> For the complete documentation index, see [llms.txt](https://docs.medcrypt.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.medcrypt.com/fr/helm/ensure-fda-readiness/fda-and-cisa-cybersecurity-requirements-for-medical-devices.md). # Exigences de cybersécurité de la FDA et de la CISA pour les dispositifs médicaux {% hint style="warning" %} **IMPORTANT :** Ce sujet a été mis à jour pour la dernière fois à la suite de la mise à jour majeure des recommandations de la FDA en juin 2025. Bien que Medcrypt s’efforce de tenir ces informations à jour, vous devez toujours consulter les dernières recommandations. {% endhint %} > « L’avenir de la cybersécurité ne consiste pas à ériger des murs toujours plus hauts, mais à concevoir des systèmes plus intelligents, capables de s’adapter et d’apprendre de chaque nouveau défi. » > > — Dan Schulman, PDG de PayPal ## Mises à jour majeures de la FDA (juin 2025) **Changements majeurs à connaître :** * **Nouvelle définition élargie de « cyberdispositif »** — les dispositifs répondant à [l’ensemble des trois critères](#what-defines-a-cyber-device-now) sont désormais concernés * **Le Secure Product Development Framework (SPDF) est vivement recommandé** pour tous les dossiers soumis * **Exigences de documentation renforcées** pour les dossiers soumis via eSTAR * **La « sécurité dès la conception » est désormais une obligation légale** en vertu de la partie 820 du titre 21 du CFR ### **Applicabilité et calendrier** * **Pour les dispositifs soumis avant le 29 mars 2023 :** Les exigences de cybersécurité ne s’appliquent pas aux demandes soumises avant cette date. * **Pour les dispositifs déjà autorisés :** Si vous apportez des modifications qui nécessitent un examen préalable à la mise sur le marché, les exigences de cybersécurité s’appliquent au nouveau dossier soumis. {% hint style="danger" %} **Exceptions importantes :** * **Dispositifs de classe III ou modifications nécessitant un nouveau 510(k) :** Presque toutes les modifications doivent être examinées, et les modifications non déclarées doivent tout de même être documentées chaque année. * **Les exigences après commercialisation restent applicables :** En vertu des parties 820 et 806 du titre 21 du CFR (corrections et retraits), vous devez toujours gérer les problèmes de cybersécurité après commercialisation conformément aux recommandations applicables. {% endhint %} *** ## Aperçu de l’atténuation des risques selon la FDA {% hint style="warning" %} Cette liste n’est pas exhaustive. Nous vous recommandons de consulter les ressources de la FDA pour planifier et mettre en œuvre des stratégies d’atténuation des risques. {% endhint %} Selon les dernières recommandations de la FDA, vous devez désormais démontrer **une « assurance raisonnable en matière de cybersécurité »** au moyen des éléments suivants : ### Exigences principales (mises à jour en juin 2025) : 1. **Secure Product Development Framework (SPDF)** intégré à votre système de management de la qualité 2. Stratégie d’identification, de surveillance et de traitement des vulnérabilités et des exploits en matière de cybersécurité 3. Plan de divulgation coordonnée des vulnérabilités et protocoles de réponse aux incidents 4. Plan de mises à jour et de correctifs après commercialisation, selon des cycles réguliers et d’urgence 5. **Software Bill of Materials (SBOM)** pour tous les composants commerciaux, open source et disponibles sur étagère ## Exigences de déclaration des cyberincidents de la CISA ### **Calendrier** * **Règle définitive :** Prévue en octobre 2025 * **Mise en œuvre :** 2026 * **S’applique à :** Plus de 316 000 entités, notamment des hôpitaux et des fabricants de dispositifs médicaux ### **Délais de déclaration** * **Incidents cyber majeurs :** Déclarer à la CISA dans un délai de **72 heures** * **Paiements de rançon :** Signalez l’incident à CISA dans les **24 heures** * **Entités concernées :** Infrastructures critiques, notamment les établissements de santé et les fabricants de dispositifs médicaux ### **Ce que vous devez préparer DÈS MAINTENANT** 1. Déterminez si vous êtes une « entité assujettie » au titre de CIRCIA 2. Établissez des procédures de réponse aux incidents respectant ces délais serrés 3. Mettez en place des capacités de signalement via le nouveau portail de CISA 4. Formez votre équipe à l’identification et au signalement rapides des incidents > « Le rythme de l’évolution technologique nous oblige à repenser nos stratégies de sécurité et à adopter un état d’esprit proactif plutôt que réactif. » > > -Bruce Schnier *** ## Qu’est-ce qui définit désormais un dispositif cyber ? {% hint style="success" %} **À retenir :** Si vous n’avez pas spécifiquement conçu votre dispositif pour qu’il NE soit PAS connecté, la FDA part du principe qu’il PEUT être connecté. {% endhint %} La FDA considère désormais qu’un dispositif est un « dispositif cyber » s’il répond aux trois critères suivants : 1. **Contient un logiciel** (validé, installé ou autorisé par le promoteur) 2. **Peut se connecter à Internet** (intentionnellement OU non) 3. **Comporte des caractéristiques technologiques** susceptibles d’être vulnérables aux