FDA fortsetter sitt fokus på cybersikkerhet innen medisinsk utstyr

I et stadig mer digitalisert samfunn er cybersikkerhet en bekymring for alle bransjer. For medisinsk utstyrssektoren er imidlertid risikoen fra cybertrusler enda større, gitt at cyberangrep kan sette pasienters liv i fare. Det amerikanske mat- og legemiddeltilsynet (FDA) har prioritert å håndtere disse risikoene de siste årene, ettersom de oppdaterer sine veiledningsdokumenter for cybersikkerhetskrav for medisinsk utstyr.

I september i fjor publiserte FDA sin endelige veiledning, « Cybersecurity in Medical Devices: Quality System Considerations and Content of Premarket Submissions », som gir anbefalinger for å beskytte medisinsk utstyr gjennom hele produktets livssyklus. Ifølge FDA er «disse anbefalingene ment å fremme konsistens, legge til rette for effektiv gjennomgang før markedsføring og bidra til å sikre at markedsført medisinsk utstyr er tilstrekkelig motstandsdyktig mot cybersikkerhetstrusler».

Den endelige veiledningen var allerede i utkastform da Food and Drug Omnibus Reform Act av 2022 (FDORA) ble undertegnet. FDA valgte å fortsette med den eksisterende veiledningen og ta opp kravene til cybersikkerhet for medisinsk utstyr i FDORA på et senere tidspunkt.

Siste oppdateringer

I mars 2024 publiserte FDA sitt utkast til veiledning, « Select Updates for the Premarket Cybersecurity Guidance: Section 524B of the FD&C Act », for å gi produsenter klarhet rundt nye bestemmelser i Food, Drug, & Cosmetics (FD&C) Act som ble lagt til av FDORA. Dokumentet skisserer informasjonen om cybersikkerhet som FDA anser som «generelt nødvendig for å støtte forpliktelser i henhold til seksjon 524B i FD&C Act». Retningslinjene sier også at disse forpliktelsene gjelder for alle enheter som oppfyller definisjonen av en «cyberenhet» i alle søknader eller innsendinger før markedsføring under de fleste søknadsveier, inkludert 510(k), Premarket Approval Application (PMA), Product Development Protocol (PDP), De Novo eller Humanitarian Device Exemption (HDE).

Utkastet til veiledning klargjør også definisjonen av en «cyberenhet» i henhold til paragraf 524B. Dette inkluderer enheter som (i) er eller inneholder programvare; (ii) er i stand til å koble seg til internett, enten med vilje eller utilsiktet; og (iii) inneholder slike teknologiske egenskaper som kan være sårbare for cybersikkerhetstrusler.

FDA gir ytterligere innsikt i cyberenheter som har muligheten til å koble seg til internett. Alle produsenter bør følge nøye med på disse kravene, fordi de gjelder enten sponsoren har til hensikt at enheten faktisk skal koble seg til internett eller ikke.

De foreslåtte oppdateringene gir også anbefalinger for å oppfylle kravene i paragraf 524B knyttet til dokumentasjon, modifikasjoner og rimelig forsikring om cybersikkerhet. Bransjeinteressenter har frem til 13. mai 2024 med å sende inn kommentarer før FDA begynner arbeidet med å lage en endelig versjon av veiledningsdokumentet.

Ser fremover

De fleste produsenter burde allerede innlemme de fleste av disse praksisene i sine førmarkedsinnsendinger, gitt at den endelige veiledningen for cybersikkerhet i medisinsk utstyr trådte i kraft i september 2023. FDAs anbefalinger i det oppdaterte utkastet til veiledning kan imidlertid gi nyttig informasjon for produsenter for å sikre at de inkluderer alle nødvendige komponenter i FDA-dokumentasjonen.

Medisinsk utstyrsbransjen kan forvente at FDA vil fortsette å prioritere cybersikkerhet, spesielt ettersom flere enheter blir tilkoblet og kunstig intelligens og maskinlæringsaktiverte enheter blir mer utbredt. Det er i produsenters og sponsorers beste interesse å følge nøye med på ny utvikling og holde seg oppdatert på beste praksis innen cybersikkerhet. Forberedelse av tilbakekalling vil også være avgjørende ettersom tilkoblede enheter introduserer nye risikoer. Det vil være viktig for medisinsk utstyrsselskaper å sørge for at ikke bare deres førmarkedsinnsendinger er i samsvar med de nye reglene, men at tilbakekallingsplanene deres også revideres for å ta i bruk eventuelle nye hensyn.