FDA over cyberbeveiligingsgerelateerde inhoud van premarket-inzendingen

Inhoudsopgave

De nieuwste versie van het document is uitgegeven in oktober 2014. Vanwege de juridische aard ervan introduceert de FDA-richtlijn zelf geen vereisten, maar biedt deze aanvullende verduidelijkingen en aanbevelingen waarmee de betrokken partijen rekening moeten houden. Bovendien stelt het Agentschap dat een alternatieve aanpak kan worden toegepast, op voorwaarde dat een dergelijke aanpak voldoet aan de respectieve wettelijke vereisten en vooraf door de autoriteit is goedgekeurd. De FDA behoudt zich tevens het recht voor om wijzigingen aan te brengen in de daarin gegeven aanbevelingen indien dit redelijkerwijs noodzakelijk wordt geacht om wijzigingen in de toepasselijke wetgeving weer te geven.

Regelgevende achtergrond 

Het Agentschap erkent het toenemende belang van cyberbeveiligingskwesties met betrekking tot medische hulpmiddelen die op de Amerikaanse markt worden gebracht. Tegenwoordig vereisen steeds meer medische apparaten verbinding met lokale en/of mondiale netwerken om hun normale werking te garanderen. Talrijke medische hulpmiddelen zijn ook betrokken bij de uitwisseling van patiëntgerelateerde informatie, die van nature gevoelig is. Het is dus belangrijk ervoor te zorgen dat het gebruik van dergelijke hulpmiddelen niet leidt tot ongerechtvaardigde risico's voor patiënten. Om fabrikanten van medische apparatuur en andere partijen te helpen bij het identificeren van potentiële risico's die verband houden met cyberbeveiligingsproblemen, heeft de FDA de huidige richtlijnen uitgegeven waarin de belangrijkste aspecten worden benadrukt waarmee rekening moet worden gehouden in alle stadia van de levenscyclus van het product, van de ontwikkeling tot de post-marketing. onderhoud. Het document biedt ook aanvullende verduidelijkingen met betrekking tot de wettelijke vereisten voor de informatie die fabrikanten van medische hulpmiddelen moeten verstrekken bij het aanvragen van goedkeuring voor het in de handel brengen van hun producten. 

De reikwijdte van de huidige FDA-richtlijnen omvat de informatie die moet worden opgenomen in pre-market-inzendingen in termen van cyberbeveiligingsgerelateerde zaken. Volgens het document is Effectief cyberbeveiligingsbeheer is bedoeld om het risico voor patiënten te verminderen door de kans te verkleinen dat de functionaliteit van apparaten opzettelijk of onopzettelijk in gevaar wordt gebracht door ontoereikende cyberbeveiliging. 

De aanbevelingen uit de leidraad kunnen worden toegepast op typen pre-marketinginzendingen, zoals:

Ten eerste geeft de FDA de definities van de belangrijkste termen en concepten die worden gebruikt in de context van cyberbeveiligingsgerelateerde zaken, waaronder de volgende:

• authenticatie – de handeling waarbij de identiteit van een gebruiker, proces of apparaat wordt geverifieerd als voorwaarde voor het verlenen van toegang tot het apparaat, de gegevens, informatie of systemen ervan.
• Cyberbeveiliging – het proces van het voorkomen van ongeoorloofde toegang, wijziging, misbruik of weigering van gebruik, of het ongeoorloofde gebruik van informatie die wordt opgeslagen, geopend of overgedragen van een medisch apparaat naar een externe ontvanger. 
• Versleuteling - de cryptografische transformatie van gegevens in een vorm die de oorspronkelijke betekenis van de gegevens verbergt om te voorkomen dat deze bekend of gebruikt worden. 

Basisprincipes 

In het richtsnoer worden verder de algemene beginselen beschreven waarop de huidige regelgevingsaanpak is gebaseerd. Volgens het document moet de fabrikant van medische hulpmiddelen verantwoordelijk zijn voor de maatregelen en controles die nodig zijn om ervoor te zorgen dat het medische hulpmiddel voldoet aan de toepasselijke wettelijke eisen op het gebied van cyberbeveiliging en op een veilige en efficiënte manier functioneert. 

De autoriteit erkent echter dat cyberbeveiliging van medische hulpmiddelen in het algemeen een gedeelde verantwoordelijkheid van alle betrokken partijen moet zijn. Potentiële cyberbeveiligingsproblemen kunnen de normale werking van een medisch apparaat beïnvloeden en resulteren in gegevensverlies of zelfs schade aan de gezondheid van de patiënt. 

Vanwege het belang van cyberbeveiligingskwesties moeten fabrikanten van medische hulpmiddelen er vanaf het begin – vanaf de eerste ontwikkelingsfase – rekening mee houden, omdat dit dergelijke risico’s het meest efficiënt zal beperken. Het Agentschap stelt met name dat de Fabrikanten moeten ontwerpinputs voor hun apparaat met betrekking tot cyberbeveiliging vaststellen en een cyberbeveiligingskwetsbaarheid en -beheerbenadering vaststellen als onderdeel van de softwarevalidatie en risicoanalyse die vereist is door 21 CFR 820.30(g). 

