一. 发布背景

1. 网络威胁不断升级

近年来，多起攻击事件（如WannaCry、SweynTooth）波及医疗设备与系统，导致设备瘫痪、手术中断，甚至患者生命受威胁。

2. 法律驱动合规

2022年《FDA改革法案》（FDORA）新增FD&C法案第524B条款，要求Cyber Devices必须在上市前提交网络安全相关材料，包括SBOM、安全更新机制、漏洞管理计划等。

3. 质量体系要求

FDA已于2024年宣布，将自2026年2月2日起，把原有QSR（21 CFR Part 820）更新为基于ISO 13485:2016的QMSR，标志美国质量体系将全面与国际接轨。

二. 核心变化

1. 适用范围扩大

不仅适用于联网设备，所有含有软件、固件或可编程逻辑的器械（即便不联网）均需符合本指南。

2. 法规地位提高

不同于旧版的“建议性”指南，2025年版直接服务于FD&C法案第524B条，具有法律强制效力。

3. 提交流程更明确

必须在上市前提供以下材料（根据产品情况选择性提交）：

• 威胁建模报告（Threat Modeling）

• 网络安全架构图

• 渗透测试/模糊测试（Fuzzing）结果

• 安全更新机制说明

• SBOM（Software Bill of Materials）

• 漏洞披露与修复策略

三. 技术变革

FDA强调：“网络安全不再是事后的IT补丁，而是产品设计的起点。”

安全目标的五大核心原则：

1.真实性与完整性（Authenticity & Integrity）

含义：确保数据、设备、命令未被篡改或伪造

实施要点：数字签名、加密校验、Secure Boot

2. 授权机制（Authorization）

含义：限制功能访问在授权用户范围内

实施要点：权限管理、MFA、RBAC

3. 可用性（Availability）

含义：即使遭受攻击仍能提供核心服务

实施要点：安全模式、冗余设计、DoS防护

4. 保密性（Confidentiality）

含义：保护患者数据、系统配置不被泄露

实施要点：数据加密、访问日志、安全擦除

5. 可更新与可补丁性（Updatability & Patchability）

含义：发现漏洞后能安全、迅速修补

实施要点：OTA更新、签名验证、版本回滚保护

FDA建议企业采用安全产品开发框架SPDF（Secure Product Development Framework），将网络安全要求融入：

• 需求分析与设计控制阶段

• 风险管理与验证流程

• 软件更新与维护机制

四. 企业应对方案

面对FDA网络安全新规及QMSR即将落地，医疗器械企业必须尽快构建从设计、制造到维护的全流程网络安全合规体系。以下几个维度企业可以重点关注：

1. 梳理产品清单，识别“Cyber Devices”

首先明确哪些产品符合§524B中定义的Cyber Device标准，即：

• 含有软件、固件、可编程逻辑控制（PLC）；

• 可联网（直接或间接）；

• 可受到网络威胁影响其功能；

• 属于FDA监管的医疗器械。

对所有产品进行一次网络安全风险等级划分，区分高/中/低风险产品，以确定需提交的安全材料范围与深度。

2. 导入“安全开发框架”（SPDF）

将网络安全要求纳入现有的设计控制流程、风险管理流程（ISO 14971）、软件生命周期流程（IEC 62304）：

• 初期设计 → 加入威胁建模（TARA）

• 架构评审 → 增设“信任边界”分析

• 验证测试 → 增加渗透测试、模糊测试环节

• 设计输出 → 提供SBOM、安全架构图、安全标签说明等文档

建议建立“Cybersecurity Design Checklist”，确保每一产品设计环节都经过系统性评估。

3. 建立SBOM生成与维护机制

SBOM（软件物料清单）是核心强制材料，企业应搭建如下能力：

• 自动生成SBOM（含商业、开源、第三方组件）；

• 跟踪组件生命周期、支持状态、CVE漏洞；

• 与供应商签署SBOM合规责任条款；

• 建立版本控制与更新记录机制；

• 将SBOM嵌入产品注册包及更新包中提交。

工具建议：使用如CycloneDX、SPDX等SBOM格式标准，与自动化工具（如Dependency-Track）集成。

4. 升级补丁管理与响应机制

FDA要求每个Cyber Device需建立漏洞发现后的快速修复机制，包括：

• 修补策略与响应流程（Patch Management Plan）；

• 补丁测试、验证与OTA（Over-the-Air）发布机制；

• 用户通知与风险提示机制；

• 日志记录和安全事件上报机制。

企业应指定“产品安全官（Product Security Officer）”负责安全事件闭环管理。

5. 质量体系融合网络安全要素

自2026年起，FDA正式以ISO 13485替代QSR为法规标准，企业质量体系应提前完成以下对接：

• 管理评审纳入网络安全绩效指标；

• 文件控制新增“网络安全设计输入/输出”模板；

• CAPA（纠正与预防措施）流程纳入安全事件闭环机制；

• 培训模块新增“安全意识+法规更新+SPDF”专题。

企业可结合MDSAP审核准备一体化体系文件，实现多国市场合规共通。

五. 结语

FDA这次更新网络安全指南，释放了明确信号，网络安全并不是“研发附加项”，而是产品注册的“刚需入口”。

对医疗器械企业而言，这不仅是一次法规升级，更是一次行业洗牌。谁能率先建立SBOM数据库、渗透测试机制、SPDF设计框架，谁就能抢占美国市场窗口；谁还停留在“提交注册材料+纸面审查”阶段，将在QMSR实施后面临系统性合规风险。