IEC 80001-1:2021

Application of risk management for IT-networks incorporating medical devices - Part 1: Safety, effectiveness and security in the implementation and use of connected medical devices or connected health software

IEC 80001-1:2021 specifies general requirements for ORGANIZATIONS in the application of RISK MANAGEMENT before, during and after the connection of a HEALTH IT SYSTEM within a HEALTH IT INFRASTRUCTURE, by addressing the KEY PROPERTIES of SAFETY, EFFECTIVENESS and SECURITY whilst engaging appropriate stakeholders.
IEC 80001-1:2021 cancels and replaces the first edition published in 2010. This edition constitutes a technical revision.
This edition includes the following significant technical changes with respect to the previous edition:
a) structure changed to better align with ISO 31000;
b) establishment of requirements for an ORGANIZATION in the application of RISK MANAGEMENT;
c) communication of the value, intention and purpose of RISK MANAGEMENT through principles that support preservation of the KEY PROPERTIES during the implementation and use of connected HEALTH SOFTWARE and/or HEALTH IT SYSTEMS.

Application de la gestion des risques aux réseaux des technologies de l’information contenant des dispositifs médicaux - Partie 1: Sûreté, efficacité et sécurité dans la mise en œuvre et l'utilisation des dispositifs médicaux connectés ou des logiciels de santé connectés

L'IEC 80001-1:2021 spécifie des exigences générales au profit des ORGANISATIONS pour l’application de la GESTION DES RISQUES avant, pendant et après la connexion d’un SYSTEME TI DE SANTE au sein d’une INFRASTRUCTURE TI DE SANTE. Il traite des PROPRIETES CLES de SECURITE, d’EFFICACITE et de SURETE tout en impliquant les intervenants concernés.
L'IEC 80001-1:2021 annule et remplace la première édition parue en 2010. Cette édition constitue une révision technique.
Cette édition inclut les modifications techniques majeures suivantes par rapport à l'édition précédente:
a) modification de la structure pour mieux s’aligner sur l’ISO 31000;
b) établissement d’exigences en faveur d’une ORGANISATION dans l’application de la GESTION DES RISQUES;
c) communication de la valeur, de l’objectif et de la finalité de la GESTION DES RISQUES à travers des principes qui favorisent la préservation des PROPRIETES CLES lors de la mise en œuvre et de l’utilisation des LOGICIELS DE SANTE et/ou SYSTEMES TI DE SANTE connectés.

General Information

• Status: Published
• Publication Date: 20-Sep-2021
• ICS: 11.040.01 - Medical equipment in general
• ICS: 35.240.80 - IT applications in health care technology
• Technical Committee: SC 62A - Common aspects of medical equipment, software, and systems
• Drafting Committee: JWG 7 - TC 62/SC 62A/JWG 7
• Current Stage: PPUB - Publication issued
• Completion Date: 21-Sep-2021

Relations

• Revises: IEC 80001-1:2010 - Application of risk management for IT-networks incorporating medical devices - Part 1: Roles, responsibilities and activities
• Effective Date: 05-Sep-2023

Standards Content (Sample)

IEC 80001-1
Edition 2.0 2021-09
INTERNATIONAL
STANDARD
NORME
INTERNATIONALE
colour
inside
Application of risk management for IT-networks incorporating medical devices –
Part 1: Safety, effectiveness and security in the implementation and use of
connected medical devices or connected health software

Application de la gestion des risques aux réseaux des technologies de
l’information contenant des dispositifs médicaux –
Partie 1: Sûreté, efficacité et sécurité dans la mise en œuvre et l'utilisation des
dispositifs médicaux connectés ou des logiciels de santé connectés

All rights reserved. Unless otherwise specified, no part of this publication may be reproduced or utilized in any form
or by any means, electronic or mechanical, including photocopying and microfilm, without permission in writing from
either IEC or IEC's member National Committee in the country of the requester. If you have any questions about IEC
copyright or have an enquiry about obtaining additional rights to this publication, please contact the address below or
your local IEC member National Committee for further information.

