MDR（2017/745）・IVDR（2017/746）附属書Iのサイバーセキュリティ関連の一般安全性能要求事項（GSPR）を、プログラマブル電子システムやソフトウェアを含む機器（SaMD、組込みソフトウェア、モバイルアプリ、ネットワーク接続機器、病院ネットワーク・クラウド依存システムを含む）のライフサイクル全体でどう満たすかを解説。「セキュリティは安全性・リスクマネジメントの一部」を基本原則とし、認証・認可・完全性保護・ログ・バックアップ・復旧・セキュアアップデート等の「セキュリティ機能」と、運用環境・構成・アカウント・ネットワーク制御・更新・残留リスク等の文書化を求める「セキュリティ情報」を区別。市販前は脅威分析と安全リスクマネジメントファイルの連携、多層防御（最小権限・強固なID管理・通信保護・監査ログ等）、検証可能な運用環境要件の設定を要求。市販後は脆弱性データベース・研究者報告・サプライヤー通知等からの能動的な情報収集、リスク評価、協調的開示、セキュリティアップデート、利用者への周知を求める。サイバーセキュリティは製造業者と医療機関の共同責任だが、製造業者は自らの設計・規制上の義務を医療機関・利用者に転嫁できない旨を明記。IMDRFの医療機器サイバーセキュリティに関する国際指針とも整合している。