IEC 81001-5-1 要求制造商在其質量管理系統中定義安全生命周期過程的適用性（4.1.3 適用性的確定）。
在 MDR 中，似乎已經預見到了這種適用性。附錄 I 17.2 規定：
"For devices that incorporate software or for software that are devices in themselves, the software shall be developed and manufactured in accordance with the state of the art taking into account the principles of development life cycle, risk management, including information security, verification and validation."
因此，每個軟件和每個包含軟件的產品都必須自動提供符合 IEC 81001-5-1 標準的安全文件。
我認為這有點夸張。我可不想指導一個包含軟件并在數字顯示屏上顯示溫度值的數字式臨床體溫計按照 IEC 81001-5-1 進行完整的安全生命周期流程。尤其是 IEC 81001-5-1 并沒有規定任何工作和文件限制（比較 IEC 62304的安全級別）。
因此，我們可以利用 IEC 81001-5-1 中的注釋（4.1.4，注釋1）來限制安全生命周期流程的適用性：
"For HEALTH SOFTWARE some IT exposure, networking, or data interfacing capabilities are assumed and therefore a secure software LIFE CYCLE is followed"
因此，我建議安全程序指令中的適用性表述可以是：
"As soon as a medical device is software or contains software AND at the same time has any form of data interface to other devices or systems, it falls under the scope of the security lifecycle process."
有趣的是，這也與目前的《Cyber Resilience Act》草案不謀而合，該法案未來將適用于歐洲的所有產品（醫療器械和其他一些產品除外）：
'This Regulation shall apply to devices incorporating digital elements, the intended or reasonably foreseeable use of which involves a direct or indirect logical or physical data connection to a device or network.'
看來，MDR附錄I第17.2 條對信息安全流程應用的定義過于狹窄。希望公告機構能遵循這一推理方法！
