Cybersécurité et FCA : Illumina Signale des Risques d’Enforcement Nuls

Un règlement de 9,8 millions de dollars issu de la loi sur les fausses déclarations (FCA) entre Illumina Inc. et le ministère américain de la Justice (DOJ) se distingue parmi les actions en matière de cybersécurité, car il ne découle pas d’une violation de données, mais, selon les allégations du DOJ, de la cyberdéfense insuffisante.

Ce règlement est l’un des premiers à traiter de telles allégations liées à la cybersécurité contre un fabricant de dispositifs médicaux et pourrait confirmer une nouvelle tendance dans le domaine de l’application des lois, comme nous l’avions envisagé lors de l’annonce de cette initiative par le DOJ.

Le DOJ continue de développer l’utilisation de la théorie de la certification implicite, un cadre consolidé par la Cour suprême des États-Unis dans l’affaire Universal Health Services v. Escobar (2016). Pour les entreprises régulées par la FDA, ce règlement confirme qu’un manquement à mettre en œuvre des normes de cybersécurité conformes aux attentes réglementaires de la FDA peut engendrer une responsabilité sous la FCA, même en l’absence d’une violation de cybersécurité ou d’une déclaration trompeuse explicite.

“Les fabricants de dispositifs doivent prendre note : le gouvernement a démontré qu’il est prêt à poursuivre les programmes de cybersécurité laxistes » déclare Paul Rothermel, expert en conformité et protection de la vie privée chez Gardner.

Comprendre les Allégations

Le DOJ a allégué qu’Illumina :

• N’a pas intégré la cybersécurité dans la conception, le développement, l’installation et la commercialisation de dispositifs médicaux logiciels ;
• N’a pas soutenu suffisamment les équipes de sécurité produit ni corrigé les vulnérabilités connues ;
• A mal représenté sa conformité avec les exigences de cybersécurité de la FDA sur une période de sept ans (2016-2023).

Il est important de noter que la plainte n’allègue aucune violation de cybersécurité confirmée ou de préjudice aux patients. Au contraire, la théorie de responsabilité du gouvernement reposait sur des représentations fausses ou des omissions concernant la conformité aux normes de cybersécurité jugées essentielles pour le remboursement fédéral. Voir United States ex rel. Lenore v. Illumina Inc., 1:23-cv-00372 (D.R.I.).

Parmi les 9,8 millions de dollars du règlement, 4,3 millions ont été désignés comme restitution. Le lanceur d’alerte ayant déposé la plainte initiale a reçu 1,9 million de dollars.

Qu’est-ce que la FCA ?

La FCA a été adoptée pour protéger le gouvernement contre des frais excessifs ou le paiement de biens ou services non nécessaires, y compris le paiement pour des biens ou services qui n’auraient pas été payés en raison d’une fausse déclaration. 31 U.S.C. § 3729-3733, 18 U.S.C. § 287. En vertu de la FCA, il est illégal de présenter sciemment, ou de provoquer la présentation, d’une fausse déclaration pour paiement ou approbation, ou de faire sciemment, d’utiliser, ou de faire utiliser, un faux dossier ou une déclaration matérielle à une réclamation fausse ou frauduleuse. Les contrevenants peuvent être tenus responsables tant civilement que pénalement en vertu de la FCA. Les dispositions de qui tam de la FCA permettent aussi aux particuliers (c’est-à-dire aux lanceurs d’alerte), comme des employés d’entreprise, de poursuivre les violations de la FCA. Le gouvernement fédéral a alors la possibilité de se joindre à la poursuite.

Le Rôle de la Certification Implicite

Le DOJ s’est appuyé sur la doctrine de la certification implicite, qui stipule qu’une demande de paiement federal peut être considérée comme fausse ou frauduleuse si le demandeur (dans ce cas, Illumina) certifie implicitement sa conformité aux exigences légales ou réglementaires qui sont matérielles à la décision de paiement du gouvernement.

Dans l’affaire Universal Health Services v. Escobar, la Cour suprême a statué que :

• Lorsque une entreprise soumet une demande de paiement et omet de divulguer un manquement à des exigences statutaires, réglementaires ou contractuelles essentielles, cette omission peut engendrer une responsabilité sous la FCA ;
• Pour que l’omission soit actionnable, la conformité doit être une « condition de paiement », et la fausse déclaration doit être « matérielle » à la décision de paiement du gouvernement.

