FDA, section 524B : exigences applicables aux cyberdispositifs
Sytance · Mis à jour
La section 524B du FD&C Act fixe des exigences légales de cybersécurité pour certaines soumissions précommercialisation à la FDA portant sur des cyberdispositifs. Elle exige des plans et processus de gestion des vulnérabilités, des mises à jour et des correctifs, ainsi qu’une SBOM.
Critères applicables aux cyberdispositifs
Un cyberdispositif est un dispositif médical qui satisfait aux trois critères légaux. Il doit comprendre un logiciel validé, installé ou autorisé par le promoteur en tant que dispositif ou dans un dispositif. Il doit pouvoir se connecter à internet. Il doit également contenir des caractéristiques technologiques validées, installées ou autorisées par le promoteur qui pourraient être vulnérables aux menaces de cybersécurité.
La section 524B(c) du FD&C Act définit le « cyberdispositif » comme un dispositif qui (1) comprend un logiciel validé, installé ou autorisé par le promoteur en tant que dispositif ou dans un dispositif, (2) peut se connecter à internet et (3) contient de telles caractéristiques technologiques validées, installées ou autorisées par le promoteur qui pourraient être vulnérables aux menaces de cybersécurité.
FAQ de la FDA sur la section 524B, citant la section 524B(c) du FD&C Act (original en anglais)
La FDA interprète largement le critère de connexion. À cette fin, les micrologiciels et la logique programmable sont considérés comme des logiciels. La capacité de connexion à internet peut être directe ou indirecte, intentionnelle ou non, et découler de la surface d’attaque du dispositif et de son environnement d’utilisation.
Critère logiciel
Ce critère porte sur les logiciels présents dans le dispositif ou constituant le dispositif, y compris les micrologiciels et la logique programmable, lorsque le promoteur les valide, les installe ou les autorise.
Critère de connexion
Les exemples de la FDA comprennent les connexions réseau, serveur, cloud, Wi-Fi, cellulaire, Bluetooth, communication magnétique inductive, USB, Ethernet et port série.
Critère lié aux menaces
Les caractéristiques technologiques doivent pouvoir être vulnérables aux menaces de cybersécurité. La question ne se limite pas au fait que le produit soit commercialisé comme étant connecté.
Voies de soumission
La section 524B s’applique à la personne qui soumet une demande ou un dossier précommercialisation couvert à la FDA pour un cyberdispositif. La FDA cite les voies 510(k), PMA, protocole de développement de produit, De Novo et HDE, y compris les suppléments pertinents et les soumissions 510(k) spéciales ou abrégées.
Les exigences légales ne s’appliquent pas aux demandes ou dossiers transmis à la FDA avant le 29 mars 2023. Selon la FAQ de la FDA, à compter du 1er octobre 2023, les promoteurs étaient censés avoir eu suffisamment de temps pour préparer des soumissions de cyberdispositifs comportant les informations requises par la section 524B. Si une modification d’un cyberdispositif déjà autorisé nécessite une nouvelle soumission par une voie couverte, cette nouvelle soumission doit satisfaire à la section 524B.
Informations requises dans la soumission
La soumission doit montrer comment le cyberdispositif satisfait à la section 524B(b). Les orientations définitives de la FDA pour la phase précommercialisation expliquent comment les informations de conception, de gestion des risques et d’essais peuvent étayer ces exigences légales.
La soumission doit inclure un plan visant à surveiller, identifier et traiter dans un délai raisonnable les vulnérabilités et exploits de cybersécurité après commercialisation. La FDA relie ce plan à la divulgation coordonnée des vulnérabilités, aux sources de surveillance, aux délais de correction, à la communication avec les clients et à la mise à jour, tout au long du cycle de vie, des dossiers de modélisation des menaces et d’évaluation des risques.
Le promoteur doit établir et maintenir des processus et procédures offrant une assurance raisonnable de cybersécurité pour le dispositif et les systèmes associés. Cela comprend l’examen des services sous le contrôle du fabricant dont dépend la protection. Par exemple, un serveur de mise à jour peut déterminer si un dispositif reçoit un logiciel authentique.
La section 524B exige des mises à jour et des correctifs pour le dispositif et les systèmes associés, selon un cycle régulier raisonnablement justifié, afin de corriger les vulnérabilités connues inacceptables. Les mises à jour et correctifs visant les vulnérabilités critiques susceptibles d’entraîner des risques non maîtrisés doivent être mis à disposition dès que possible, en dehors du cycle normal. Le plan devrait tenir compte des versions déployées, des configurations prises en charge et de la diffusion automatique ou non de la mise à jour à tous les dispositifs.
Une soumission pour un cyberdispositif doit fournir une SBOM couvrant les composants logiciels commerciaux, libres et prêts à l’emploi. La FDA attend également que la SBOM soit reliée à la gestion des risques, à l’évaluation des vulnérabilités et aux informations sur le statut de support des composants. Elle ne remplace pas ces dossiers.
Limite par rapport aux orientations de la FDA
La définition du cyberdispositif ne délimite pas l’ensemble des attentes de la FDA en matière de cybersécurité. Les orientations définitives de février 2026 portent sur la conception, l’étiquetage et la documentation précommercialisation de la cybersécurité des dispositifs présentant des risques de cybersécurité et précisent que les cyberdispositifs relevant de la section 524B ne constituent qu’un sous-ensemble des dispositifs couverts par ces orientations.
- Un dispositif peut nécessiter des éléments de preuve de gestion des risques de cybersécurité selon les attentes de la FDA même si le promoteur conclut que la section 524B ne s’applique pas.
- Un dispositif non connecté à internet peut néanmoins présenter des problèmes de cybersécurité liés aux logiciels, aux ports locaux, aux supports amovibles, aux mécanismes de mise à jour ou à son environnement d’exploitation.
- Le fait de conclure qu’il s’agit d’un cyberdispositif ne prouve pas, à lui seul, l’existence d’une assurance raisonnable de sécurité, d’efficacité ou de cybersécurité.
- Les orientations de la FDA ne sont pas contraignantes, tandis que la section 524B constitue une loi applicable aux soumissions admissibles.
Modifications et versions déployées
Les informations requises par la section 524B peuvent varier selon le type de modification. Selon l’approche de réduction de la charge de la FDA, une soumission de modification d’un cyberdispositif devrait se concentrer sur l’impact de la modification en matière de cybersécurité, l’architecture actuelle du dispositif, les versions déployées concernées et les éléments légaux requis. Une modification sans effet sur la cybersécurité ne nécessite pas le même niveau de détail qu’une modification de la connectivité, de l’infrastructure de mise à jour, de l’authentification, du chiffrement, des services cloud ou des logiciels tiers.
Configurations déployées
Si tous les dispositifs ne reçoivent pas automatiquement les mises à jour, le dossier de risques devrait tenir compte des différentes configurations logicielles utilisées sur le terrain.
Systèmes associés
L’analyse devrait inclure les systèmes associés lorsque leur sécurité influe sur le cyberdispositif, notamment les serveurs de mise à jour, les services connectés et les fonctions logicielles contrôlées par le fabricant.
Références
- 21 U.S.C. 360n-2, section 524B du FD&C Act (Code des États-Unis de 2024)
21 U.S.C. 360n-2, FD&C Act, section 524B (Code des États-Unis de 2024)
- FDA, Cybersecurity in Medical Devices: Quality Management System Considerations and Content of Premarket Submissions, document d’orientation final, février 2026
- FDA, Cybersecurity in Medical Devices: Frequently Asked Questions