Recommandations de la FDA

Vue d'ensemble

L'article 524B de la loi FD&C, ajouté par la loi PATCH dans le cadre de la loi de finances consolidée de 2023, impose la soumission d'une demande préalable à la mise sur le marché pour les « cyberdispositifs », c'est-à-dire des dispositifs contenant des composants software s capables de se connecter à Internet et présentant des caractéristiques techniques susceptibles de les rendre vulnérables aux menaces de cybersécurité, et de joindre à ces demandes un plan de cybersécurité, un processus de surveillance des vulnérabilités après mise sur le marché et une liste des composants logiciels ( Software , SBOM). 

Les recommandations définitives de la FDA du 27 juin 2025 ont remplacé la version de septembre 2023 et précisent les exigences relatives au système qualité et au contenu de ces dossiers, notamment en matière de chiffrement, d’authentification, de signature du micrologiciel et de gestion des clés, en mettant l’accent sur la mise en œuvre sécurisée plutôt que sur le simple choix d’un algorithme approuvé. 

Pourquoi est-ce important ? 

Depuis le 29 mars 2023, la documentation relative au chiffrement, à l’authentification et à la gestion des clés constitue une condition préalable légale pour qu’un dossier de mise sur le marché soit même accepté, et non plus une simple recommandation : la FDA peut émettre une décision de « refus d’acceptation » pour un dossier concernant un dispositif cybernétique qui ne contient pas les informations requises au titre de l’article 524B. 

Le principal risque en matière de conformité réside dans le parc déjà déployé, composé d’appareils fabriqués avant 2023 qui reposent souvent sur des clés partagées ou des identifiants statiques. De plus, les hôpitaux exigent de plus en plus la fourniture d’une liste des composants logiciels (SBOM) et de preuves cryptographiques dès la phase d’appel d’offres, ce qui fait de cette question un enjeu commercial pour l’obtention des contrats hospitaliers, mais aussi un enjeu réglementaire pour l’autorisation de mise sur le marché délivrée par la FDA.

En quoi cela s'applique-t-il à la cryptographie ? 

L'article 524B traite de la cryptographie principalement par le biais de son plan de cybersécurité préalable à la mise sur le marché et de ses exigences en matière de gestion des vulnérabilités après la mise sur le marché. Les principaux domaines de contrôle ayant des implications cryptographiques directes sont les suivants : 

Préparation à l'audit 

L'examen préalable à la mise sur le marché des dispositifs cybernétiques par la FDA, ainsi que, de plus en plus, l'examen des achats hospitaliers portant sur des dispositifs déjà autorisés, se concentrent sur la mise en œuvre cryptographique avérée plutôt que sur une simple intention déclarée de crypter. Principaux domaines examinés par les évaluateurs : 

• Détermination du statut de « cyber-appareil » :L'organisation a-t-ellejustifié, de manière cohérente tout au long du dossier, pourquoi un appareil est ou n'est pas considéré comme un « cyber-appareil » au sens de l'article 524B(c) ? 

• Preuves relatives au chiffrement et à l'authentification :le promoteur est-il en mesure dedémontrer l'existence de méthodes de chiffrement et de mécanismes d'authentification spécifiques protégeant les données en transit, au repos et lors de l'appairage des appareils ? 

• Vérification de la signature du micrologiciel : existe-t-ildes preuves indiquant que les mises à jour du micrologiciel et d’ software sont signées cryptographiquement et vérifiées avant leur installation ? 

• Exhaustivité de la SBOM :La liste des composants ( Software ) identifie-t-elleles composants commerciaux, les composants développés en interne ( open-source) et les composants prêts à l'emploi (off-the-shelf), y compris leurs bibliothèques cryptographiques ? 

• Plan de surveillance des vulnérabilités après la mise sur le marché : Existe-t-ilun plan documenté, prévoyant notamment la divulgation coordonnée des vulnérabilités, visant à surveiller et à corriger les vulnérabilités en matière de cybersécurité après la commercialisation du dispositif ? 

• Mesures compensatoires pour les dispositifs existants : pourles dispositifs déjà mis en service qui ne prennent pas en charge de manière native la cryptographie forte, des mesures compensatoires ont-elles été identifiées et documentées dans le plan de gestion post-commercialisation ?

TRANSMETTEZ CELA À LA DIRECTION

Depuis mars 2023, l’article 524B impose que la documentation relative à la cybersécurité, y compris notre approche en matière de chiffrement et de gestion des clés, constitue une condition préalable légale pour que la FDA accepte ne serait-ce qu’un dossier de demande d’autorisation de mise sur le marché. Les recommandations définitives de juin 2025 indiquent clairement que le simple choix d’une méthode de chiffrement ne suffit pas ; nous devons démontrer une mise en œuvre sécurisée, depuis la signature du micrologiciel jusqu’à la gestion du cycle de vie des clés.

Notre principale vulnérabilité réside dans le parc existant : les appareils fabriqués avant 2023 qui reposent sur des clés partagées ou des identifiants statiques. Ces appareils ne vont pas disparaître, et les hôpitaux commencent à exiger la fourniture d’une liste des composants logiciels (SBOM) et de preuves cryptographiques dès la phase d’approvisionnement, et non plus uniquement lors du dépôt d’un dossier auprès de la FDA. C’est en comblant cette lacune liée aux anciens systèmes, grâce à des identifiants uniques et à un cycle de vie des clés documenté, que nous restons éligibles tant pour l’obtention des autorisations réglementaires que pour les contrats avec les hôpitaux.