医疗器械 FDA 上市前网络安全
Sytance · 更新于
FDA 上市前网络安全指南建议申请人说明器械的安全设计、需要处理的风险，以及用于检查设计的测试。申报资料还需要说明制造商将在器械发布后如何管理漏洞。
2026 年 2 月正式指南
FDA 于 2026 年 2 月发布现行上市前网络安全正式指南，取代 2025 年 6 月版。本次修订使指南与质量管理体系法规（QMSR）保持一致。指南中的建议与第 524B 条的法定要求应分别理解。
This document supersedes “Cybersecurity in Medical Devices: Quality System Considerations and Content of Premarket Submissions,” issued June 27, 2025.
FDA 上市前网络安全指南，2026 年 2 月（英文原文）
非官方中文译文：本文件取代于 2025 年 6 月 27 日发布的《医疗器械网络安全：质量体系考量及上市前申报内容》指南。
该指南面向具有网络安全风险的器械。即使器械不能连接互联网，软件、固件或可编程逻辑仍可能产生这类风险。第 524B 条则适用于 FD&C Act 定义的、范围更窄的 cyber device。
第 524B 条适用于 cyber device
第 524B 条适用于 cyber device 的特定申报路径：510(k)、PMA、产品开发协议（PDP）、De Novo 和 HDE。法律要求自 2023 年 3 月 29 日起生效。FDA 关于拒绝受理申报的过渡政策于 2023 年 10 月 1 日结束；这不是法律要求的生效日期。
提交方控制的软件
器械包含由提交方验证、安装或授权的软件，作为器械本身或器械中的软件。FDA 在此分析中将固件和可编程逻辑视为软件。
具备互联网连接能力
器械可以直接或通过其他产品连接互联网。FDA 的解释包括间接连接，例如通过一台可联网计算机进行通信。
可能暴露于网络安全威胁
器械包含提交方验证、安装或授权的技术特征，而且这些特征可能受到网络安全威胁影响。
对于符合条件的申报，第 524B 条要求提供上市后漏洞监测与处理计划，包括协调漏洞披露；还要求建立能够合理保证网络安全的流程和程序，提供上市后更新与补丁，并提交涵盖商业、开源和现成软件组件的 SBOM。
申请材料及其追溯关系
审评人员需要了解安全判断的依据。例如，威胁模型识别出治疗参数被未授权修改的风险，设计应规定谁能修改这些参数，测试则应检查相应权限限制。架构、分析与测试结果需要针对同一器械配置。
FDA 建议将安全活动纳入质量管理体系。开发记录应说明安全要求如何影响设计、如何检查实现，以及发布前怎样处理未解决问题。维护计划则规定发布后如何继续处理漏洞和更新。
网络安全风险管理分析攻击者如何利用缺陷并影响器械。攻击可能导致患者伤害时，由此产生的危险情况还需纳入安全风险管理。例如，攻击使报警被抑制，可能延误临床处置。
风险管理报告应说明评估方法与剩余风险结论。组件支持状态、已知漏洞和未解决的软件异常，有助于判断制造商能否在器械预期使用期间持续维护防护。
威胁模型应覆盖完整器械系统，包括影响其运行的外部依赖。分析器械安装、使用、更新和退役时可能发生的攻击，再通过架构视图说明所选措施在何处起作用。
测试需要检查安全要求，以及针对已识别威胁选定的措施。代码分析和软件成分分析可帮助发现实现或组件中的缺陷；模糊测试、误用测试和渗透测试则检查异常输入或攻击下的行为。应根据器械接口和风险选择测试方法。
用户信息应说明医疗机构或患者为安全运行需要执行哪些操作，包括配置、更新和恢复，并明确支持期限及依赖运行环境的责任。制造商的网络安全管理计划则应说明收到漏洞报告或监测到问题后，如何评估、沟通并及时处置。
各类技术资料的用途
架构视图
FDA 建议提供全局系统、多患者伤害、更新和补丁能力，以及安全用例视图，说明攻击如何到达器械、影响连接系统，以及如何通过更新处理相关问题。
SBOM
SBOM 应覆盖制造商开发和第三方组件，包括购买、许可、开源和上游依赖。对于 cyber device，第 524B 条规定 SBOM 是法定申报内容。
已知漏洞
FDA 期望识别并分析已知漏洞，包括第三方组件漏洞，以及 CISA 已知被利用漏洞目录（KEV）中与器械或相关系统有关的漏洞。
追溯关系
通过追溯关系，审评人员应能从威胁模型中的问题找到受影响的 SBOM 组件、风险控制、设计要求和测试结果。剩余风险的处理结论也应反映在标签信息和上市后监测中。
指南中的安全控制类别有助于系统检查设计。例如，认证用于确认身份，授权用于判断该用户是否可以执行特定临床或维护操作。测试应在实际执行这些判断的接口上检查相应行为。
不符合第 524B 条定义的器械
不能连接互联网的器械，仍可能通过本地端口或可移动介质接收软件更新。即使不符合 cyber device 定义，被篡改的更新也可能带来网络安全风险。FDA 更广泛的指南仍与这类风险相关，建议提交哪些资料取决于器械和申报类型。