Examen de la cybersécurité des dispositifs médicaux connectés

Résumé#

Ce projet de loi exige que le secrétaire à la Santé et aux Services sociaux, par l'intermédiaire de la FDA et en collaboration avec l'Agence de cybersécurité et de sécurité des infrastructures (CISA), examine certains dispositifs médicaux connectés à Internet fabriqués par des fabricants liés à la République populaire de Chine (RPC) pour des risques de cybersécurité. Le projet de loi donne au secrétaire le pouvoir d'ordonner l'arrêt de la distribution et de l'utilisation des dispositifs jugés présenter un risque de cybersécurité ou des dispositifs dont les fabricants ne fournissent pas les informations demandées. Il exige également un rapport sur la préparation de l'industrie des dispositifs et le rôle des fabricants liés à la RPC.

• Changement principal : La FDA doit examiner les dispositifs médicaux connectés couverts fabriqués par des fabricants ayant leur siège en RPC ou contrôlés par la RPC et peut ordonner des rappels ou des arrêts de distribution et d'utilisation si les dispositifs présentent des risques de cybersécurité ou si les informations requises ne sont pas fournies.
• Informations requises : Les fabricants doivent fournir une liste de matériaux logiciels (SBOM), une documentation de cartographie des données et d'architecture, et les emplacements des systèmes ou serveurs contenant des données sur les patients.
• Délais : La FDA doit demander des informations dans les 180 jours suivant l'adoption, peut émettre des ordres de rappel dans les 18 mois pour les dispositifs à risque (ou en cas de non-réponse), et doit remettre un rapport au Congrès dans les 2 ans.
• Exemption : Le secrétaire peut exempter un dispositif d'un ordre d'arrêt/d'utilisation si son retrait entraînerait une pénurie dangereuse pour les patients.
• Portée : Les dispositifs couverts sont des dispositifs connectés autorisés ou approuvés au plus tard le 28 mars 2023 et fabriqués par des fabricants ayant leur siège en RPC ou détenus/contrôlés par des entités de la RPC.

Ce que cela signifie pour vous#

• Patients : Certains dispositifs pourraient être retirés de l'utilisation s'ils sont jugés présenter un risque de cybersécurité ou si les fabricants ne fournissent pas les informations requises. Le secrétaire peut exempter des dispositifs si leur arrêt créerait une pénurie dangereuse.
• Professionnels de la santé et hôpitaux (établissements utilisateurs de dispositifs) : Si le secrétaire émet un ordre d'arrêt d'utilisation, les établissements doivent cesser d'utiliser le dispositif concerné et doivent en être informés. Les établissements pourraient devoir trouver des remplacements ou modifier les flux de travail cliniques si des dispositifs de remplacement ne sont pas disponibles.
• Fabricants ayant leur siège en RPC ou détenus/contrôlés par des entités de la RPC : Doivent soumettre une documentation technique (y compris des SBOM et des détails sur l'emplacement des données) dans le délai demandé. S'ils ne fournissent pas les informations, la FDA peut ordonner l'arrêt immédiat de la distribution et de l'utilisation de leurs dispositifs couverts.
• Importateurs, distributeurs et détaillants : Pourraient être informés d'arrêter immédiatement la distribution des dispositifs couverts que la FDA juge risqués ou pour lesquels les fabricants ne se conforment pas.
• Agences fédérales (FDA et CISA) : Effectueront des examens techniques et coordonneront les évaluations, et doivent préparer un rapport au Congrès sur la préparation de l'industrie et la part de marché des fabricants liés à la RPC.

Dépenses#

Aucune information disponible publiquement.

• Le projet de loi exige que la FDA et la CISA effectuent des examens techniques et préparent un rapport, ce qui augmenterait probablement les coûts administratifs et de personnel pour ces agences.
• Les fabricants couverts encourraient probablement des coûts pour assembler et soumettre des SBOM, des cartographies de données et de la documentation d'architecture.
• Les établissements de santé et les distributeurs pourraient faire face à des coûts pour remplacer ou retirer des dispositifs si la FDA émet des ordres d'arrêt d'utilisation, et des coûts possibles pour gérer les soins lorsque les remplacements de dispositifs ne sont pas immédiatement disponibles.
• Le projet de loi ne prévoit pas de source de financement ou d'estimation pour ces activités dans le texte fourni.

Point de vue des partisans#

• Le projet de loi semble destiné à réduire les risques de cybersécurité des dispositifs médicaux connectés fabriqués par des fabricants liés à la RPC.
• Un argument possible en faveur du projet de loi est que l'exigence de SBOM et de détails sur l'emplacement des données augmente la transparence et aide les régulateurs à repérer les vulnérabilités et les flux de données qui pourraient compromettre la vie privée des patients ou l'intégrité des dispositifs.
• Le pouvoir de rappel/d'arrêt est destiné à permettre à la FDA de retirer rapidement ou de limiter l'utilisation des dispositifs jugés présenter des menaces pour la cybersécurité.
• Le rapport requis pourrait identifier l'exposition du marché et recommander des mesures pour renforcer la préparation cybernétique du secteur des dispositifs.

Point de vue des opposants#

• Une préoccupation est que l'exigence d'un arrêt immédiat de la distribution et de l'utilisation pourrait créer des pénuries soudaines de dispositifs et perturber les soins aux patients, même si le projet de loi permet une exemption si une pénurie serait dangereuse.
• Le projet de loi n'explique pas clairement comment « détenu ou contrôlé » sera jugé, ce qui pourrait rendre difficile pour certains fabricants de savoir s'ils sont couverts.
• La norme pour ce qui compte comme un risque de cybersécurité et ce qui fournit une « assurance raisonnable » n'est pas définie en détail technique, laissant place à l'incertitude dans l'application.
• Il n'est pas clair comment la vie privée des données des patients et la confidentialité commerciale des informations techniques soumises (comme les SBOM ou les cartes réseau) seront protégées.
• Le projet de loi n'inclut pas d'estimation fiscale ou de financement pour l'examen élargi et l'activité de rappel potentielle, donc les coûts administratifs et de remplacement ne sont pas identifiés.