Cybersicherheit vor dem Inverkehrbringen von Medizinprodukten nach FDA
Sytance · Aktualisiert
Die FDA empfiehlt in ihren Leitlinien zur Cybersicherheit vor dem Inverkehrbringen Informationen, die das Sicherheitskonzept des Produkts, die behandelten Risiken und die zu seiner Prüfung eingesetzten Tests erläutern. Die Einreichung muss außerdem erklären, wie der Hersteller nach der Freigabe des Produkts mit Schwachstellen umgehen wird.
Aktueller Leitlinienstand
Die FDA veröffentlichte die aktuelle endgültige Leitlinie zur Cybersicherheit vor dem Inverkehrbringen im Februar 2026 und ersetzte damit die Fassung vom Juni 2025. Die Überarbeitung stimmt die Leitlinie auf die Quality Management System Regulation (QMSR) ab. Ihre Empfehlungen sind von den gesetzlichen Anforderungen in Abschnitt 524B zu unterscheiden.
Dieses Dokument ersetzt „Cybersecurity in Medical Devices: Quality System Considerations and Content of Premarket Submissions“, veröffentlicht am 27. Juni 2025.
FDA-Leitlinie zur Cybersicherheit vor dem Inverkehrbringen, Februar 2026 (Original auf Englisch)
Die Leitlinie betrifft Produkte mit Cybersicherheitsrisiken. Software, Firmware oder programmierbare Logik können solche Risiken auch dann mit sich bringen, wenn das Produkt nicht mit dem Internet verbunden ist. Abschnitt 524B gilt für die engere, im FD&C Act definierte Kategorie von Cybergeräten.
Cybergerät im Sinne von Abschnitt 524B
Abschnitt 524B gilt für bestimmte Einreichungen zu einem Cybergerät: 510(k), PMA, Produktentwicklungsprotokoll, De Novo und HDE. Das Gesetz trat am 29. März 2023 in Kraft. Die Übergangspolitik der FDA, Einreichungen nicht anzunehmen, endete am 1. Oktober 2023; dieses Datum änderte nicht den Zeitpunkt des Inkrafttretens der gesetzlichen Anforderungen.
Vom Sponsor kontrollierte Software
Das Gerät umfasst Software, die vom Sponsor als Medizinprodukt oder in einem Medizinprodukt validiert, installiert oder autorisiert wurde. Für diese Analyse behandelt die FDA Firmware und programmierbare Logik als Software.
Internetverbindungsfähigkeit
Das Gerät kann direkt oder über ein anderes Produkt eine Verbindung zum Internet herstellen. Die Auslegung der FDA umfasst auch indirekte Verbindungen, etwa wenn ein Gerät über einen mit dem Internet verbundenen Computer kommuniziert.
Bedrohungen der Cybersicherheit ausgesetzt
Das Gerät enthält vom Sponsor validierte, installierte oder autorisierte technologische Merkmale, die gegenüber Cybersicherheitsbedrohungen anfällig sein können.
Für eine qualifizierende Einreichung verlangt Abschnitt 524B einen Plan zur Überwachung und Behandlung von Schwachstellen nach dem Inverkehrbringen, einschließlich einer koordinierten Offenlegung von Schwachstellen. Außerdem sind Prozesse und Verfahren erforderlich, die eine angemessene Gewähr für die Cybersicherheit bieten, einschließlich Updates und Patches nach dem Inverkehrbringen, sowie eine SBOM für kommerzielle, Open-Source- und Standardsoftwarekomponenten.
Inhalt der Einreichung
Die prüfende Person muss nachvollziehen können, wie eine Sicherheitsentscheidung zustande kam. Wenn ein Bedrohungsmodell unbefugte Änderungen an Therapieeinstellungen identifiziert, sollte der Entwurf festlegen, wer sie ändern darf, und die Tests sollten diese Beschränkung prüfen. Architektur, Analyse und Ergebnisse müssen dieselbe Gerätekonfiguration beschreiben.
Die FDA empfiehlt, Sicherheit in das Qualitätsmanagementsystem zu integrieren. Entwicklungsunterlagen sollten erläutern, wie Sicherheitsanforderungen den Entwurf beeinflusst haben, wie die Umsetzung geprüft wurde und wie ungelöste Probleme vor der Freigabe behandelt wurden. Die Wartungsplanung führt diesen Prozess für spätere Schwachstellen und Updates fort.
