Cyberbeveiliging vóór markttoelating van medische hulpmiddelen volgens de FDA
Sytance · Bijgewerkt
De premarket-richtsnoeren van de FDA voor cyberbeveiliging bevelen informatie aan die het beveiligingsontwerp van het hulpmiddel, de risico's waarop het is gericht en de tests waarmee dit wordt gecontroleerd, toelicht. De indiening moet ook uitleggen hoe de fabrikant kwetsbaarheden beheert nadat het hulpmiddel is vrijgegeven.
Huidige status van de richtsnoeren
De FDA heeft in februari 2026 de huidige definitieve premarket-richtsnoeren voor cyberbeveiliging uitgegeven, ter vervanging van de versie van juni 2025. De herziening stemt de richtsnoeren af op de Quality Management System Regulation (QMSR). De aanbevelingen moeten worden onderscheiden van de wettelijke vereisten in artikel 524B.
Dit document vervangt “Cybersecurity in Medical Devices: Quality System Considerations and Content of Premarket Submissions”, uitgegeven op 27 juni 2025.
Richtsnoeren van de FDA voor premarket-cyberbeveiliging, februari 2026 (oorspronkelijk in het Engels)
De richtsnoeren zijn van toepassing op hulpmiddelen met cyberbeveiligingsrisico's. Software, firmware of programmeerbare logica kan zulke risico's introduceren, ook wanneer het hulpmiddel geen internetverbinding heeft. Artikel 524B is van toepassing op de beperktere categorie cyberhulpmiddelen zoals gedefinieerd in de FD&C Act.
Cyberhulpmiddel volgens artikel 524B
Artikel 524B is van toepassing op bepaalde indieningen voor een cyberhulpmiddel: 510(k), PMA, protocol voor productontwikkeling, De Novo en HDE. De wet is op 29 maart 2023 in werking getreden. Het overgangsbeleid van de FDA om indieningen te weigeren liep af op 1 oktober 2023; die datum veranderde niets aan het moment waarop de wettelijke vereisten van kracht werden.
Software onder controle van de sponsor
Het hulpmiddel omvat software die door de sponsor is gevalideerd, geïnstalleerd of geautoriseerd als hulpmiddel of in een hulpmiddel. De FDA behandelt firmware en programmeerbare logica voor deze beoordeling als software.
Mogelijkheid tot internetverbinding
Het hulpmiddel kan rechtstreeks of via een ander product verbinding maken met internet. De uitleg van de FDA omvat indirecte verbindingen, bijvoorbeeld wanneer een hulpmiddel communiceert via een computer met internetverbinding.
Blootstelling aan cyberbeveiligingsdreigingen
Het hulpmiddel bevat technologische kenmerken die door de sponsor zijn gevalideerd, geïnstalleerd of geautoriseerd en kwetsbaar kunnen zijn voor cyberbeveiligingsdreigingen.
Voor een kwalificerende indiening vereist artikel 524B een plan om kwetsbaarheden na het in de handel brengen te monitoren en aan te pakken, waaronder gecoördineerde openbaarmaking van kwetsbaarheden. Ook zijn processen en procedures vereist die redelijke zekerheid over cyberbeveiliging bieden, inclusief updates en patches na het in de handel brengen, en een SBOM met commerciële, open-source- en standaardsoftwarecomponenten.
Inhoud van de indiening
De beoordelaar moet kunnen begrijpen hoe een beveiligingsbeslissing tot stand is gekomen. Als een dreigingsmodel ongeoorloofde wijzigingen van therapie-instellingen identificeert, moet het ontwerp vastleggen wie deze mag wijzigen en moeten de tests die beperking controleren. De architectuur, analyse en resultaten moeten dezelfde configuratie van het hulpmiddel beschrijven.
De FDA beveelt aan beveiliging in het kwaliteitsmanagementsysteem te integreren. Ontwikkelrecords moeten uitleggen hoe beveiligingsvereisten het ontwerp hebben beïnvloed, hoe de implementatie is gecontroleerd en hoe onopgeloste problemen vóór vrijgave zijn behandeld. Onderhoudsplanning zet dat proces voort voor latere kwetsbaarheden en updates.