Dans l’affaire Illumina, le DOJ a soutenu qu’en commercialisant et en vendant des dispositifs dans des environnements remboursés par le gouvernement fédéral, Illumina certifiait implicitement sa conformité aux exigences de cybersécurité de la FDA, et donc, l’entreprise a faussement certifié son admissibilité au paiement. L’absence d’évaluation entre les pratiques internes de cybersécurité et ces représentations externes implicites a créé la base de l’application de la FCA, même sans déclarations faussement affirmatives ou incidents de sécurité connus.

Un Changement dans la Stratégie d’Application

Ce règlement offre un aperçu supplémentaire de la manière dont le gouvernement appliquera la FCA aux fabricants de médicaments et de dispositifs :

• Les lacunes en matière de cybersécurité dans les produits et services présentent des risques de FCA, même sans déclarations explicites, notamment lorsque les produits sont remboursés mais non vendus directement à des programmes fédéraux.
• Le non-respect des normes de la FDA en matière de sécurité produit, y compris en ce qui concerne la protection des informations sensibles des patients en lien avec la sécurité du produit, peut être matériel au sens de la FCA, qu’une violation se produise ou non.
• Les vulnérabilités logicielles, si elles ne sont pas corrigées, peuvent être considérées comme la preuve d’un manquement plus large aux obligations réglementaires et de qualité d’un fabricant.

Cette notion élargie de matérialité renforce les positions antérieures du DOJ et les étend au domaine de la technologie médicale régulée par la FDA.

Que Peuvent Faire les Fabricants Maintenant

Pour atténuer les risques dans ce paysage d’application en évolution, les entreprises devraient envisager de mettre en œuvre un programme de cybersécurité robuste, notamment :

1. Réévaluer les Programmes de Cybersécurité et le Champ d’Application du Système de Qualité : S’assurer que la cybersécurité est adéquatement couverte dans les procédures du système de qualité de l’entreprise, l’infrastructure informatique et les processus de développement de logiciels, en particulier ceux régissant les contrôles de conception, CAPA et la surveillance post-commercialisation. Les vulnérabilités doivent être traitées sur tous les aspects du produit, y compris l’infrastructure informatique, les réseaux et les logiciels.
2. Renforcer les Pratiques de Développement Sécurisé : Confirmer que le cycle de vie du développement logiciel (SDLC) inclut des normes de codage sécurisées, un modélisation des menaces formelle, des tests basés sur les risques et des protocoles de déploiement de correctifs.
3. Examiner les Soumissions et Certifications : Évaluer si les soumissions réglementaires (ex. : 510(k), PMA), accords, et tout matériel promotionnel contiennent des déclarations explicites ou implicites concernant la cybersécurité, y compris des références aux normes ou cadres nationaux ou internationaux (comme NIST, ISO, HITRUST, SOC, ou autres). Les déclarations non soutenues peuvent créer des risques de FCA.
4. Mettre en Place un Programme de Divulgation Coordonnée des Vulnérabilités : Les entreprises doivent avoir des processus clairs pour recevoir, évaluer et traiter les rapports de chercheurs en sécurité externes. La FDA attend de ces voies qu’elles soient définies et opérationnelles.

Que Va-t-il Se Passer Ensuite

L’affaire Illumina est probablement la première d’une série, en raison des incitations pour les lanceurs d’alerte. Elle illustre une tendance croissante où :

• Les obligations en matière de cybersécurité sont considérées comme des composantes appliquées de la conformité de la FDA ;
• Des déclarations ou omissions dans les soumissions réglementaires ou les documents marketing peuvent déclencher une responsabilité ;
• Le DOJ est prêt à poursuivre des actions en vertu de la FCA fondées sur un désalignement réglementaire, même sans preuve de préjudice réel.

Les entreprises de sciences de la vie auraient tout intérêt à évaluer l’adéquation de leurs programmes de sécurité produit actuels et de la façon dont ces programmes se reflètent dans la documentation, les systèmes et les représentations publiques.