Nouvelles normes en cybersécurité Med Dev

L'évolution de la réglementation sur la cybersécurité des dispositifs médicaux

La gestion de la cybersécurité des produits par les fabricants de dispositifs médicaux fait l'objet d'attentes fortes de la part des autorités réglementaires depuis de nombreuses années.

Afin de les accompagner dans cette démarche aux États-Unis, la FDA a publié sa première ligne directrice sur la cybersécurité des dispositifs médicaux en 2005. Elle portait sur la Cybersécurité des dispositifs médicaux en réseau contenant des logiciels sur étagère (OTS).

Elle a été suivie en 2014 par la ligne directrice sur le Contenu des soumissions préalables à la commercialisation pour la gestion de la cybersécurité des dispositifs médicaux ainsi que celle sur la Gestion post-marché de la cybersécurité des dispositifs médicaux. Bien qu'utiles, les recommandations de ces documents ont été jugées insuffisantes et trop peu rigoureuses.

Cependant, depuis l'adoption de la loi américaine de 2023 sur les crédits consolidés (Consolidated Appropriations Act) et la mise à jour en 2023 de la ligne directrice de la FDA sur la Cybersécurité des dispositifs médicaux : considérations relatives au système qualité et contenu des soumissions préalables à la commercialisation, les exigences en matière de cybersécurité ont été considérablement renforcées. Cette ligne directrice pré-marché de 2023 remplace celle de 2014, qui avait fait l'objet de projets de révision en 2018 et 2022.

Au fil des ans, les lignes directrices pré-marché de la FDA ont connu une évolution majeure, passant d'un document relativement succinct de 9 pages en 2014 à un guide particulièrement complet de 57 pages en 2023.

L'adoption de la loi de 2023 sur les crédits consolidés a transformé ce qui n'était historiquement que de simples « recommandations » de la FDA en véritables obligations légales.

Par exemple, la section 3305 de cette loi impose au demandeur (par exemple, un fabricant de dispositifs médicaux) d'une soumission ou d'une demande d'autorisation (telle qu'une soumission pré-marché 510(k)) de :

1. Soumettre un plan de surveillance, d'identification et de traitement des vulnérabilités et failles de cybersécurité post-marché, incluant une procédure de divulgation coordonnée des vulnérabilités ;
2. Concevoir, développer et maintenir des processus et procédures pour fournir une assurance raisonnable que le dispositif et les systèmes associés sont cybersécurisés, et mettre à disposition des mises à jour et des correctifs post-marché pour traiter :
   • Selon un cycle régulier et dûment justifié, les vulnérabilités inacceptables connues ;
   • Le plus rapidement possible et hors cycle, les vulnérabilités critiques susceptibles d'engendrer des risques incontrôlés ;
3. Fournir au Secrétaire une nomenclature logicielle (SBOM - Software Bill of Materials), détaillant notamment les composants logiciels commerciaux, open source et sur étagère ;
4. Se conformer à toute autre exigence réglementaire édictée par le Secrétaire afin de démontrer une assurance raisonnable que le dispositif et ses systèmes associés sont cybersécurisés.

Une dynamique mondiale en faveur du renforcement de la cybersécurité des dispositifs médicaux

Dans la loi sur les crédits consolidés, les exigences relatives au plan de cybersécurité post-marché et à la nomenclature logicielle (SBOM) sont particulièrement notables, car elles n'avaient jamais fait l'objet d'une telle attention dans les dossiers réglementaires américains. Elles imposent un travail conséquent dès les toutes premières étapes de développement d'un dispositif médical. De plus, conformément à la ligne directrice pré-marché de 2023, les dossiers de soumission devront désormais inclure les résultats de tests d'intrusion (penetration testing) et d'exercices de modélisation des menaces (threat modeling), qui requièrent également des investissements importants en temps et en budget.

Ces attentes accrues ne se limitent pas aux seuls États-Unis. La directive européenne (UE) 2022/2555 sur la sécurité des réseaux et de l'information (« NIS2 ») impose désormais des mesures de gestion des risques de cybersécurité et des obligations de notification aux fabricants de produits de santé, ce qui inclut les substances chimiques (les principes actifs ou API), les produits pharmaceutiques et les dispositifs médicaux.

À l'instar des États-Unis, la ligne directrice de 2022 de la Therapeutic Goods Administration (TGA) d'Australie sur la cybersécurité des dispositifs médicaux pour l'industrie préconise une approche axée sur le cycle de vie complet du produit (TPLC - Total Product Lifecycle) pour la gestion de la cybersécurité. Elle exige également la réalisation de tests d'intrusion et d'exercices de modélisation des menaces dans le cadre du processus de gestion et d'évaluation des risques du dispositif.

De son côté, Singapour a annoncé en 2022 son intention de déployer un label de cybersécurité pour les dispositifs médicaux (CLS-MD - Cybersecurity Labelling Scheme for Medical Devices). Ce système d'étiquetage fait actuellement l'objet d'une phase de test (« sandbox »). Il repose sur une évaluation des dispositifs médicaux classés selon quatre niveaux de sécurité en fonction des exigences de cybersécurité respectées.

Ce label de cybersécurité permettra d'indiquer clairement le niveau de protection offert par chaque dispositif médical. Bien que reposant pour l'instant sur le volontariat, cette nouvelle initiative démontre la haute priorité accordée par le gouvernement de Singapour à la cybersécurité des dispositifs médicaux.

Au-delà de ces exemples, la prise de conscience quant à la nécessité de sécuriser les dispositifs médicaux est générale à travers le monde. Cela se traduit notamment par des initiatives globales de l'International Medical Device Regulators Forum (IMDRF), qui publie d'excellents guides techniques tels que Principles and Practices for Medical Device Cybersecurity, Principles and Practices for the Cybersecurity of Legacy Medical Devices ou encore Principles and Practices for Software Bill of Materials for Medical Device Cybersecurity.

Si vous développez ou commercialisez déjà un dispositif médical intégrant un logiciel, en particulier si ce dispositif peut être connecté électroniquement à d'autres équipements ou à un réseau, il est impératif de prendre la cybersécurité très au sérieux. Vous devez maîtriser pleinement les exigences et les attentes réglementaires des régions où vos produits sont ou seront vendus. Si vous souhaitez un accompagnement pour assurer votre conformité globale en matière de cybersécurité, n'hésitez pas à contacter Pure Global pour obtenir de l'aide.