Droits de reproduction réservés. Sauf indication contraire, aucune partie de cette publication ne peut être reproduite ni
utilisée sous quelque forme que ce soit et par aucun procédé, électronique ou mécanique, y compris la photocopie et
les microfilms, sans l'accord écrit de l'IEC ou du Comité national de l'IEC du pays du demandeur. Si vous avez des
questions sur le copyright de l'IEC ou si vous désirez obtenir des droits supplémentaires sur cette publication, utilisez
les coordonnées ci-après ou contactez le Comité national de l'IEC de votre pays de résidence.

IEC Central Office Tel.: [phone]
3, rue de Varembé [e-mail]
CH-1211 Geneva 20 www.iec.ch
Switzerland
About the IEC
The International Electrotechnical Commission (IEC) is the leading global organization that prepares and publishes
International Standards for all electrical, electronic and related technologies.

About IEC publications
The technical content of IEC publications is kept under constant review by the IEC. Please make sure that you have the
latest edition, a corrigendum or an amendment might have been published.

IEC publications search - webstore.iec.ch/advsearchform IEC online collection - oc.iec.ch
The advanced search enables to find IEC publications by a Discover our powerful search engine and read freely all the
variety of criteria (reference number, text, technical publications previews. With a subscription you will always have
committee, …). It also gives information on projects, replaced access to up to date content tailored to your needs.
and withdrawn publications.
Electropedia - www.electropedia.org
IEC Just Published - webstore.iec.ch/justpublished
The world's leading online dictionary on electrotechnology,
Stay up to date on all new IEC publications. Just Published
containing more than 22 000 terminological entries in English
details all new publications released. Available online and once
and French, with equivalent terms in 18 additional languages.
a month by email.
Also known as the International Electrotechnical Vocabulary

(IEV) online.
IEC Customer Service Centre - webstore.iec.ch/csc

If you wish to give us your feedback on this publication or need
further assistance, please contact the Customer Service
Centre: [e-mail].
A propos de l'IEC
La Commission Electrotechnique Internationale (IEC) est la première organisation mondiale qui élabore et publie des
Normes internationales pour tout ce qui a trait à l'électricité, à l'électronique et aux technologies apparentées.

A propos des publications IEC
Le contenu technique des publications IEC est constamment revu. Veuillez vous assurer que vous possédez l’édition la
plus récente, un corrigendum ou amendement peut avoir été publié.

Recherche de publications IEC - Découvrez notre puissant moteur de recherche et consultez
webstore.iec.ch/advsearchform gratuitement tous les aperçus des publications. Avec un
La recherche avancée permet de trouver des publications IEC abonnement, vous aurez toujours accès à un contenu à jour
en utilisant différents critères (numéro de référence, texte, adapté à vos besoins.
comité d’études, …). Elle donne aussi des informations sur les
projets et les publications remplacées ou retirées. Electropedia - www.electropedia.org

Le premier dictionnaire d'électrotechnologie en ligne au monde,
IEC Just Published - webstore.iec.ch/justpublished
avec plus de 22 000 articles terminologiques en anglais et en
Restez informé sur les nouvelles publications IEC. Just
français, ainsi que les termes équivalents dans 16 langues
Published détaille les nouvelles publications parues.
additionnelles. Egalement appelé Vocabulaire
Disponible en ligne et une fois par mois par email.
Electrotechnique International (IEV) en ligne.

