美国的新网络安全要求

网络安全是当今市场上医疗设备制造商和其他行业的一个关键考虑因素。 我以前写过关于 FDA 对网络安全文档的期望 用于医疗设备提交，并在 Medical Device Playbook Toronto 上谈到了这个话题。

最近，我们了解到美国正在对被视为“网络设备”的医疗设备实施新的网络安全要求。 美国政府定义了一种网络设备，该设备：

• 包括由赞助商验证、安装或授权作为设备或在设备中的软件；
• 能够连接到互联网；
• 包含赞助商验证、安装或授权的任何此类技术特性，这些特性可能容易受到网络安全威胁。

这更加有趣，因为这些新要求尚未直接从 FDA 传达或在行业新闻中广泛讨论。 我想与我们的读者分享这些信息，以便您也能意识到这一点并积极主动地为这一变化做好准备。

对于目前准备提交的业内人士来说，这是一个热门话题。 您需要确保生成正确的文档并将其作为提交的一部分提供，以避免提交过程中的额外信息请求和延迟。

新要求

21 年 2022 月 XNUMX 日，美国政府批准了一项综合法案¹ （”2023年综合拨款法”），这主要是关于确保政府活动的资金到 2023 年 XNUMX 月，但也包括一个小节解决 FDA 对医疗设备网络安全的控制。

该法案包括惊人的 4,155 页，其中隐藏在第 3,537 页的关键部分确定了一组网络安全要求，政府希望从任何根据第 510(k) 节提交申请或提交的人那里收到、513、515(c)、515(f) 或 520(m) 与《食品、药品和化妆品法》相关。 这意味着根据 IDE、510(k)、De Novo 或 PMA 途径提交医疗器械以供批准或批准的任何人现在都需要提供以下内容：

• (b) 网络安全要求——第 3 小节中描述的申请或提交的发起人
  • (a) 应——
    • (1) 向部长提交一份计划，以在合理的时间内酌情监控、识别和解决上市后网络安全漏洞和利用，包括协调的漏洞披露和相关程序；
    • (2) 设计、开发和维护流程和程序，以合理保证设备和相关系统的网络安全，并为设备和相关系统提供上市后更新和补丁，以解决——
      • (A) 在合理合理的定期周期内，已知不可接受的漏洞； 和
      • (B) 尽快跳出周期，可能导致不可控风险的关键漏洞；
    • (3) 向部长提供软件材料清单，包括商业、开源和现成的软件组件； 和
    • (4) 遵守部长可能通过法规要求的其他要求，以证明对设备和相关系统是网络安全的合理保证。

它还声明这些附加要求将生效 为期90天 自本法颁布之日起，合规日期为 21 年 2023 月 XNUMX 日。

冲突信息：

目前，如我们的白皮书所述 FDA 网络安全指南草案, FDA 的适用最终指南概述于 医疗器械网络安全管理上市前提交的内容 日期为 2014 年。但是，在 2022 年，FDA 发布了更新的指南草案， 医疗器械中的网络安全：质量体系考虑和上市前提交的内容，这大大扩展了对网络安全活动和文档的期望。 据了解，2022 年版本是 FDA 当前对这一主题的想法，而 2014 年最终指南是目前有效并正在执行的指南。

FDA 确实确认他们打算在今年完成 2022 年指南草案，当时他们传达了 2023 年优先考虑的目标指南（CDRH 2023 财年 (FY2023) 拟议指南 | 食品及药物管理局)，但是我们还没有看到任何具体的发布日期或有关编辑范围的详细信息，或者与 2022 年草案相比最终指南将如何修订。

综合法案中概述的义务介于指南的 2014 年版和 2022 年版之间，这些义务从目前正在执行的义务中得到扩展，但没有 2022 年草案中概述的义务那么广泛。

当前的最终指南部分涵盖了上市后计划以及流程和程序方面，但没有逐字逐句明确。 添加软件物料清单 (sBOM) 是当前最终指南的新内容，但包含在 2022 年指南草案中。 最后一项要求似乎是一个包罗万象的声明，允许 FDA 和相关政府机构根据需要适应最佳实践。

FDA 建议使用 eSTAR 包进行提交，以确保提供正确的内容。 当前模板版本 2-2 仅要求提供以下与网络安全相关的文件：风险管理文件、网络安全管理计划或持续支持计划，以及标签中对网络安全内容的引用。 我们应该期望这个模板被更新以反映任何额外的要求。

该法案确实明确提到了题为“医疗器械网络安全管理的上市前提交内容”（或后续文件）的指南，以及 FDA 有义务对其进行审查并根据“设备制造商、健康护理提供者、第三方设备服务商、患者倡导者和其他适当的利益相关者。” 但法案这方面的时限不迟于两年，这与 90 天的预期相冲突。

剩余问题：

这就是问题的症结所在，行业如何应对这些相互冲突的要求？

该法案规定，FDA 应在该法案生效后的 180 天内提供资源，包括更新 FDA 的网络安全网站。 但同样，这是在行业截止日期之后。

我们将不得不等待，看看何时通过更新指南或其他方式将其正式传达给行业。 希望这会很快发生，以明确这些期望。

¹ An 综合法案 是一个提议 法律 涵盖许多不同或不相关的主题 综合法案——维基百科

图片： CanStock照片

海伦·西蒙斯 是一个 品质保证 StarFish Medical 的经理。 Helen 的教育背景是机械工程，具有跨多个行业的产品开发和 QMS 开发背景，从消费品和工业产品到医疗设备、IVD 和组合设备。



---

• SEO 支持的内容和 PR 分发。 今天得到放大。
• 柏拉图区块链。 Web3 元宇宙智能。 知识放大。 访问这里。
• Sumber: https://starfishmedical.com/blog/new-cybersecurity-requirements-in-the-us/