概览

医疗器械网络安全是一个横跨安全、性能和生命周期的专业领域。同一台器械可能需要 FDA 提交证据、EU MDR 技术文件、健康软件生命周期控制、threat model、SBOM、用户标签信息和上市后漏洞处理流程。这些记录互相关联，但并非来自同一套全球规则。

医疗器械主题地图

本主题集把网络安全作为医疗器械领域问题处理，而不是一张通用合规清单。阅读时应先看当前决定受哪个司法辖区或法规来源控制，再用生命周期页面把证据连接起来。

当前 FDA 上市前指南要求看到安全产品开发、安全风险管理、威胁建模、架构视图、SBOM、安全测试、标签和网络安全管理计划。Section 524B 还为符合条件的 cyber device 增加法定提交内容。

FDA 上市后指南围绕生命周期监测、controlled 和 uncontrolled risk、常规更新、协调漏洞披露、客户沟通、ISAO 参与，以及 21 CFR part 806 报告边界来组织。

欧盟工作从 MDR/IVDR 一般安全和性能要求开始，包括软件生命周期、信息安全风险管理、最低 IT 要求、用户信息、PMS、vigilance 和技术文件。MDCG 2019-16 说明这些义务通常如何理解。

IEC 81001-5-1、SBOM、架构图、威胁模型、漏洞处理和安全测试可以支持监管提交、技术文件和上市后维护。它们不能替代法律要求本身。

实务边界很直接：FDA 来源控制 FDA 提交和 FDA 上市后期望；MDR/IVDR 来源控制欧盟符合性证据；IEC 和 ISO 标准描述生命周期实践；SBOM 和威胁建模材料描述证据方法。一份有力的文件会连接这些层次，但不会把它们当成同一种法律义务。