MDR（2017/745）・IVDR（2017/746）附属書Iのサイバーセキュリティ関連の一般安全性能要求事項（GSPR）を、プログラマブル電子システムやソフトウェアを含む機器（SaMD、組込みソフトウェア、モバイルアプリ、ネットワーク接続機器、病院ネットワーク・クラウド依存システムを含む）のライフサイクル全体でどう満たすかを解説。「セキュリティは安全性・リスクマネジメントの一部」を基本原則とし、認証・認可・完全性保護・ログ・バックアップ・復旧・セキュアアップデート等の「セキュリティ機能」と、運用環境・構成・アカウント・ネットワーク制御・更新・残留リスク等の文書化を求める「セキュリティ情報」を区別。市販前は脅威分析と安全リスクマネジメントファイルの連携、多層防御（最小権限・強固なID管理・通信保護・監査ログ等）、検証可能な運用環境要件の設定を要求。市販後は脆弱性データベース・研究者報告・サプライヤー通知等からの能動的な情報収集、リスク評価、協調的開示、セキュリティアップデート、利用者への周知を求める。サイバーセキュリティは製造業者と医療機関の共同責任だが、製造業者は自らの設計・規制上の義務を医療機関・利用者に転嫁できない旨を明記。IMDRFの医療機器サイバーセキュリティに関する国際指針とも整合している。

MDR（2017/745）・IVDR（2017/746）における医療機器ソフトウェア（MDSW）の臨床評価／性能評価に必要な臨床エビデンスの水準を、①有効な臨床関連性（Valid Clinical Association／科学的妥当性：ソフトウェアの出力が対象とする臨床状態・生理学的状態と医学的に妥当な関連を持つか）、②技術的（分析的）性能（入力データから正確・高精度・再現性をもって意図した出力を生成できるか）、③臨床性能（意図した目的に沿った臨床的に意味のある結果を生むか）の3要素で整理。MDRのクラス分類・IVDRの機器区分に応じて要求される臨床データの水準が異なり（MDRクラスIII・埋込型は原則臨床試験データが必須、IVDRは原則いずれのクラスでも性能試験が必要）、非臨床試験のみで適合性を示すことが正当化できる場合の例外（MDR第61条(10)等）にも言及。臨床評価はQMSの一部としてライフサイクル全体で反復的に実施し、市販後臨床フォローアップ（PMCF）／性能フォローアップ（PMPF）による継続的なエビデンス更新を要求。附属書IIに睡眠解析ソフト、画像セグメンテーションツール、IVD半定量検出、機器組込みソフトウェア、インスリンポンプ連携アプリ、人工呼吸器CO2制御ソフトなど6つの実例を掲載し、単独評価が必要な場合と機器本体との一体評価が必要な場合の切り分けを具体的に示している。