§524B의 정의부터 사이버보안 프로세스, 시판 후 취약점 모니터링과 대응, 취약점 공개(CVD), 정기 보안 업데이트와 패치, 중대한 취약점의 긴급 대응, SBOM 관리, 준수 입증과 추가 요구사항, 적용 면제와 예외까지 차례로 소개합니다.
규제 유형
미국 연방법률 (Federal Statute)
소관
U.S. FDA (Food and Drug Administration)
대상
사이버 기기(Cyber Device)에 해당하는 의료기기
구성
1
FD&C Act §524B란?
FD&C Act §524B는 사이버 기기에 해당하는 의료기기의 시판 전 제출 시 FDA가 요구하는 사이버보안 정보를 포함하도록 하고, 시판 후 취약점 관리계획, 보안 프로세스와 업데이트·패치, SBOM 제출 등 사이버보안 요구사항을 충족하도록 정한 미국 연방법 조항입니다.
규정 개요
정식 명칭
Federal Food, Drug, and Cosmetic Act Section 524B (21 U.S.C. § 360n-2) 미국 연방 식품·의약품·화장품법 제524B조
규제 성격
미국 연방법(FD&C Act)의 법정 요구사항으로, FDA의 의료기기 시판 전 심사에 대한 의무적 제출 요건입니다.
목적
디지털 연동 의료기기의 수명주기 전반에 걸친 사이버보안 안전성 확보
대상
§524B(c)에 정의된 (Cyber Device)에 해당하는 의료기기와 소프트웨어를 대상으로 합니다.
대상 제외
인터넷 연결 기능과 소프트웨어가 없는 단순 기계식 는 제외됩니다.
1.1
어떤 산업에 적용되는가
아래 세 가지 요건을 모두 충족하는 의료기기가 (Cyber Device)로 §524B의 적용 대상이 되며, 하나라도 없으면 제외됩니다.
§524B(c)
소프트웨어 포함
신청자가 검증·설치·승인한 소프트웨어가 의료기기 자체이거나 의료기기에 포함되어 있어야 합니다. 이는 Cyber Device를 판단하기 위한 첫 번째 요건입니다.
§524B(c)(1)
인터넷 연결 기능
의료기기가 인터넷에 연결할 수 있는 능력을 보유해야 합니다. 실제 인터넷 연결 상태를 항상 유지해야 한다는 의미는 아닙니다.
§524B(c)(2)
보안 위협에 취약할 수 있는 특성
신청자가 검증·설치·승인한 기술적 특성 중 사이버보안 위협에 취약할 수 있는 특성을 포함해야 합니다.
§524B(c)(3)
주요 적용 제품
원격 환자 모니터링인슐린 펌프심장 박동기신경 자극기영상진단기기(MRI·CT·X-ray)실험실 분석기기병원 네트워크 장비모바일 의료앱수술로봇웨어러블 헬스기기
i다음 의료기기는 §524B 적용 대상에서 제외됩니다.
인터넷 연결·소프트웨어가 없는 단순 기계식 FDA가 면제 대상으로 지정한
1.2
누가 의무를 가지는가
FDA에 시판 전 신청·제출을 하는 자에게 의무가 부과됩니다.
신청자·제조업체Sponsor · Manufacturer
510(k)·PMA·De Novo·PDP 등을 FDA에 제출하는 의료기기 신청자·제조업체로, 시판 전 제출 시 사이버보안 정보를 포함해야 합니다.
수입자·유통자Importer · Distributor
실질적으로 제출하는 경우 제출자로 간주될 수 있습니다.
FDAFood and Drug Administration
심사기관으로서 §524B(b) 요건 충족 여부를 심사하며, 충족하지 않으면 접수 거부(RTA)나 승인 거부를 할 수 있습니다.
1.3
어떻게 구성되는가
§524B는 제출 의무 (a), 사이버보안 요구사항 (b), 정의 (c), 면제 (d)의 네 부분으로 구성됩니다.
§524B(a) · 시판 전 제출 정보
FDA가 요구하는 정보를 제출하여 법정 사이버보안 요구사항의 충족 여부를 확인할 수 있도록 해야 합니다.
