FDA于2月3日正式发布最新网络安全指南，全面对接QMSR与ISO 13485，对SPDF、架构视图及SBOM提出详尽要求。中国器械出海面临哪些新挑战？本文为您深度以此解读。

近日，美国食品药品监督管理局（FDA）下属的器械与放射健康中心（CDRH）及生物制品评价与研究中心（CBER）联合发布了最新的行业指南——《医疗器械网络安全：质量管理体系考量与上市前提交内容》（Cybersecurity in Medical Devices: Quality Management System Considerations and Content of Premarket Submissions）。该文件于2026年2月3日正式签发，取代了2025年6月27日发布的旧版指南。对于致力于开拓美国市场的中国制造商而言，这份文件不仅是合规的“说明书”，更是产品设计的“生存指南”。

一发布背景：法规升级与威胁演变

1.对接新的质量管理体系法规 (QMSR) FDA近期修订了21 CFR Part 820，即新的质量管理体系法规（QMSR），通过引用纳入了ISO 13485:2016。本指南明确指出，网络安全是器械安全性和有效性的一部分，必须纳入质量管理体系（QMS）中。

2.应对日益严峻的安全威胁 随着无线连接、云服务和数据交换在医疗器械中的普及，网络安全事件（如勒索软件攻击）可能直接导致诊疗延误甚至患者伤害。FDA强调，器械不仅要自身安全，还必须作为更大的医疗器械系统（如医院网络）的一部分来考量其安全性。

3.落实《联邦食品、药品和化妆品法案》524B条款 该指南为制造商如何履行 FD&C 法案第 524B 条关于“网络器械（Cyber Devices）”的强制性义务提供了具体建议。

二指南核心要求与重点解读

本指南的核心逻辑在于：网络安全不能是事后的“补丁”，而必须“内建”于产品全生命周期中。

1. 推行安全产品开发框架 (SPDF)

FDA强烈建议制造商采用 安全产品开发框架 (SPDF)。SPDF是一套贯穿产品生命周期（从设计到停用）的流程，旨在减少漏洞数量和严重程度。

· 专家解读：SPDF是满足QMSR要求的一种有效方式。制造商可以参考AAMI TIR57、ANSI/AAMI SW96或IEC 81001-5-1等标准来构建此框架。

2. 安全风险管理 vs. 安全风险管理

指南明确区分了安全风险（Security Risk）与传统的安全风险（Safety Risk，如ISO 14971）。

• 关键差异： 网络安全风险评估侧重于“可利用性 (Exploitability)”，而不是基于历史数据的“概率”。因为网络攻击可能是蓄意的，难以用概率预测。

• 要求： 制造商需提交一份安全风险管理报告，包含威胁建模、网络安全风险评估、SBOM 等内容。

3. 细化的安全架构视图 (Security Architecture Views)

这是本次指南的一大亮点。FDA要求上市前提交资料中必须包含详细的安全架构视图，且不仅是一张图，而是多维度的视角：

• 全局系统视图 (Global System View)： 展示器械及所有连接（含云端、更新服务器、医院网络）。

• 多患者伤害视图 (Multi-Patient Harm View)： 分析器械被攻破后是否会导致多名患者同时受害（如中央监护系统）。

•更新与补丁视图 (Updatability/Patchability View)： 描述端到端的软件更新流程及安全保护。

• 安全用例视图 (Security Use Case Views)： 针对不同运行状态（如编程、报警、数据传输）的安全分析。

4. 软件物料清单 (SBOM)

对于“网络器械”，提供SBOM是强制性的。

• 内容要求：需包含商业软件、开源软件及与其有依赖关系的组件。

• 关键信息：必须列出软件的支持级别（如是否还在维护）以及支持结束日期 (End-of-support date)。

5. 更加严格的测试要求

仅做功能验证是不够的。FDA 建议进行专门的网络安全测试，并提交测试报告。

• 包括：模糊测试 (Fuzz testing)、漏洞扫描、渗透测试 (Penetration testing)。

• 独立性：测试报告需注明测试人员的独立性（建议由独立于开发团队的内部或外部人员进行）。

三针对“网络器械”的强制义务 (Section 524B)

如果您的产品符合以下定义，即属于 “网络器械 (Cyber Device)”：

1. 包含软件（含固件/可编程逻辑）；

2. 具有连接互联网的能力（包括 Wi-Fi、蓝牙、USB 等可能连接互联网的接口）；

3. 包含易受网络威胁的技术特征。

对于网络器械，必须在注册资料中包含：

1. 监控与补丁计划：监控上市后漏洞并及时修补的计划，包括协同漏洞披露 (CVD) 流程。

2. 安全保证流程：设计、开发和维护流程的证明，以提供网络安全合理保证。

3. SBOM：提供软件物料清单。

四对中国制造商的影响与建议

面对FDA 2026版指南，中国制造商若想顺利通过510(k)或PMA审批，需在体系和注册申报上做足功课。

建议一：升级质量管理体系 (QMS)

不要将网络安全仅视为研发部门的任务。依据 QMSR 和 ISO 13485，制造商需要在设计控制（7.3条款）、采购控制（7.4条款，针对第三方软件供应链）和纠正预防措施（8.5条款，针对漏洞修复）中显性地纳入网络安全要求。

建议二：完善上市前提交文档架构

很多被发补（RTA或Deficiency）的中国企业往往是因为文档缺失。

• 架构图要全：务必按照指南附录2的要求，准备上述四种“架构视图”，并配以详细的文字说明和数据流向分析。

• 追溯性要强：建立威胁建模、风险评估、SBOM 和测试报告之间的完整追溯关系。

建议三：重视供应链安全与SBOM

中国制造商大量使用第三方组件或开源代码。请务必核实这些组件的来源、版本及维护状态。如果使用了已停止维护（End of Life）的组件，必须有极其充分的理由和补偿控制措施，否则极易被拒。

建议四：标签与透明度

在用户手册或标签中，必须清晰告知用户如何安全地配置器械、如何识别网络异常以及如何获取SBOM信息。透明度是FDA审查的重点之一。

总而言之

网络安全已成为医疗器械安全有效的一个重要“支柱”。FDA 2026版指南的发布，标志着监管尺度的进一步收紧与细化。对于中国出海企业，“安全设计 (Secure by Design)” 不再是口号，而是必须落地执行的合规底线。

本文由广州佳誉医疗器械有限公司/佛山浩扬医疗器械有限公司联合编辑