FDA-sectie 524B: eisen voor cyberapparaten

Criteria voor cyberapparaten

Een cyberapparaat is een medisch hulpmiddel dat aan alle drie wettelijke criteria voldoet. Het moet software bevatten die door de sponsor is gevalideerd, geïnstalleerd of geautoriseerd als hulpmiddel of in een hulpmiddel. Het moet verbinding kunnen maken met internet. Het moet ook technologische kenmerken bevatten die door de sponsor zijn gevalideerd, geïnstalleerd of geautoriseerd en kwetsbaar kunnen zijn voor cyberbeveiligingsdreigingen.

Sectie 524B(c) van de FD&C Act definieert een 'cyberapparaat' als een apparaat dat (1) software bevat die door de sponsor is gevalideerd, geïnstalleerd of geautoriseerd als hulpmiddel of in een hulpmiddel, (2) verbinding kan maken met internet en (3) technologische kenmerken bevat die door de sponsor zijn gevalideerd, geïnstalleerd of geautoriseerd en kwetsbaar kunnen zijn voor cyberbeveiligingsdreigingen.

FAQ van de FDA over sectie 524B, met citaat uit FD&C Act-sectie 524B(c) (oorspronkelijk Engels)

De FDA interpreteert het verbindingscriterium ruim. Firmware en programmeerbare logica gelden hiervoor als software. Internetverbinding kan direct of indirect, bedoeld of onbedoeld zijn en voortkomen uit het aanvalsoppervlak van het apparaat en de gebruiksomgeving.

Indieningsroutes

Sectie 524B is van toepassing op degene die een onder de sectie vallende FDA-aanvraag of indiening vóór marktintroductie voor een cyberapparaat indient. De FDA noemt de routes 510(k), PMA, productontwikkelingsprotocol, De Novo en HDE, met inbegrip van relevante aanvullingen en speciale of verkorte 510(k)-indieningen.

De wettelijke eisen zijn niet van toepassing op aanvragen of indieningen die vóór 29 maart 2023 naar de FDA zijn verzonden. Volgens de FAQ van de FDA moesten sponsors vanaf 1 oktober 2023 voldoende tijd hebben gehad om indieningen voor cyberapparaten met de informatie van sectie 524B voor te bereiden. Als voor een wijziging van een eerder toegelaten cyberapparaat via een gedekte route een nieuwe indiening nodig is, moet die nieuwe indiening voldoen aan sectie 524B.

Vereiste informatie voor de indiening

De indiening moet aantonen hoe het cyberapparaat aan sectie 524B(b) voldoet. De definitieve richtsnoeren van de FDA voor de fase vóór marktintroductie leggen uit hoe ontwerp-, risicobeheer- en testinformatie die wettelijke eisen kan ondersteunen.

Afbakening ten opzichte van FDA-richtsnoeren

De definitie van een cyberapparaat vormt niet de grens van alle cyberbeveiligingsverwachtingen van de FDA. De definitieve richtsnoeren van februari 2026 behandelen het cyberbeveiligingsontwerp, de etikettering en de documentatie vóór marktintroductie voor hulpmiddelen met cyberbeveiligingsrisico's en geven aan dat cyberapparaten onder sectie 524B een deelverzameling vormen van de hulpmiddelen binnen het toepassingsgebied van de richtsnoeren.

• Ook als de sponsor concludeert dat sectie 524B niet van toepassing is, kan voor een apparaat bewijs van cyberbeveiligingsrisicobeheer volgens de FDA-verwachtingen nodig zijn.
• Een apparaat zonder internetverbinding kan nog steeds cyberbeveiligingsproblemen opleveren via software, lokale poorten, verwijderbare media, updatemechanismen of de bedrijfsomgeving.
• De conclusie dat een apparaat een cyberapparaat is, bewijst op zichzelf geen redelijke mate van zekerheid over veiligheid, doeltreffendheid of cyberbeveiliging.
• FDA-richtsnoeren zijn niet-bindende richtsnoeren, terwijl sectie 524B wetgeving is voor in aanmerking komende indieningen.

Wijzigingen en geïmplementeerde versies

De informatie volgens sectie 524B kan verschillen per soort wijziging. Volgens de least-burdensome-benadering van de FDA moet een wijzigingsindiening voor een cyberapparaat zich richten op de cyberbeveiligingsimpact van de wijziging, de huidige apparaatarchitectuur, getroffen geïmplementeerde versies en de wettelijke vereiste elementen. Voor een wijziging zonder gevolgen voor cyberbeveiliging is niet evenveel detail nodig als voor wijzigingen in connectiviteit, update-infrastructuur, authenticatie, versleuteling, cloudservices of software van derden.