Cibersegurança pré-comercialização de dispositivos médicos segundo a FDA
Sytance · Atualizado
A orientação pré-comercialização de cibersegurança da FDA recomenda informações que expliquem a conceção de segurança do dispositivo, os riscos que esta aborda e os ensaios utilizados para a verificar. A submissão também tem de explicar como o fabricante irá gerir as vulnerabilidades após a comercialização do dispositivo.
Estatuto da orientação atual
A FDA emitiu a atual orientação final de cibersegurança pré-comercialização em fevereiro de 2026, substituindo a versão de junho de 2025. A revisão alinha a orientação com o Regulamento do Sistema de Gestão da Qualidade (QMSR). As recomendações devem ser distinguidas dos requisitos legais da secção 524B.
This document supersedes “Cybersecurity in Medical Devices: Quality System Considerations and Content of Premarket Submissions,” issued June 27, 2025.
Orientação da FDA sobre cibersegurança pré-comercialização, fevereiro de 2026 (original em inglês)
A orientação abrange dispositivos com risco de cibersegurança. O software, o firmware ou a lógica programável podem introduzir esse risco mesmo que o dispositivo não tenha ligação à Internet. A secção 524B aplica-se à categoria mais restrita de ciberdispositivos definida na lei FD&C.
Ciberdispositivo ao abrigo da secção 524B
A secção 524B aplica-se a determinadas submissões relativas a ciberdispositivos: 510(k), PMA, protocolo de desenvolvimento de produto, De Novo e HDE. A lei entrou em vigor em 29 de março de 2023. A política transitória da FDA relativa à recusa de aceitação de submissões terminou em 1 de outubro de 2023; essa data não alterou a data de entrada em vigor dos requisitos legais.
Software sob controlo do promotor
O dispositivo inclui software validado, instalado ou autorizado pelo promotor como dispositivo ou num dispositivo. Para esta análise, a FDA trata o firmware e a lógica programável como software.
Capacidade de ligação à Internet
O dispositivo pode ligar-se à Internet diretamente ou através de outro produto. A interpretação da FDA inclui ligações indiretas, por exemplo, um dispositivo que comunica através de um computador ligado à Internet.
Exposição a ameaças de cibersegurança
O dispositivo contém características tecnológicas validadas, instaladas ou autorizadas pelo promotor que podem ser vulneráveis a ameaças de cibersegurança.
Para uma submissão que cumpra os critérios, a secção 524B exige um plano para monitorizar e tratar vulnerabilidades pós-comercialização, incluindo a divulgação coordenada de vulnerabilidades. Exige também processos e procedimentos que proporcionem uma garantia razoável de cibersegurança, com atualizações e patches pós-comercialização, e uma SBOM que abranja componentes de software comerciais, de código aberto e disponíveis no mercado.
Conteúdo da submissão
O revisor precisa de compreender como se chegou a uma decisão de segurança. Se um modelo de ameaças identificar alterações não autorizadas aos parâmetros terapêuticos, a conceção deve especificar quem os pode alterar e os ensaios devem verificar essa restrição. A arquitetura, a análise e os resultados têm de descrever a mesma configuração do dispositivo.
A FDA recomenda integrar a segurança no sistema de gestão da qualidade. Os registos de desenvolvimento devem explicar de que forma os requisitos de segurança influenciaram a conceção, como foi verificada a implementação e como foram tratadas as questões por resolver antes da comercialização. O planeamento da manutenção prolonga esse processo para vulnerabilidades e atualizações posteriores.
A gestão dos riscos de cibersegurança analisa de que forma um atacante poderia explorar uma vulnerabilidade e afetar o dispositivo. Se o ataque puder causar danos ao doente, a situação perigosa resultante também tem de ser avaliada através da gestão dos riscos de segurança clínica. Por exemplo, um ataque que suprima um alarme pode atrasar uma resposta clínica.
O relatório de gestão de riscos deve explicar o método de avaliação e a conclusão sobre o risco residual. O estado do suporte dos componentes, as vulnerabilidades conhecidas e as anomalias de software por resolver ajudam a determinar se o fabricante pode manter a proteção durante o período previsto de utilização do dispositivo.
O modelo de ameaças deve abranger todo o sistema do dispositivo, incluindo as dependências externas que afetam o seu funcionamento. Analise a instalação, utilização, atualização e desativação do dispositivo. As vistas da arquitetura mostram, então, onde os controlos selecionados atuam sobre essas vias de ataque.
Os ensaios têm de verificar os requisitos de segurança e as medidas selecionadas para as ameaças identificadas. A análise do código e da composição do software pode revelar vulnerabilidades na implementação ou nos seus componentes. Os ensaios fuzz, os ensaios de utilização indevida e os testes de penetração analisam o comportamento perante entradas malformadas ou ataques; selecione os métodos que abordam as interfaces e os riscos do dispositivo.
As informações para o utilizador devem explicar o que a organização de saúde ou o doente tem de fazer para uma operação segura, incluindo configuração, atualizações e recuperação. Indique o período de suporte e quaisquer responsabilidades dependentes do ambiente operacional. O plano de gestão de cibersegurança do fabricante deve explicar como as notificações de vulnerabilidades e a monitorização conduzem a uma avaliação, comunicação e correção atempada.
Evidências comuns
Vistas da arquitetura
A FDA recomenda vistas globais do sistema, de danos a vários doentes, de capacidade de atualização e aplicação de patches e de casos de utilização de segurança. Explicam como um ataque pode alcançar o dispositivo, propagar-se através de sistemas ligados ou ser tratado através de uma atualização.
SBOM
A SBOM deve abranger componentes desenvolvidos pelo fabricante e por terceiros, incluindo dependências compradas, licenciadas, de código aberto e a montante. Para ciberdispositivos, a secção 524B torna o conteúdo da SBOM um requisito legal.
Vulnerabilidades conhecidas
A FDA espera que as vulnerabilidades conhecidas sejam identificadas e analisadas, incluindo as existentes em componentes de terceiros e as vulnerabilidades conhecidas e exploradas da CISA pertinentes para o dispositivo ou os sistemas relacionados.
Rastreabilidade
A rastreabilidade permite ao revisor seguir uma conclusão do modelo de ameaças até ao componente SBOM afetado, ao controlo de riscos, ao requisito de conceção e ao resultado do ensaio. As decisões sobre riscos residuais também devem refletir-se na rotulagem e na monitorização pós-comercialização.
As categorias de controlos de segurança da orientação ajudam a verificar a conceção de forma sistemática. Por exemplo, a autenticação de um utilizador estabelece uma identidade; a autorização determina se esse utilizador pode executar uma determinada ação clínica ou de manutenção. Os ensaios devem verificar cada decisão na interface que a aplica.
Dispositivos fora da definição da secção 524B
Um dispositivo sem ligação à Internet pode ainda receber uma atualização de software através de uma porta local ou de um suporte amovível. Uma atualização adulterada pode, portanto, criar um risco de cibersegurança mesmo que o dispositivo não cumpra a definição de ciberdispositivo. A orientação mais abrangente da FDA continua a ser relevante para esse risco; o conteúdo recomendado para a submissão depende do dispositivo e do tipo de submissão.