Tıbbi Cihazlarda Siber Güvenlik: Ek I'in 17 nci Maddesi, Asgari BT Gereklilikleri ve ÜTS Kayıt Danışmanlığı

Hastane ağına bağlanan bir monitör, buluta veri gönderen bir hasta takip uygulaması, USB ile güncellenen bir infüzyon pompası. Bu ürünlerin hepsinde "siber güvenlik" artık bir bilgi işlem tercihi değil, mevzuat gerekliliğidir. Tıbbi Cihaz Yönetmeliği, yazılım içeren cihazlarda bilgi güvenliğini genel güvenlilik ve performans gereklilikleri arasına almış, imalatçıya donanım ve ağ karakteristikleri için asgari gereklilik belirleme yükümlülüğü getirmiştir. Bu yazıda siber güvenlik gerekliliğinin mevzuattaki dayanağını, teknik dokümantasyona ve kullanım talimatına yansımasını, ÜTS belge ve ürün kaydındaki karşılığını doğrudan yönetmelik metni üzerinden ele alıyoruz.

Yazılım güvenliği bir "ek özellik" değil, temel gerekliliktir

Tıbbi Cihaz Yönetmeliği'nin Ek I'i, cihazların karşılaması gereken genel güvenlilik ve performans gerekliliklerini sayar. Bu ekin 17 numaralı maddesi doğrudan elektronik programlanabilir sistemleri ve kendi başına cihaz olan yazılımları düzenler:

"17. Elektronik programlanabilir sistemler – elektronik programlanabilir sistemler içeren cihazlar ve kendi başına cihaz olan yazılımlar"

"17.1. Yazılımlar dâhil olmak üzere elektronik programlanabilir sistemler içeren cihazlar ya da kendi başına cihaz olan yazılımlar; tekrarlanabilirliği, güvenilirliği sağlamak ve amaçlanan kullanımları doğrultusunda performans göstermek üzere tasarlanır. Tek hata durumu halinde, ortaya çıkan riskleri veya performans bozukluğunu gidermek ya da mümkün olduğu kadar azaltmak için uygun önlemler alınır."

Buradaki "tek hata durumu" kavramı önemlidir: cihaz, tek bir bileşenin arızalanması hâlinde hastayı tehlikeye atmayacak şekilde tasarlanmalıdır. Siber güvenlik açısından bu, tek bir yetkisiz erişimin cihazın klinik işlevini bozmaması anlamına gelir.

Bilgi güvenliği, geliştirme yaşam döngüsünün parçasıdır

Yönetmelik siber güvenliği ayrı bir başlık altında değil, yazılım geliştirme ilkelerinin içinde konumlandırır:

"17.2. Yazılım içeren cihazlar veya kendi başına cihaz olan yazılımlar söz konusu olduğunda, bu yazılımlar; geliştirme yaşam döngüsü, bilgi güvenliği, risk yönetimi, doğrulama ve validasyon ilkeleri dikkate alınmak suretiyle en son teknolojik gelişmelere uygun olarak geliştirilir ve imal edilir."

Bu tek cümle dört ayrı yükümlülük doğurur:

• Geliştirme yaşam döngüsü: Yazılımın tasarımdan bakıma kadar tanımlı bir süreç içinde geliştirilmesi.

• Bilgi güvenliği: Gizlilik, bütünlük ve erişilebilirliğin tasarım aşamasında ele alınması.

• Risk yönetimi: Siber güvenlik risklerinin klinik risk analizine dâhil edilmesi.

• Doğrulama ve validasyon: Güvenlik önlemlerinin test edilmiş ve kanıtlanmış olması.

"En son teknolojik gelişmelere uygun olarak" ifadesi, gerekliliğin sabit bir kontrol listesi olmadığını gösterir. Bugün yeterli sayılan bir şifreleme yöntemi, birkaç yıl sonra yeterli sayılmayabilir; bu nedenle güvenlik değerlendirmesi cihazın ömrü boyunca güncel tutulur.

Mobil platformlar ayrıca değerlendirilir

Uygulama biçiminde sunulan yazılımlar için Ek I ayrı bir hüküm getirir:

"17.3. Bu Ekin 17 numaralı maddesinde atıfta bulunulan ve mobil bilgi işleme platformlarıyla kombinasyon halinde kullanılması amaçlanan yazılımlar; mobil platformun spesifik özellikleri (örneğin ekranın boyutu ve kontrast oranı) ve kullanımlarıyla ilişkili dış faktörler (ışık veya gürültü seviyesine göre değişen ortam) dikkate alınarak tasarlanır ve imal edilir."