(b)(1) · 시판 후 취약점 관리계획
시판 후 발견되는 보안 취약점을 지속적으로 확인하고 대응할 계획을 마련해야 합니다.
(b)(2) · 보안 프로세스와 업데이트·패치
의료기기와 관련 시스템을 안전하게 유지할 수 있는 보안 절차를 갖춰야 합니다.
(b)(3) · SBOM
의료기기에 포함된 소프트웨어 구성요소 목록을 FDA에 제출해야 합니다.
(A) · 정기 패치
알려진 수용 불가능한 취약점은 정기적으로 업데이트하고 패치해야 합니다.
(B) · 긴급 패치
중대한 보안 취약점은 정기 패치 일정을 기다리지 않고 신속히 대응해야 합니다.
(b)(4) · 추가 요구사항
FDA가 규정으로 정하는 추가 사이버보안 요구사항도 준수해야 합니다.
§524B(c) · 정의
소프트웨어 포함, 인터넷 연결 능력, 사이버보안 위협에 취약할 수 있는 기술적 특성의 세 조건을 모두 충족하는 의료기기를 로 정의합니다.
§524B(d) · 면제
FDA는 특정 의료기기 또는 의료기기 범주·유형을 요구사항에서 면제할 수 있으며, 면제 목록을 Federal Register에 공표하고 필요에 따라 갱신해야 합니다.
2
사이버보안 프로세스 및 보안성 확보
의료기기의 보안을 설계 단계부터 시판 후까지 어떤 절차로 갖추고 유지하는지를 다룹니다.
2.1
보안 프로세스는 어떻게 갖추는가
§524B(b)(2)보안 프로세스·절차를 갖출 때 정해야 할 세 가지
무엇을
보안 프로세스 설계·개발·유지
설계→개발→유지
의료기기의 사이버보안을 합리적으로 보장할 수 있도록 보안 프로세스와 절차를 설계하고 개발하며 지속적으로 유지해야 합니다.
§524B(b)(2)
어디까지
의료기기 및 관련 시스템의 보안 확보
의료기기+관련 시스템
보안 관리 범위를 의료기기 자체에만 한정하지 않고, 해당 의료기기와 관련된 시스템까지 고려해야 합니다.
§524B(b)(2)
어느 수준까지
합리적인 사이버보안 보장
합리적인 수준의 보장모든 위협의 완전 제거
의료기기와 관련 시스템이 합리적인 수준의 사이버보안을 확보할 수 있도록 관리체계를 갖춰야 합니다. 모든 위협을 완전히 제거해야 한다는 의미는 아닙니다.
§524B(b)(2)
2.2
시판 후에는 보안을 어떻게 유지하는가
의료기기 시판 후에도 보안 업데이트와 패치를 제공할 수 있는 절차를 마련하고 유지해야 합니다.
§524B(b)(2)
고쳐야 하지만 정기 패치 일정까지 기다릴 수 있는 취약점
정기적인 취약점 개선
알려진 수용 불가능한 취약점은 이미 공개되었거나 확인된 취약점 가운데, 위험을 평가한 결과 그대로 두면 안 된다고 판단한 취약점입니다. 알려진 수용 불가능한 취약점에 대해 합리적으로 정당화할 수 있는 정기 패치 주기에 따라 업데이트와 패치를 제공해야 합니다.
§524B(b)(2)(A)
정기 패치 일정까지 기다릴 수 없는 심각한 취약점
중대한 취약점의 긴급 대응
통제되지 않는 위험을 초래할 수 있는 중대한 취약점은 기존 보안조치로 위험을 막을 수 없어 환자 안전 등에 심각한 영향을 줄 수 있는 취약점입니다. 통제되지 않는 위험을 초래할 수 있는 중대한 취약점은 정기적인 업데이트 일정을 기다리지 않고 가능한 한 신속하게 대응해야 합니다.
§524B(b)(2)(B)
2.3
보안성을 확보하려면 무엇을 함께 갖춰야 하는가
의료기기의 보안성 확보를 위해 보안 프로세스와 함께 이행해야 하는 요구사항입니다. 항목을 선택하면 아래에 내용이 표시됩니다.
