为贯彻落实国家对网络安全的要求，加强医疗器械产品注册工作的监督和指导，保障医疗器械产品的网络安全，国家食品药品监管总局制定颁布了《医疗器械网络安全注册技术审查指导原则》（以下简称《指导原则》）。该《指导原则》于2018年1月1日起施行。

　　一、《指导原则》制定背景

　　随着网络技术的发展，越来越多的医疗器械具备网络连接功能以进行电子数据交换或远程控制，在提高医疗服务质量与效率的同时也面临着网络攻击的威胁。医疗器械网络安全出现问题不仅可能会侵犯患者隐私，而且可能会产生医疗器械非预期运行的风险，导致患者、使用者受到伤害或死亡。因此，医疗器械网络安全是医疗器械安全性和有效性的重要组成部分，也是国家网络安全的组成部分之一。
　　医疗器械网络安全具有影响因素多、涉及面广、扩散性强和突发性高等特点，风险相对较高，因此需要加强相应监管工作，以保证医疗器械安全性和有效性，保障人民群众用械安全。
　　《指导原则》于2014年启动制定工作，依据《中华人民共和国网络安全法》，在前期国内外文献调研、企业调研、专家研讨的基础上，结合我国国情实际情况，经征求各方意见，反复讨论修改予以制定，于2017年1月20日发布，并于2018年1月1日实施。

　　二、《指导原则》主要内容

　　（一）适用范围
　　《指导原则》适用于具有网络连接功能以进行电子数据交换或远程控制以及采用存储媒介以进行电子数据交换的第二类、第三类医疗器械产品（包括境内、进口）的注册申报，适用的注册方式包括产品注册、许可事项变更、延续注册。

　　（二）注册人责任
　　注册人应当在医疗器械全生命周期过程（包括设计开发、生产、分销、部署、维护）中保证医疗器械产品自身的网络安全，从而保证其安全性和有效性。
　　注册人应当在医疗器械产品注册申请中提交相应网络安全注册申报资料，以证明医疗器械产品的安全性和有效性。

　　（三）关注重点
　　医疗器械网络安全防护层级包括产品级（即医疗器械产品自身）和系统级（即医疗信息技术网络），保证措施包括管理措施（如使用规范等）、物理措施（如防盗措施等）和技术措施（如加密技术等），《指导原则》以医疗器械数据安全为核心主要关注产品级的技术保证措施。

　　（四）医疗器械网络安全
　　医疗器械网络安全是指保持医疗器械相关数据的保密性、完整性和可得性。
　　1.保密性：指数据不能被未授权的个人、实体利用或知悉的特性，即医疗器械相关数据仅可由授权用户在授权时间以授权方式进行访问；
　　2.完整性：指保护数据准确和完整的特性，即医疗器械相关数据是准确和完整的，且未被篡改；
　　3.可得性：指根据授权个人、实体的要求可访问和使用的特性，即医疗器械相关数据能以预期方式适时进行访问和使用。

　　（五）医疗器械相关数据
　　医疗器械相关数据包括健康数据和设备数据。
　　1.健康数据：指标明生理、心理健康状况的私人数据（又称个人数据或敏感数据，指可用于人员身份识别的相关信息），涉及患者隐私信息；
　　2.设备数据：指描述设备运行状况的数据，用于监视、控制设备运行或用于设备的维护保养，本身不涉及患者隐私信息。

　　（六）医疗器械网络安全能力
　　医疗器械网络安全能力包括对网络安全威胁的识别、防护、探测、响应、恢复的能力。医疗器械对网络安全威胁应当具备相应识别、防护能力，而由于预期用途、使用环境的限制，医疗器械对网络安全威胁的探测、响应、恢复能力应当与其产品特性相适应。

　　（七）现成软件网络安全
　　对于属于应用软件的现成软件，应当重点关注其网络安全问题对医疗器械临床应用的影响。
　　对于属于系统软件或支持软件的现成软件，应当重点关注安全补丁更新对医疗器械的影响。

信息来源：医械技术网