Gouvernance, risque et conformité

Cybersécurité des cyberdispositifs de la FDA (article 524B) Lignes directrices de 2026

Contenu obligatoire en matière de cybersécurité pour les soumissions préalables à la mise en marché aux États-Unis.

L’article 524B de la Federal Food, Drug, and Cosmetic Act (21 U. S.

C. 360n-2) s’applique depuis le 29 mars 2023 à tout « cyberdispositif », soit un dispositif qui comprend un logiciel validé, installé ou autorisé par le promoteur, qui peut se connecter à Internet et qui présente des caractéristiques technologiques susceptibles d’être vulnérables aux menaces de cybersécurité.

La soumission doit contenir quatre éléments : un plan de surveillance, de détection et de traitement des vulnérabilités et des exploits après la mise en marché, y compris la divulgation coordonnée des vulnérabilités; des processus offrant une assurance raisonnable que le dispositif et les systèmes connexes sont cybersécuritaires, avec des mises à jour et des correctifs selon un cycle régulier raisonnablement justifié et hors cycle pour les vulnérabilités critiques; une nomenclature logicielle (SBOM) couvrant les composants commerciaux, à code source ouvert et prêts à l’emploi; et tout autre élément exigé par la FDA dans ses directives. La FDA refusera d’accepter la soumission d’un cyberdispositif qui ne contient pas ces éléments.

La directive applicable, « Cybersecurity in Medical Devices : Quality Management System Considerations and Content of Premarket Submissions », a été publiée de nouveau le 3 février 2026 et remplace les versions du 27 juin 2025 et du 27 septembre 2023; la révision de 2026 n’a ajouté aucune nouvelle exigence technique et a fait passer ses renvois au système qualité des anciens contrôles de conception de 21 CFR 820. 30 aux sous-articles d’ISO 13485:2016 que le QMSR intègre désormais.

CE N’EST PAS UN CADRE DE SYSTÈME DE MANAGEMENT DE LA QUALITÉ : le QMSR et la norme ISO 13485 régissent votre SMQ, et Lavawall ne les remplace pas.

Niveaux d’évaluation pris en charge par Lavawall

Lavawall évalue ce cadre à chacun des niveaux ci-dessous, pour que vous puissiez commencer là où vous en êtes et progresser à mesure que votre programme mûrit.

Cybersécurité des cyberdispositifs de la FDA (article 524B) : comment Lavawall® vous aide à atteindre la conformité

Ce cadre se résume surtout à des contrôles techniques que vous devez appliquer et prouver : maintenir les systèmes à jour, renforcer la configuration, détecter les intrusions tôt, sauvegarder ce qui compte, contrôler les accès et conserver la preuve que tout cela a bien été fait. Lavawall® applique ces contrôles sur Windows, macOS, Linux et Microsoft 365 / Google Workspace depuis une seule console, les associe aux exigences de ce cadre et suit votre posture en continu plutôt qu’une fois par année au moment de l’audit.

• Évaluez votre situation actuelle par rapport à ce cadre dans le module GRC de Lavawall, avec le questionnaire et l’ensemble de contrôles intégrés.
• Corrigez les écarts avec la même plateforme (correctifs automatisés, corrections de configuration, sauvegardes et revue des accès) plutôt que dans un projet distinct.
• Prouvez le tout avec des registres horodatés et exportables qu’acceptent les auditeurs, les assureurs et les clients.

Ressources connexes

Lavawall® prend en charge ce cadre dans son catalogue intégré de cadres de conformité. Les exigences sont résumées à des fins de planification; confirmez toujours le texte officiel en vigueur avant toute certification.