Section 524B ו-Cyber Devices – מה ה-FDA דורש מחברות מכשור רפואי?

כאשר מדברים על FDA Cybersecurity למכשור רפואי, קל לערבב בין Guidance, תקנים, Best Practices ודרישות חוקיות.

Section 524B של ה-Federal Food, Drug, and Cosmetic Act – FD&C Act הוא נקודת מפתח בהבחנה הזו.

הסעיף נוסף לחוק בעקבות ה-Consolidated Appropriations Act, 2023 שנחתם ב-29 בדצמבר 2022. דרישות ה-Cybersecurity שנקבעו בו החלו לחול על Premarket Submissions רלוונטיים שהוגשו החל מ-29 במרץ 2023.

המשמעות היא שעבור מכשירים שעונים להגדרת Cyber Device, Cybersecurity אינו רק המלצה של ה-FDA או Best Practice של התעשייה.

ישנן דרישות חוקיות שצריך לתת להן מענה במסגרת ה-Submission.

מהו בעצם Section 524B ב-FD&C Act ?

Section 524B נקרא:

Ensuring Cybersecurity of Devices

הוא מחייב Sponsor שמגיש Premarket Application או Submission עבור Cyber Device לספק מידע שמדגים כי המכשיר עומד בדרישות ה-Cybersecurity המפורטות בסעיף.

ה-FDA מציין כי הדרישה רלוונטית, בין היתר, למסלולים:

• 510(k)
• Premarket Approval – PMA
• Product Development Protocol – PDP
• De Novo
• Humanitarian Device Exemption – HDE
• Submission או Supplements רלוונטיים נוספים

ה-FDA מבהיר שהדבר כולל גם Special ו-Abbreviated 510(k), וכן PMA ו-HDE Supplements כאשר הדרישות חלות.

לכן השאלה הראשונה שחברת MedTech צריכה לשאול היא לא רק:

"האם אנחנו מפתחים Medical Device?"

אלא גם:

"האם המוצר שלנו עונה להגדרת Cyber Device?"

מה הקשר בין ה-FD&C Act, Section 524B וה-FDA?

כדי להבין נכון את Section 524B, חשוב לראות אותו בתוך המסגרת הרחבה יותר של ה-FD&C Act – Federal Food, Drug, and Cosmetic Act. זהו החוק הפדרלי המרכזי שמכוחו פועל ה-FDA בתחומים שונים, ובהם גם פיקוח על מכשור רפואי.
Section 524B הוא סעיף שנוסף ל-FD&C Act ומגדיר דרישות Cybersecurity ייעודיות עבור Cyber Devices.
כלומר, ה-FD&C Act הוא המסגרת החוקית, Section 524B הוא הסעיף הספציפי שעוסק ב-Ensuring Cybersecurity of Devices, וה-FDA הוא הרשות שמיישמת את הדרישות במסגרת תהליכי הפיקוח וה-Premarket Submission.
לצד הדרישות החוקיות, ה-FDA מפרסם גם Guidance מקצועי המסביר כיצד הוא מצפה מיצרנים לנהל, לתעד ולהציג את שכבת ה-Cybersecurity של המוצר.

רכיב	תפקיד	המשמעות לחברת MedTech
FD&C Act	החוק הפדרלי הרחב שמסדיר בין היתר את סמכויות ה-FDA ביחס למכשור רפואי	המסגרת החוקית שבתוכה פועלות דרישות ה-FDA
Section 524B	סעיף בתוך ה-FD&C Act העוסק ב-Ensuring Cybersecurity of Devices	מגדיר דרישות Cybersecurity ספציפיות ל-Cyber Devices
FDA	הרשות האמריקאית המיישמת ואוכפת את הוראות החוק בתחום המכשור הרפואי	בוחנת את המענה לדרישות כחלק מה-Premarket Submission הרלוונטי
FDA Cybersecurity Guidance	הנחיות מקצועיות של ה-FDA ל-Cybersecurity במכשור רפואי	מסייעות להבין כיצד לתכנן, לנהל ולתעד Product Security ו-Cybersecurity

במילים פשוטות:

• FD&C Act הוא החוק
• Section 524B הוא סעיף הסייבר בתוך החוק
• FDA הוא הגוף שמיישם את הדרישות בפועל

עבור חברות MedTech, המשמעות היא שלא מדובר רק ב-Best Practice או בהמלצה מקצועית, אלא בחיבור ישיר בין Product Security, דרישות חוקיות ותהליך רגולטורי.