시판 후 취약점 모니터링 및 대응계획
시판 후 발견되는 사이버보안 취약점과 악용 사례를 모니터링·식별하고, 적절한 경우 합리적인 기간 내 대응하기 위한 계획을 제출해야 합니다.
근거 조항
§524B(b)(1)
조정된 취약점 공개(CVD)
취약점 관리계획에 외부에서 발견된 취약점을 관계자와 조정하여 공개하는 절차 및 관련 대응 절차를 포함해야 합니다.
근거 조항
§524B(b)(1)
소프트웨어 구성요소 관리
의료기기에 포함된 상용·오픈소스·기성 소프트웨어 구성요소를 포함한 SBOM을 FDA에 제출해야 합니다. 이는 구성요소 보안관리와 연결되는 요구사항입니다.
근거 조항
§524B(b)(3)
추가 사이버보안 요구사항 준수
FDA가 규정을 통해 추가 보안 요구사항을 정한 경우, 의료기기 및 관련 시스템의 사이버보안을 합리적으로 보장한다는 것을 입증하기 위해 해당 요구사항을 준수해야 합니다.
근거 조항
§524B(b)(4)
사이버보안 준수 입증
FDA가 요구하는 정보를 시판 전 신청·제출자료에 포함하여 §524B(b)의 사이버보안 요구사항 충족 여부를 확인할 수 있도록 해야 합니다.
근거 조항
§524B(a)
3
시판 후 취약점 모니터링 및 대응
의료기기 시판 후 발견되는 취약점과 악용 사례를 어떻게 모니터링·식별하고 대응할 계획을 세우는지를 다룹니다.
3.1
시판 후 취약점 관리계획이란 무엇인가
의료기기 시판 후 발생하는 사이버보안 취약점과 악용 사례를 관리하기 위한 계획을 마련하고 FDA에 제출해야 합니다.
§524B(b)(1)
모니터링
시판 후 발생하는 사이버보안 취약점을 지속적으로 관찰하고 파악할 수 있도록 관리계획을 수립해야 합니다.
§524B(b)(1)
식별
의료기기에 영향을 줄 수 있는 취약점뿐 아니라 해당 취약점을 실제로 악용하는 사례도 식별할 수 있도록 계획해야 합니다.
§524B(b)(1)
대응
발견된 취약점과 악용 사례에 대해 적절한 경우 대응할 수 있는 계획을 마련해야 합니다. 모든 취약점에 동일한 조치가 요구되는 것은 아닙니다.
§524B(b)(1)
3.2
취약점이 발견되면 언제까지 대응해야 하는가
취약점이 발견되면 며칠 안에 대응해야 하나요?
원칙
취약점의 특성에 따라 대응 기간을 정하는 것입니다
일률적인 대응 일수합리적인 기간 내 대응
취약점의 특성과 상황을 고려하여 합리적인 기간 내 대응할 수 있도록 계획해야 합니다. §524B(b)(1)은 일률적인 대응 일수를 명시하지 않습니다. 따라서 제조업체는 취약점의 심각도와 상황에 비추어 타당하다고 설명할 수 있는 대응 기간을 스스로 정하고, 그 근거를 관리계획에 담아야 하는 것입니다.
§524B(b)(1)
정기 패치
고쳐야 하지만 정기 패치 일정까지 기다릴 수 있는 취약점
대응 시점→미리 정해 둔 정기 패치 일정에 맞춰
패치를 낼 일정을 미리 정해 두고, 그 일정이 타당하다는 근거를 설명할 수 있어야 합니다.
§524B(b)(2)(A)
긴급 패치
정기 패치 일정까지 기다릴 수 없는 심각한 취약점
대응 시점→정기 패치를 기다리지 않고 최대한 빨리
정기 패치 일정과 상관없이 별도로 업데이트와 패치를 제공해야 합니다.
§524B(b)(2)(B)
모든 취약점에 동일한 조치가 요구되는 것은 아닙니다.