Bu hüküm doğrudan siber güvenlikle ilgili görünmese de aynı mantığın parçasıdır: yazılımın çalıştığı ortam, cihazın güvenliğinin bir bileşenidir. Hangi işletim sistemi sürümlerinde, hangi cihaz özelliklerinde çalıştığı belirlenmemiş bir uygulama, kontrolsüz bir ortamda çalışıyor demektir.

Asgari donanım ve ağ gereklilikleri: imalatçının açıkça belirlemesi gereken alan

Uygulamada en çok atlanan hüküm 17.4'tür:

"17.4. İmalatçılar; yazılımın amaçlandığı şekilde çalışması için gerekli olan donanım, bilgi teknolojileri (BT) ağ karakteristikleri ve yetkisiz erişime karşı koruma dâhil bilgi teknolojileri (BT) güvenlik önlemleri ile ilgili asgari gereklilikleri belirler."

Bu hüküm, imalatçıya belgelenebilir bir çıktı üretme yükümlülüğü getirir. Asgari gereklilikler tipik olarak şu başlıkları içerir:

• Desteklenen işletim sistemi ve sürümleri, asgari işlemci/bellek/depolama

• Ağ mimarisi: yerel ağ mı, internet erişimi mi, hangi portlar ve protokoller

• Kimlik doğrulama ve yetkilendirme gereklilikleri

• Şifreleme gereklilikleri (aktarımda ve saklamada)

• Güncelleme ve yama yönetimi sorumluluğunun kimde olduğu

• Yedekleme ve olay kaydı (log) beklentileri

Bu bilgiler kullanım talimatında yer almadığında, sağlık kuruluşu cihazı hangi koşulda çalıştıracağını bilemez ve uygunsuz kurulumun sorumluluğu tartışmalı hâle gelir.

Siber güvenlik, sınıflandırmayı doğrudan değiştirmez ama teknik dosyayı değiştirir

Siber güvenlik gereklilikleri Ek VIII sınıflandırma kurallarında ayrı bir kural olarak yer almaz. Yazılımın sınıfı, Kural 11 ve diğer ilgili kurallar üzerinden belirlenir. Ancak siber güvenlik, uygunluk değerlendirmesinde iki noktada karşınıza çıkar:

Teknik dokümantasyonda. Ek II, teknik dosyada yazılım doğrulama ve validasyonuna ilişkin ayrıntılı bilgi ister; yazılım tasarım ve geliştirme sürecinin tanımlanmasını, farklı donanım konfigürasyonlarının ve işletim sistemlerinin ele alınmasını arar. Siber güvenlik kanıtları bu bölümün doğal parçasıdır.

Risk yönetiminde. Yetkisiz erişimin klinik sonucu olan senaryolar (yanlış doz, yanlış tanı verisi, hizmet kesintisi) risk analizinde yer almadığında, Ek I'in 17.2 numaralı maddesindeki "risk yönetimi ilkeleri dikkate alınmak suretiyle" şartı karşılanmamış olur.

Kişisel veri ile siber güvenlik aynı şey değildir

Sağlık verisi işleyen bir yazılımda iki ayrı rejim aynı anda işler. Tıbbi Cihaz Yönetmeliği'nin aradığı bilgi güvenliği, cihazın güvenli ve amaçlandığı gibi çalışmasına yöneliktir. Kişisel verilerin korunmasına ilişkin mevzuat ise veri sorumlusunun yükümlülüklerini düzenler. Bir yazılım, kişisel veri mevzuatına tam uyumlu olduğu hâlde Ek I'in 17 nci maddesindeki gereklilikleri karşılamıyor olabilir; tersi de mümkündür. ÜTS kaydında sorulan sorular birinci rejime aittir.

Güncelleme ve sürüm yönetimi: kayıt sonrası en kritik başlık

Siber güvenlik yamaları yazılımın sürümünü değiştirir. Burada belirleyici soru, güncellemenin cihazın kullanım amacını veya performansını etkileyip etkilemediğidir:

• Etkilemeyen düzeltmeler (arayüz iyileştirmesi, güvenlik yaması) mevcut uygunluk çerçevesinde ele alınır; sürüm bilgisi ve teknik dosya güncellenir.

• Etkileyen değişiklikler (yeni klinik işlev, algoritma değişikliği, kullanım amacının genişlemesi) yeni bir uygunluk değerlendirmesi ve buna bağlı olarak ÜTS'de belge ve ürün kaydının gözden geçirilmesini gerektirir.

