FDA 于 2026 年 2 月发布最终指南《Cybersecurity in Medical Devices: Quality Management System Considerations and Content of Premarket Submissions》。指南提供网络安全设计、标签和上市前提交资料建议，并取代 2025 年 6 月发布的上一版最终指南。
文件性质：最终指南，内容属于 FDA 建议，并非独立的产品批准程序。与此同时，FD&C Act 第 524B 条对符合法定定义的 cyber device 上市前提交设有法定义务；应把指南建议和法定要求分开识别。
提交前的评估框架
- 判断器械是否具备网络连接、可编程软件或其他可能构成 cyber device 的特征。
- 明确拟提交的上市前申请类型和产品变更范围。
- 整理威胁建模、架构、风险控制、漏洞管理、软件物料清单和更新机制等证据。
- 让网络安全文件与风险管理、设计控制、标签和上市后维护安排一致。
- 按 FDA 最新指南及 eSTAR 等适用提交要求复核文件版本。
法规边界
FDA 指南通常表达当前监管建议，并不自行创造法律义务；但对法定范围内的 cyber device，FD&C Act 第 524B 条包含上市前提交相关要求。产品是否落入定义，须结合连接能力、软件特征和提交场景判断。
官方来源
- FDA：2026 Cybersecurity in Medical Devices Final Guidance
- FDA：Cybersecurity in Medical Devices FAQs（Section 524B）
来源核对日期：2026-10-27。本文概述指南状态和资料规划方向，不替代具体器械分类、申报策略或 FDA 审评。