4
취약점 정보 공유·공개 체계(CVD)
발견된 취약점 정보를 외부 연구자·공급업체·사용자와 어떻게 주고받고 공개하는지를 다룹니다.
4.1
조정된 취약점 공개(CVD)란 무엇인가
외부 연구자나 관계자가 발견한 취약점을 관련 당사자들과 조정하여 공개할 수 있도록, 시판 후 취약점 관리계획에 CVD와 관련 절차를 포함해 FDA에 제출해야 합니다.
§524B(b)(1)
4.2
취약점 정보는 누구와 어떻게 주고받는가
FDA 가이던스가 권고하는 CVD 운영 방식입니다. 항목을 선택하면 아래에 내용이 표시됩니다.
외부 연구자·공급업체와 협력
외부 보안 연구자, 제3자 소프트웨어 공급업체 등이 발견한 취약점과 악용 사례를 관계자 간 조정하여 공개하는 절차를 마련하는 것이 권고됩니다.
근거 조항
§524B(b)(1) · FDA 2026 가이던스 §VII.C.1
제조업체 자체 발견 취약점 공개
제조업체가 자체적으로 발견한 취약점과 악용 사례도 CVD 체계에서 공개 대상으로 검토하도록 권고합니다.
근거 조항
§524B(b)(1) · FDA 2026 가이던스 §VII.C.1
사용자·고객·환자 등 이해관계자 안내
취약점 공개 절차에는 의료기기 사용자, 고객, 환자 및 관련 의료 관계자에게 필요한 정보를 전달하는 절차가 포함될 수 있습니다.
발견된 취약점과 악용 사례를 실제로 공개하기 위한 제조업체의 절차를 마련하고 설명하도록 권고합니다.
근거 조항
§524B(b)(1) · FDA 2026 가이던스 §VII.C.1
취약점을 공개한 뒤의 조치
취약점 공개와 별개로, 알려진 수용 불가능한 취약점은 정기 패치로, 통제되지 않는 위험을 초래할 수 있는 중대한 취약점은 긴급 패치로 해결해야 합니다.
§524B(b)(2)(A)§524B(b)(2)(B)
5
정기 보안 업데이트 및 패치 관리
알려진 취약점을 해결하기 위한 정기 보안 업데이트와 패치를 어떤 대상과 주기로 제공하는지를 다룹니다.
5.1
정기 업데이트·패치는 어떤 취약점을 대상으로 하는가
의료기기 시판 후 알려진 수용 불가능한 취약점을 해결하기 위해 정기적인 보안 업데이트와 패치를 제공해야 합니다.
§524B(b)(2)(A)
모든 취약점이 정기 패치 대상은 아닙니다
정기 패치의 법정 대상은 알려진 수용 불가능한 취약점입니다. 모든 취약점에 동일한 패치 의무가 적용된다고 해석해서는 안 됩니다.
§524B(b)(2)(A)
5.2
패치 주기는 어떻게 정하는가
정기 업데이트 주기는 합리적으로 정당화할 수 있어야 합니다. 법률은 모든 의료기기에 적용되는 고정된 패치 주기를 명시하지 않습니다.
§524B(b)(2)(A)
패치 주기 및 대응 이력의 문서화
패치 주기를 정한 근거, 취약점 평가, 패치 적용 여부와 조치 결과를 기록해 두는 것이 좋습니다. 규제 준수를 입증하는 데 도움이 되며, 기록 양식이나 보존기간은 법률에 따로 정해져 있지 않습니다.
§524B(b)(2)(A)§524B(a)
5.3
정기 패치와 긴급 패치는 어떻게 다른가
정기 패치와 긴급 패치는 대상 취약점과 대응 시점이 다릅니다.
§524B(b)(2)(A)정기 패치정기 패치 대상 취약점
대상과 시점
고쳐야 하지만 정기 패치 일정까지 기다릴 수 있는 취약점
미리 정해 둔 정기 패치 일정에 맞춰
정기 패치의 법정 대상은 알려진 수용 불가능한 취약점입니다. 모든 취약점에 동일한 패치 의무가 적용된다고 해석해서는 안 됩니다.
