Sezione 524B FDA: requisiti per i dispositivi informatici

Criteri per i dispositivi cyber

Un dispositivo cyber è un dispositivo medico che soddisfa tutti e tre i criteri previsti dalla legge. Deve includere software convalidato, installato o autorizzato dallo sponsor come dispositivo o all’interno di un dispositivo. Deve poter essere collegato a Internet. Deve inoltre contenere caratteristiche tecnologiche convalidate, installate o autorizzate dallo sponsor che potrebbero essere vulnerabili alle minacce di cibersicurezza.

La sezione 524B(c) del FD&C Act definisce «dispositivo cyber» come un dispositivo che (1) include software convalidato, installato o autorizzato dallo sponsor come dispositivo o all’interno di un dispositivo, (2) può essere collegato a Internet e (3) contiene caratteristiche tecnologiche convalidate, installate o autorizzate dallo sponsor che potrebbero essere vulnerabili alle minacce di cibersicurezza.

FAQ FDA sulla sezione 524B, con citazione della sezione 524B(c) del FD&C Act (originale inglese)

La FDA interpreta in senso ampio il criterio della connessione. A questo fine, firmware e logica programmabile sono considerati software. La capacità di connessione a Internet può essere diretta o indiretta, intenzionale o non intenzionale e può dipendere dalla superficie di minaccia del dispositivo e dall’ambiente d’uso.

Procedure di presentazione

La sezione 524B si applica alla persona che presenta alla FDA una domanda o documentazione pre-commercializzazione soggetta alla norma per un dispositivo cyber. La FDA individua le procedure 510(k), PMA, protocollo di sviluppo del prodotto, De Novo e HDE, compresi i supplementi pertinenti e le presentazioni 510(k) speciali o abbreviate.

I requisiti di legge non si applicano alle domande o documentazioni inviate alla FDA prima del 29 marzo 2023. Le FAQ FDA dichiarano che dal 1º ottobre 2023 gli sponsor avrebbero dovuto avere avuto tempo sufficiente per preparare presentazioni di dispositivi cyber contenenti le informazioni richieste dalla sezione 524B. Se una modifica di un dispositivo cyber precedentemente autorizzato richiede una nuova presentazione tramite una procedura soggetta alla norma, la nuova presentazione deve soddisfare la sezione 524B.

Informazioni richieste nella presentazione

La presentazione deve dimostrare che il dispositivo cyber soddisfa la sezione 524B(b). Le linee guida definitive FDA per la fase pre-commercializzazione spiegano come le informazioni su progettazione, gestione dei rischi e test possano supportare i requisiti di legge.

Confine rispetto alle linee guida FDA

La definizione di dispositivo cyber non coincide con l’ambito di tutte le aspettative FDA in materia di cibersicurezza. Le linee guida definitive del febbraio 2026 trattano progettazione, etichettatura e documentazione di cibersicurezza pre-commercializzazione per dispositivi con rischi di cibersicurezza e specificano che i dispositivi cyber della sezione 524B costituiscono un sottoinsieme dei dispositivi rientranti nell’ambito delle linee guida.

• Un dispositivo può richiedere evidenze di gestione dei rischi di cibersicurezza secondo le aspettative FDA anche se lo sponsor conclude che la sezione 524B non è applicabile.
• Anche un dispositivo non connesso a Internet può presentare questioni di cibersicurezza tramite software, porte locali, supporti rimovibili, meccanismi di aggiornamento o ambiente operativo.
• Concludere che un dispositivo è un dispositivo cyber non dimostra, da solo, una ragionevole garanzia di sicurezza, efficacia o cibersicurezza.
• Le linee guida FDA non sono vincolanti, mentre la sezione 524B è una disposizione legislativa per le presentazioni che soddisfano i criteri.

Modifiche e versioni sul campo

Le informazioni richieste dalla sezione 524B possono variare in base al tipo di modifica. L’approccio FDA meno oneroso significa che una presentazione di modifica del dispositivo cyber dovrebbe concentrarsi sull’impatto della modifica sulla cibersicurezza, sull’architettura corrente del dispositivo, sulle versioni sul campo interessate e sugli elementi di legge richiesti. Una modifica che non incide sulla cibersicurezza non richiede lo stesso livello di dettaglio di una modifica a connettività, infrastruttura di aggiornamento, autenticazione, cifratura, servizi cloud o software di terze parti.