Sekcja 524B FDA: wymagania dotyczące urządzeń cybernetycznych

Kryteria dotyczące wyrobu cybernetycznego

Wyrób cybernetyczny to wyrób medyczny spełniający wszystkie trzy kryteria ustawowe. Wyrób musi zawierać oprogramowanie zwalidowane, zainstalowane lub zatwierdzone przez sponsora jako wyrób lub w wyrobie. Musi mieć możliwość łączenia się z internetem. Musi również zawierać cechy technologiczne zwalidowane, zainstalowane lub zatwierdzone przez sponsora, które mogą być podatne na zagrożenia cyberbezpieczeństwa.

Sekcja 524B(c) ustawy FD&C Act definiuje „wyrób cybernetyczny” jako wyrób, który (1) zawiera oprogramowanie zwalidowane, zainstalowane lub zatwierdzone przez sponsora jako wyrób lub w wyrobie, (2) może łączyć się z internetem oraz (3) zawiera takie cechy technologiczne zwalidowane, zainstalowane lub zatwierdzone przez sponsora, które mogą być podatne na zagrożenia cyberbezpieczeństwa.

FAQ FDA dotyczące sekcji 524B, z cytatem z sekcji 524B(c) ustawy FD&C Act (oryginał angielski)

FDA interpretuje kryterium łączności szeroko. Na potrzeby tego kryterium oprogramowaniem jest również oprogramowanie układowe i logika programowalna. Możliwość połączenia z internetem może być bezpośrednia lub pośrednia, zamierzona lub niezamierzona, a także może wynikać z powierzchni zagrożenia wyrobu i środowiska jego użytkowania.

Ścieżki składania wniosków

Sekcja 524B ma zastosowanie do osoby składającej objęty nią wniosek lub zgłoszenie przedrynkowe dotyczące wyrobu cybernetycznego do FDA. FDA wskazuje ścieżki 510(k), PMA, protokół rozwoju produktu, De Novo i HDE, w tym odpowiednie suplementy oraz zgłoszenia 510(k) w trybie Special lub Abbreviated.

Ustawowe wymagania nie mają zastosowania do wniosków ani zgłoszeń przekazanych do FDA przed 29 marca 2023 r. W FAQ FDA stwierdza, że od 1 października 2023 r. sponsorzy powinni byli mieć wystarczająco dużo czasu na przygotowanie zgłoszeń dotyczących wyrobów cybernetycznych z wymaganymi informacjami z sekcji 524B. Jeśli modyfikacja wcześniej dopuszczonego wyrobu cybernetycznego wymaga nowego wniosku w objętej ścieżce, nowy wniosek musi spełniać wymagania sekcji 524B.

Wymagane informacje we wniosku

Wniosek musi wykazać, w jaki sposób wyrób cybernetyczny spełnia wymagania sekcji 524B(b). Ostateczne wytyczne FDA dotyczące postępowania przedrynkowego wyjaśniają, w jaki sposób informacje o projekcie, zarządzaniu ryzykiem i testach mogą stanowić dowód spełnienia tych wymagań ustawowych.

Granice między wymaganiami a wytycznymi FDA

Definicja wyrobu cybernetycznego nie wyznacza granic wszystkich oczekiwań FDA dotyczących cyberbezpieczeństwa. Ostateczne wytyczne z lutego 2026 r. dotyczą projektu, oznakowania i dokumentacji przedrynkowej wyrobów obarczonych ryzykiem cyberbezpieczeństwa; stwierdzają też, że wyroby cybernetyczne objęte sekcją 524B stanowią podzbiór wyrobów objętych zakresem tych wytycznych.

• Wyrób może wymagać dowodów zarządzania ryzykiem cyberbezpieczeństwa FDA, nawet jeśli sponsor uzna, że sekcja 524B nie ma zastosowania.
• Wyrób bez połączenia z internetem może nadal wiązać się z problemami cyberbezpieczeństwa wynikającymi z oprogramowania, portów lokalnych, nośników wymiennych, mechanizmów aktualizacji lub środowiska działania.
• Sam wniosek, że wyrób jest wyrobem cybernetycznym, nie dowodzi uzasadnionej pewności bezpieczeństwa, skuteczności ani cyberbezpieczeństwa.
• Wytyczne FDA nie są wiążące, natomiast sekcja 524B jest prawem ustawowym mającym zastosowanie do kwalifikujących się wniosków.

Modyfikacje i wersje znajdujące się u użytkowników

Informacje wymagane na podstawie sekcji 524B mogą się różnić w zależności od rodzaju zmiany. Zgodnie z podejściem FDA zakładającym jak najmniejsze obciążenie wniosek dotyczący modyfikacji wyrobu cybernetycznego powinien koncentrować się na wpływie zmiany na cyberbezpieczeństwo, aktualnej architekturze wyrobu, wersjach znajdujących się u użytkowników oraz wymaganych elementach ustawowych. Zmiana niewpływająca na cyberbezpieczeństwo nie wymaga takiej samej szczegółowości jak zmiana łączności, infrastruktury aktualizacji, uwierzytelniania, szyfrowania, usług chmurowych lub oprogramowania stron trzecich.