§524B(b)(2)(A)
VS
§524B(b)(2)(B)긴급 패치중대한 취약점의 긴급 패치 구분
대상과 시점
정기 패치 일정까지 기다릴 수 없는 심각한 취약점
정기 패치를 기다리지 않고 최대한 빨리
통제되지 않는 위험을 초래할 수 있는 중대한 취약점은 정기 패치 주기를 기다리지 않고 가능한 한 신속하게 업데이트와 패치를 제공해야 합니다.
§524B(b)(2)(B)
6
중대한 취약점의 긴급 대응
통제되지 않는 위험을 초래할 수 있는 중대한 취약점에 정기 패치 일정과 별개로 어떻게 대응하는지를 다룹니다.
6.1
어떤 취약점이 긴급 대응 대상인가
긴급 대응 대상 취약점
정기 패치 일정까지 기다릴 수 없는 심각한 취약점
통제되지 않는 위험을 초래할 수 있는 중대한 취약점이 긴급 패치 대상입니다. 단순히 취약점이 존재한다는 이유만으로 모두 이 조항의 긴급 대응 대상이 되는 것은 아닙니다.
§524B(b)(2)(B)
6.2
긴급 대응은 언제, 어떻게 하는가
긴급 대응 대상 취약점은 정기 패치 일정을 기다리지 않고, 가능한 한 신속하게 별도로 업데이트와 패치를 제공해야 합니다.
§524B(b)(2)(B)
정기 패치 외
정기 패치 외 긴급 대응
긴급 대응 대상 취약점은 정기적인 보안 업데이트 주기를 기다리지 않고 별도로 조치해야 합니다.
§524B(b)(2)(B)
최대한 빨리
가능한 한 신속한 업데이트·패치 제공
긴급 대응 대상 취약점을 해결하기 위한 보안 업데이트와 패치를 가능한 한 신속하게 제공해야 합니다. 법률은 일률적인 조치 일수를 명시하지 않습니다.
§524B(b)(2)(B)
정기 패치와 긴급 패치의 구분
알려진 수용 불가능한 취약점은 합리적으로 정당화된 정기 패치 주기에 따라 조치하고, 통제되지 않는 위험을 초래할 수 있는 중대한 취약점은 가능한 한 신속하게 별도로 조치해야 합니다.
§524B(b)(2)(A)§524B(b)(2)(B)
6.3
긴급 대응을 하려면 무엇을 미리 갖춰야 하는가
긴급 패치를 제때 제공하려면 아래 체계를 미리 갖춰 두어야 합니다.
보안 업데이트 및 패치 제공체계
의료기기와 관련 시스템의 사이버보안을 합리적으로 보장할 수 있도록 보안 프로세스와 절차를 설계·개발·유지해야 합니다. 긴급 패치를 제공할 수 있는 체계도 이에 연결됩니다.
§524B(b)(2)
의료기기 및 관련 시스템 보호
보안 확보와 업데이트·패치 제공 범위는 해당 의료기기뿐 아니라 관련 시스템도 포함합니다. 다만 관련성이 없는 모든 외부 시스템까지 포함한다는 뜻은 아닙니다.
§524B(b)(2)
6.4
긴급 대응 이력은 어떻게 남기는가
취약점의 심각도, 위험 판단 근거, 패치 개발·배포 시점과 대응 결과를 기록해 두는 것이 좋습니다. 규제 준수를 입증하는 데 도움이 됩니다.
§524B(b)(2)§524B(b)(2)(B)§524B(a)
1취약점의 심각도
2위험 판단 근거
3패치 개발·배포 시점
4대응 결과
기록 양식과 보존기간은 정해져 있지 않습니다
기록 양식이나 보존기간은 법률에 따로 정해져 있지 않습니다.
§524B(b)(2)(B)
7
소프트웨어 구성요소 및 SBOM 관리
의료기기에 포함된 소프트웨어 구성요소를 SBOM으로 정리해 FDA에 제출하고 관리하는 방법을 다룹니다.
7.1
SBOM에는 어떤 소프트웨어를 담아야 하는가
적용 대상 Cyber Device의 시판 전 신청·제출 책임주체는 SBOM을 FDA에 제출해야 합니다.
