医疗器械网络安全常见问题
Sytance · 更新于
以下问答涉及 FDA 与欧盟要求、cyber device 的定义、技术记录、补丁和用户信息等常见问题。
监管边界
不是。除软件外，文件还需说明器械架构、接口、更新路径和数据流，也涉及运行环境、用户信息、漏洞处理和临床影响。
不是。美国申报依据 FDA 要求，包括适用时的第 524B 条；欧盟技术文档则用于说明 MDR 或 IVDR 符合性。部分设计和测试记录可以共用，但需要分别解释如何支持相关要求。
不一定。第 524B 条要求器械同时满足软件、互联网连接能力和可能受到网络安全威胁影响这三项条件。cyber device 专题页解释了各项条件及适用的申请路径。
证据记录
不是。SBOM 列出软件组件。威胁模型解释架构、接口、数据流、误用和攻击路径如何影响安全、性能或有效性。
不能。它规定健康软件的生命周期过程，可作为安全开发和维护的依据。法律义务仍来自适用监管机构和产品法规。
生命周期和用户
是否需要报告，取决于司法辖区、器械状态、风险、患者伤害可能性、纠正或移除规则，以及更新是常规维护还是处理严重问题。
用户信息应说明预期用户为安全运行需要做什么，包括所需配置与 IT 环境、如何取得更新和恢复运行，以及用户或医疗机构承担哪些责任。