| 放射科設備 |
| 超聲科設備 |
| 手術室設備 |
| 檢驗科設備 |
| 實驗室設備 |
| 理療科設備 |
| 急救室設備 |
| 兒科設備 |
| 眼科設備 |
| 牙科設備 |
| 婦科男科設備 |
| 滅菌消毒設備 |
| 醫用教學模型 |
| 美容儀器設備 |
| 家庭保健器具 |
| CR病床 推車 柜 |
| ABS病床輪椅 |
| 醫用耗材 |
新聞中心
FDA發布《醫療器械中的網絡安全：質量體系考量和上市前提交內容》指南
2025年6 月27 日，美國食品(pin)藥品(pin)監(jian)督管理局(ju)（FDA）發(fa)布(bu)《醫療器(qi)械中的(de)網(wang)絡安全：質(zhi)量(liang)體系考量(liang)和上市前提交內容》指(zhi)(zhi)南,該指(zhi)(zhi)南首次將網(wang)絡安全要(yao)求從“推(tui)薦性(xing)指(zhi)(zhi)南” 升級為“法定(ding)強制”，全面強化(hua)醫療器(qi)械全生命周期的(de)網(wang)絡安全監(jian)管。需要(yao)指(zhi)(zhi)出的(de)是，該指(zhi)(zhi)南是由(you)去年3月13日發(fa)布(bu)的(de)網(wang)絡安全草案更新而(er)來的(de)。
FDA發(fa)布《醫(yi)療器(qi)械中的網絡安全(quan)：質量體系考量和上市(shi)前提交內容》指南
一、核心變化：從(cong)“推薦” 到(dao)“法(fa)定” 的(de)監管升級
1“網絡設備” 定義擴張，監管邊(bian)界模糊(hu)化(hua)
指南明(ming)確“網(wang)絡設備(bei)” 需同時滿足三(san)條件(jian)：含申辦方驗證的(de)(de)軟件(jian)、具(ju)備(bei)聯網(wang)能(neng)力（如(ru)藍牙、USB 接口(kou)等間接連接）、存在易受(shou)攻(gong)擊的(de)(de)技術特(te)征。FDA 特(te)別指出，USB 維護接口(kou)、磁感應通信設備(bei)等均屬于監管范(fan)疇。
舉(ju)例：某個設備可(ke)能(neng)需要通過(guo)USB 連接(jie)進行(xing)維護。雖然連接(jie)可(ke)能(neng)很短暫(zan)，但連接(jie)能(neng)力(li)已(yi)經存在(zai)，因此該設備被認(ren)為(wei)具有連接(jie)到(dao)互聯(lian)網的能(neng)力(li)。
2上市前申(shen)報資料新增(zeng)法定清(qing)單
a上市后漏(lou)洞(dong)(dong)管理計(ji)劃：需包含協調漏(lou)洞(dong)(dong)披露（CVD）機制、風險管理流程及定期更新方案；
b網絡安全保(bao)障流(liu)程(cheng)(cheng)：證(zheng)明(ming)設計(ji)開發(fa)流(liu)程(cheng)(cheng)能提供(gong)“網絡安全合理(li)保(bao)證(zheng)”；
c軟(ruan)件(jian)物料清單(dan)（SBOM）：強制公開商業及開源組件(jian)，標(biao)注支持(chi)狀態及終(zhong)止日期。
3質量體系與監管(guan)依據深度(du)綁(bang)定
指(zhi)南預告2026 年2 月2 日起(qi)，質量體系(xi)法規（QMSR）將(jiang)整合ISO 13485:2016，要求(qiu)企業提前調整管理體系(xi)。同時，FDA 明確(que)將(jiang)網絡安(an)全作為評估設備“安(an)全有效性” 的(de)核心指(zhi)標，重大漏洞(dong)可能(neng)導致“不等效（NSE）” 判定。
二(er)、技(ji)術要求革新：全(quan)生(sheng)命周期管(guan)控強化
1安全開發框架(jia)（SPDF）成強制路徑
指南要求(qiu)采用SPDF 覆蓋設計、開發(fa)、部署到退役全流程，需提交威脅建(jian)模、漏(lou)洞評估、第三方組件分(fen)析報告，并新增“未解決異常的(de)網絡安全影(ying)響(xiang)說(shuo)明”。
2加密與安全標準升級
加密算(suan)法：強制(zhi)采(cai)用NIST FIPS 140-3 標準，禁用棄用算(suan)法（如(ru)附錄1 明確(que)加密控制(zhi)要求）；
威(wei)脅建模(mo)：需覆蓋供(gong)應鏈、生(sheng)產、運維等全環(huan)節，例如針對(dui)第三方組件漏洞（如URGENT/117、SweynTooth）需專項評估。
3透明度要求制度化
a；SBOM 強制(zhi)公開：需包含所有第(di)三(san)方組(zu)件（如開源庫、SDK）的版本號及(ji)漏洞狀態；
b；用戶端風險(xian)披露：產品標簽需標注網絡安全風險(xian)警示(shi)及應急(ji)響應手(shou)冊。
三(san)、新舊(jiu)規對比：監管力度(du)顯(xian)著提升
監管維度<sup>1</sup> 2025·版要求 2023·版舊規
產品范圍 覆蓋非聯網設備（如獨立診斷儀器） 僅限聯網設備
組合產品 生物制品-設備組合需單獨論證 未明確要求
生命周期 上市后漏洞監控系統納入申報文件 僅建議事后響應
開發框架 強(qiang)制采用 SPDF，覆蓋(gai)全(quan)流程 未指定框架，僅推薦
四、企業應對：7 個月合(he)規倒計(ji)時
1產(chan)品(pin)定性與流程重構
a；按“網(wang)絡(luo)設(she)備” 定義審(shen)查全產品線，USB / 藍牙功能設(she)備需遵循(xun)524B 節要(yao)求；
b；將SPDF 與質量管理體系(xi)整合(he)。
2技術與文檔準備
a；部署OWASP CycloneDX/SPDX 格式SBOM，聯動漏洞(dong)掃描工(gong)具；
b；研(yan)發團隊掌握(wo)FIPS 140-3 加密(mi)標準，更(geng)新威脅(xie)建模工具(ju)鏈。
3關鍵節點提醒
2026 年2 月1 日前未(wei)滿足SPDF 和SBOM 要求的“網絡設(she)備” 將喪失上市資(zi)格，企業需(xu)在7 個月內完成體系升級。
本文由廣州佳譽醫療器(qi)械有(you)限公司/佛山浩揚(yang)醫療器(qi)械有(you)限公司聯合(he)編輯
