Secção 524B da FDA: requisitos para dispositivos cibernéticos

Critérios de ciberdispositivo

Um ciberdispositivo é um dispositivo médico que cumpre os três critérios legais. O dispositivo tem de incluir software validado, instalado ou autorizado pelo promotor como dispositivo ou num dispositivo. Tem de poder ligar-se à Internet. Tem também de conter características tecnológicas validadas, instaladas ou autorizadas pelo promotor que possam estar vulneráveis a ameaças de cibersegurança.

Section 524B(c) of the FD&C Act defines "cyber device" as a device that (1) includes software validated, installed, or authorized by the sponsor as a device or in a device, (2) has the ability to connect to the internet, and (3) contains any such technological characteristics validated, installed, or authorized by the sponsor that could be vulnerable to the cybersecurity threats.

Perguntas frequentes da FDA sobre a secção 524B, com citação da secção 524B(c) da lei FD&C (original em inglês)

A FDA interpreta de forma ampla o elemento da ligação. Para este efeito, o firmware e a lógica programável contam como software. A capacidade de ligação à Internet pode ser direta ou indireta, intencional ou não intencional, e pode decorrer da superfície de ameaça do dispositivo e do respetivo ambiente de utilização.

Vias de submissão

A secção 524B aplica-se à pessoa que apresenta um pedido ou uma submissão abrangidos à FDA antes da comercialização de um ciberdispositivo. A FDA identifica as vias 510(k), PMA, protocolo de desenvolvimento de produto, De Novo e HDE, incluindo os suplementos pertinentes e as submissões 510(k) especiais ou abreviadas.

Os requisitos legais não se aplicam a pedidos ou submissões enviados à FDA antes de 29 de março de 2023. As perguntas frequentes da FDA indicam que, a partir de 1 de outubro de 2023, a FDA esperava que os promotores tivessem tido tempo suficiente para preparar submissões de ciberdispositivos com as informações exigidas pela secção 524B. Se uma alteração a um ciberdispositivo anteriormente autorizado exigir uma nova submissão por uma via abrangida, essa nova submissão tem de cumprir a secção 524B.

Informações exigidas na submissão

A submissão tem de demonstrar de que forma o ciberdispositivo cumpre a secção 524B(b). A orientação final da FDA para a fase pré-comercialização explica como as informações de conceção, gestão de riscos e ensaios podem sustentar esses requisitos legais.

Limites da orientação da FDA

A definição de ciberdispositivo não delimita todas as expectativas da FDA em matéria de cibersegurança. A orientação final da FDA, de fevereiro de 2026, aborda a conceção, a rotulagem e a documentação de cibersegurança pré-comercialização para dispositivos com risco de cibersegurança e indica que os ciberdispositivos abrangidos pela secção 524B constituem um subconjunto dos dispositivos incluídos no âmbito da orientação.

• Um dispositivo pode necessitar de evidências de gestão dos riscos de cibersegurança da FDA, mesmo que o promotor conclua que a secção 524B não se aplica.
• Um dispositivo sem ligação à Internet pode ainda suscitar questões de cibersegurança por causa do software, das portas locais, dos suportes amovíveis, dos mecanismos de atualização ou do ambiente operacional.
• Uma conclusão de que se trata de um ciberdispositivo não demonstra, por si só, uma garantia razoável de segurança, eficácia ou cibersegurança.
• A orientação da FDA não é vinculativa, enquanto a secção 524B é legislação aplicável às submissões que preencham os critérios.

Modificações e versões instaladas no terreno

As informações exigidas pela secção 524B podem variar consoante o tipo de alteração. O princípio do menor ónus da FDA significa que uma submissão de alteração relativa a um ciberdispositivo se deve centrar no impacto da alteração na cibersegurança, na arquitetura atual do dispositivo, nas versões instaladas no terreno afetadas e nos elementos legais exigidos. Uma alteração sem impacto na cibersegurança não requer o mesmo nível de detalhe que uma alteração à conectividade, à infraestrutura de atualização, à autenticação, à cifragem, aos serviços na nuvem ou ao software de terceiros.