Sección 524B de la FDA: requisitos para dispositivos cibernéticos
Sytance · Actualizado
La sección 524B de la Ley FD&C establece requisitos legales de ciberseguridad para determinadas solicitudes de autorización previa a la comercialización presentadas a la FDA que afectan a dispositivos cibernéticos. Exige planes y procesos para gestionar vulnerabilidades, actualizaciones y parches, además de una SBOM.
Criterios para dispositivos cibernéticos
Un dispositivo cibernético es un producto sanitario que cumple los tres criterios legales. Debe incluir software validado, instalado o autorizado por el patrocinador, como dispositivo o dentro de uno. Debe poder conectarse a internet. También debe contener características tecnológicas validadas, instaladas o autorizadas por el patrocinador que puedan ser vulnerables a amenazas de ciberseguridad.
La sección 524B(c) de la Ley FD&C define «dispositivo cibernético» como un dispositivo que (1) incluye software validado, instalado o autorizado por el patrocinador como dispositivo o dentro de uno, (2) puede conectarse a internet y (3) contiene características tecnológicas validadas, instaladas o autorizadas por el patrocinador que podrían ser vulnerables a las amenazas de ciberseguridad.
Preguntas frecuentes de la FDA sobre la sección 524B, con cita de la sección 524B(c) de la Ley FD&C (original en inglés)
La FDA interpreta ampliamente el criterio de conexión. A estos efectos, el firmware y la lógica programable cuentan como software. La capacidad de conexión a internet puede ser directa o indirecta, intencionada o no, y puede derivarse de la superficie de amenazas del dispositivo y de su entorno de uso.
Elemento de software
El criterio se refiere al software incluido en el dispositivo o que constituye el dispositivo, incluido el firmware y la lógica programable, cuando el patrocinador lo valida, instala o autoriza.
Elemento de conexión
Los ejemplos de la FDA incluyen conexiones de red, servidor, nube, wifi, celular, Bluetooth, comunicación magnética inductiva, USB, Ethernet y puerto serie.
Elemento de amenaza
Las características tecnológicas deben poder ser vulnerables a amenazas de ciberseguridad. La cuestión no se limita a si el producto se comercializa como conectado.
Vías de presentación
La sección 524B se aplica a quien presenta ante la FDA una solicitud o presentación de autorización previa a la comercialización cubierta para un dispositivo cibernético. La FDA identifica las vías 510(k), PMA, protocolo de desarrollo de productos, De Novo y HDE, incluidos los suplementos pertinentes y las presentaciones 510(k) especiales o abreviadas.
Los requisitos legales no se aplican a las solicitudes o presentaciones enviadas a la FDA antes del 29 de marzo de 2023. Las preguntas frecuentes de la FDA indican que, desde el 1 de octubre de 2023, se esperaba que los patrocinadores hubieran tenido tiempo suficiente para preparar presentaciones de dispositivos cibernéticos con la información exigida por la sección 524B. Si una modificación de un dispositivo cibernético previamente autorizado requiere una nueva presentación mediante una vía cubierta, esa nueva presentación debe cumplir la sección 524B.
Información requerida en la presentación
La presentación debe demostrar cómo cumple el dispositivo cibernético la sección 524B(b). La guía definitiva de la FDA para presentaciones previas a la comercialización explica cómo la información de diseño, gestión de riesgos y pruebas puede respaldar esos requisitos legales.
La presentación debe incluir un plan para supervisar, identificar y abordar en un plazo razonable las vulnerabilidades y los exploits de ciberseguridad posteriores a la comercialización. La FDA vincula ese plan con la divulgación coordinada de vulnerabilidades, las fuentes de supervisión, los plazos de aplicación de parches, la comunicación con los clientes y la actualización de los registros de modelado de amenazas y evaluación de riesgos durante el ciclo de vida.
El patrocinador debe establecer y mantener procesos y procedimientos que proporcionen una garantía razonable de ciberseguridad para el dispositivo y los sistemas relacionados. Esto incluye examinar los servicios controlados por el fabricante de los que depende la protección. Por ejemplo, un servidor de actualizaciones puede determinar si el dispositivo recibe software auténtico.
La sección 524B exige proporcionar actualizaciones y parches para el dispositivo y los sistemas relacionados con una periodicidad regular razonablemente justificada para las vulnerabilidades conocidas inaceptables. Las actualizaciones y los parches para vulnerabilidades críticas que puedan causar riesgos incontrolados deben estar disponibles lo antes posible, fuera del ciclo regular. El plan debe tener en cuenta las versiones desplegadas, las configuraciones compatibles y si la actualización llega automáticamente a todos los dispositivos.
La presentación de un dispositivo cibernético debe incluir una SBOM que abarque componentes de software comerciales, de código abierto y disponibles en el mercado. La FDA sigue esperando que la SBOM se utilice junto con la gestión de riesgos, la evaluación de vulnerabilidades y la información sobre el soporte de componentes. No sustituye esos registros.
Límites respecto de las guías de la FDA
La definición de dispositivo cibernético no delimita todas las expectativas de la FDA en materia de ciberseguridad. La guía definitiva de febrero de 2026 aborda el diseño, el etiquetado y la documentación de ciberseguridad previos a la comercialización para dispositivos con riesgos de ciberseguridad e indica que los dispositivos cibernéticos de la sección 524B son un subconjunto de los dispositivos incluidos en el ámbito de la guía.
- Un dispositivo puede necesitar pruebas de gestión de riesgos de ciberseguridad exigidas por la FDA aunque el patrocinador concluya que no se aplica la sección 524B.
- Un dispositivo sin conexión a internet aún puede plantear cuestiones de ciberseguridad a través del software, los puertos locales, los soportes extraíbles, los mecanismos de actualización o su entorno operativo.
- La conclusión de que un dispositivo es cibernético no demuestra por sí sola una garantía razonable de seguridad, eficacia o ciberseguridad.
- Las guías de la FDA no son vinculantes, mientras que la sección 524B es legislación aplicable a las presentaciones que reúnen los requisitos.
Modificaciones y versiones desplegadas
La información exigida por la sección 524B puede variar según el tipo de cambio. El enfoque menos gravoso de la FDA implica que una presentación de modificación de un dispositivo cibernético debe centrarse en el impacto del cambio en la ciberseguridad, la arquitectura actual del dispositivo, las versiones desplegadas afectadas y los elementos legales exigidos. Un cambio que no afecte a la ciberseguridad no requiere el mismo nivel de detalle que un cambio en la conectividad, la infraestructura de actualización, la autenticación, el cifrado, los servicios en la nube o el software de terceros.
Configuraciones desplegadas
Si no todos los dispositivos reciben las actualizaciones automáticamente, el expediente de riesgos debe reconocer que hay distintas configuraciones de software en uso.
Sistemas relacionados
El análisis debe incluir los sistemas relacionados cuando su seguridad afecte al dispositivo cibernético, especialmente los servidores de actualizaciones, los servicios conectados y las funciones de software controladas por el fabricante.
Fuentes
- 21 U.S.C. 360n-2, sección 524B de la FD&C Act (Código de Estados Unidos de 2024)
21 U.S.C. 360n-2, sección 524B de la Ley FD&C (Código de Estados Unidos de 2024)
- FDA, Ciberseguridad en productos sanitarios: consideraciones sobre el sistema de gestión de la calidad y contenido de las presentaciones previas a la comercialización, guía definitiva, febrero de 2026
- FDA, Ciberseguridad en productos sanitarios: preguntas frecuentes