе 2 настоящих Методических рекомендаций.

4.5. Экспертиза полноты и результатов проведенных клинических испытаний осуществляется в порядке, указанном в разделе 3 настоящих Методических рекомендаций.

5.2. В соответствии с пунктом 39 Правил государственной регистрации и Порядком проведения экспертизы экспертиза комплекта документов проводится в порядке, аналогичном порядку проведения экспертизы качества, эффективности и безопасности медицинского изделия для его государственной регистрации со следующими дополнениями:

5.2.1. Производитель (изготовитель) предоставляет сведения об изменении в документации регистрационного досье (прежде всего, в технической и эксплуатационной документации) в случае обновления программного обеспечения, если такое обновление затрагивает:

---