Cyberbeveiligingsrisicobeheer onderzoekt hoe een aanvaller een zwakke plek kan uitbuiten en het hulpmiddel kan beïnvloeden. Als de aanval schade voor patiënten kan veroorzaken, moet de daaruit voortkomende gevaarlijke situatie ook via veiligheidsrisicobeheer worden beoordeeld. Een aanval die bijvoorbeeld een alarm onderdrukt, kan een klinische reactie vertragen.
Het risicobeheerrapport moet de beoordelingsmethode en de conclusie over het restrisico toelichten. De ondersteuningsstatus van componenten, bekende kwetsbaarheden en onopgeloste softwareafwijkingen helpen bepalen of de fabrikant de bescherming gedurende het verwachte gebruik van het hulpmiddel kan handhaven.
Het dreigingsmodel moet het volledige systeem van het hulpmiddel omvatten, inclusief externe afhankelijkheden die de werking beïnvloeden. Analyseer hoe het wordt geïnstalleerd, gebruikt, bijgewerkt en buiten gebruik gesteld. De architectuurweergaven tonen vervolgens waar de gekozen beheersmaatregelen op die aanvalspaden ingrijpen.
Tests moeten de beveiligingsvereisten en de maatregelen controleren die voor geïdentificeerde dreigingen zijn gekozen. Code- en softwarecompositieanalyses kunnen zwakke plekken in de implementatie of de componenten ervan aan het licht brengen. Fuzzing, misbruiktests en penetratietests onderzoeken gedrag bij ongeldige invoer of aanvallen; kies methoden die passen bij de interfaces en risico's van het hulpmiddel.
Gebruikersinformatie moet uitleggen wat de zorgorganisatie of patiënt moet doen voor veilig gebruik, waaronder configuratie, updates en herstel. Vermeld de ondersteuningsperiode en eventuele verantwoordelijkheden die afhangen van de bedrijfsomgeving. Het cyberbeveiligingsbeheerplan van de fabrikant moet uitleggen hoe meldingen en monitoring van kwetsbaarheden leiden tot beoordeling, communicatie en tijdige herstelmaatregelen.
Veelvoorkomend bewijsmateriaal
Architectuurweergaven
De FDA beveelt weergaven aan van het totale systeem, mogelijke schade voor meerdere patiënten, mogelijkheden voor updates en patches en beveiligingsgebruiksgevallen. Deze laten zien hoe een aanval het hulpmiddel kan bereiken, zich over verbonden systemen kan verspreiden of met een update kan worden aangepakt.
SBOM
De SBOM moet door de fabrikant ontwikkelde en door derden geleverde componenten omvatten, waaronder aangeschafte, gelicentieerde, open-source- en upstream-afhankelijkheden. Voor cyberhulpmiddelen is de inhoud van de SBOM op grond van artikel 524B wettelijk verplicht.
Bekende kwetsbaarheden
De FDA verwacht dat bekende kwetsbaarheden worden geïdentificeerd en geanalyseerd, waaronder kwetsbaarheden in componenten van derden en kwetsbaarheden uit de CISA Known Exploited Vulnerabilities die relevant zijn voor het hulpmiddel of verwante systemen.
Traceerbaarheid
Dankzij traceerbaarheid kan de beoordelaar een bevinding uit het dreigingsmodel volgen naar het getroffen SBOM-component, de risicobeheersmaatregel, de ontwerpeis en het testresultaat. Beslissingen over restrisico moeten ook terugkomen in de etikettering en monitoring na het in de handel brengen.
De categorieën beveiligingsmaatregelen in de richtsnoeren helpen het ontwerp systematisch te controleren. Gebruikersauthenticatie stelt bijvoorbeeld een identiteit vast; autorisatie bepaalt of die gebruiker een bepaalde klinische of onderhoudshandeling mag uitvoeren. Tests moeten elke beslissing controleren bij de interface die deze afdwingt.
Hulpmiddelen buiten de definitie van artikel 524B
Een hulpmiddel zonder internetverbinding kan nog steeds een software-update ontvangen via een lokale poort of verwisselbare media. Een gemanipuleerde update kan daarom een cyberbeveiligingsrisico opleveren, ook als het hulpmiddel niet aan de definitie van een cyberhulpmiddel voldoet. De bredere richtsnoeren van de FDA blijven relevant voor dat risico; de aanbevolen inhoud van de indiening hangt af van het hulpmiddel en het type indiening.