מהו Cyber Device?

Section 524B מגדיר Cyber Device כמכשיר שעומד בשלושה מאפיינים מרכזיים:

1. הוא כולל Software שאומת, הותקן או אושר על ידי ה-Sponsor כמכשיר או כחלק מהמכשיר.
2. יש לו יכולת להתחבר לאינטרנט.
3. הוא מכיל מאפיינים טכנולוגיים שעלולים להיות פגיעים לאיומי Cybersecurity.

המונח "יכולת להתחבר לאינטרנט" עשוי להיות רחב יותר ממה שנדמה.

ב-Guidance העדכני של ה-FDA מוזכרים בין היתר חיבורי Network, Server ו-Cloud, תקשורת Wi-Fi, Cellular, Bluetooth ו-Bluetooth Low Energy, וגם ממשקי חומרה שיכולים לאפשר חיבור כגון USB או Ethernet.

לכן גם מוצר שלא נתפס בתחילה כ"מכשיר אינטרנט" קלאסי עשוי להצריך בחינה מעמיקה יותר.

מידע נוסף במאמר IoMT – Internet of Medical Things

מה Section 524B דורש בפועל?

בלב Section 524B נמצאות מספר דרישות שממחישות עד כמה Cybersecurity צריך להיות תהליך מתמשך.

1. תוכנית לניהול פגיעויות ו-Exploits לאחר השיווק

היצרן נדרש להגיש תוכנית לניטור, זיהוי וטיפול בפגיעויות Cybersecurity וב-Exploits לאחר שהמוצר כבר נמצא בשוק.

התוכנית צריכה לכלול גם תהליכים הקשורים ל-Coordinated Vulnerability Disclosure – CVD.

זו נקודה קריטית.

ה-FDA אינו מסתפק בשאלה האם המוצר היה מאובטח ביום שבו הוגש.

Medical Device יכול להישאר אצל לקוחות במשך שנים, ובמהלך התקופה הזו יתגלו:

• CVEs חדשים
• חולשות ב-Open Source
• בעיות ברכיבי צד שלישי
• חולשות במערכות הפעלה
• פגיעויות ב-Cloud Services
• טכניקות תקיפה חדשות

לכן נדרש מנגנון שחי יחד עם המוצר.

מידע נוסף על ניהול פגעויות במאמר:
Vulnerability Management

2. תהליכים שמספקים Reasonable Assurance of Cybersecurity

Section 524B דורש גם לתכנן, לפתח ולתחזק Processes ו-Procedures המספקים Reasonable Assurance שהמכשיר והמערכות הקשורות אליו Cybersecure.

זה כבר הרבה יותר מ-Penetration Test.

חברת MedTech צריכה להיות מסוגלת להראות שתהליך Cybersecurity קיים בתוך מחזור החיים של המוצר.

לדוגמה:

1. Security Requirements
2. Threat Modeling
3. Secure Architecture
4. Secure Development
5. Testing
6. Vulnerability Management
7. Postmarket Monitoring

בדיקת חדירות יכולה להיות שכבה חשובה מאוד בתוך התהליך, אבל אינה התהליך כולו.

3. Updates ו-Patches הם חלק מהדרישה

Section 524B דורש גם יכולת להפוך Postmarket Updates ו-Patches לזמינים עבור המכשיר והמערכות הקשורות אליו כדי להתמודד עם פגיעויות.

וזה מחזיר את ה-Security לשלב הארכיטקטורה.

אם המוצר אמור לפעול במשך שנים, כבר בזמן הפיתוח צריך לחשוב על שאלות כמו:

• כיצד יבוצעו Updates?
• כיצד מאמתים את מקור ה-Update?
• האם העדכון יכול להתבצע מרחוק?
• כיצד מטפלים בכשל במהלך Update?
• כיצד מתמודדים עם Critical Vulnerability?
• האם ניתן לספק Mitigation כאשר Patch אינו זמין מיד?
• מי מאשר Release של Security Update?
• כיצד מתעדים את הפעולה?