§524B(b)(3)
상용 소프트웨어
의료기기에 포함된 상용 소프트웨어 구성요소를 SBOM 범위에 포함해야 합니다.
§524B(b)(3)
오픈소스 소프트웨어
의료기기에 사용된 오픈소스 소프트웨어 구성요소도 SBOM에 포함해야 합니다.
§524B(b)(3)
기성 소프트웨어(OTS)
외부에서 제공받은 기성 소프트웨어 구성요소도 SBOM에 포함해야 합니다.
§524B(b)(3)
7.2
SBOM과 함께 어떤 정보를 제출하는가
FDA 가이던스는 SBOM과 함께 구성요소의 지원 상태와 취약점 정보도 시판 전 제출자료에 담도록 권고합니다.
FDA 2026 가이던스 §V.A.4
SBOM과 함께 제출할 정보
구성요소 파악
자체 개발·제3자 구성요소 식별
자체 개발 소프트웨어와 제3자 구성요소를 포함해 의료기기의 소프트웨어 구성을 파악하고 SBOM에 반영하도록 권고합니다.
FDA 2026 가이던스 §V.A.4
기계 판독 가능한 SBOM
SBOM은 프로그램이 자동으로 읽고 분석할 수 있는 형식으로 제출하도록 권고합니다. 법률이 파일 형식을 정하지는 않지만, 일반적으로 SPDX나 CycloneDX 같은 표준 형식을 사용합니다.
FDA 2026 가이던스 §V.A.4(b)
구성요소 지원 정보
소프트웨어 지원 상태 관리
구성요소가 현재 유지보수되는지, 유지보수가 중단되었는지 등의 지원 상태 정보를 시판 전 제출자료에 포함하도록 권고합니다.
FDA 2026 가이던스 §V.A.4(b)
소프트웨어 지원 종료일 관리
구성요소별 지원 종료일을 확인하고 관련 정보를 제출하도록 권고합니다. 지원이 중단된 구성요소의 위험을 판단하는 데 활용할 수 있습니다.
FDA 2026 가이던스 §V.A.4(b)
취약점과 위험
알려진 취약점 식별
의료기기 및 구성요소와 관련된 알려진 취약점을 파악하고 시판 전 제출자료에 설명하도록 권고합니다.
FDA 2026 가이던스 §V.A.4(b)
구성요소별 취약점 위험평가
알려진 취약점이 있는 구성요소에 대해 의료기기 및 시스템에 미치는 안전·보안 영향을 평가하도록 권고합니다.
FDA 2026 가이던스 §V.A.4(b)
7.3
SBOM은 제출 후 어떻게 활용·관리하는가
SBOM은 제출로 끝나지 않고, 시판 후에도 취약점 대응에 활용하고 최신 상태로 관리해야 합니다.
활용취약점이 발견되면
영향받는 구성요소 찾기
시판 후 취약점 관리계획과 보안 업데이트·패치를 이행할 때, SBOM으로 취약점의 영향을 받는 구성요소를 찾을 수 있습니다.
§524B(b)(1)§524B(b)(2)
관리소프트웨어 구성이 바뀌면
SBOM 갱신과 이력 관리
소프트웨어 구성이 바뀌면 SBOM도 갱신하고 버전별 이력을 남겨 두는 것이 좋습니다. 취약점 대응과 규제 준수 입증에 도움이 되며, 갱신 주기는 법률에 따로 정해져 있지 않습니다.
§524B(b)(3)FDA 2026 가이던스 §V.A.4
8
사이버보안 준수 입증 및 추가 규제 요구사항
시판 전 제출 때 사이버보안 요구사항 충족을 어떻게 입증하고, FDA가 정하는 추가 요구사항에 어떻게 대응하는지를 다룹니다.
8.1
시판 전 제출 때 무엇을 해야 하는가
적용 대상 Cyber Device의 시판 전 신청·제출 시, 사이버보안 요구사항을 충족하는지 확인할 수 있도록 FDA가 요구하는 정보를 포함해야 합니다.