De door de fabrikant van medische hulpmiddelen toe te passen benadering van het cyberbeveiligingsbeheer omvat de volgende aspecten: 

• Identificatie van bestaande en potentiële cyberbeveiligingsproblemen en kwetsbaarheden;
• Analyse van de impact die de bovengenoemde kwetsbaarheden mogelijk kunnen veroorzaken op de werking van het apparaat zelf, evenals op de gezondheid en veiligheid van de patiënten;
• Beoordeling van de verwachte waarschijnlijkheid van de problemen die verband houden met dergelijke kwetsbaarheden;
• Identificatie van risiconiveaus, bepaling van de strategieën en benaderingen die kunnen worden toegepast om dergelijke risico's te beperken;
• Beoordeling van de resterende risico's die verband houden met cyberbeveiliging, evenals criteria voor risicoacceptatie. 

Belangrijke cyberbeveiligingsfuncties 

Om fabrikanten van medische apparatuur te helpen bij het implementeren van de hierboven beschreven principes, biedt de richtlijn aanbevelingen met betrekking tot de specifieke functies die verband houden met cyberbeveiliging, namelijk:

• Identificeren, 
• Beschermen,
• detecteren,
• Reageer, en
• Herstellen.  

Het document beschrijft verder in detail elk van deze functies en hoe deze door de fabrikant van medische apparatuur moeten worden geïmplementeerd. 

1. Identificeer en bescherm. Het Agentschap stelt dat medische apparaten die kunnen worden aangesloten op andere apparaten, lokale of mondiale netwerken of zelfs media de meeste aandacht vereisen op het gebied van cyberbeveiliging, in tegenstelling tot apparaten die op geen enkele manier met elkaar verbonden zijn. De specifieke cyberbeveiligingsmaatregelen en -controles die moeten worden toegepast, zijn afhankelijk van tal van factoren, waaronder het beoogde gebruik van het medische hulpmiddel in kwestie, de omgeving waarin het zal worden gebruikt en de geïdentificeerde kwetsbaarheden. Er moet ook rekening worden gehouden met de waarschijnlijkheid dat deze kwetsbaarheden zullen worden uitgebuit en met de daaraan verbonden risico's, waaronder het veroorzaken van mogelijke schade aan patiënten. Tegelijkertijd zorgt de fabrikant voor een optimaal evenwicht tussen het waarborgen van de veiligheid van het apparaat in termen van cybersecurity-gerelateerde zaken en de algemene bruikbaarheid van het product. In deze context worden fabrikanten van medische apparatuur aangemoedigd om de beveiligingsfuncties die in hun producten zijn geïmplementeerd te rechtvaardigen. 

2. Detecteren, reageren, herstellen. De fabrikanten moeten functies ontwikkelen en introduceren die beveiligingsproblemen opsporen en alle noodzakelijke informatie verstrekken aan de potentiële toepassingen. Dergelijke informatie moet de acties beschrijven in het geval dat zich verschillende cyberbeveiligingsproblemen voordoen. Het Agentschap benadrukt bovendien dat de door de fabrikant geïmplementeerde functies voldoende moeten zijn om de normale werking van een medisch hulpmiddel te garanderen, zelfs als zich een cyberbeveiligingsprobleem voordoet. Daarnaast moet er een technische mogelijkheid zijn voor een geauthenticeerde bevoorrechte gebruiker om de configuratie van het apparaat te herstellen. 

Samenvattend beschrijven de huidige FDA-richtlijnen in detail de belangrijkste aspecten waarmee fabrikanten van medische hulpmiddelen rekening moeten houden in de context van cyberbeveiligingskwesties. Het document schetst de belangrijkste verantwoordelijkheden van de fabrikant en geeft enkele aanbevelingen waarmee rekening moet worden gehouden in de verschillende stadia van het ontwikkelingsproces van medische hulpmiddelen. 

Bronnen:

https://www.fda.gov/media/86174/download 

Hoe kan RegDesk helpen?

RegDesk is webgebaseerde software van de volgende generatie voor bedrijven in medische apparatuur en IVD. Ons geavanceerde platform maakt gebruik van machine learning om informatie over regelgeving, voorbereiding, indiening en goedkeuring van applicaties wereldwijd te bieden. Onze klanten hebben ook toegang tot ons netwerk van meer dan 4000 compliance-experts over de hele wereld om verificatie van kritische vragen te verkrijgen. Aanvragen die normaal 6 maanden nodig hebben om voor te bereiden, kunnen nu binnen 6 dagen worden voorbereid met RegDesk Dash(TM). Wereldwijde expansie was nog nooit zo eenvoudig.​