היכולת לתקן חולשה בעתיד מתחילה באופן שבו המוצר תוכנן היום.

4. SBOM – לדעת ממה המוצר שלכם מורכב

אחת הדרישות המזוהות ביותר עם Section 524B היא Software Bill of Materials – SBOM.

עבור Cyber Devices, היצרן נדרש לספק SBOM הכולל רכיבי:

• Commercial Software
• Open Source Software
• Off-the-Shelf Software

ה-Guidance המעודכן של ה-FDA אף ממליץ לספק SBOM בפורמט Machine-readable ובהתאם למאפייני הבסיס הרלוונטיים.

אבל מבחינת אבטחת מידע, רשימת רכיבים בפני עצמה אינה המטרה.

הערך האמיתי נוצר כאשר החברה יכולה לחבר:

1. SBOM
2. Vulnerability
3. Product Version
4. Risk
5. Remediation

נניח שמתפרסמת חולשה קריטית בספריית Open Source.

ארגון שמנהל SBOM ותהליך Vulnerability Management בצורה בוגרת צריך להיות מסוגל להבין במהירות:

• האם אנחנו משתמשים ברכיב?
• באיזו גרסה?
• באילו מוצרים?
• איזה Customers מושפעים?
• האם החולשה Exploitable בארכיטקטורה שלנו?
• מה צריך לעשות?

Section 524B לא חל רק על מוצרים חדשים לחלוטין

יש כאן נקודה שחברות לעיתים מפספסות.

ה-FDA מבהיר שהדרישות אינן חלות על Application או Submission שהוגשו לפני 29 במרץ 2023.

אבל אם Cyber Device שכבר אושר עובר שינוי שמצריך Premarket Review חדש, Section 524B יכול לחול על ה-Submission החדש.

לכן גם חברה עם Medical Device ותיק לא צריכה להניח אוטומטית שהנושא אינו רלוונטי עבורה.

צריך לבחון את המוצר, השינוי ואת סוג ה-Submission.

מעוניינים לבחון את המוצר שלכם או לבדוק האם הוא דורש תקינה?
דברו עם המומחים שלנו

ומה קרה ב-1 באוקטובר 2023?

החוק החל לחול כבר ב-29 במרץ 2023, אבל ה-FDA נתן לתעשייה תקופת הסתגלות מסוימת במסגרת מדיניות האכיפה שלו.

המדיניות הזו הסתיימה ב-1 באוקטובר 2023.

מאותו מועד ה-FDA מצפה מ-Sponsors של Cyber Devices להגיע עם Premarket Submissions הכוללים את המידע הנדרש לפי Section 524B.

במקרה של 510(k), ה-FDA מציין שגם eSTAR יכול להיכנס ל-Technical Screening Hold כאשר אין תשובות מדויקות וה-Attachments הרלוונטיים בחלק ה-Cybersecurity.

זו כבר לא שאלה תיאורטית של "כדאי לנו לעשות Cybersecurity".

פערים בתיעוד ובמענה לדרישות יכולים להפוך גם לבעיה בתהליך ה-Submission עצמו.

Section 524B וה-FDA Guidance של 2026 – מה ההבדל?

חשוב מאוד להפריד בין השניים.

Section 524B הוא חלק מה-FD&C Act והוא מגדיר דרישות חוקיות ל-Cyber Devices.

לעומת זאת, מסמך Cybersecurity in Medical Devices: Quality Management System Considerations and Content of Premarket Submissions הוא Guidance של ה-FDA.

בפברואר 2026 פרסם ה-FDA גרסה מעודכנת של המסמך, שמספקת המלצות בנוגע ל-Cybersecurity Design, Labeling, תהליכי Quality Management ולתיעוד Cybersecurity במסגרת Premarket Submissions. המסמך כולל גם פרק ייעודי שעוסק ביישום Section 524B.

כלומר:

Section 524B = מה החוק דורש

FDA Cybersecurity Guidance = כיצד ה-FDA ממליץ לגשת לעולם ה-Cybersecurity ולתיעוד שלו

שניהם צריכים להיקרא יחד.

מידע נוסף במאמרים:
FDA Cybersecurity for Medical Devices – היערכות לדרישות הסייבר של ה-FDA
FDA Cybersecurity 2026 – מה חברות MedTech צריכות לדעת על אבטחת סייבר במכשור רפואי

עמידה בתקן אחד אינה בהכרח מספיקה

גם כאן חשוב להימנע מגישת Checklist.

