医疗设备网络安全合规：FDA 和 MDR 的最新要求

随着医疗设备日益联网化，网络安全已成为监管审评的核心关注点。FDA 和欧盟 MDR 均在 2023-2026 年间显著加强了医疗器械网络安全要求，不合规可能导致注册被拒。

FDA 网络安全要求

2023年10月，FDA 正式实施 FDORA 法案下的医疗器械网络安全新规。所有包含软件功能的医疗器械在提交 510(k)、De Novo 或 PMA 时，必须包含以下网络安全文档：

1. 网络安全管理计划：描述上市后网络安全监控、补丁发布和漏洞响应流程
2. 网络安全设计架构：系统架构图、安全控制措施和数据流图
3. 网络安全风险评估：基于 IEC 81001-5-1 或 AAMI TIR57 的威胁建模和风险评估
4. 软件物料清单（SBOM）：所有第三方组件和库的清单及已知漏洞
5. 上市后网络安全事件报告：漏洞和事件的报告流程

MDR 网络安全要求

MDR 在 Annex I 通用安全和性能要求中明确规定，具备联网功能的医疗器械必须满足网络安全要求。公告机构在审评时会检查：网络安全风险管理、IT 环境要求说明、安全设计特性（如加密、认证、访问控制）、软件验证和确认测试中的安全测试。IEC 81001-5-1 标准被视为网络安全设计的核心参考。

企业合规建议

• 在产品设计阶段即引入安全设计（Security by Design）原则
• 建立 SBOM 管理流程，跟踪所有第三方组件的安全漏洞
• 制定网络安全事件响应计划（IRP），明确漏洞报告和补丁发布流程
• 定期进行渗透测试和漏洞扫描
• 培训研发团队了解 OWASP Medical Device Top 10 风险