menaces de cybersécurité #### **⚠️ Changement majeur :** **TOUTES** ces interfaces rendent désormais votre dispositif « connectable », à moins que vous ne puissiez prouver le contraire : * Ports USB, connexions Ethernet, ports série * Wi-Fi, Bluetooth, Bluetooth Low Energy, réseau cellulaire * Communications RF, connexions au cloud * Tout connecteur matériel capable de permettre une connexion à Internet ## **Nouvelles exigences obligatoires pour les dispositifs cyber** ### **1. Cadre de développement sécurisé des produits (SPDF)** * Doit être intégré à votre système de management de la qualité * Couvre l’ensemble du cycle de vie du produit (TPLC) * Impose la « sécurité dès la conception » dès la première ligne de code * Vous devez démontrer la mise en œuvre de contrôles de conception en matière de cybersécurité au titre du 21 CFR Part 820 ### **2. Documentation requise** Votre dossier de soumission doit inclure une documentation complète sur la cybersécurité, dont l’étendue est adaptée au niveau de risque de votre dispositif : **Documents essentiels :** * Évaluation des risques de cybersécurité et plan de gestion * Analyse du modèle de menaces * Éléments probants de la mise en œuvre du SPDF * SBOM (conforme aux exigences minimales de la NTIA) * Plan de surveillance et de gestion des vulnérabilités * Rapports de tests d’intrusion * Documentation sur l’architecture de sécurité ### **3. Cinq objectifs de sécurité essentiels** Votre dispositif doit prendre en compte : 1. **Authenticité :** Vérifier l’identité du dispositif et de l’utilisateur 2. **Autorisation :** Contrôler les accès de manière appropriée 3. **Disponibilité :** Maintenir le fonctionnement du dispositif 4. **Confidentialité :** Protéger les données sensibles 5. **Mises à jour sécurisées :** Permettre l’application sécurisée de correctifs et de mises à jour ## **Que comprend un dispositif médical ?** > « La définition d’un dispositif médical ne se limite pas aux équipements lourds : elle englobe également les instruments chirurgicaux, les systèmes de surveillance des patients et même les logiciels. L’étendue et la diversité du domaine, conjuguées au rôle essentiel des dispositifs médicaux pour la vie et la sécurité, exigent une approche délibérée et ciblée de la cybersécurité afin d’assurer leur résilience tout au long de leur cycle de vie. »\ > —Nancy Brainerd (CISSP/CIPP), directrice principale de la sécurité des produits **Le périmètre des dispositifs médicaux comprend :** * Équipements médicaux lourds * Instruments chirurgicaux dotés de composants électroniques * Dispositifs de surveillance des patients * Applications logicielles médicales * Équipements de diagnostic connectés * Tout dispositif comportant des composants logiciels et pouvant être connecté *** ## **Examen approfondi des exigences de la FDA** ### **Vulnérabilités et exploits de cybersécurité après la mise sur le marché** **Section 524B(b)(1)** de la loi FD\&C exige que vous fournissiez un plan visant à surveiller, détecter et traiter, selon qu’il convient et dans un délai raisonnable, les vulnérabilités et exploits de cybersécurité après la mise sur le marché, y compris la divulgation coordonnée des vulnérabilités et les procédures associées. ### **Exigences relatives aux mises à jour et aux correctifs** * **Vulnérabilités connues et acceptables :** **Sections 524B(b)(2) et 524B(b)(2)(A)** exigent que vous mettiez à disposition, après la mise sur le marché, des mises à jour et des correctifs pour le dispositif et les systèmes associés afin de traiter ces vulnérabilités, selon un calendrier régulier dûment justifié. * **Vulnérabilités critiques susceptibles d’entraîner des risques non maîtrisés :** **Sections 524B(b)(2) et 524B(b)(2)(B)** exigent que vous mettiez à disposition, après la mise sur le marché, des mises à jour et des correctifs pour le dispositif et les systèmes associés afin de traiter ces vulnérabilités, dès que possible, en dehors du cycle prévu. * Vous devez démontrer votre capacité à appliquer des correctifs selon les procédures courantes et d’urgence pendant tout le cycle de vie du dispositif. ### **Normes de documentation** Les recommandations de 2025 mettent l’accent sur **une documentation fondée sur les risques,** de sorte que le niveau de détail de votre dossier de soumission doit correspondre au niveau de risque de cybersécurité de votre dispositif, et non à des exigences documentaires arbitraires. *** ## **Bonnes pratiques du secteur et erreurs courantes** > « Le rythme du changement technologique nous oblige à repenser nos stratégies de sécurité et à adopter une approche proactive plutôt que réactive. »\ > —Bruce Schneier ### **🚫 Risques courants entraînant un rejet par la FDA** 1. **Utilisation d’une authentification propriétaire :** La FDA privilégie les méthodes normalisées largement éprouvées 2. **Clés partagées entre les dispositifs :** Chaque dispositif doit avoir ses propres clés cryptographiques 3. **Interfaces NFC/RFID non protégées :** Peuvent créer des vulnérabilités inattendues 4. **Absence d’authentification des canaux :** Les communications doivent être signées et chiffrées 5. **Modélisation des menaces