Cybersecurity “routine updates and patches” are changes to a device to increase device security and/or remediate only those vulnerabilities associated with controlled risk of patient harm. These types of changes are not to reduce uncontrolled risk of patient harm, and therefore not to reduce a risk to health or to correct a violation of the FD&C Act. They include any regularly scheduled security updates or patches to a device, including upgrades to the software, firmware, programmable logic, hardware, or security of a device to increase device security, as well as updates or patches to address vulnerabilities associated with controlled risk performed earlier than their regularly scheduled deployment cycle even if they are distributed to multiple units. Cybersecurity routine updates and patches are generally considered to be a type of device enhancement that may be applied to vulnerabilities associated with controlled risk and is not considered a repair. Cybersecurity routine updates and patches may also include changes to product labeling, including the instructions for use, to strengthen cybersecurity through increased end-user education and use of best practices. Because “cybersecurity routine updates and patches are generally considered to be device enhancements, manufacturers are generally not required to report these updates and patches as corrections under 21 CFR part 806. See Section VII for more details on reporting requirements for vulnerabilities with controlled risk. Security updates made to remediate vulnerabilities associated with a reasonable probability that use of, or exposure to, the product will cause serious adverse health consequences or death are not considered to be cybersecurity routine updates or patches.

사이버보안 "정기 업데이트 및 패치"는 기기 보안을 강화하거나 환자 위해의 통제된 위험과 관련된 취약점만 수정하기 위한 기기 변경이다. 이러한 유형의 변경은 환자 위해의 통제되지 않은 위험을 줄이기 위한 것이 아니므로 건강 위험을 줄이거나 FD&C 법 위반을 수정하기 위한 것이 아니다. 여기에는 기기의 소프트웨어, 펌웨어, 프로그래밍 가능 로직, 하드웨어 또는 보안을 업그레이드하여 기기 보안을 강화하는 것을 포함하여 기기에 대한 정기적으로 예약된 보안 업데이트 또는 패치가 포함되며, 여러 기기에 배포된 경우에도 정기적으로 예약된 배포 주기보다 일찍 수행된 통제된 위험과 관련된 취약점을 해결하기 위한 업데이트 또는 패치도 포함된다. 사이버보안 정기 업데이트 및 패치는 일반적으로 통제된 위험과 관련된 취약점에 적용될 수 있는 기기 개선 유형으로 간주되며 수리로 간주되지 않는다. 사이버보안 정기 업데이트 및 패치에는 최종 사용자 교육 강화 및 모범사례 사용을 통해 사이버 보안을 강화하기 위해 사용설명서를 포함한 제품 라벨 변경도 포함될 수 있다. "사이버보안 정기 업데이트 및 패치는 일반적으로 기기 개선으로 간주되므로 제조업자는 일반적으로 이러한 업데이트 및 패치를 21 CFR part 806에 따라 수정사항으로 보고할 필요가 없다. 통제된 위험이 있는 취약점에 대한 보고 요구 사항에 대한 자세한 내용은 섹션 VII을 참조한다. 제품을 사용하거나 노출되면 심각한 건강 문제나 사망을 초래할 가능성이 있는 취약점을 해결하기 위해 수행된 보안 업데이트는 사이버보안 정기 업데이트 또는 패치로 간주되지 않는다.