医械出海注册之FDA和MDR网络安全要求的相同点和不同点

医疗器械在申请FDA和CE认证时，在网络安全方面，两者有什么相同点和不同点呢？

一、FDA和MDR在医疗器械网络安全的目标上是否一致？

总体是一致的。

保护患者安全：防止网络攻击可能导致的设别故障或误操作。

保障数据安全：确保患者健康信息的机密性、完整性和可用性。

全生命周期管理：从设计到退役，持续关注设备的网络安全。

二、两者在网络安全法规和监督框架上有何相同和不同之处？

都是强制性的法规，都强调了网络安全在医疗器械安全和性能中的重要性。

1.法规体系

FDA：依照美国的联邦法规和指南，如最新发布的《医疗器械中的网络安全：质量体系考虑和上市前提交内容指南》（2023年）。

MDR：基于欧盟的法规体系，特别是2017年发布并于2021年生效的《医疗器械法规》（MDR）。

2.监管机构角色

FDA：作为单一的国家监管机构，直接负责医疗器械的审查和批准。

欧盟：通过各成员国的主管当局和指定的公告机构实施监管。

三、在网络安全风险管理方面，FDA和MDR的要求有何相似之处？

1.相似之处

风险管理的重要性：两者要求将网络安全风险管理纳入医疗器械的整体风险管理过程。

2.风险管理标准

FDA：参考AAMI TlR57和ANSI/AAMI/ISO 14971

MDR：要求遵循EN ISO 14971

四、在网络安全相关技术文档和上市前提交要求上，两者有何区别？

1.FDA上市前提交

详细的网络安全文档：制造商必须在上市前提交中提供详细的网络安全信息，包括风险管理计划、测试报告、设备网络安全功能描述等。

指南明确要求：最新的FDA指南详细列出了上市前提交所需的网络安全内容。

技术文档：

内部质量体系文件：网络安全相关的技术文档主要用于支持内部质量管理和FDA审查。

2.MDR需要提交

技术文档：整合在技术文件中：网络安全要求和风险管理需要包含在技术文档的相应章节中。

符合基本安全和性能要求（GSPR）：技术文档必须证明设备符合MDR的GSPR，包括网络安全方面。

3.上市前审查

公告机构审查：公告机构在审查技术文档时，会评估网络安全措施和风险管理的充分性。

FDA更强调上市前提交中的网络安全内容，要求详细的文档支持。

MDR要求在技术文档中全面覆盖网络安全要求，作为符合法规的证据，由公告机构审查。

五、两者采用的网络安全标准和指南是否相同？

部分相同，但存在差异。

1.共同采用的标准

风险管理标准：

ISO 14971（EN ISO 14971）：两者都采用该标准进行医疗器械风险管理，包括网络风险。

软件生命周期标准：

IEC 62304（ANSI/AAMI/IEC 62304和EN IEC 62304）：用于医疗器械软件的生命周期过程。

2.差异部分

FDA侧重的标准和指南：

AAMI TIR57：专注于医疗设备的网络安全风险管理。

NIST网络安全框架（CSF）：提供了识别、保护、检测、响应和恢复的框架。

FDA指南：网络安全指南，具体针对美国市场。

MDR侧重的标准和指南：

IEC 81001-5-1：专门针对医疗器械和健康软件的网络安全生命周期过程要求。

EN ISO/IEC 27001：信息安全管理体系标准，强调组织层面的信息安全管理。

MDCG指南文件：欧盟医疗器械协调小组发布的网络安全指南，帮助制造商满足MDR要求。

六、在上市后网络安全活动方面，FDA和MDR有何相同和不同之处？

1.相同点

上市后监督的重要性：两者都要求制造商在设备上市后持续监控网络安全风险。

安全更新和补丁管理：制造商需要及时发布安全更新，修复已发现的漏洞。

事件报告：必须报告与网络安全相关的不良事件的安全问题。

2.不同点

FDA：

主动沟通：FDA鼓励制造商与用户和监管机构保持主动的沟通，及时通报网络安全信息。

指导文件：提供了具体的上市后网络安全管理指南，如《医疗器械的网络安全管理：上市后管理和漏洞报告》。

MDR：

上市后监督计划（PMS）：制造商必须制定并实施PMS计划，包括网络安全方面。

定期安全更新报告（PSUR）：对于lla级及以上的设备，制造商需要定期提交PSUR，包含网络安全信息。

协调机制：欧盟成员国之间通过协调机制共享安全信息，公告机构也参与其中。

打赏