2. 医疗器械网络安全法规与标准全景

医疗器械网络安全不是单一法规能覆盖的命题。一款带无线通信的输液泵，在美国上市要回应 FDA 的上市前网络安全要求，在中国注册要满足 NMPA 的网络安全技术审查，进入欧盟要符合 EU MDR 对软件与信息安全的要求；同时，产品开发过程还要用 IEC 81001-5-1 组织安全生命周期，用 IEC 62443 约束工业通信与系统分区，用 ISO 14971 把网络安全风险纳入整体风险管理。理解这些法规与标准各自“管什么、要求什么、彼此如何衔接”，是建立网络安全体系工程的第一块地基。

一、六类要求的定位差异

先建立一个判断框架：法规回答“能不能上市、上市后要做什么”，标准回答“用什么方法做、做到什么程度算合格”。FDA 与 NMPA 属于监管要求，EU MDR 属于欧盟法规框架，三者决定市场准入；IEC 81001-5-1、IEC 62443、ISO 14971 属于可被引用的标准与方法论，决定工程实现路径。

FDA 的核心逻辑是“上市前提交网络安全信息 + 上市后持续管理漏洞”。其指南要求制造商在上市前提供威胁建模、网络安全风险评价、软件物料清单（SBOM）、漏洞管理与补丁计划等证据，并强调“网络安全是产品全生命周期属性”。NMPA 则通过《医疗器械网络安全注册审查指导原则》等文件，要求注册申报时提交网络安全性描述、数据接口与传输安全、用户访问控制、漏洞与补丁管理、网络安全事件应急等内容，并区分“网络连接”与“非网络连接”产品的不同审查深度。EU MDR 没有单独的“网络安全章节”，而是把信息安全要求嵌入通用安全与性能要求（GSPR）中，特别是 Annex I 对软件、数据保护、防止未授权访问的要求，并需通过临床评价、风险管理与技术文档形成证据链。

二、标准之间的分工与衔接

IEC 81001-5-1 是医疗器械软件网络安全生命周期标准，它把安全活动嵌入软件开发生命周期（SDLC），强调“安全需求—安全设计—安全实现—安全验证—安全发布—安全运维”的闭环，并明确要求与 ISO 14971 的风险管理过程对接。IEC 62443 原本面向工业自动化与控制系统，其“分区与管道（Zones & Conduits）”“安全等级（SL）”概念被广泛借用到医疗设备网络架构中，用于划分信任边界、限制横向移动。ISO 14971 则是医疗器械风险管理的通用标准，网络安全风险必须作为“可预见风险”纳入其中，通过伤害严重度与发生概率评估风险可接受性，并输出风险控制措施。

三者的关系可以这样理解：ISO 14971 提供风险语言，IEC 81001-5-1 提供软件安全生命周期流程，IEC 62443 提供网络架构与系统级安全控制手段。它们共同支撑 FDA、NMPA、EU MDR 的合规证据。

三、映射到工程实践：一张证据包如何同时满足多方

实际工作中，最有效的做法不是为每个法规单独做一套文档，而是建立“一次分析、多向映射”的证据体系。以一台联网的胰岛素泵为例：先按 ISO 14971 识别网络安全相关危害（如未授权修改输注参数导致过量给药），评估风险并确定控制措施；再用 IEC 81001-5-1 把这些控制措施转化为软件安全需求，嵌入需求、设计、编码、测试各阶段；同时用 IEC 62443 的分区思想，把泵体、网关、医院网络、云平台划分为不同信任区，明确管道上的加密与认证要求。

这套分析结果可以直接映射到三方监管：FDA 关注威胁模型、SBOM 与补丁计划；NMPA 关注接口安全、访问控制与应急响应；EU MDR 关注 GSPR 中的软件安全与数据保护条款。同一份风险分析、同一份安全需求、同一份测试报告，只需按不同监管的格式与侧重点组织，即可形成各自的申报材料。

四、常见误区与判断要点

第一个误区是把网络安全等同于“加个加密”。加密只是控制措施之一，法规和标准更关注全生命周期的风险管理与证据链。第二个误区是认为 IEC 62443 只适用于工业场景，实际上其分区、管道、安全等级思想对医疗设备网络架构同样有效，尤其是多设备协同的医院环境。第三个误区是忽略 ISO 14971 与网络安全的接口——网络安全风险必须纳入风险管理文件，否则在审核中会被视为体系缺口。

判断一个医疗器械网络安全体系是否合格，可以看四个问题：是否识别了资产与威胁？是否把安全需求追溯到风险控制措施？是否在上市后持续管理漏洞与补丁？是否能向不同监管提供一致的证据？这四个问题，正是 FDA、NMPA、EU MDR 与三大标准共同指向的核心。