FDA-Abschnitt 524B: Anforderungen an Cybergeräte
Sytance · Aktualisiert
Abschnitt 524B des FD&C Act legt gesetzliche Cybersicherheitsanforderungen für bestimmte FDA-Einreichungen vor dem Inverkehrbringen von Cybergeräten fest. Er verlangt Pläne und Prozesse zur Behandlung von Schwachstellen, Updates und Patches sowie eine SBOM.
Kriterien für Cybergeräte
Ein Cybergerät ist ein Medizinprodukt, das alle drei gesetzlichen Kriterien erfüllt. Es muss vom Sponsor validierte, installierte oder autorisierte Software als Medizinprodukt oder in einem Medizinprodukt enthalten. Es muss eine Verbindung zum Internet herstellen können. Außerdem muss es vom Sponsor validierte, installierte oder autorisierte technologische Eigenschaften aufweisen, die für Cybersicherheitsbedrohungen anfällig sein können.
Abschnitt 524B(c) des FD&C Act definiert ein „Cybergerät“ als ein Gerät, das (1) Software umfasst, die vom Sponsor als Medizinprodukt oder in einem Medizinprodukt validiert, installiert oder autorisiert wurde, (2) eine Verbindung zum Internet herstellen kann und (3) technologische Eigenschaften enthält, die vom Sponsor validiert, installiert oder autorisiert wurden und für Cybersicherheitsbedrohungen anfällig sein könnten.
FDA-FAQ zu Abschnitt 524B mit Zitat aus Abschnitt 524B(c) des FD&C Act (Original auf Englisch)
Die FDA legt das Verbindungskriterium weit aus. Firmware und programmierbare Logik gelten für diesen Zweck als Software. Die Internetfähigkeit kann direkt oder indirekt, beabsichtigt oder unbeabsichtigt bestehen und sich aus der Angriffsfläche des Geräts und seiner Einsatzumgebung ergeben.
Softwarekriterium
Das Kriterium betrifft Software im Gerät oder als Gerät, einschließlich Firmware und programmierbarer Logik, wenn der Sponsor sie validiert, installiert oder autorisiert.
Verbindungskriterium
Zu den Beispielen der FDA gehören Netzwerk-, Server-, Cloud-, WLAN-, Mobilfunk-, Bluetooth-, magnetisch-induktive Kommunikations-, USB-, Ethernet- und serielle Schnittstellen.
Bedrohungskriterium
Die technologischen Eigenschaften müssen für Cybersicherheitsbedrohungen anfällig sein können. Entscheidend ist nicht allein, ob das Produkt als vernetzt vermarktet wird.
Einreichungswege
Abschnitt 524B gilt für Personen, die einen abgedeckten FDA-Antrag oder eine Einreichung vor dem Inverkehrbringen für ein Cybergerät einreichen. Die FDA nennt die Wege 510(k), PMA, Produktentwicklungsprotokoll, De Novo und HDE, einschließlich einschlägiger Ergänzungen sowie spezieller oder verkürzter 510(k)-Einreichungen.
Die gesetzlichen Anforderungen gelten nicht für Anträge oder Einreichungen, die vor dem 29. März 2023 bei der FDA eingingen. Laut FAQ der FDA sollten Sponsoren ab dem 1. Oktober 2023 genügend Zeit gehabt haben, Einreichungen für Cybergeräte mit den nach Abschnitt 524B erforderlichen Informationen vorzubereiten. Ist für eine Änderung eines bereits zugelassenen Cybergeräts eine neue Einreichung über einen abgedeckten Weg erforderlich, muss diese neue Einreichung Abschnitt 524B erfüllen.
Erforderliche Informationen für die Einreichung
Die Einreichung muss belegen, wie das Cybergerät Abschnitt 524B(b) erfüllt. Die endgültigen FDA-Leitlinien vor dem Inverkehrbringen erläutern, wie Informationen zu Entwurf, Risikomanagement und Prüfungen diese gesetzlichen Anforderungen stützen können.
Die Einreichung muss einen Plan zur Überwachung, Erkennung und zeitnahen Behandlung von Cybersicherheits-Schwachstellen und Exploits nach dem Inverkehrbringen enthalten. Die FDA verknüpft diesen Plan mit der koordinierten Offenlegung von Schwachstellen, Überwachungsquellen, Patchfristen, Kundenkommunikation und Aktualisierungen der Bedrohungsmodellierungs- und Risikobewertungsaufzeichnungen über den Lebenszyklus hinweg.