§524B(a)
자료를 제출했다고 요구사항을 충족한 것은 아닙니다
제출정보는 §524B(b)에 규정된 사이버보안 요구사항의 충족 여부를 확인하기 위한 것입니다. 단순히 보안 관련 자료를 제출하는 것만으로 모든 요구사항을 충족했다고 볼 수 없습니다.
§524B(a)
8.2
누가, 어떤 제출에서 이 의무를 지는가
§524B 의무는 법률이 정한 시판 전 제출 경로에서, 해당 신청·제출을 하는 자에게 생깁니다.
누가신청자
제출할 때→FDA가 요구하는 사이버보안 정보를 제출자료에 포함§524B(a)
제출 이후에도→취약점 관리계획·보안 패치·SBOM 등 사이버보안 요구사항 이행§524B(b)
실질적으로 제출하는 수입자·유통자도 제출자로 간주될 수 있습니다.
+
어떤 제출에서시판 전 제출 경로
510(k)PMAPDPDe NovoHDE
법률이 지정한 이 경로에서 적용 대상 Cyber Device에 관한 신청·제출을 하는 경우 §524B 의무를 검토해야 합니다.
§524B(a)
어느 경로로 신청하든 Cyber Device라면 사이버보안 자료를 함께 제출해야 합니다.
8.3
사이버보안 제출자료는 어떻게 구성하는가
보안 위험분석, 위협 모델링, 보안 아키텍처, 보안 시험 및 관련 문서 등을 활용하여 사이버보안 요구사항의 충족 여부를 설명하도록 권고합니다. 구체적인 자료 범위는 해당 와 제출 경로에 따라 검토해야 합니다.
§524B(a)FDA 2026 가이던스
8.4
FDA가 추가 요구사항을 정하면 어떻게 되는가
FDA가 사이버보안 요구사항을 추가로 내놓더라도, 실제 규정에 반영되기 전까지는 지켜야 할 의무가 아닙니다. 규정으로 정해진 뒤부터 그 요구사항을 지켜야 합니다.
§524B(b)(4)
추가 요구사항의 목적
추가 요구사항은 의료기기와 관련 시스템의 사이버보안이 합리적인 수준으로 확보되었음을 입증하기 위한 것입니다.
§524B(b)(4)
가이던스 권고와의 구분
FDA 가이던스의 권고는 규정이 아니므로, 이 조항에 따라 지켜야 할 의무가 아닙니다.
§524B(b)(4)
새 규정이 나오는지 확인하기
FDA가 사이버보안 규정을 새로 만들었는지 꾸준히 확인하는 것이 좋습니다. 새 규정이 나오면 자사 제품이 대상인지, 무엇을 지켜야 하는지 판단하고, 이를 지켰다는 증빙자료를 함께 정리해 둡니다. 얼마나 자주 확인할지, 증빙자료를 얼마나 보관할지는 법률에 정해져 있지 않습니다.
§524B(a)§524B(b)(4)
9
적용 면제 및 예외 관리
FDA가 사이버보안 요구사항을 면제하는 기준과 절차, 그리고 §524B가 적용되지 않는 경우를 다룹니다.
9.1
어떤 의료기기가 면제될 수 있는가
미국 보건복지부 장관은 개별 의료기기나 의료기기 범주·유형을 사이버보안 요구사항의 면제 대상으로 지정할 수 있습니다.
§524B(d)
개별 의료기기
면제 대상은 개별 의료기기 단위로 지정할 수 있습니다. 다만 미국 보건복지부 장관이 실제로 지정해야 면제되며, 저절로 면제되는 제품은 없습니다.
§524B(d)
범주·유형
개별 의료기기처럼 의료기기 범주나 유형 전체도 면제 대상으로 지정할 수 있습니다.
§524B(d)
법률에 면제 기준은 나와 있지 않습니다
어떤 의료기기를 면제할지에 대한 기준은 법률에 나와 있지 않습니다. 미국 보건복지부 장관이 지정해 연방관보 목록에 올린 의료기기만 면제됩니다.
