2019年 8月 23日
L'intégration des technologies de l'information avancées dans les dispositifs médicaux a transformé le secteur des soins de santé, entraînant des améliorations spectaculaires de l'efficience et de l'efficacité des soins de santé et des services connexes. Mais cette intégration a favorisé l'émergence d'un nouvel ensemble de défis pour les patients, les fournisseurs de soins de santé, les développeurs et les fabricants de dispositifs. Aujourd'hui, ce secteur est une cible importante pour les pirates informatiques et les cybercriminels, ce qui peut compromettre des données privées et confidentielles sur les soins de santé et mettre la sécurité et la santé des patients en danger.
Le renforcement de la sécurité des dispositifs médicaux connectés contre les cyberattaques est une responsabilité partagée par tous les acteurs de ce secteur, comprenant les fournisseurs de soins de santé, les fabricants et les autorités de réglementation. Ces dernières ont commencé à appliquer des exigences plus strictes en matière de cybersécurité à l'échelle mondiale.
Bien que la FDA des États-Unis ait publié des directives finales sur les attentes avant la mise en marché liées à la cybersécurité en 2014, le paysage en évolution rapide et la compréhension accrue des menaces et de leurs mesures d'atténuation potentielles exigeaient une approche actualisée. La FDA a été la première à publier, en octobre 2018, un nouveau projet de directives pour la gestion de la cybersécurité avant la commercialisation. Les lignes directrices de Santé Canada sur les exigences relatives à la cybersécurité des instruments médicaux avant leur mise en marché, publiées en juin 2019, et maintenant les lignes directrices de la TGA sur la cybersécurité des matériels médicaux pour l'industrie, publiées en juillet 2019, sont entrées en vigueur, mais celles de la FDA doivent encore être finalisées, ce qui devrait survenir en 2019.
Pour les besoins de cet article, nous examinerons la convergence des exigences de cybersécurité en matière de réglementation médicale avant la mise en marché pour l'Australie, le Canada et les États-Unis, tel que décrit dans les documents d'orientation ci-dessus. Cet article se concentre sur les sujets suivants :
Examinons la portée des documents d'orientation avant d'examiner les exigences individuelles en matière de cybersécurité.
Les directives de la FDA s'appliquent aux dispositifs médicaux et aux DIV qui contiennent un logiciel (y compris un micrologiciel) ou une logique programmable ainsi qu'un logiciel en tant que dispositif médical (SaMD / LIM) nécessitant des présentations avant la commercialisation. La FDA note également que les principes de cybersécurité pourraient également s'appliquer aux demandes d'exemption de dispositifs expérimentaux (Investigational Device Exemption - IDE) ainsi qu'aux dispositifs exemptés d'examen avant commercialisation.
Les lignes directrices de Santé Canada (SC) s'appliquent aux instruments médicaux et aux DIV qui sont constitués d'un logiciel ou qui contiennent un logiciel et qui sont réglementés à titre d'instruments médicaux (de classe I à classe IV) en vertu du Règlement sur les instruments médicaux du Canada. Les matériels médicaux des classes III et IV doivent faire l'objet d'un examen des preuves d'innocuité et d'efficacité soumises avant que leur demande d'homologation ne soit finalisée.
Les directives de la TGA (Therapeutics Goods Administration) de l'Australie s'appliquent à tous les dispositifs médicaux et les DIV qui contiennent un logiciel et un SaMD. Le niveau d'examen d'un dispositif par la TGA avant son inscription au registre australien des produits thérapeutiques (ARTG) dépend du risque posé par le dispositif. Bien que les dispositifs de classe I ne soient pas évalués par la TGA, pour toutes les catégories d'instruments médicaux, des preuves doivent être fournies à la demande de la TGA pour démontrer que le risque lié aux instruments médicaux, y compris le risque de cybersécurité, est géré par des cadres appropriés de gestion de la qualité et du risque.
Essentiellement, les trois autorités de réglementation cherchent maintenant à s'assurer que les fabricants ont intégré la cybersécurité dans leurs systèmes de gestion des risques et de la qualité, comprenant les processus du cycle de vie du développement logiciel. On s'attend à ce que la gestion du risque soit une activité continue qui devrait être considérée, contrôlée et documentée à toutes les étapes d'un instrument médical, de la conception initiale à la mise au point et aux essais, à l'autorisation de mise en marché, à l'utilisation après la mise en marché, à la fin de vie et à l'obsolescence.