Der Sponsor muss Prozesse und Verfahren einrichten und aufrechterhalten, die angemessene Gewähr für die Cybersicherheit des Geräts und zugehöriger Systeme bieten. Dazu gehört die Prüfung von Diensten unter Herstellerkontrolle, von denen der Schutz abhängt. Ein Updateserver kann beispielsweise beeinflussen, ob ein Gerät authentische Software erhält.
Abschnitt 524B verlangt Updates und Patches für das Gerät und zugehörige Systeme in einem angemessen begründeten regelmäßigen Zyklus, um bekannte unvertretbare Schwachstellen zu beheben. Updates und Patches für kritische Schwachstellen, die unkontrollierte Risiken verursachen könnten, müssen so bald wie möglich auch außerhalb des regulären Zyklus bereitgestellt werden. Der Plan sollte eingesetzte Versionen, unterstützte Konfigurationen und die Frage berücksichtigen, ob ein Update alle Geräte automatisch erreicht.
Eine Einreichung für ein Cybergerät muss eine SBOM für kommerzielle, Open-Source- und handelsübliche Softwarekomponenten enthalten. Die FDA erwartet weiterhin, dass die SBOM in das Risikomanagement, die Schwachstellenbewertung und Informationen zum Supportstatus der Komponenten eingebunden ist. Sie ersetzt diese Aufzeichnungen nicht.
Abgrenzung zu FDA-Leitlinien
Die Definition eines Cybergeräts begrenzt nicht alle Erwartungen der FDA an Cybersicherheit. Die endgültigen FDA-Leitlinien vom Februar 2026 behandeln Cybersicherheitsentwurf, Kennzeichnung und Dokumentation vor dem Inverkehrbringen für Geräte mit Cybersicherheitsrisiken und stellen klar, dass Cybergeräte nach Abschnitt 524B eine Teilmenge der Geräte im Anwendungsbereich der Leitlinien sind.
- Auch wenn der Sponsor zu dem Schluss kommt, dass Abschnitt 524B nicht gilt, kann ein Gerät Nachweise zum Cybersicherheits-Risikomanagement nach FDA-Erwartungen erfordern.
- Auch ein Gerät ohne Internetverbindung kann durch Software, lokale Anschlüsse, Wechselmedien, Aktualisierungsmechanismen oder seine Betriebsumgebung Cybersicherheitsrisiken aufweisen.
- Die Einstufung als Cybergerät belegt für sich genommen keine angemessene Gewähr für Sicherheit, Wirksamkeit oder Cybersicherheit.
- FDA-Leitlinien sind unverbindliche Leitlinien; Abschnitt 524B ist für qualifizierende Einreichungen geltendes Gesetz.
Änderungen und bereits eingesetzte Versionen
Die erforderlichen Informationen nach Abschnitt 524B können je nach Art der Änderung variieren. Nach dem Least-Burdensome-Ansatz der FDA sollte sich eine Einreichung für eine Änderung eines Cybergeräts auf die Cybersicherheitsauswirkungen der Änderung, die aktuelle Gerätearchitektur, die betroffenen eingesetzten Versionen und die gesetzlich vorgeschriebenen Elemente konzentrieren. Eine Änderung ohne Auswirkungen auf die Cybersicherheit erfordert nicht dieselbe Detailtiefe wie eine Änderung der Konnektivität, Updateinfrastruktur, Authentifizierung, Verschlüsselung, Cloud-Dienste oder Drittanbietersoftware.
Bereits eingesetzte Konfigurationen
Wenn nicht jedes Gerät ein Update automatisch erhält, sollte die Risikoakte unterschiedliche Softwarekonfigurationen im Feld berücksichtigen.
Zugehörige Systeme
Die Analyse sollte zugehörige Systeme einbeziehen, wenn deren Sicherheit das Cybergerät beeinflusst, insbesondere Updateserver, verbundene Dienste und vom Hersteller gesteuerte Softwarefunktionen.
Quellen
- 21 U.S.C. 360n-2, Abschnitt 524B des FD&C Act (US Code 2024)
21 U.S.C. 360n-2, FD&C Act, Abschnitt 524B (U.S. Code 2024)
- FDA, Cybersecurity in Medical Devices: Quality Management System Considerations and Content of Premarket Submissions, endgültige Leitlinie, Februar 2026
- FDA, Cybersecurity in Medical Devices: Frequently Asked Questions