IEC 62304第2版与医疗软件网络安全合规指南 2026

IEC 62304第2版正式来临：医疗软件、SaMD与AI应用网络安全合规全面指南 2026

沙格实验室 · 2026-06-04 · 医疗软件 / 网络安全 / IEC 62304 / SaMD

引言：医疗软件合规进入最严时代

2026年，医疗软件的监管格局正经历有史以来最深刻的变革。IEC 62304 Edition 2预计于2026年正式发布，将SaMD（Software as a Medical Device，独立软件医疗器械）、数字健康应用和人工智能/机器学习系统纳入更严格的生命周期管理框架。与此同时，FDA的QMSR（质量体系法规）已于2026年2月2日生效，要求制造商提交机器可读的SBOM（软件物料清单）；欧盟MDR同样对软件器械的安全要求进行了明确。

更为关键的是：FDA已明确表示，有权直接拒绝不满足网络安全要求的510(k)及PMA申请。这意味着网络安全合规已从"加分项"变成了"准入门槛"。

一、IEC 62304第2版的核心新增内容

IEC 62304第1版于2006年发布，2015年补充了修订版。第2版是跨度最大的一次更新，主要针对过去十年医疗软件领域的重大变化：SaMD的爆炸式增长、AI/ML算法在临床决策支持中的广泛应用，以及网络安全威胁的系统性上升。

SaMD的完整生命周期管理

第2版明确将SaMD作为独立类别，为其定义了从需求分析、软件设计、实现、验证到退市的完整生命周期活动要求。相比第1版对SaMD的模糊处理，第2版的要求更加具体和可操作。

AI/ML系统的特殊处理

对于基于机器学习的医疗软件，第2版引入了"持续学习"场景下的验证要求——算法更新后需要重新完成验证活动，并建立相应的变更控制流程。这对AI辅助诊断、影像识别等产品类别影响深远。

数字健康应用

移动医疗应用（mHealth App）和可穿戴设备的软件组件，在第2版中得到了更明确的处理指引，包括云端部署架构下的软件验证要求。

二、IEC 81001-5-1：将网络安全嵌入软件生命周期

如果说IEC 62304是医疗软件的"生命周期标准"，那么IEC 81001-5-1就是在这个生命周期每个阶段嵌入网络安全活动的"安全强化标准"。两者不是替代关系，而是互补关系：IEC 62304告诉你软件开发流程应该怎么走，IEC 81001-5-1告诉你在每个阶段应该同步做哪些网络安全工作。

对于同时需要满足FDA、欧盟MDR和中国YY/T 0664要求的企业，IEC 81001-5-1提供了一个统一的技术框架基础，可以在一套体系下满足不同市场的网络安全要求。

三、FDA QMSR与SBOM：2026年的新刚性要求

2026年2月2日，FDA新版QMSR（Quality Management System Regulation，质量体系法规）正式生效，取代了沿用多年的21 CFR 820。QMSR的核心变化是与ISO 13485:2016对齐，这对于已经按ISO 13485建立质量体系的企业是利好——但FDA在QMSR框架下对软件器械的网络安全要求是全新的、强化的。

SBOM：机器可读格式，强制提交

SBOM（Software Bill of Materials，软件物料清单）是一份详细列明软件产品中所有第三方组件、开源库及其版本信息的文件。FDA现在要求以机器可读格式提交SBOM，具体格式包括SPDX或CycloneDX。

SBOM的核心价值在于：当某个开源组件被发现存在漏洞（如典型的Log4Shell漏洞）时，监管机构和制造商可以迅速确认哪些器械受到影响，并启动响应措施。没有SBOM，就无法快速完成漏洞影响范围的评估。

四、全球监管框架对比：三大市场要求

五、企业合规路线图

面对IEC 62304 Edition 2、IEC 81001-5-1和FDA QMSR的叠加要求，企业应按以下优先级建立合规体系：

1. 建立SBOM管理机制：梳理现有产品中所有第三方组件和开源库，建立可持续更新的SBOM，并确认可输出机器可读格式
2. 完成威胁建模：对每款软件产品进行STRIDE或其他方法的威胁建模，识别高风险攻击面
3. 制定漏洞响应计划（PSIRT流程）：建立从漏洞发现到评估、修复、通知用户的完整响应流程
4. 安排渗透测试：在软件验证阶段引入第三方渗透测试，报告作为注册提交的支持性材料
5. 更新技术文件：在技术文件中系统记录网络安全设计决策、测试结果和上市后安全维护计划

六、沙格实验室医疗软件验证与合规服务

沙格实验室提供医疗软件IEC 62304合规咨询与测试服务，覆盖软件生命周期文件审查、软件验证与确认（V&V）测试、网络安全测试等核心服务项目。我们的技术团队熟悉FDA、欧盟MDR和NMPA三条路径下的软件合规要求，可协助企业制定符合IEC 62304 / IEC 81001-5-1要求的软件质量管理体系。