Sista minuten omnibus-utgiftsräkningar är Capitol Hills godisburkar. Dessa lagförslag, som rullar upp 12 månaders försenad lagstiftning i slutet av året, är ofta fyllda med "fläsk" – politiska sötningsmedel arbetade in i sista minuten för att gynna politikers lokala väljare. Emellertid kan de ibland inleda långvariga åtgärder som annars skulle kunna försvinna på kullen.

I december förra året inkluderade den konsoliderade anslagslagen (CAA) på 1.7 biljoner dollar en viktig komponent: lagstiftning som äntligen skulle tvinga tillverkare av medicintekniska produkter att hålla koll på cybersäkerheten efter att deras produkter lämnat butikshyllorna.

Avsnitt 3305 i CAA ändrade Federal Food, Drug, & Cosmetic Act genom att lägga till avsnitt 542B, "Säkerställa cybersäkerhet för medicinska anordningar". Denna nya förordning gäller alla enheter som omfattas av FDA som ansluter till internet och som kan vara sårbara för cybersäkerhetsproblem.

En kontinuerlig strategi för cybersäkerhet 

En del av språket i den nya lagen kommer från en obligatorisk uppsättning regler som hade arbetat sig igenom kongressen. Protecting and Transforming Cyber ​​Health Care (PATCH) Act, utfärdad i mars 2022, försökte lagstifta cybersäkerhetskontroller för medicinsk utrustning.

I enlighet med PATCH Act tvingar den nya lagen tillverkare av medicintekniska produkter att ge byrån en plan för att övervaka, identifiera och åtgärda cybersäkerhetssårbarheter efter lansering av enheterna.

Enhetstillverkare måste också anta ett samordnat program för avslöjande av sårbarheter. Det betyder att de inte längre kan sopa insekter under mattan genom att ignorera dem eller forskarna som föder upp dem.

Leverantörer måste också erbjuda en mjukvaruförteckning (SBOM) som listar vilka programvarukomponenter enheten använder, i en stor nick från FDA till leveranskedjans säkerhet.

FDA-sekreteraren måste uppdatera byråns vägledning om inlämningar av cybersäkerhet för medicintekniska produkter på marknaden med hjälp av feedback från intressenter, inklusive tillverkare och vårdgivare. FDA måste också publicera information och resurser om att förbättra cybersäkerheten för medicinsk utrustning varje år.

US Government Accountability Office (GAO) kommer också att publicera en årlig rapport som beskriver eventuella hinder som intressenter har upplevt för att säkra federalt statligt stöd för att förbättra enhetens cybersäkerhet.

CAA:s språk är inte det första som kräver cybersäkerhetsinsatser från enhetsleverantörer. FDA har redan en Quality System Regulation (QSR) som kräver ett riskbaserat tillvägagångssätt för cybersäkerhet från enhetstillverkare, vilket innebär att de måste identifiera sannolikheten och effekten av cyberrisker.

QSR går dock bara så långt. Genom att specifikt beskriva det pågående programmet för cybersäkerhetssanering efter lanseringen, tvingar den nya lagen fram en mer kontinuerlig strategi för cybersäkerhet snarare än en "avfyra och glöm"-strategi som bara vittnar om enhetssäkerhet vid en enda tidpunkt.

År av kamp för cybersäkerhet 

Lagen, som trädde i kraft den 29 mars 2023, är kulmen på ett långt initiativ från FDA om cybersäkerhet för enheter. Detta går tillbaka till 2005 då myndigheten släppte vägledning om hantering av nätverksanslutna enheter som innehåller kommersiell färdig programvara. År 2014 utfärdade den sin första specifika vägledning om planering och dokumentering av cybersäkerhetsåtgärder för enheter efter försäljning. Den uppdaterade denna 2018.

I april 2022 publicerade de sedan ytterligare ett utkast till riktlinjer för cybersäkerhet gällande ansökningar om godkännande för marknadsföring, vilka ersatte dokumentet från 2018. Dokumentet krävde också en materiallista för programvara för att spåra tredjepartskomponenter. Det rekommenderade ett ramverk för säker produktutveckling för att minska säkerhetsbrister och inbyggda uppdateringsfunktioner för enheter.

Även om byråns ansträngningar har varit lovvärda, har dess FDA-riktlinjer för enhetssäkerhet hittills varit frivilliga, vilket generellt innebär att branschens efterlevnad kommer att vara ojämn.

Experter som har arbetat för FDA har föreslagit att cybersäkerhet har varit en kamp i uppförsbacke för byrån. Det hade inte ens en enda person som var dedikerad till att leda cybersäkerhetsfunktionen förrän i början av 2021 när den skapade en ny roll vid sitt Center for Devices and Radiological Health. Cybersäkerhetsprofessor Kevin Fu fyllde rollen som tillförordnad chef för cybersäkerhet för medicinsk utrustning på lån från University of Michigan under ett år.

I juni 2022, efter att han hade lämnat rollen, varnade Fu för att FDA saknade personal eller dedikerad budget för att ta itu med det växande cybersäkerhetsproblemet.

Vad kommer härnäst 

FDA har sagt att de initialt inte kommer att neka enheter enbart på grund av problem med avsnitt 542B, utan föredrar att arbeta med leverantörer vid granskning. Efter den 1 oktober 2023 kommer den dock att anta att leverantörer har haft tillräckligt med tid att förbereda sin cybersäkerhetsdokumentation för marknaden och kommer att förbehålla sig rätten att vägra att acceptera en enhet om dokumentationen inte klarar uppsättningen.

Kraven kommer inte att gälla för befintliga enheter, utan fokuserar endast på nya inlämningar. Det innebär att enheter som introducerades före slutet av mars i år kan fortsätta att fungera i flera år utan att kräva uppdateringsplaner för cybersäkerhet, särskilt om sjukhusen ser det lämpligt att renovera dem för att svettas sina tillgångar.

Regler som reglerar cybersäkerhetsutrustning är sällan retroaktiva, så gratispasset för kit i fält är att förvänta sig. Ändå är detta ett stort steg i att hålla enhetsleverantörer ansvariga för att säkra sina enheter.

Man hade hoppats att leverantörerna skulle ha hållit sig själva ansvariga, men tyvärr nej. Förra året varnade FBI för en plåga av opatchade och osäkra medicintekniska produkter. FBI varnade för att dessa produkter, inklusive allt från insulinpumpar till pacemakers, kunde hackas och äventyra patienters hälsa. De sa att över fyra av tio produkter som hade nått slutet av sin livscykel fortfarande inte hade några säkerhetspatchar eller uppgraderingar.

Att få leverantörer att ta detta på allvar är bara halva utmaningen. Den andra är att få vårdgivare att installera patchar när de blir tillgängliga. Knappt en tredjedel av vårdgivarna vet var alla deras enheter finns eller när de är uttjänta. Även om de gör det är det en utmanande process att patcha känslig, livräddande utrustning. Ändå är ett litet steg bättre än inget alls, antar vi.