FDA 第 524B 條：cyber device 要求

cyber device 需要同時滿足三項條件

cyber device 是同時滿足三項法定條件的醫療器械。它必須包含由提交方驗證、安裝或授權的軟件，作為器械本身或器械中的軟件；必須具備連接互聯網的能力；還必須包含由提交方驗證、安裝或授權且可能受到網絡安全威脅影響的技術特徵。

Section 524B(c) of the FD&C Act defines "cyber device" as a device that (1) includes software validated, installed, or authorized by the sponsor as a device or in a device, (2) has the ability to connect to the internet, and (3) contains any such technological characteristics validated, installed, or authorized by the sponsor that could be vulnerable to the cybersecurity threats.

FDA 關於第 524B 條的 FAQ，引用 FD&C Act 第 524B(c) 條（英文原文）

非官方中文譯文：FD&C Act 第 524B(c) 條將 cyber device 定義為同時滿足以下條件的器械：（1）包含由申報方驗證、安裝或授權的軟件，作為器械本身或在器械中使用；（2）具備連接互聯網的能力；（3）包含由申報方驗證、安裝或授權且可能易受網絡安全威脅影響的此類技術特徵。

FDA 對互聯網連接能力的解釋較寬。固件和可編程邏輯在此視為軟件。器械可能直接或間接連接互聯網，也可能通過設計預期之外的方式連接；判斷時需考慮器械的攻擊面和使用環境。

適用的上市前申請路徑

第 524B 條適用於為 cyber device 提交適用範圍內 FDA 上市前申請的申請人。FDA 識別的路徑包括 510(k)、PMA、產品開發協議（PDP）、De Novo 和 HDE，包括相關補充申請以及特別或簡化 510(k) 申請。

法定要求不適用於 2023 年 3 月 29 日前向 FDA 提交的申請或申報。FDA FAQ 説明，自 2023 年 10 月 1 日起，FDA 認為申報方已有足夠時間在 cyber device 申報材料中準備第 524B 條要求的信息。已獲授權的 cyber device 如果因變更需要通過適用的申報路徑提交新的上市前申請，該新申請必須滿足第 524B 條。

必須提交的信息

第 524B 條要求申請材料説明 cyber device 如何滿足第 524B(b) 條的網絡安全要求。FDA 上市前網絡安全正式指南解釋了相關設計、風險管理和測試資料如何支持這些法定要求。

FDA 指南還涉及其他器械

FDA 的網絡安全建議並不限於符合 cyber device 定義的器械。FDA 2026 年 2 月正式指南涉及具有網絡安全風險的器械在上市前設計、標籤和文件方面的內容。第 524B 條所稱的 cyber device 只是該指南適用器械中的一部分。

• 即使提交方認為第 524B 條不適用，器械仍可能需要 FDA 網絡安全風險管理證據。
• 不連接互聯網的器械仍可能通過軟件、本地端口、可移動介質、更新機制或運行環境產生網絡安全問題。
• 判斷器械符合 cyber device 定義，只是確定該條款是否適用，不能據此證明器械的安全性、有效性或網絡安全。
• FDA 指南不具有強制性；第 524B 條則是成文法律，適用於符合其適用條件的申報。

變更內容與在用器械版本

第 524B 條信息可能隨變更類型而不同。依據 FDA 在滿足審評需要前提下儘量減輕負擔的原則，cyber device 變更申請應重點説明變更的網絡安全影響、當前器械架構、受影響在用版本和必要法定要素。不影響網絡安全的變更，無需像連接、更新基礎設施、認證、加密、雲服務或第三方軟件變更那樣詳細分析。