§524B(d)
9.2
면제되면 어떤 요구사항이 빠지는가
면제되면 §524B의 사이버보안 요구사항과, 이 조항에 근거해 추가로 정해진 규정의 요구사항을 지키지 않아도 됩니다.
§524B(d)
사이버보안 외의 의무는 그대로 남습니다
면제되는 것은 사이버보안 요구사항뿐입니다. 의료기기 관련 다른 법령의 의무는 계속 지켜야 합니다.
§524B(d)
9.3
면제 목록은 어디에서 확인하는가
미국 보건복지부 장관은 면제 대상으로 지정한 의료기기와 의료기기 범주·유형의 목록을 연방관보에 공표하고, 필요할 때 갱신해야 합니다.
§524B(d)
면제 여부를 확인할 때
면제 근거와 범위 확인
면제는 제조업체가 신청해서 받는 것이 아니라 미국 보건복지부 장관이 지정하는 것입니다. 따라서 자사 제품이 공식 목록에 있는지, 어떤 요구사항이 면제되는지 확인하고 그 근거를 남겨 두는 것이 좋습니다.
§524B(d)
면제 상태 변경 관리
면제 목록의 갱신 주기는 법률에 정해져 있지 않습니다. 따라서 회사가 적절한 주기를 정해 목록이 바뀌었는지 확인하고, 제품별 적용 판단도 함께 갱신해 두는 것이 좋습니다.
§524B(d)
9.4
면제가 아니라 처음부터 적용되지 않는 경우도 있는가
아래 단계에 해당하지 않으면 면제를 받은 것이 아니라 처음부터 §524B 적용 대상이 아닌 것입니다.
Cyber Device 해당 여부 판단
소프트웨어 포함, 인터넷 연결 능력, 사이버보안 위협에 취약할 수 있는 기술적 특성의 세 조건 중 하나라도 충족하지 않으면, §524B(d)의 면제가 아니라 §524B의 정의상 적용 대상이 아닌 것입니다.
근거 조항
§524B(c)(1) · §524B(c)(3)
시판 전 제출 요건 확인
Cyber Device라는 이유만으로 모든 상황에서 §524B(a)의 제출 의무가 자동 발생하는 것은 아니기 때문에, 법률에 명시된 신청·제출 경로에 해당하는지도 확인해야 합니다.
근거 조항
§524B(a)
시행일 이전 제출 건의 구분
2023년 3월 29일 이전에 FDA에 제출된 신청·제출 건에는 §524B 요구사항이 소급 적용되지 않습니다.
근거 조항
Pub. L. 117-328 §3305(d) · FDA FAQ Q3
기존 허가·승인 의 변경
과거 허가·승인을 받은 라도 변경으로 시판 전 제출이 필요하면 §524B 적용 대상이 될 수 있습니다.
근거 조항
§524B(a) · FDA FAQ Q3
9.5
§524B 시행 전에 제출했거나 허가받은 는 어떻게 되는가
§524B는 2023년 3월 29일부터 적용되었습니다.
Pub. L. 117-328 §3305(d)
2022-12-29
§524B 신설
FDORA 2022(Public Law 117-328)로 FD&C Act에 §524B가 추가되었습니다.
Pub. L. 117-328 §3305
2023-03-29
적용 시작
이날 이후 제출된 모든 시판 전 제출건(510(k), De Novo, PMA, PDP, HDE 및 보충서)에 적용됩니다.
Pub. L. 117-328 §3305(d)
2023-10-01
본격 집행
FDA는 이날 전까지 사이버보안 사유만으로 접수 거부(RTA)를 하는 것을 유예했으며, 이날 이후부터 본격 집행합니다.
2023년 3월 29일 이전에 제출한 경우
2023년 3월 29일 이전 FDA에 제출된 신청·제출 건에는 §524B 요구사항이 소급 적용되지 않습니다.
Pub. L. 117-328 §3305(d)FDA FAQ Q3
기존 허가·승인 를 변경하는 경우
과거 허가·승인을 받은 라도 변경으로 인해 시판 전 제출이 필요한 경우에는 §524B 적용 대상이 될 수 있습니다. 기존 허가 사실만으로 영구 면제되는 것은 아닙니다.