inadéquate :** Elle doit couvrir votre dispositif particulier et son environnement d’utilisation ### **✅ Ce que la FDA attend** * **Modélisation exhaustive des menaces** reposant sur des cadres reconnus * **Preuves de tests de sécurité** notamment des tests d’intrusion * **Processus clair de gestion des vulnérabilités** avec des délais définis * **Informations de sécurité destinées aux utilisateurs** dans l’étiquetage du dispositif * **Participation à une organisation de partage et d’analyse de l’information (ISAO)** *** ## **Exigences relatives à l’étiquetage du dispositif** Votre programme de cybersécurité doit couvrir l’étiquetage, notamment : ### **Instructions destinées aux utilisateurs** * Mesures de cybersécurité recommandées pour l’environnement d’utilisation prévu * Mesures de sécurité avec lesquelles les utilisateurs interagissent (mots de passe, mises à jour, etc.) * Exigences de configuration (recommandations concernant les pare-feu, etc.) ### **Documentation technique** * Déclaration du fabricant relative à la sécurité des dispositifs médicaux (MDS2) * SBOM complète : la SBOM doit être complète et toute la documentation requise doit être préparée en vue de la soumission réglementaire. Bien que la FDA recommande de fournir les SBOM aux clients par souci de transparence, cela accroît la surface d’attaque exposée, un risque que votre entreprise doit évaluer avec soin. * Capacités de journalisation et instructions de collecte des journaux à des fins d’analyse forensique ## **Élaborer votre stratégie de cybersécurité mise à jour** #### **Mesures à prendre immédiatement :** 1. **Consultez les recommandations de la FDA de juin 2025 :** Télécharger depuis FDA.gov 2. **Déterminez si votre dispositif est un « cyber device »** au sens de la définition élargie. 3. **Mettre en œuvre le SPDF** dans votre système de management de la qualité. 4. **Préparez-vous aux signalements à la CISA :** Établissez des procédures de réponse aux incidents. 5. **Mettez à jour la documentation** pour satisfaire à l’exigence des 12 documents pour la soumission eSTAR #### **Principales normes de référence :** * **AAMI SW96** (désormais reconnue par la FDA) * **ISO 14971** (management des risques liés à la sécurité) * **AAMI TIR 57** (management des risques de cybersécurité) * **IEC 81001-5-1** (sécurité des logiciels de santé) #### **Considérations technologiques :** * Choisissez des algorithmes de chiffrement éprouvés à grande échelle * Mettez en œuvre une gestion appropriée des clés, avec des clés uniques pour chaque dispositif * Prévoyez des mécanismes de mise à jour sécurisés * Tenez compte des contraintes liées aux ressources matérielles lors de la conception * Assurez-vous de disposer de capacités de journalisation d’audit * **Compromis liés à la divulgation de la SBOM :** Mettez en balance les recommandations de transparence de la FDA et l’augmentation de la surface d’attaque résultant de la divulgation des détails des composants à des acteurs malveillants potentiels. *** ## **Ressources et prochaines étapes** **Recommandations de la FDA de juin 2025 :** #### **Ressources officielles de la FDA :** * **Recommandations de juin 2025 (PDF) :** * **Page des recommandations :** * **FAQ de la FDA sur la cybersécurité :** * **Page principale de la FDA sur la cybersécurité :** #### **Ressources de la CISA :** * **Informations sur la CIRCIA :** * **Portail des services de la CISA :** Pour le signalement des incidents, lorsque les exigences entreront en vigueur #### **Outils du secteur :** * **Guides pratiques de MITRE sur les dispositifs médicaux :** Conseils sur la réponse aux incidents et la modélisation des menaces ( - le PDF du guide pratique doit être téléchargé depuis le site) * **MedISAO :** Organisation de partage d’informations sur la cybersécurité des dispositifs médicaux () *** ## **Points clés à retenir** {% hint style="success" %} **En résumé :** La cybersécurité est désormais indissociable de la sécurité et de l’efficacité des dispositifs. Les directives de la FDA de 2025 en font un pilier central de la conformité des dispositifs médicaux et exigent une gestion proactive de la sécurité intégrée à l’ensemble du cycle de vie. {% endhint %} * **Le paysage de la cybersécurité a fondamentalement changé :** La conformité n’est plus facultative : elle constitue une exigence fondamentale de sécurité. * **La « sécurité dès la conception » est désormais une obligation légale :** Intégrez immédiatement le SPDF à votre processus de développement. * **Les obligations de signalement à la CISA approchent rapidement :** Préparez dès maintenant vos procédures de réponse aux incidents. * **Les exigences en matière de documentation se sont considérablement étoffées :** Prévoyez le temps et les ressources nécessaires. * **La définition de la connectivité des dispositifs est beaucoup plus large :** Considérez votre dispositif comme « connectable », à moins de pouvoir prouver le contraire. --- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://docs.medcrypt.com/fr/helm/ensure-fda-readiness/fda-and-cisa-cybersecurity-requirements-for-medical-devices.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.