Cyberbeveiliging na markttoelating van medische hulpmiddelen volgens de FDA
Sytance · Bijgewerkt
Bij het cyberbeveiligingsbeheer na het in de handel brengen worden nieuwe kwetsbaarheden beoordeeld in medische hulpmiddelen die al in gebruik zijn. Fabrikanten moeten mogelijke schade voor patiënten bepalen, beslissen hoe zij het risico aanpakken en gebruikers informeren over de benodigde actie. De reactie kan bestaan uit een softwarecorrectie, een tijdelijke beheersmaatregel of een actie in het veld.
Risico gedurende de levenscyclus
Medische hulpmiddelen kunnen na introductie nog jarenlang in gebruik blijven. De richtsnoeren van de FDA voor de fase na het in de handel brengen behandelen de nieuwe kwetsbaarheden, aanvalstechnieken, componentproblemen en wijzigingen in de implementatie die in die periode ontstaan.
Het team heeft de ontwerp- en vrijgaverecords nodig om een nieuwe kwetsbaarheid te onderzoeken. Bepaal welke ondersteunde versies het getroffen component bevatten, hoe de kwetsbare functie wordt gebruikt en welke beheersmaatregelen van toepassing zijn. Zo kan het team de hulpmiddelen beoordelen die klanten daadwerkelijk gebruiken.
Mogelijke schade voor patiënten beoordelen
De risicobeslissing van de FDA voor cyberbeveiliging na het in de handel brengen is gericht op de vraag of een kwetsbaarheid schade voor patiënten kan veroorzaken, waaronder overlijden of lichamelijk letsel. Aandachtspunten rond privacy of bedrijfsimpact kunnen ook van belang zijn, maar vormen volgens deze richtsnoeren niet de toets voor schade aan patiënten.
Onderhoud gedurende de levenscyclus
Een proces na het in de handel brengen houdt bronnen van kwetsbaarheden in de gaten, beoordeelt nieuwe informatie, valideert correcties, communiceert met gebruikers en werkt hulpmiddelen in het veld bij via geplande en urgente trajecten.
Versies in gebruik
Dezelfde kwetsbaarheid in een component kan per versie, configuratie, gebruiksomgeving en compenserende beheersmaatregel verschillende risico's opleveren. De beoordeling moet die context behouden.
Beheerst en onbeheerst risico
De FDA deelt risico's van kwetsbaarheden op het gebied van cyberbeveiliging na het in de handel brengen in als beheerst of onbeheerst. De vraag is niet of er een kwetsbaarheid bestaat, maar of het resterende risico op schade voor patiënten aanvaardbaar is nadat bestaande of beschikbare beheersmaatregelen zijn meegewogen.
Beheerst risico
Van een beheerst risico is sprake wanneer het resterende risico op schade voor patiënten voldoende laag of aanvaardbaar is. Gewone beveiligingsupdates, reguliere patches en wijzigingen in de etikettering met best practices vallen hier doorgaans onder wanneer zij alleen een beheerst risico aanpakken.
Onbeheerst risico
Van een onbeheerst risico is sprake wanneer bestaande beheersmaatregelen een onaanvaardbaar resterend risico op schade voor patiënten laten bestaan. De FDA beveelt aan dit snel te verhelpen. Volgens 21 CFR 806.10 moeten fabrikanten of importeurs correcties of verwijderingen melden die zijn gestart om een gezondheidsrisico te beperken of een overtreding met betrekking tot een hulpmiddel te verhelpen die een dergelijk risico kan opleveren; dit moet binnen 10 werkdagen na aanvang gebeuren. Er moet rekening worden gehouden met vrijstellingen en meldingen die al op grond van deel 803 of 1004 zijn gedaan. Daarnaast beschrijven de richtsnoeren van de FDA voorwaarden waaronder zij deel 806 niet handhaaft; die voorwaarden nemen de wettelijke verplichting niet weg.
Er is sprake van een onbeheerst risico wanneer door ontoereikende risicobeperkende maatregelen en compenserende beheersmaatregelen een onaanvaardbaar resterend risico op schade voor patiënten bestaat.
Richtsnoeren van de FDA voor cyberbeveiliging na het in de handel brengen, december 2016 (oorspronkelijk in het Engels)
Reguliere updates en patches
De FDA beschouwt veel updates en patches voor cyberbeveiliging als gewone verbeteringen van het hulpmiddel wanneer zij de beveiliging verbeteren of kwetsbaarheden verhelpen die samenhangen met een beheerst risico. Dergelijke reguliere updates zijn doorgaans geen correctie of verwijdering die op grond van 21 CFR deel 806 moet worden gemeld.
