《医疗器械网络安全注册技术审查指导原则》

《医疗器械网络安全注册技术审查指导原则》由原国家食品药品监督管理总局于2017年1月发布（2017年第13号），自2018年1月1日起施行，是贯彻《网络安全法》、保障医疗器械网络安全的首个注册技术审查指导原则。该原则作为《医疗器械软件注册技术审查指导原则》的补充，以医疗器械数据安全为核心。

一、适用范围

本原则适用于具有网络连接功能以进行电子数据交换或远程控制，以及采用存储媒介以进行电子数据交换的第二类、第三类医疗器械产品（包括境内、进口），适用的注册方式包括产品注册、许可事项变更、延续注册。网络涵盖无线与有线网络，存储媒介包括光盘、移动硬盘、U盘等。

二、网络安全的核心定义与数据分类

医疗器械网络安全是指保持相关数据保密性、完整性、可得性：

• 保密性：数据不被未授权个人、实体利用或知悉。
• 完整性：数据准确、完整且未被篡改。
• 可得性：授权用户在授权时间以授权方式可访问。

相关数据分为健康数据（涉及患者隐私）与设备数据（描述设备运行状况）。注册申请人应遵循患者隐私保护与无线电管理相关规定。

三、注册申报与全生命周期责任

注册人应在医疗器械全生命周期（设计开发、生产、分销、部署、维护）中保证产品自身的网络安全。申报资料应包含网络安全描述文档、风险管理分析报告、验证与确认测试、维护计划等。技术措施包括用户访问控制、数据接口、审计追踪等。注册人还须明确与预期相连设备或系统的接口要求，并配合用户与信息技术服务商共同保障网络安全。

随着医疗器械联网程度加深，网络安全已成为产品安全有效性的重要组成部分。企业应尽早将网络安全能力（识别、保护、探测、响应、恢复）融入设计，确保合规上市。