ה-FDA עצמו מציין ברשומות של Recognized Consensus Standards כי עמידה בתקן Cybersecurity מוכר מסוים אינה בהכרח מספקת את כל דרישות Section 524B או את כל המלצות ה-FDA Guidance.

כלומר, השאלה אינה רק:

"איזה תקן יישמנו?"

אלא:

"האם אנחנו יכולים להראות שמערכת ה-Cybersecurity של המוצר נותנת מענה מלא לדרישות החלות עליו?"

מה הקשר בין HIPAA, ה-FDA ו-Section 524B?

חברות MedTech ו-Digital Health שפועלות בשוק האמריקאי עשויות לפגוש במקביל גם את HIPAA וגם את דרישות ה-FDA, אך מדובר בשתי מסגרות שונות עם מטרות שונות.

1. HIPAA – Health Insurance Portability and Accountability Act מתמקד בעיקר בהגנה על מידע רפואי מוגן, PHI ו-ePHI, כאשר הארגון נמצא בתחום התחולה של החוק, למשל כ-Covered Entity או Business Associate.
2. Section 524B של ה-FD&C Act מתמקד ב-Cybersecurity של ה-Cyber Device עצמו וביכולת של היצרן לנהל פגיעויות, Updates, Patches, SBOM וסיכוני סייבר לאורך מחזור חיי המוצר.

לכן מוצר רפואי מחובר עשוי להידרש לבחון במקביל גם את הגנת המידע שעובר במערכת וגם את אבטחת המוצר והאקוסיסטם הטכנולוגי שסביבו.

מסגרת	במה היא מתמקדת?	המשמעות לחברת MedTech
HIPAA	הגנה על PHI ו-ePHI ושימוש נכון במידע רפואי	רלוונטי כאשר החברה נמצאת בתחום התחולה של HIPAA, למשל כ-Business Associate
HIPAA Security Rule	Administrative, Physical ו-Technical Safeguards להגנת ePHI	מחייב ניהול סיכונים ובקרות סביב המידע והמערכות שמעבדות אותו
HHS / OCR	הגופים האחראים על מדיניות ואכיפת HIPAA בתחום הפרטיות והאבטחה	מטפלים בציות, אכיפה ואירועים הקשורים ל-HIPAA
Section 524B / FDA	Cybersecurity של Cyber Devices	מתמקד ב-Product Security, SBOM, Vulnerability Management, Updates ו-Postmarket Cybersecurity

תקן HIPAA עוסק בשאלה כיצד אתם מגינים על המידע הרפואי, בעוד Section 524B שואל כיצד אתם מנהלים את סיכוני הסייבר של המכשיר והמוצר עצמו.
במערכות IoMT, Remote Patient Monitoring ומוצרי Digital Health שני העולמות עשויים להיפגש, ולכן תפיסת MEDSEC נכונה צריכה לבחון גם Data Security ו-Privacy וגם Product Security ו-Medical Device Cybersecurity.

Section 524B כחלק מעולם MEDSEC

Section 524B הוא דוגמה מצוינת לשינוי שעובר עולם ה-MEDSEC – Medical Cybersecurity.

הגבול בין Regulatory, Product Security ו-Cybersecurity הולך ומצטמצם.

חברת Medical Device צריכה לחבר בין:

• Product Security
• Cyber Risk Management
• Threat Modeling
• Secure SDLC
• Penetration Testing
• SBOM
• Vulnerability Management
• Postmarket Monitoring
• Documentation & Evidence

וזה צריך לקרות לצד אבטחת המידע הארגונית, הפרטיות והדרישות הרגולטוריות הנוספות של החברה.

מידע נוסף במאמרים:
MEDSEC – Medical Cybersecurity
אבטחת מידע והגנה על הפרטיות בארגוני בריאות

כיצד נכון להיערך ל-Section 524B?

נקודת הפתיחה היא להבין האם המוצר עונה להגדרת Cyber Device ומהו ה-Premarket Path הרלוונטי.

