FDA第524B条：サイバー機器の要件

サイバーデバイスの基準

サイバーデバイスとは、法定の3基準をすべて満たす医療機器です。機器として、または機器内で、申請者が検証、インストール、または承認したソフトウェアを含む必要があります。インターネットに接続できる必要があります。また、サイバーセキュリティ脅威に対して脆弱となり得る、申請者が検証、インストール、または承認した技術的特性を含む必要があります。

FD&C法第524B条(c)項は、「サイバーデバイス」を次の条件を満たす機器として定義しています。(1) 機器として、または機器内で、申請者が検証、インストール、または承認したソフトウェアを含む。(2) インターネットに接続する能力がある。(3) サイバーセキュリティ脅威に対して脆弱となり得る、申請者が検証、インストール、または承認した技術的特性を含む。

FDA第524B条FAQ、FD&C法第524B条(c)項からの引用（英語原文）

FDAは接続要素を広く解釈しています。この目的上、ファームウェアとプログラマブルロジックもソフトウェアに含まれます。インターネット接続機能は、直接・間接を問わず、意図的・非意図的にかかわらず、機器の脅威対象領域と使用環境から生じる場合があります。

申請経路

第524B条は、サイバーデバイスに関する対象FDA市販前申請または提出を行う者に適用されます。FDAは、510(k)、PMA、製品開発プロトコル、De Novo、HDEの経路と、関連する補足資料および特別・簡略510(k)申請を挙げています。

法定要件は、2023年3月29日より前にFDAへ提出された申請または提出には適用されません。FDAのFAQによれば、2023年10月1日以降、申請者が第524B条で求められる情報を含むサイバーデバイス申請を準備するのに十分な時間が経過したものとFDAは考えています。以前に承認されたサイバーデバイスを変更するために対象経路で新たな申請が必要となる場合、その新規申請は第524B条を満たす必要があります。

申請で必要な情報

申請では、サイバーデバイスが第524B条(b)項をどのように満たすかを示す必要があります。FDAの最終市販前ガイダンスでは、設計、リスク管理、試験に関する情報が、これらの法定要件をどのように裏付けるかを説明しています。

FDAガイダンスとの境界

サイバーデバイスの定義は、FDAのサイバーセキュリティに関する期待すべての境界ではありません。FDAの2026年2月最終ガイダンスは、サイバーセキュリティリスクのある機器の市販前における設計、ラベル表示、文書化を扱い、第524B条のサイバーデバイスはガイダンスの適用範囲内の機器の一部であるとしています。

• 申請者が第524B条は適用されないと判断した場合でも、FDAのサイバーセキュリティリスク管理に関する証拠が必要な機器があります。
• インターネット接続がない機器でも、ソフトウェア、ローカルポート、リムーバブルメディア、更新機構、運用環境を通じてサイバーセキュリティ上の問題が生じることがあります。
• サイバーデバイスに該当すると結論付けただけでは、安全性、有効性、サイバーセキュリティの合理的保証が証明されるわけではありません。
• FDAガイダンスは拘束力のないガイダンスですが、第524B条は対象となる申請に適用される制定法です。

変更と稼働中のバージョン

変更の種類によって、第524B条に必要な情報が異なる場合があります。FDAの負担軽減の考え方に従い、サイバーデバイスの変更申請では、その変更によるサイバーセキュリティへの影響、現行の機器アーキテクチャ、影響を受ける稼働中のバージョン、必要な法定要素に焦点を当てる必要があります。サイバーセキュリティに影響しない変更と、接続性、更新インフラストラクチャ、認証、暗号化、クラウドサービス、サードパーティ製ソフトウェアの変更では、同じ程度の詳細は必要ありません。