Ciberseguridad precomercialización de productos sanitarios conforme a la FDA
Sytance · Actualizado
La guía de ciberseguridad previa a la comercialización de la FDA recomienda información que explique el diseño de seguridad del dispositivo, los riesgos que aborda y las pruebas utilizadas para comprobarlo. La presentación también debe explicar cómo gestionará el fabricante las vulnerabilidades tras el lanzamiento del dispositivo.
Situación de la guía vigente
La FDA publicó la guía definitiva vigente de ciberseguridad previa a la comercialización en febrero de 2026, en sustitución de la versión de junio de 2025. La revisión adapta la guía al Reglamento del Sistema de Gestión de la Calidad (QMSR). Sus recomendaciones deben distinguirse de los requisitos legales de la sección 524B.
Este documento sustituye a «Ciberseguridad en productos sanitarios: consideraciones sobre el sistema de calidad y contenido de las presentaciones previas a la comercialización», publicado el 27 de junio de 2025.
Guía de ciberseguridad previa a la comercialización de la FDA, febrero de 2026 (original en inglés)
La guía aborda dispositivos con riesgos de ciberseguridad. El software, el firmware o la lógica programable pueden generar esos riesgos aunque el dispositivo no tenga conexión a internet. La sección 524B se aplica a la categoría más limitada de dispositivos cibernéticos definida en la Ley FD&C.
Dispositivo cibernético según la sección 524B
La sección 524B se aplica a determinadas presentaciones de dispositivos cibernéticos: 510(k), PMA, protocolo de desarrollo de productos, De Novo y HDE. La ley entró en vigor el 29 de marzo de 2023. La política transitoria de la FDA de rechazo de presentaciones finalizó el 1 de octubre de 2023; esa fecha no modificó la fecha de entrada en vigor de los requisitos legales.
Software controlado por el patrocinador
El dispositivo incluye software validado, instalado o autorizado por el patrocinador como dispositivo o dentro de uno. Para este análisis, la FDA trata el firmware y la lógica programable como software.
Capacidad de conexión a internet
El dispositivo puede conectarse a internet directamente o a través de otro producto. La interpretación de la FDA incluye conexiones indirectas, como la comunicación del dispositivo mediante un ordenador conectado a internet.
Exposición a amenazas de ciberseguridad
El dispositivo contiene características tecnológicas validadas, instaladas o autorizadas por el patrocinador que podrían ser vulnerables a amenazas de ciberseguridad.
Para las presentaciones que reúnen los criterios, la sección 524B exige un plan para supervisar y abordar las vulnerabilidades posteriores a la comercialización, incluida la divulgación coordinada de vulnerabilidades. También exige procesos y procedimientos que proporcionen una garantía razonable de ciberseguridad, con actualizaciones y parches posteriores a la comercialización, y una SBOM que abarque componentes de software comerciales, de código abierto y disponibles en el mercado.
Contenido de la presentación
El revisor debe comprender cómo se tomó una decisión de seguridad. Si un modelo de amenazas identifica cambios no autorizados en los ajustes de terapia, el diseño debe especificar quién puede modificarlos y las pruebas deben comprobar esa restricción. La arquitectura, el análisis y los resultados deben describir la misma configuración del dispositivo.
La FDA recomienda integrar la seguridad en el sistema de gestión de la calidad. Los registros de desarrollo deben explicar cómo influyeron los requisitos de seguridad en el diseño, cómo se comprobó la implementación y cómo se trataron los problemas sin resolver antes del lanzamiento. La planificación del mantenimiento amplía ese proceso para incluir vulnerabilidades y actualizaciones posteriores.
La gestión de riesgos de ciberseguridad examina cómo un atacante podría explotar una debilidad y afectar al dispositivo. Si el ataque pudiera causar daños a pacientes, el peligro resultante también debe evaluarse mediante la gestión de riesgos de seguridad. Por ejemplo, un ataque que suprima una alarma podría retrasar una respuesta clínica.
