Kommunen må undersøke om utstyret er klassifisert som medisinsk utstyr. Dette kan leverandøren svare på. Kommunen er selv ansvarlig for å anskaffe medisinsk utstyr som samsvarer med kravene som stilles til produsentene og som er egnet for det tiltenkte bruksområdet. se Forskrift om håndtering av medisinsk utstyr (lovdata.no)
Forordningen for medisinsk utstyr (MDR) har på lik linje som personvernforordningen en risikobasert tilnærming. I MDR brukes begrepet pasientsikkerhet, men også her må produsenten inkludere informasjonssikkerhet i risikovurderingene, selv når informasjonssikkerheten ikke er direkte nevnt i bestemmelsene. Flere og flere typer medisinsk utstyr kobles til nettverk og gjøres digitalt. Basert på dette øker også risikoen for brudd på informasjonssikkerheten og personvern.
Operatører og brukere som inkluderer helsepersonell og pasient/ bruker er ansvarlige for å bruke det medisinske utstyret basert på instruksjonene fra produsenter.
