Cybersécurité après commercialisation des dispositifs médicaux selon la FDA
Sytance · Mis à jour
La gestion de la cybersécurité après commercialisation préconisée par la FDA consiste à évaluer les nouvelles vulnérabilités des dispositifs déjà utilisés. Les fabricants doivent déterminer les préjudices possibles pour les patients, décider comment traiter le risque et communiquer aux utilisateurs les mesures à prendre. La réponse peut inclure un correctif logiciel, une mesure de contrôle temporaire ou une action sur le terrain.
Risque tout au long du cycle de vie
Les dispositifs médicaux peuvent rester en service pendant des années après leur mise sur le marché. Les recommandations de la FDA relatives à la période après commercialisation traitent des nouvelles vulnérabilités, techniques d’attaque, difficultés liées aux composants et évolutions du déploiement qui peuvent survenir durant cette période.
L’équipe a besoin des dossiers de conception et de mise sur le marché pour examiner une nouvelle vulnérabilité. Elle doit déterminer quelles versions prises en charge contiennent le composant concerné, comment la fonction vulnérable est utilisée et quels contrôles s’appliquent. Elle peut ainsi évaluer les dispositifs réellement utilisés par les clients.
Évaluation des préjudices potentiels pour les patients
La décision de la FDA sur le risque de cybersécurité après commercialisation vise à déterminer si une vulnérabilité pourrait causer un préjudice aux patients, notamment le décès ou une blessure physique. Les préoccupations liées à la vie privée ou à l’activité commerciale peuvent également compter, mais elles ne constituent pas le critère de préjudice pour les patients défini dans ces recommandations.
Maintenance tout au long du cycle de vie
Un processus après commercialisation surveille les sources de vulnérabilités, évalue les nouvelles informations, valide les correctifs, communique avec les utilisateurs et met à jour les dispositifs en service selon des procédures planifiées ou urgentes.
Versions en service
Une même vulnérabilité de composant peut entraîner des conséquences différentes selon les versions, les configurations, l’environnement d’utilisation et les mesures compensatoires. L’évaluation doit tenir compte de ce contexte.
Risque maîtrisé et risque non maîtrisé
La FDA distingue les risques de vulnérabilité en cybersécurité après commercialisation comme maîtrisés ou non maîtrisés. Il ne s’agit pas de déterminer si une vulnérabilité existe, mais si le risque résiduel de préjudice pour les patients est acceptable après prise en compte des contrôles existants ou disponibles.
Risque maîtrisé
Un risque est maîtrisé lorsque le risque résiduel de préjudice pour les patients est suffisamment faible ou acceptable. Les mises à jour de sécurité courantes, les correctifs courants et les modifications d’étiquetage reflétant les bonnes pratiques relèvent généralement de cette catégorie lorsqu’ils ne traitent que des risques maîtrisés.
Risque non maîtrisé
Un risque est non maîtrisé lorsque les contrôles existants laissent subsister un risque résiduel inacceptable de préjudice pour les patients. La FDA recommande une correction rapide. En vertu du 21 CFR 806.10, les fabricants ou importateurs doivent déclarer, dans les 10 jours ouvrables suivant leur lancement, les corrections ou retraits entrepris pour réduire un risque pour la santé ou remédier à une violation concernant un dispositif susceptible de présenter un tel risque. Il convient de tenir compte des exemptions et des déclarations déjà effectuées au titre des parties 803 ou 1004. Par ailleurs, les recommandations de la FDA décrivent les conditions dans lesquelles elle n’applique pas l’obligation de déclaration prévue à la partie 806 ; ces conditions ne suppriment pas l’obligation réglementaire.
Il existe un risque non maîtrisé lorsque le risque résiduel de préjudice pour les patients est inacceptable en raison de mesures d’atténuation des risques et de mesures compensatoires insuffisantes.
Recommandations de la FDA sur la cybersécurité après commercialisation, décembre 2016 (original en anglais)
Mises à jour et correctifs courants
La FDA considère de nombreuses mises à jour et de nombreux correctifs de cybersécurité comme des améliorations ordinaires du dispositif lorsqu’ils renforcent la sécurité ou corrigent des vulnérabilités associées à un risque maîtrisé. En règle générale, ces mises à jour courantes ne constituent pas une correction ou un retrait à déclarer au titre de la partie 806 du 21 CFR.