Das Cybersicherheitsrisikomanagement untersucht, wie ein Angreifer eine Schwachstelle ausnutzen und das Gerät beeinträchtigen könnte. Wenn der Angriff Patientenschäden verursachen könnte, ist die daraus entstehende Gefahrensituation auch im Rahmen des Sicherheitsrisikomanagements zu bewerten. Beispielsweise könnte ein Angriff, der einen Alarm unterdrückt, eine klinische Reaktion verzögern.
Der Risikomanagementbericht sollte die Bewertungsmethode und die Schlussfolgerung zum Restrisiko erläutern. Der Unterstützungsstatus von Komponenten, bekannte Schwachstellen und ungelöste Softwareanomalien helfen festzustellen, ob der Hersteller den Schutz während der erwarteten Nutzungsdauer des Geräts aufrechterhalten kann.
Das Bedrohungsmodell sollte das gesamte Gerätesystem abdecken, einschließlich externer Abhängigkeiten, die seinen Betrieb beeinflussen. Analysieren Sie Installation, Nutzung, Aktualisierung und Außerbetriebnahme. Die Architekturansichten zeigen anschließend, an welchen Stellen die ausgewählten Kontrollen auf diesen Angriffspfaden wirken.
Mit Tests müssen die Sicherheitsanforderungen und die für erkannte Bedrohungen ausgewählten Maßnahmen überprüft werden. Code- und Softwarezusammensetzungsanalysen können Schwachstellen in der Implementierung oder ihren Komponenten aufdecken. Fuzzing, Missbrauchstests und Penetrationstests untersuchen das Verhalten bei fehlerhaften Eingaben oder Angriffen; wählen Sie Methoden, die den Schnittstellen und Risiken des Geräts gerecht werden.
Die Benutzerinformationen sollten erläutern, was die Gesundheitseinrichtung oder der Patient für einen sicheren Betrieb tun muss, einschließlich Konfiguration, Updates und Wiederherstellung. Geben Sie den Unterstützungszeitraum und alle Verantwortlichkeiten an, die von der Betriebsumgebung abhängen. Der Cybersicherheitsmanagementplan des Herstellers sollte erklären, wie Schwachstellenmeldungen und Überwachung zu einer Bewertung, Kommunikation und zeitnahen Behebung führen.
Häufige Nachweise
Architekturansichten
Die FDA empfiehlt Ansichten des Gesamtsystems, zu Gefahren für mehrere Patienten, zu Aktualisierbarkeit und Patchfähigkeit sowie zu Sicherheitsanwendungsfällen. Sie erläutern, wie ein Angriff das Gerät erreichen, sich über verbundene Systeme ausbreiten oder durch ein Update behoben werden kann.
SBOM
Die SBOM sollte vom Hersteller entwickelte und Drittanbieterkomponenten abdecken, einschließlich gekaufter, lizenzierter, quelloffener und vorgelagerter Abhängigkeiten. Für Cybergeräte schreibt Abschnitt 524B den SBOM-Inhalt gesetzlich vor.
Bekannte Schwachstellen
Die FDA erwartet, dass bekannte Schwachstellen identifiziert und analysiert werden, einschließlich Schwachstellen in Drittanbieterkomponenten und solcher aus den CISA Known Exploited Vulnerabilities, die für das Gerät oder verbundene Systeme relevant sind.
Rückverfolgbarkeit
Dank Rückverfolgbarkeit kann die prüfende Person einem Befund aus dem Bedrohungsmodell über die betroffene SBOM-Komponente, die Risikokontrolle und die Entwurfsanforderung bis zum Testergebnis folgen. Entscheidungen zum Restrisiko sollten sich auch in der Kennzeichnung und der Überwachung nach dem Inverkehrbringen widerspiegeln.
Die Kategorien der Sicherheitskontrollen in der Leitlinie helfen dabei, den Entwurf systematisch zu prüfen. Beispielsweise stellt die Benutzerauthentifizierung eine Identität fest; die Autorisierung entscheidet, ob diese Person eine bestimmte klinische Maßnahme oder Wartungsaktion ausführen darf. Tests sollten jede Entscheidung an der Schnittstelle prüfen, die sie durchsetzt.
Produkte außerhalb der Definition in Abschnitt 524B
Auch ein Gerät ohne Internetverbindung kann Softwareupdates über einen lokalen Anschluss oder ein Wechselmedium empfangen. Ein manipuliertes Update kann deshalb ein Cybersicherheitsrisiko verursachen, selbst wenn das Gerät nicht der Definition eines Cybergeräts entspricht. Die allgemeinere Leitlinie der FDA bleibt für dieses Risiko relevant; der empfohlene Inhalt der Einreichung hängt vom Gerät und der Art der Einreichung ab.