Alors, qu'est-ce que cela signifie concrètement pour les fabricants ? Un fabricant devra examiner les systèmes existants et déterminer quels processus doivent être modifiés ou nouvellement établis pour tenir compte de la cybersécurité. Voici quelques considérations, pour n'en citer que quelques-unes :
Un autre schéma commun est que les trois autorités de réglementation recommandent une série de contrôles de sécurité qu'un fabricant devrait envisager au début du cycle de vie du produit lorsque les exigences de conception sont élaborées, la FDA étant la plus spécifique. Pour de plus amples renseignements, voir la section 2.1.1 de la ligne directrice de SC, la section V du document directeur de la FDA et la section sur les considérations techniques de cybersécurité (Technical cyber security considerations) du document directeur de la TGA.
Il est acceptable de s'écarter de ces exigences de base si le fabricant peut fournir des justifications adéquates et fondées sur les risques. Les justifications pourraient être fondées sur des facteurs tels que l'utilisation prévue, l'environnement d'utilisation, le profil de risque et le type de dispositif.
Afin d'éviter de coûteux remaniements de produits ou des retards dans l'accès au marché dus à des solutions de conception inappropriées ou à des documents de cybersécurité, il est recommandé ce qui suit :
Les trois autorités de réglementation recommandent une approche fondée sur des normes, bien que l'utilisation de normes ne soit pas obligatoire comme pour les documents d'orientation. Les dispositifs médicaux qui présentent des risques de cybersécurité sont très variables dans leurs composants et fonctionnent dans une variété d'environnements, ce qui donne lieu à de nombreuses normes pertinentes.
La FDA, Santé Canada et la TGA ont chacun publié une liste de normes et de documents directeurs qui ont été reconnus comme étant appropriés pour répondre aux exigences réglementaires en matière de cybersécurité des matériels médicaux.
Les documents importants suivants ont été reconnus dans les trois juridictions et aident les fabricants à aborder le processus de cybersécurité, la conception des produits et/ou les exigences de test :
La FDA et Santé Canada fournissent tous deux une liste très détaillée des renseignements à inclure dans les demandes d'homologation d'instruments médicaux à la FDA avant la mise en marché (voir la section VII) et les demandes d'homologation d'instruments médicaux à SC (voir la section 2.3). Le niveau de détail requis dépend parfois de la classe de risque du produit. Voici quelques exemples de renseignements que les autorités de réglementation évalueront pour les nouvelles présentations et demandes :
La TGA ne décrit pas explicitement le type d'information qui doit être présenté dans le cadre du processus d'examen avant commercialisation. Les fabricants doivent cependant démontrer qu'ils se conforment aux principes essentiels. Les principes essentiels exigent que le fabricant réduise au minimum les risques associés à la conception, à la sécurité à long terme et à l'utilisation du dispositif, ce qui comprend implicitement la minimisation des risques de cybersécurité. Comme nous l'avons déjà mentionné, il est recommandé d'adopter une approche fondée sur des normes comme moyen de démontrer la conformité aux principes essentiels. Veuillez vous reporter aux tableaux 1 et 2 de la ligne directrice pour plus de détails.
En résumé, il est encourageant de constater que les autorités de réglementation appliquent maintenant des exigences plus strictes en matière de cybersécurité afin de rendre les dispositifs médicaux plus sûrs tout en permettant une approche fondée sur les risques. Les lignes directrices de la TGA s'alignent étroitement sur les approches réglementaires élaborées par la FDA et Santé Canada, fondées sur les principes du cycle de vie complet du produit pour la gestion du risque et de la qualité. La convergence des exigences en matière de cybersécurité de la TGA avec les directives provisoires de la FDA des États-Unis avant la mise en marché et les directives finales après la mise en marché sur la gestion des risques liés à la cybersécurité et avec les directives de Santé Canada en matière de cybersécurité finalisées en juin 2019 montrent une réponse réglementaire de plus en plus harmonisée aux nouveaux risques et menaces à la cybersécurité dans les environnements de santé connectés.
Marco Deuschler est responsable du développement commercial dans le service Santé numérique des Sciences de la Vie et de la Santé d'UL, qui se concentre sur la cybersécurité, l'interopérabilité et la confidentialité des données.
Autres ressources Emergo by UL pour la cybersécurité des dispositifs médicaux :