Cybersicurezza dei dispositivi medici prima dell'immissione sul mercato secondo la FDA
Sytance · Aggiornato
Le linee guida FDA sulla cibersicurezza pre-commercializzazione raccomandano informazioni che spieghino la progettazione di sicurezza del dispositivo, i rischi affrontati e i test utilizzati per verificarla. La presentazione deve inoltre spiegare come il fabbricante gestirà le vulnerabilità dopo il rilascio del dispositivo.
Stato delle linee guida vigenti
La FDA ha pubblicato le attuali linee guida definitive sulla cibersicurezza pre-commercializzazione nel febbraio 2026, sostituendo la versione di giugno 2025. La revisione allinea le linee guida al regolamento sul sistema di gestione della qualità (QMSR). Le raccomandazioni vanno distinte dai requisiti di legge della sezione 524B.
Il presente documento sostituisce «Cibersicurezza nei dispositivi medici: considerazioni sul sistema di qualità e contenuto delle presentazioni pre-commercializzazione», pubblicato il 27 giugno 2025.
Linee guida FDA sulla cibersicurezza pre-commercializzazione, febbraio 2026 (originale inglese)
Le linee guida riguardano dispositivi con rischi di cibersicurezza. Software, firmware o logica programmabile possono comportare tali rischi anche quando il dispositivo non è connesso a Internet. La sezione 524B si applica alla categoria più ristretta di dispositivi cyber definita nel FD&C Act.
Dispositivo cyber ai sensi della sezione 524B
La sezione 524B si applica a specifiche presentazioni per un dispositivo cyber: 510(k), PMA, protocollo di sviluppo del prodotto, De Novo e HDE. La legge è entrata in vigore il 29 marzo 2023. La politica transitoria FDA sul rifiuto di accettare le presentazioni è terminata il 1º ottobre 2023; tale data non ha modificato la data di entrata in vigore dei requisiti giuridici.
Software sotto il controllo dello sponsor
Il dispositivo include software convalidato, installato o autorizzato dallo sponsor come dispositivo o all’interno di un dispositivo. Per questa analisi, la FDA considera software il firmware e la logica programmabile.
Capacità di connessione a Internet
Il dispositivo può collegarsi a Internet direttamente o tramite un altro prodotto. L’interpretazione FDA comprende le connessioni indirette, ad esempio quando il dispositivo comunica tramite un computer collegato a Internet.
Esposizione alle minacce di cibersicurezza
Il dispositivo contiene caratteristiche tecnologiche convalidate, installate o autorizzate dallo sponsor che potrebbero essere vulnerabili alle minacce di cibersicurezza.
Per una presentazione soggetta alla norma, la sezione 524B richiede un piano per monitorare e affrontare le vulnerabilità post-commercializzazione, compresa la divulgazione coordinata delle vulnerabilità. Richiede inoltre processi e procedure che offrano una ragionevole garanzia di cibersicurezza, con aggiornamenti e patch post-commercializzazione, e una SBOM comprendente componenti software commerciali, open source e disponibili sul mercato.
Contenuto della presentazione
Il revisore deve comprendere come è stata presa una decisione di sicurezza. Se un modello delle minacce individua modifiche non autorizzate alle impostazioni terapeutiche, la progettazione deve specificare chi può modificarle e i test devono verificare tale limitazione. Architettura, analisi e risultati devono descrivere la stessa configurazione del dispositivo.
La FDA raccomanda di integrare la sicurezza nel sistema di gestione della qualità. Le registrazioni di sviluppo dovrebbero spiegare come i requisiti di sicurezza abbiano influenzato la progettazione, come sia stata verificata l’implementazione e come siano stati gestiti i problemi irrisolti prima del rilascio. La pianificazione della manutenzione estende il processo alle vulnerabilità e agli aggiornamenti successivi.
La gestione dei rischi di cibersicurezza esamina come un aggressore potrebbe sfruttare una debolezza e incidere sul dispositivo. Se l’attacco può causare danni ai pazienti, la situazione pericolosa conseguente va valutata anche mediante la gestione dei rischi per la sicurezza. Ad esempio, un attacco che sopprime un allarme potrebbe ritardare una risposta clinica.