Service Clients - webstore.iec.ch/csc
Si vous désirez nous donner des commentaires sur cette
publication ou si vous avez des questions contactez-nous:
[e-mail].
IEC online collection - oc.iec.ch

IEC 80001-1
Edition 2.0 2021-09
INTERNATIONAL
STANDARD
NORME
INTERNATIONALE
colour
inside
Application of risk management for IT-networks incorporating medical devices –

Part 1: Safety, effectiveness and security in the implementation and use of

connected medical devices or connected health software

Application de la gestion des risques aux réseaux des technologies de

l’information contenant des dispositifs médicaux –

Partie 1: Sûreté, efficacité et sécurité dans la mise en œuvre et l'utilisation des

dispositifs médicaux connectés ou des logiciels de santé connectés

INTERNATIONAL
ELECTROTECHNICAL
COMMISSION
COMMISSION
ELECTROTECHNIQUE
INTERNATIONALE
ICS 11.040.01; 35.240.80 ISBN 978-2-8322-9748-3

– 2 – IEC 80001-1:2021 © IEC 2021
CONTENTS
FOREWORD . 4
INTRODUCTION . 7
1 Scope . 9
2 Normative references . 9
3 Terms and definitions . 9
4 Principles . 10
5 Framework . 11
5.1 General . 11
5.2 Leadership and commitment . 11
5.3 Integrating RISK MANAGEMENT . 11
5.4 Design/planning . 12
5.4.1 General . 12
5.4.2 RISK MANAGEMENT FILE . 13
5.4.3 Understanding the organization and the SOCIOTECHNICAL ECOSYSTEM . 13
5.4.4 Articulating RISK MANAGEMENT commitment . 13
5.4.5 Assigning organizational roles, authorities, responsibilities and
accountabilities . 13
5.4.6 Allocating resources . 14
5.4.7 Establishing communication and consultation . 14
5.5 Implementation . 15
5.6 Evaluation . 15
5.7 Improvement . 15
6 RISK MANAGEMENT PROCESS . 15
6.1 Generic requirements. 15
6.1.1 General . 15
6.1.2 RISK ANALYSIS . 16
6.1.3 RISK EVALUATION . 18
6.1.4 RISK CONTROL . 19
6.2 Lifecycle specific requirements . 21
6.2.1 General . 21
6.2.2 Acquisition . 21
6.2.3 Installation, customization and configuration . 22
6.2.4 Integration, data migration, transition and validation . 22
6.2.5 Implementation, workflow optimization and training . 22
6.2.6 Operation and maintenance . 23
6.2.7 Decommission . 24
Annex A (informative) IEC 80001-1 requirements mapping table . 25
Annex B (informative) Guidance for accompanying document Information . 31
B.1 Foreword . 31
B.2 Information system categorization . 32
B.3 Overview. 32
B.4 Reference documents . 32
B.5 System level description . 32
B.5.1 Environment description . 32
B.5.2 Network ports, protocols and services . 33
B.5.3 Purpose of connection to the health IT infrastructure . 33

B.5.4 Networking requirements . 33
B.5.5 Required IT-network services . 33
B.5.6 Data flows and protocols . 33
B.6 Security and user access . 34
B.6.1 General . 34
B.6.2 Malware / antivirus / allow-list . 34
B.6.3 Security exclusions . 34
B.6.4 System access . 34
B.7 RISK MANAGEMENT . 36
Bibliography . 37

Figure 1 – Lifecycle framework addressing safety, effectiveness and security of health
software and health IT systems . 8
Figure 2 – RISK MANAGEMENT PROCESS . 12

Table A.1 – IEC 80001-1 requirements table . 25
Table B.1 – Organization name and location . 31
Table B.2 – Cybersecurity device characterization level . 32
Table B.3 – Ports, protocols and services . 33
Table B.4 – Information system name and title . 34
Table B.5 – Roles and privileges . 35

– 4 – IEC 80001-1:2021 © IEC 2021
INTERNATIONAL ELECTROTECHNICAL COMMISSION
____________
APPLICATION OF RISK MANAGEMENT FOR IT-NETWORKS
INCORPORATING MEDICAL DEVICES –

Part 1: Safety, effectiveness and security in the implementation and use
of connected medical devices or connected health software

FOREWORD
1) The International Electrotechnical Commission (IEC) is a worldwide organization for standardization comprising
all national electrotechnical committees (IEC National Committees). The object of IEC is to promote international
co-operation on all questions co
...