El informe de gestión de riesgos debe explicar el método de evaluación y la conclusión sobre el riesgo residual. El estado de soporte de los componentes, las vulnerabilidades conocidas y las anomalías de software sin resolver ayudan a determinar si el fabricante puede mantener la protección durante todo el uso previsto del dispositivo.
El modelo de amenazas debe abarcar todo el sistema del dispositivo, incluidas las dependencias externas que afectan a su funcionamiento. Analice cómo se instala, utiliza, actualiza y retira. Las vistas de arquitectura muestran después dónde actúan los controles seleccionados sobre esas vías de ataque.
Las pruebas deben comprobar los requisitos de seguridad y las medidas seleccionadas para las amenazas identificadas. El análisis del código y de la composición del software puede revelar debilidades de la implementación o sus componentes. Las pruebas fuzz, las pruebas de uso indebido y las pruebas de penetración examinan el comportamiento frente a entradas malformadas o ataques; elija los métodos que aborden las interfaces y los riesgos del dispositivo.
La información para el usuario debe explicar qué debe hacer la organización sanitaria o el paciente para utilizar el dispositivo de forma segura, incluida la configuración, las actualizaciones y la recuperación. Indique el período de soporte y las responsabilidades que dependen del entorno operativo. El plan de gestión de ciberseguridad del fabricante debe explicar cómo los informes de vulnerabilidades y la supervisión conducen a una evaluación, comunicación y corrección oportuna.
Pruebas comunes
Vistas de arquitectura
La FDA recomienda vistas del sistema global, de daños a varios pacientes, de capacidad de actualización y aplicación de parches, y de casos de uso de seguridad. Explican cómo un ataque puede alcanzar el dispositivo, propagarse entre sistemas conectados o abordarse mediante una actualización.
SBOM
La SBOM debe abarcar componentes desarrollados por el fabricante y de terceros, incluidos los componentes adquiridos, bajo licencia, de código abierto y las dependencias ascendentes. Para los dispositivos cibernéticos, la sección 524B establece por ley el contenido de la SBOM.
Vulnerabilidades conocidas
La FDA espera que se identifiquen y analicen las vulnerabilidades conocidas, incluidas las de componentes de terceros y las vulnerabilidades conocidas y explotadas de CISA pertinentes para el dispositivo o los sistemas relacionados.
Trazabilidad
La trazabilidad permite al revisor seguir un hallazgo del modelo de amenazas hasta el componente SBOM afectado, el control de riesgo, el requisito de diseño y el resultado de la prueba. Las decisiones sobre riesgos residuales también deben reflejarse en el etiquetado y la supervisión posterior a la comercialización.
Las categorías de controles de seguridad de la guía ayudan a comprobar sistemáticamente el diseño. Por ejemplo, la autenticación establece la identidad del usuario; la autorización determina si ese usuario puede realizar una acción clínica o de mantenimiento concreta. Las pruebas deben comprobar cada decisión en la interfaz que la aplica.
Dispositivos fuera de la definición de la sección 524B
Un dispositivo sin conexión a internet aún puede recibir una actualización de software mediante un puerto local o un soporte extraíble. Por tanto, una actualización manipulada puede crear un riesgo de ciberseguridad aunque el dispositivo no cumpla la definición de dispositivo cibernético. La guía más amplia de la FDA sigue siendo pertinente para ese riesgo; el contenido recomendado para la presentación depende del dispositivo y del tipo de solicitud.
Fuentes
- FDA, Ciberseguridad en productos sanitarios: consideraciones sobre el sistema de gestión de la calidad y contenido de las presentaciones previas a la comercialización, guía definitiva, febrero de 2026
- FDA, Ciberseguridad en productos sanitarios: preguntas frecuentes
- FDA, documentos de orientación sobre salud digital y ciberseguridad