Il rapporto di gestione dei rischi dovrebbe spiegare il metodo di valutazione e la conclusione sul rischio residuo. Lo stato di supporto dei componenti, le vulnerabilità note e le anomalie software irrisolte aiutano a stabilire se il fabbricante possa mantenere la protezione durante l’uso previsto del dispositivo.
Il modello delle minacce dovrebbe coprire l’intero sistema del dispositivo, comprese le dipendenze esterne che ne influenzano il funzionamento. Analizzare come viene installato, utilizzato, aggiornato e ritirato. Le viste architetturali mostrano poi dove i controlli selezionati agiscono sui percorsi di attacco.
I test devono verificare i requisiti di sicurezza e le misure selezionate per le minacce individuate. L’analisi del codice e della composizione software può rivelare debolezze nell’implementazione o nei componenti. Fuzzing, test di uso improprio e test di penetrazione esaminano il comportamento in presenza di input malformati o attacchi; scegliere i metodi che affrontano le interfacce e i rischi del dispositivo.
Le informazioni per l’utente dovrebbero spiegare cosa deve fare l’organizzazione sanitaria o il paziente per un funzionamento sicuro, comprese configurazione, aggiornamenti e ripristino. Indicare il periodo di supporto e le responsabilità che dipendono dall’ambiente operativo. Il piano di gestione della cibersicurezza del fabbricante dovrebbe spiegare come segnalazioni di vulnerabilità e monitoraggio conducono a valutazione, comunicazione e correzione tempestiva.
Evidenze comuni
Viste architetturali
La FDA raccomanda viste del sistema globale, del danno a più pazienti, della possibilità di aggiornamento e applicazione delle patch e dei casi d’uso di sicurezza. Queste illustrano come un attacco possa raggiungere il dispositivo, propagarsi tra sistemi connessi o essere affrontato tramite un aggiornamento.
SBOM
La SBOM dovrebbe comprendere componenti sviluppati dal fabbricante e da terze parti, inclusi componenti acquistati, concessi in licenza, open source e dipendenze upstream. Per i dispositivi cyber, la sezione 524B stabilisce per legge il contenuto della SBOM.
Vulnerabilità note
La FDA si aspetta che le vulnerabilità note siano individuate e analizzate, comprese quelle nei componenti di terze parti e le vulnerabilità note e sfruttate di CISA pertinenti al dispositivo o ai sistemi correlati.
Tracciabilità
La tracciabilità consente al revisore di seguire un risultato del modello delle minacce fino al componente SBOM interessato, al controllo dei rischi, al requisito di progettazione e al risultato del test. Le decisioni sui rischi residui dovrebbero riflettersi anche nell’etichettatura e nel monitoraggio post-commercializzazione.
Le categorie di controlli di sicurezza delle linee guida aiutano a verificare sistematicamente la progettazione. Ad esempio, l’autenticazione stabilisce l’identità dell’utente; l’autorizzazione determina se l’utente può eseguire una determinata azione clinica o di manutenzione. I test dovrebbero verificare ciascuna decisione all’interfaccia che la applica.
Dispositivi che non rientrano nella definizione della sezione 524B
Un dispositivo senza connessione a Internet può comunque ricevere un aggiornamento software tramite una porta locale o un supporto rimovibile. Un aggiornamento manomesso può quindi comportare un rischio di cibersicurezza anche se il dispositivo non soddisfa la definizione di dispositivo cyber. Le linee guida FDA più ampie restano pertinenti a tale rischio; il contenuto raccomandato della presentazione dipende dal dispositivo e dal tipo di domanda.
Fonti
- FDA, Cibersicurezza nei dispositivi medici: considerazioni sul sistema di gestione della qualità e contenuto delle presentazioni pre-commercializzazione, linee guida definitive, febbraio 2026
- FDA, Cibersicurezza nei dispositivi medici: domande frequenti
- FDA, documenti di orientamento su salute digitale e cibersicurezza