Une mise à jour nécessaire pour réduire un risque non maîtrisé exige une analyse différente des obligations de déclaration. Il en va de même lorsqu’il existe une probabilité raisonnable que l’exploitation entraîne de graves conséquences néfastes pour la santé ou le décès. Même si aucune déclaration au titre de la partie 806 n’est attendue, le fabricant doit valider la mise à jour et gérer sa diffusion ainsi que la communication correspondante.
- Les mises à jour de sécurité courantes peuvent inclure des correctifs, des modifications de renforcement de la sécurité et des mises à jour de l’étiquetage relatives à une configuration sécurisée ou aux bonnes pratiques.
- Le caractère courant d’une mesure dépend du risque de préjudice pour les patients, et non de son ampleur technique.
- Un même correctif peut être courant pour une configuration du produit et urgent pour une autre si le risque résiduel de préjudice pour les patients diffère.
Mise en œuvre du processus après commercialisation
Le processus après commercialisation doit définir les responsabilités et les ressources nécessaires à la surveillance, à la réception des signalements, à l’évaluation des risques, à la validation des correctifs et à la communication avec les clients. Les dossiers de ces activités facilitent un examen ultérieur par la FDA.
Surveiller les signalements des utilisateurs, des chercheurs et des fournisseurs de composants, ainsi que les constatations internes et les renseignements pertinents sur les vulnérabilités. Une évolution de l’environnement informatique de santé peut également modifier l’exposition du dispositif. Transmettre les informations aux personnes capables d’évaluer leurs effets sur les produits pris en charge.
La FDA attend de l’évaluation des vulnérabilités qu’elle prenne en compte leur exploitabilité et la gravité des préjudices pour les patients. La modélisation des menaces et l’analyse des risques pour la sécurité doivent être utilisées conjointement afin que l’équipe puisse déterminer si la vulnérabilité touche les performances cliniques, la disponibilité, l’intégrité, la confidentialité ou la sécurité du fonctionnement.
Pour un risque non maîtrisé, les conditions dans lesquelles la FDA peut exercer son pouvoir discrétionnaire concernant l’application des obligations de déclaration comprennent la communication avec les clients et la communauté des utilisateurs, des mesures de contrôle provisoires et un plan de correction dès que possible, au plus tard 30 jours après la découverte de la vulnérabilité. Dès que possible, au plus tard 60 jours après sa découverte, le fabricant devrait valider et diffuser un correctif déployable ou fournir une mesure compensatoire à long terme rendant le risque acceptable, avec un suivi auprès des utilisateurs finaux si nécessaire. Les conditions comprennent également l’absence d’événements indésirables graves ou de décès connus qui y soient associés, une participation active à un ISAO et le partage des communications destinées aux clients.
Le concept d’ISAO de la FDA ne se limite pas à une adhésion passive. Le fabricant devrait partager les informations relatives aux vulnérabilités et aux menaces, appliquer des politiques documentées, intégrer les renseignements reçus aux évaluations des risques et conserver des dossiers traçables des communications, contre-mesures et mesures d’atténuation.
Lien avec les dossiers de précommercialisation
Les dossiers de précommercialisation constituent le point de départ de l’évaluation après commercialisation. Un modèle de menaces établi avant la mise sur le marché sert de référence au triage après commercialisation. Un SBOM précommercialisation devient l’inventaire des composants utilisé pour surveiller les vulnérabilités. L’architecture de sécurité précommercialisation permet de déterminer si une nouvelle vulnérabilité peut atteindre une fonction pertinente pour la sécurité.
- Tenir à jour le SBOM pour les configurations commercialisées et préserver le contexte des versions des dispositifs en service.
- Mettre à jour les modèles de menaces lorsque les hypothèses de déploiement, les voies de mise à jour, les services externes ou les vulnérabilités évoluent.
- Utiliser les constatations après commercialisation pour actualiser la gestion des risques, l’étiquetage, les instructions destinées aux clients, les plans d’assistance et les futures soumissions avant commercialisation.
- Avant de diffuser un correctif, vérifier qu’il fonctionne et contrôler les fonctions du dispositif susceptibles d’être affectées par la modification.
Références
- 21 CFR 806.10, déclarations relatives aux corrections et aux retraits
21 CFR 806.10, Déclarations des corrections et retraits
- FDA, Postmarket Management of Cybersecurity in Medical Devices, recommandations définitives, décembre 2016
- FDA, Cybersecurity in Medical Devices: Quality Management System Considerations and Content of Premarket Submissions, recommandations définitives, février 2026
- FDA, Cybersecurity in Medical Devices: Frequently Asked Questions