Alors que l'équipe de cybersécurité de la Food and Drug Administration (FDA) américaine célèbre ses dix ans d'existence, l'agence souligne son engagement continu à protéger les dispositifs médicaux contre les menaces numériques susceptibles d'affecter la sécurité des patients et l'efficacité des appareils. L'administration définit la cybersécurité des dispositifs médicaux comme le processus proactif visant à empêcher l'accès non autorisé, la modification ou l'utilisation abusive des informations stockées ou transmises vers et depuis un dispositif médical.
Évolution des directives réglementaires
La FDA a publié le 27 juin 2025 des directives finales intitulées "Cybersécurité des dispositifs médicaux : considérations sur le système qualité et contenu des demandes de pré-commercialisation". Ce document remplace les directives de 2023 et ajoute une section spéciale (section VII) traitant des recommandations de l'agence concernant la section 524B de la loi sur les aliments, les médicaments et les cosmétiques (FD&C Act) relative aux dispositifs cybernétiques. Cette mesure vise à intégrer la cybersécurité dans la conception des dispositifs dès les premières étapes afin d'assurer une protection tout au long du cycle de vie complet du produit (TPLC).
Pourquoi cette nouvelle est-elle importante ?
L'importance de ces mises à jour réside dans la dépendance croissante vis-à-vis des dispositifs médicaux connectés au réseau, ce qui les rend vulnérables à des attaques pouvant entraîner une interruption de service ou une fuite de données sensibles. En collaborant avec des entités techniques telles que MITRE, la FDA travaille au développement de normes telles que la "nomenclature logicielle" (SBOM) pour garantir la cohérence des données et faciliter la gestion des risques dans les dispositifs hérités (Legacy Devices) qui pourraient manquer de mises à jour de sécurité récentes.
Gestion des risques et alertes
L'agence continue d'émettre des alertes de sécurité périodiques lorsque des vulnérabilités sont détectées dans des dispositifs spécifiques, tels que les moniteurs de patients des sociétés Contec et Epsimed, ou les pompes à insuline de Medtronic. L'administration souligne que ces alertes visent à guider les établissements de santé dans la prise de mesures préventives immédiates pour réduire les risques d'accès non autorisé. L'administration encourage également les fabricants et les utilisateurs à consulter régulièrement les documents d'orientation mis à jour pour garantir la conformité aux dernières normes de sécurité numérique.