Bu ayrımın kayıt öncesinde tanımlanmış olması gerekir; aksi hâlde her yamada "yeni kayıt mı açacağız" tartışması yaşanır. ÜTS'de yapılacak güncellemenin türü, ÜTS belge kaydı aşamasında kurulan yapıya bağlıdır.

ÜTS kaydında siber güvenliğin karşılığı

ÜTS'ye yüklenen belgeler siber güvenliği doğrudan sormaz; ancak dolaylı olarak üç noktada karşınıza çıkar:

1. Uygunluk beyanı, cihazın Ek I dâhil yönetmelik gerekliliklerine uygun olduğunu beyan eder. Siber güvenlik bu beyanın kapsamındadır.

2. Kullanma kılavuzu, ÜTS'ye yüklenen belge türlerinden biridir. Asgari BT gereklilikleri bu belgede yer almalıdır.

3. Sınıf IIa ve üzeri yazılımlarda AB sertifikası, onaylanmış kuruluşun yazılım güvenliği değerlendirmesini de kapsar; sertifika kapsamı ile ÜTS'deki cihaz tanımının örtüşmesi gerekir.

Sık sorulan sorular

Siber güvenlik için ayrı bir belge yüklenmesi gerekir mi?

ÜTS'de "siber güvenlik belgesi" diye bir belge türü bulunmaz. Gereklilik, uygunluk beyanı, sertifika ve kullanma kılavuzu üzerinden karşılanır.

Ağ bağlantısı olmayan cihazda siber güvenlik gerekli mi?

Ek I'in 17.2 numaralı maddesi yazılım içeren tüm cihazlar için bilgi güvenliğini arar. Bağlantısı olmayan cihazlarda da USB, servis erişimi ve yerel yetkilendirme senaryoları değerlendirilir.

Asgari BT gerekliliklerini nerede belirtmeliyiz?

Uygulamada bu bilgiler kullanım talimatında ve kurulum dokümanında verilir. Belirlemenin kendisi imalatçının yükümlülüğüdür.

Hastane cihazı kendi ağına bağlarken kuralları değiştirirse ne olur?

İmalatçının belirlediği asgari gerekliliklerin dışına çıkılması, cihazın amaçlandığı gibi çalışmasını etkileyebilir. Bu nedenle asgari gerekliliklerin yazılı ve açık olması imalatçıyı da korur.

Güvenlik yaması yayınladığımızda ÜTS'de bir şey yapmalı mıyız?

Yamanın kullanım amacını ve performansı etkileyip etkilemediğine bakılır. Etkilemeyen yamalarda sürüm ve doküman güncellemesi, etkileyen değişikliklerde uygunluk değerlendirmesinin gözden geçirilmesi gerekir.

Siber güvenlik gerekliliklerinde ÜTS kayıt danışmanlığı

Yazılım içeren cihazlarda ÜTS kaydının reddedilme nedenleri çoğunlukla teknik değil, belge tutarsızlığıdır: kullanım amacı beyanı ile kullanma kılavuzunun uyuşmaması, sertifika kapsamının sürümü karşılamaması, asgari BT gerekliliklerinin hiçbir belgede yer almaması.

Medex Kurumsal olarak ÜTS kayıt danışmanlığı kapsamında; yazılım içeren cihazlarda Ek I'in 17 nci maddesine ilişkin belge kontrolü, kullanma kılavuzunda asgari donanım ve BT gerekliliklerinin bulunup bulunmadığının incelenmesi, sertifika kapsamı ile sürüm yapısının karşılaştırılması ve ÜTS belge ile ürün kaydının bu yapıya uygun kurgulanması yürütülür.

Bu yazı bir mevzuat derlemesidir; hukuki mütalaa niteliği taşımaz. Yazılım içeren cihazınızın ÜTS kayıt yapısı için belge incelemesi yapılması gerekir.

Kaynaklar (resmî)

• Tıbbi Cihaz Yönetmeliği, RG 2/6/2021-31499 mükerrer, Ek I (17 nci madde), Ek II, Ek VIII — https://www.mevzuat.gov.tr/File/GeneratePdf?mevzuatNo=38657&mevzuatTur=KurumVeKurulusYonetmeligi&mevzuatTertip=5

• Tıbbi Cihazların Ürün Takip Sistemine Kayıt Süreçlerine İlişkin Kılavuz (TCKKD-KLVZ-03), TİTCK, 13/05/2026 — https://www.titck.gov.tr