FDA 第 524B 条：cyber device 要求

cyber device 需要同时满足三项条件

cyber device 是同时满足三项法定条件的医疗器械。它必须包含由提交方验证、安装或授权的软件，作为器械本身或器械中的软件；必须具备连接互联网的能力；还必须包含由提交方验证、安装或授权且可能受到网络安全威胁影响的技术特征。

Section 524B(c) of the FD&C Act defines "cyber device" as a device that (1) includes software validated, installed, or authorized by the sponsor as a device or in a device, (2) has the ability to connect to the internet, and (3) contains any such technological characteristics validated, installed, or authorized by the sponsor that could be vulnerable to the cybersecurity threats.

FDA 关于第 524B 条的 FAQ，引用 FD&C Act 第 524B(c) 条（英文原文）

非官方中文译文：FD&C Act 第 524B(c) 条将 cyber device 定义为同时满足以下条件的器械：（1）包含由申报方验证、安装或授权的软件，作为器械本身或在器械中使用；（2）具备连接互联网的能力；（3）包含由申报方验证、安装或授权且可能易受网络安全威胁影响的此类技术特征。

FDA 对互联网连接能力的解释较宽。固件和可编程逻辑在此视为软件。器械可能直接或间接连接互联网，也可能通过设计预期之外的方式连接；判断时需考虑器械的攻击面和使用环境。

适用的上市前申请路径

第 524B 条适用于为 cyber device 提交适用范围内 FDA 上市前申请的申请人。FDA 识别的路径包括 510(k)、PMA、产品开发协议（PDP）、De Novo 和 HDE，包括相关补充申请以及特别或简化 510(k) 申请。

法定要求不适用于 2023 年 3 月 29 日前向 FDA 提交的申请或申报。FDA FAQ 说明，自 2023 年 10 月 1 日起，FDA 认为申报方已有足够时间在 cyber device 申报材料中准备第 524B 条要求的信息。已获授权的 cyber device 如果因变更需要通过适用的申报路径提交新的上市前申请，该新申请必须满足第 524B 条。

必须提交的信息

第 524B 条要求申请材料说明 cyber device 如何满足第 524B(b) 条的网络安全要求。FDA 上市前网络安全正式指南解释了相关设计、风险管理和测试资料如何支持这些法定要求。

FDA 指南还涉及其他器械

FDA 的网络安全建议并不限于符合 cyber device 定义的器械。FDA 2026 年 2 月正式指南涉及具有网络安全风险的器械在上市前设计、标签和文件方面的内容。第 524B 条所称的 cyber device 只是该指南适用器械中的一部分。

• 即使提交方认为第 524B 条不适用，器械仍可能需要 FDA 网络安全风险管理证据。
• 不连接互联网的器械仍可能通过软件、本地端口、可移动介质、更新机制或运行环境产生网络安全问题。
• 判断器械符合 cyber device 定义，只是确定该条款是否适用，不能据此证明器械的安全性、有效性或网络安全。
• FDA 指南不具有强制性；第 524B 条则是成文法律，适用于符合其适用条件的申报。

变更内容与在用器械版本

第 524B 条信息可能随变更类型而不同。依据 FDA 在满足审评需要前提下尽量减轻负担的原则，cyber device 变更申请应重点说明变更的网络安全影响、当前器械架构、受影响在用版本和必要法定要素。不影响网络安全的变更，无需像连接、更新基础设施、认证、加密、云服务或第三方软件变更那样详细分析。