FDA 제524B조: 사이버 기기 요구사항

사이버 기기 기준

사이버 기기는 세 가지 법적 기준을 모두 충족하는 의료기기입니다. 신청자가 검증·설치·승인한 소프트웨어가 기기 자체로 또는 기기에 포함된 형태로 있어야 합니다. 인터넷에 연결할 수 있어야 합니다. 또한 사이버보안 위협에 취약할 수 있는 기술적 특성이 신청자에 의해 검증·설치·승인된 형태로 포함되어야 합니다.

FD&C법 제524B(c)는 사이버 기기를 다음과 같이 정의합니다. (1) 신청자가 기기 자체 또는 기기에 포함된 소프트웨어로 검증·설치·승인한 소프트웨어를 포함하는 기기, (2) 인터넷에 연결할 수 있는 기기, (3) 사이버보안 위협에 취약할 수 있는 기술적 특성을 포함하고 신청자가 해당 특성을 검증·설치·승인한 기기.

FD&C법 제524B조에 관한 FDA FAQ, FD&C법 제524B(c) 인용(영문 원문)

FDA는 연결 요소를 폭넓게 해석합니다. 이 목적상 펌웨어와 프로그래밍 가능 로직도 소프트웨어에 포함됩니다. 인터넷 연결 기능은 직접 또는 간접, 의도적 또는 비의도적으로 제공될 수 있으며, 기기의 위협 표면과 사용 환경에서 비롯될 수도 있습니다.

제출 경로

제524B조는 사이버 기기에 관한 FDA 시판 전 신청서 또는 제출물의 적용 대상 항목을 제출하는 자에게 적용됩니다. FDA는 510(k), PMA, 제품 개발 프로토콜, De Novo 및 HDE 경로를 식별하며, 관련 보충 제출과 특별 또는 약식 510(k) 제출도 포함합니다.

법률상 요구사항은 2023년 3월 29일 전에 FDA에 제출된 신청서 또는 제출물에는 적용되지 않습니다. FDA FAQ에 따르면 2023년 10월 1일부터 FDA는 신청자가 제524B조에 필요한 정보를 갖춘 사이버 기기 제출물을 준비할 충분한 시간을 확보했다고 보았습니다. 기존 허가를 받은 사이버 기기의 변경에 대해 적용 대상 경로로 새 제출이 필요하면 그 새 제출은 제524B조를 충족해야 합니다.

필수 제출 정보

제출물에는 사이버 기기가 제524B(b)를 충족하는 방법을 보여줘야 합니다. FDA의 시판 전 최종 지침은 설계, 위험 관리 및 시험 정보가 이러한 법률상 요구사항을 뒷받침하는 방법을 설명합니다.

FDA 지침과의 경계

사이버 기기 정의가 FDA 사이버보안 기대사항 전체의 경계는 아닙니다. 2026년 2월 FDA 최종 지침은 사이버보안 위험이 있는 기기의 시판 전 사이버보안 설계, 라벨링 및 문서를 다루며, 제524B조의 사이버 기기는 해당 지침 범위에 포함되는 기기의 일부 집합이라고 설명합니다.

• 신청자가 제524B조가 적용되지 않는다고 결론 내리더라도 FDA 사이버보안 위험 관리 증거가 필요한 기기일 수 있습니다.
• 인터넷에 연결되지 않는 기기라도 소프트웨어, 로컬 포트, 이동식 매체, 업데이트 메커니즘 또는 운영 환경을 통해 사이버보안 문제가 발생할 수 있습니다.
• 사이버 기기라는 결론만으로 안전성, 유효성 또는 사이버보안이 합리적으로 보장된다는 사실이 입증되는 것은 아닙니다.
• FDA 지침은 구속력이 없는 지침인 반면 제524B조는 요건을 충족하는 제출에 적용되는 법률입니다.

변경 및 실제 사용 버전

제524B조 관련 정보는 변경 유형에 따라 달라질 수 있습니다. FDA의 최소 부담 원칙에 따라 사이버 기기 변경 제출은 변경의 사이버보안 영향, 현재 기기 아키텍처, 영향을 받는 실제 사용 버전 및 필수 법률 요소에 초점을 맞춰야 합니다. 사이버보안에 영향을 주지 않는 변경에는 연결성, 업데이트 인프라, 인증, 암호화, 클라우드 서비스 또는 제3자 소프트웨어 변경과 같은 수준의 상세 정보가 필요하지 않습니다.