Voor een update die nodig is om een onbeheerst risico te beperken, moet de meldingsplicht anders worden beoordeeld. Dit geldt ook wanneer er een redelijke kans bestaat dat misbruik ernstige nadelige gevolgen voor de gezondheid of overlijden veroorzaakt. Ook wanneer geen melding op grond van deel 806 wordt verwacht, moet de fabrikant de update valideren en de verspreiding en communicatie erover beheren.
- Reguliere beveiligingsupdates kunnen patches, wijzigingen om de beveiliging te versterken en updates van de etikettering voor een veilige configuratie of best practices omvatten.
- Of iets regulier is, hangt af van het risico op schade voor patiënten en niet van de technische omvang van de wijziging.
- Dezelfde patch kan voor de ene productconfiguratie regulier zijn en voor een andere urgent, als het resterende risico op schade voor patiënten verschilt.
Het proces na het in de handel brengen uitvoeren
Voor het proces na het in de handel brengen moeten verantwoordelijkheden en middelen zijn vastgelegd voor monitoring, ontvangst van meldingen, risicobeoordeling, validatie van correcties en communicatie met klanten. De records van deze activiteiten ondersteunen latere beoordelingen door de FDA.
Monitor meldingen van gebruikers, onderzoekers en leveranciers van componenten, samen met interne bevindingen en relevante informatie over kwetsbaarheden. Ook een wijziging in de IT-omgeving van de zorg kan de blootstelling van het hulpmiddel veranderen. Leid de informatie door naar medewerkers die de gevolgen voor ondersteunde producten kunnen beoordelen.
De FDA verwacht dat de beoordeling van kwetsbaarheden rekening houdt met de uitbuitbaarheid ervan en de ernst van mogelijke schade voor patiënten. Dreigingsmodellering en veiligheidsrisicoanalyse moeten samen worden gebruikt om vast te stellen of de kwetsbaarheid klinische prestaties, beschikbaarheid, integriteit, vertrouwelijkheid of een veilige werking beïnvloedt.
Bij een onbeheerst risico omvatten de voorwaarden waaronder de FDA discretionair kan omgaan met de handhaving van meldingsplichten: communicatie aan klanten en de gebruikersgemeenschap, tijdelijke beheersmaatregelen en zo snel mogelijk een herstelplan, uiterlijk binnen 30 dagen nadat de kwetsbaarheid bekend is geworden. Zo snel mogelijk, uiterlijk binnen 60 dagen na bekendwording, moet de fabrikant een inzetbare correctie valideren en verspreiden of een compenserende maatregel voor de lange termijn bieden die het risico aanvaardbaar maakt, zo nodig met opvolging bij eindgebruikers. De voorwaarden omvatten ook dat er geen bekende daarmee verband houdende ernstige ongewenste voorvallen of sterfgevallen zijn, actieve deelname aan een ISAO en het delen van klantcommunicatie.
Het ISAO-concept van de FDA betekent meer dan passief lidmaatschap. De fabrikant moet informatie over kwetsbaarheden en dreigingen delen, gedocumenteerde beleidsregels hanteren, ontvangen informatie betrekken bij risicobeoordelingen en traceerbare records bijhouden van communicatie, tegenmaatregelen en risicobeperkende maatregelen.
Verband met dossiers van vóór het in de handel brengen
Dossiers van vóór het in de handel brengen vormen het uitgangspunt voor de beoordeling daarna. Een dreigingsmodel van vóór het in de handel brengen is de basis voor triage na het in de handel brengen. Een SBOM van vóór het in de handel brengen wordt de componentinventaris voor het monitoren van kwetsbaarheden. De beveiligingsarchitectuur van vóór het in de handel brengen helpt bepalen of een nieuwe kwetsbaarheid een voor de veiligheid relevante functie kan bereiken.
- Houd de SBOM actueel voor gecommercialiseerde configuraties en behoud de versiecontext van hulpmiddelen in het veld.
- Werk dreigingsmodellen bij wanneer aannames over de implementatie, updatepaden, externe diensten of kwetsbaarheden veranderen.
- Gebruik bevindingen na het in de handel brengen om risicobeheer, etikettering, instructies voor klanten, ondersteuningsplannen en toekomstige indieningen vóór het in de handel brengen bij te werken.
- Controleer vóór verspreiding van een patch of de correctie werkt en controleer welke functies van het hulpmiddel door de wijziging kunnen worden beïnvloed.
Bronnen
- 21 CFR 806.10, Meldingen van correcties en verwijderingen
- FDA, Postmarket Management of Cybersecurity in Medical Devices, definitieve richtsnoeren, december 2016
- FDA, Cybersecurity in Medical Devices: Quality Management System Considerations and Content of Premarket Submissions, definitieve richtsnoeren, februari 2026
- FDA, Cybersecurity in Medical Devices: Frequently Asked Questions