Cybersécurité précommercialisation des dispositifs médicaux selon la FDA
Sytance · Mis à jour
Dans ses recommandations sur la cybersécurité avant commercialisation, la FDA préconise de fournir des informations expliquant la conception de sécurité du dispositif, les risques auxquels elle répond et les essais utilisés pour la vérifier. Le dossier doit également expliquer comment le fabricant gérera les vulnérabilités après la mise sur le marché du dispositif.
État actuel des recommandations
La FDA a publié en février 2026 la version définitive actuelle de ses recommandations sur la cybersécurité avant commercialisation, qui remplace la version de juin 2025. Cette révision aligne les recommandations sur la Quality Management System Regulation (QMSR). Il convient de distinguer ces recommandations des exigences légales de la section 524B.
Ce document remplace « Cybersecurity in Medical Devices: Quality System Considerations and Content of Premarket Submissions », publié le 27 juin 2025.
Recommandations de la FDA sur la cybersécurité avant commercialisation, février 2026 (original en anglais)
Les recommandations portent sur les dispositifs présentant un risque de cybersécurité. Les logiciels, micrologiciels ou logiques programmables peuvent introduire un tel risque même si le dispositif n’est pas connecté à Internet. La section 524B s’applique à la catégorie plus restreinte des cyberdispositifs définis dans le FD&C Act.
Cyberdispositif au sens de la section 524B
La section 524B s’applique à certaines soumissions concernant un cyberdispositif : 510(k), PMA, protocole de développement de produit, De Novo et HDE. La loi est entrée en vigueur le 29 mars 2023. La politique transitoire de la FDA consistant à refuser d’accepter certaines soumissions a pris fin le 1er octobre 2023 ; cette date n’a pas modifié la date d’entrée en vigueur des exigences légales.
Logiciel contrôlé par le promoteur
Le dispositif comprend un logiciel validé, installé ou autorisé par le promoteur en tant que dispositif ou dans un dispositif. Pour cette analyse, la FDA considère les micrologiciels et la logique programmable comme des logiciels.
Capacité de connexion à Internet
Le dispositif peut se connecter à Internet directement ou par l’intermédiaire d’un autre produit. L’interprétation de la FDA inclut les connexions indirectes, par exemple lorsqu’un dispositif communique au moyen d’un ordinateur connecté à Internet.
Exposition aux menaces de cybersécurité
Le dispositif comporte des caractéristiques technologiques validées, installées ou autorisées par le promoteur qui pourraient être vulnérables aux menaces de cybersécurité.
Pour toute soumission répondant aux critères, la section 524B exige un plan de surveillance et de traitement des vulnérabilités après commercialisation, y compris une divulgation coordonnée des vulnérabilités. Elle exige également des processus et procédures offrant une assurance raisonnable en matière de cybersécurité, avec des mises à jour et des correctifs après commercialisation, ainsi qu’un SBOM couvrant les composants logiciels commerciaux, open source et disponibles sur étagère.
Contenu du dossier
La personne chargée de l’examen doit pouvoir comprendre comment une décision de sécurité a été prise. Si un modèle de menaces identifie des modifications non autorisées des paramètres thérapeutiques, la conception doit préciser qui peut les modifier et les essais doivent vérifier cette restriction. L’architecture, l’analyse et les résultats doivent décrire la même configuration du dispositif.
La FDA recommande d’intégrer la sécurité au système de management de la qualité. Les dossiers de développement devraient expliquer comment les exigences de sécurité ont influé sur la conception, comment la mise en œuvre a été vérifiée et comment les problèmes non résolus ont été traités avant la mise sur le marché. La planification de la maintenance prolonge ce processus pour les vulnérabilités et mises à jour ultérieures.
La gestion des risques de cybersécurité examine comment un attaquant pourrait exploiter une faiblesse et affecter le dispositif. Si l’attaque peut causer un préjudice au patient, la situation dangereuse qui en résulte doit également être évaluée dans le cadre de la gestion des risques liés à la sécurité. Par exemple, une attaque qui neutralise une alarme pourrait retarder une intervention clinique.
Le rapport de gestion des risques devrait expliquer la méthode d’évaluation et la conclusion relative au risque résiduel. L’état du support des composants, les vulnérabilités connues et les anomalies logicielles non résolues permettent de déterminer si le fabricant peut maintenir la protection pendant la durée d’utilisation prévue du dispositif.
Le modèle de menaces devrait couvrir l’ensemble du système du dispositif, y compris les dépendances externes qui influent sur son fonctionnement. Analysez son installation, son utilisation, ses mises à jour et sa mise hors service. Les vues d’architecture montrent ensuite où les contrôles sélectionnés agissent sur ces chemins d’attaque.
Les essais doivent vérifier les exigences de sécurité et les mesures retenues pour les menaces identifiées. L’analyse du code et de la composition logicielle peut révéler des faiblesses dans la mise en œuvre ou ses composants. Le fuzzing, les essais d’utilisation abusive et les tests d’intrusion examinent le comportement face à des entrées malformées ou à une attaque ; choisissez les méthodes adaptées aux interfaces et aux risques du dispositif.
Les informations destinées aux utilisateurs devraient expliquer ce que l’organisme de santé ou le patient doit faire pour assurer une utilisation sécurisée, notamment en matière de configuration, de mises à jour et de récupération. Indiquez la période de support et les responsabilités dépendant de l’environnement d’exploitation. Le plan de gestion de la cybersécurité du fabricant devrait expliquer comment les signalements et la surveillance des vulnérabilités conduisent à une évaluation, à une communication et à une correction rapide.
Éléments de preuve courants
Vues d’architecture
La FDA recommande des vues du système global, des dommages possibles à plusieurs patients, de l’aptitude aux mises à jour et aux correctifs, ainsi que des cas d’utilisation de sécurité. Elles expliquent comment une attaque peut atteindre le dispositif, se propager dans les systèmes connectés ou être traitée par une mise à jour.
SBOM
Le SBOM devrait couvrir les composants développés par le fabricant et ceux de tiers, y compris les dépendances achetées, sous licence, open source et en amont. Pour les cyberdispositifs, la section 524B rend le contenu du SBOM obligatoire par la loi.
Vulnérabilités connues
La FDA s’attend à ce que les vulnérabilités connues soient identifiées et analysées, y compris celles présentes dans les composants de tiers et les vulnérabilités de la liste CISA Known Exploited Vulnerabilities qui sont pertinentes pour le dispositif ou les systèmes associés.
Traçabilité
La traçabilité permet à la personne chargée de l’examen de suivre une constatation du modèle de menaces jusqu’au résultat d’essai, en passant par le composant SBOM concerné, la mesure de maîtrise du risque et l’exigence de conception. Les décisions relatives au risque résiduel devraient aussi se refléter dans l’étiquetage et la surveillance après commercialisation.
Les catégories de mesures de sécurité des recommandations aident à vérifier systématiquement la conception. Par exemple, l’authentification d’un utilisateur établit son identité ; l’autorisation détermine si cet utilisateur peut effectuer une action clinique ou de maintenance donnée. Les essais devraient vérifier chaque décision à l’interface qui la fait respecter.
Dispositifs hors de la définition de la section 524B
Un dispositif sans connexion Internet peut tout de même recevoir une mise à jour logicielle via un port local ou un support amovible. Une mise à jour altérée peut donc présenter un risque de cybersécurité même si le dispositif ne répond pas à la définition d’un cyberdispositif. Les recommandations plus générales de la FDA restent pertinentes pour ce risque ; le contenu recommandé du dossier dépend du dispositif et du type de soumission.