Cybersécurité des dispositifs médicaux : les exigences de la FDA
Section 524B, contenu du dossier de soumission et tests attendus : ce que la FDA exige des fabricants de dispositifs médicaux connectés avant leur mise sur le marché américain.
Depuis le 29 mars 2023, la section 524B du Federal Food, Drug, and Cosmetic Act (FD&C Act) fait de la cybersécurité une exigence légale pour les dispositifs médicaux soumis à la FDA. Elle s'applique à toute demande de mise sur le marché — 510(k), De Novo, PMA, HDE — portant sur un « cyber device ». Depuis le 1er octobre 2023, la FDA peut refuser d'instruire un dossier dont la partie cybersécurité est insuffisante.
Pour un fabricant européen, l'enjeu est concret : sans dossier cybersécurité complet, pas d'accès au marché américain. La bonne nouvelle est que la plupart des preuves demandées — analyse de risques, SBOM, gestion des vulnérabilités, tests d'intrusion — servent aussi le marquage CE au titre du MDR et, pour les produits non médicaux, du Cyber Resilience Act.
Cet article synthétise la section 524B et la guidance de la FDA Cybersecurity in Medical Devices: Quality System Considerations and Content of Premarket Submissions, dans sa version finale de février 2026, référencée en fin de page.
Qu'est-ce qu'un « cyber device » ?
La section 524B vise les dispositifs qui réunissent trois critères :
- ils comportent un logiciel validé, installé ou autorisé par le fabricant, en tant que dispositif ou intégré au dispositif ;
- ils ont la capacité de se connecter à Internet ;
- ils présentent des caractéristiques technologiques qui pourraient être vulnérables à des menaces de cybersécurité.
La FDA retient une lecture large de la connexion à Internet : elle inclut toute connexion, voulue ou non, par n'importe quel moyen — Wi-Fi, réseau cellulaire, Bluetooth, USB, Ethernet, port série. Un dispositif « non connecté » qui dispose d'un port USB de maintenance est, en pratique, souvent concerné.
Les quatre exigences légales
Ce que tout fabricant d'un cyber device doit fournir dans sa demande de mise sur le marché.
Surveiller les vulnérabilités
Un plan pour surveiller, identifier et traiter, dans un délai raisonnable, les vulnérabilités et exploits après la mise sur le marché, y compris un processus de divulgation coordonnée des vulnérabilités (CVD).
Concevoir et maintenir en sécurité
Des processus qui garantissent raisonnablement la cybersécurité du dispositif et des systèmes associés, avec des mises à jour régulières et des correctifs hors cycle pour les vulnérabilités critiques.
Fournir un SBOM
Une nomenclature logicielle (Software Bill of Materials) couvrant les composants commerciaux, open source et sur étagère, avec leur niveau de support et leurs vulnérabilités connues.
Respecter les autres exigences
Toute autre exigence que la FDA fixe par voie réglementaire pour démontrer la cybersécurité du dispositif, notamment dans le cadre du système qualité (QMSR, 21 CFR 820).
Le contenu du dossier cybersécurité
La guidance de la FDA détaille les éléments attendus dans la soumission. Ils s'inscrivent dans un cadre de développement sécurisé du produit (Secure Product Development Framework, SPDF), intégré au système qualité du fabricant.
- Modélisation des menaces : surfaces d'attaque, flux de données et scénarios de menace sur l'ensemble du système, du dispositif au cloud.
- Analyse de risques de cybersécurité, distincte de l'analyse de risques de sécurité patient (ISO 14971) mais articulée avec elle, avec l'évaluation du risque résiduel.
- Vues d'architecture : système global, risque de préjudice multi-patients, capacité de mise à jour et de correction, cas d'usage de sécurité.
- SBOM, niveau de support et date de fin de support de chaque composant, analyse des vulnérabilités connues.
- Contrôles de sécurité : authentification, autorisation, chiffrement, intégrité du code et des données, confidentialité, journalisation, résilience et restauration, mise à jour.
- Traçabilité entre menaces, contrôles et tests.
- Tests de cybersécurité : vérification des exigences de sécurité, tests des mesures contre les menaces, recherche de vulnérabilités (fuzzing, analyse de composants, analyse statique et dynamique) et tests d'intrusion, réalisés de préférence par des testeurs indépendants de l'équipe de développement.
- Information des utilisateurs (labeling) et plan de gestion de la cybersécurité après la mise sur le marché.
Préparer sa soumission en cinq étapes
Une démarche à engager dès la conception : la cybersécurité ne se rattrape pas en fin de projet.
Qualifier le dispositif
Déterminer s'il s'agit d'un cyber device au sens de la section 524B et cartographier le système complet : dispositif, applications, passerelles, cloud et interfaces de maintenance.
Modéliser les menaces et analyser les risques
Construire le modèle de menaces et l'analyse de risques de cybersécurité en s'appuyant sur les normes reconnues par la FDA, comme AAMI SW96 et l'AAMI TIR57.
Intégrer la sécurité au développement
Déployer le cadre de développement sécurisé (IEC 81001-5-1, IEC 62304), définir les contrôles de sécurité, produire et tenir à jour le SBOM.
Tester le dispositif
Faire réaliser par une équipe indépendante les tests d'intrusion et de vulnérabilités du matériel, du firmware, des liaisons radio, des applications et du cloud, avec un rapport exploitable pour la soumission.
Constituer le dossier et préparer le post-marché
Assembler la documentation dans le format attendu (eSTAR), établir la traçabilité, rédiger le plan de gestion des vulnérabilités et le processus de divulgation coordonnée.
FDA, MDR et Cyber Resilience Act : mutualiser les preuves
En Europe, le règlement (UE) 2017/745 (MDR) impose lui aussi des exigences de cybersécurité (Annexe I, points 17.2, 17.4 et 18.8), précisées par le guide MDCG 2019-16. Les produits de votre gamme qui ne sont pas des dispositifs médicaux — passerelles, applications compagnons, objets de bien-être — relèvent quant à eux du Cyber Resilience Act.
Les trois cadres reposent sur le même socle : analyse de risques, SBOM, gestion coordonnée des vulnérabilités, développement sécurisé et tests d'intrusion. Un programme bien construit produit des preuves réutilisables pour la FDA comme pour le marquage CE.
Sources
- FDA — Cybersecurity in Medical Devices: Quality System Considerations and Content of Premarket Submissions (guidance finale, février 2026)
- FDA — Postmarket Management of Cybersecurity in Medical Devices
- FDA — Cybersecurity in Medical Devices: Frequently Asked Questions
- FDA — Cybersecurity (Digital Health Center of Excellence)
Préparer votre dossier cybersécurité FDA
Dipole Security, qualifié PASSI et spécialisé medtech, réalise l'analyse d'écarts, la modélisation des menaces et les tests d'intrusion indépendants de votre dispositif, avec un rapport prêt pour la soumission.