לאחר מכן כדאי לבחון באופן מסודר 10 שאלותץ מרכזיות עבור הערכות ל-Section 524B :

1. האם קיים Cybersecurity Risk Assessment?
2. האם בוצע Threat Modeling?
3. האם Security Requirements מוגדרים ומתועדים?
4. האם הארכיטקטורה נבחנה מנקודת מבט של Security?
5. האם קיים SBOM עדכני?
6. האם יש תהליך Vulnerability Management?
7. האם יש Coordinated Vulnerability Disclosure Process?
8. האם קיימת יכולת מסודרת ל-Updates ו-Patches?
9. האם בוצעו Security Testing ו-Penetration Testing?
10. האם נשמר Evidence שמאפשר להציג את התהליך?

אם התשובה לחלק מהשאלות אינה ברורה, כדאי לזהות את הפער בשלב מוקדם ולא בזמן הכנת ה-Submission.

כיצד אנחנו ב-Infoguard מסייעים בהתאמות ל-FD&C Act Section 524B?

Infoguard מתמקדת בשכבת ה-Cybersecurity Readiness ו-Product Security של המוצר.

בהתאם ל-Scope ניתן לשלב:

• Cybersecurity Gap Assessment
• Risk Assessment
• Threat Modeling
• Architecture Review
• Penetration Testing
• Application ו-API Security
• Vulnerability Management
• SBOM Governance
• Vulnerability Disclosure Process
• Security Policies & Procedures
• Evidence Mapping
• Re-testing
• Continuous Cybersecurity

אנו עובדים לצד צוותי הפיתוח, Security, Quality ו-Regulatory Affairs כדי להפוך את דרישות הסייבר לתהליך שניתן ליישם, למדוד ולהוכיח.

Infoguard אינה מחליפה את פונקציית ה-Regulatory Affairs או את הגורם שמגיש את המוצר ל-FDA.
המיקוד שלנו הוא שכבת ה-Cybersecurity, הבדיקות, ניהול הסיכונים וה-Evidence.

נערכים ל-FD&C Act Section 524B?

אם אתם מפתחים Cyber Device לשוק האמריקאי, הזמן לבדוק את שכבת ה-Cybersecurity הוא לפני הכנת ה-Submission.

מומחי Infoguard יכולים לסייע למפות פערים, לבחון את ארכיטקטורת המוצר, לבצע Risk Assessment ו-Penetration Testing ולבנות תהליך Vulnerability Management ו-Cybersecurity Readiness מסודר.

מידע נוסף על תקינה – FDA Cybersecurity for Medical Devices

דברו עם מומחי התקינה והרגולציה שלנו באינפוגארד וביחד נבחון את הצרכים של הארגון שלכם

מקורות מקצועיים

FDA – Cybersecurity in Medical Devices: Quality Management System Considerations and Content of Premarket Submissions, February 2026
ה-Guidance העדכני של ה-FDA ל-Cybersecurity Design ולתיעוד Premarket, כולל Section 524B.

Section 524B הפך דרישות מרכזיות של Medical Device Cybersecurity לחלק מהמסגרת החוקית עבור Cyber Devices המוגשים במסלולי Premarket רלוונטיים בארה"ב.
התמונה כוללת הרבה מעבר ל-Penetration Testing: ניהול פגיעויות לאחר השיווק, Processes שמספקים Reasonable Assurance of Cybersecurity, Updates ו-Patches ו-SBOM.
עבור חברות MedTech, הדרך הנכונה להיערך היא לשלב Cybersecurity לאורך מחזור החיים של המוצר ולבנות מראש את התהליכים וה-Evidence שיידרשו בהמשך.

המידע המוצג במאמר זה נועד למטרות מידע והעשרה בלבד ואינו מהווה ייעוץ מקצועי, רגולטורי, משפטי או טכנולוגי.

באינפוגארד אנחנו מאמינים כי כל ארגון נדרש לבחון את צרכיו, הסיכונים והדרישות החלות עליו באמצעות אנשי מקצוע מתאימים על מנת להכין תוכנית הרלוונטית בדיוק לארגון ולחברה.

המאמר נכתב בשיתוף מומחי אבטחת המידע והסייבר של Infoguard מקבוצת IDOR, ונערך על ידי ROY KISCH, חובב פרטיות,אבטחת מידע, סייבר ומנהל שיווק בקבוצת חברות עידור (Messagenet, Infoguard, Idornext).