【Global Bio 报道】欧盟 MDR 过渡期收尾倒计时！安合规律结盟 Applus+，打造台湾医疗器械 MDR 与 FDA 资安一站式合规支持通道

Global Bio 报道｜撰文：吴康玮

6 月 29 日，安合规律检验（以下简称安合规律，Secure Vectors Surveillance Inc.）携手西班牙检测认证集团 Applus+ Laboratories 宣布正式签约结盟，安合规律自此成为 Applus+ Laboratories 在台战略伙伴暨认可资安实验室。双方表示，台湾医疗器械厂商在本地就能完成从管理体系、资安检测、文件审查到欧盟公告机构（NB, Notified Body）审查的完整流程，除了在本地提供最有效的实验室服务外，目标是通过流程整合，协助客户更有效率完成合规路径，并降低跨海沟通与重复测试、来回送件的成本；同时，符合性评鉴最终决定权仍由公告机构独立负责。

Applus+ Laboratories 双公告机构（NB 2764 & NB 3121）及安合规律 ISO 17025 认可资安实验室

近年医疗器械纷纷走向联网。产品一旦加入 Wi-Fi、蓝牙与云端功能，市场准入要求便成倍增加，法规门槛也随之垫高。Applus+ Laboratories 中国区总经理 Josep Prat 表示，Applus+ Laboratories 旗下拥有 NB 2764（土耳其）& NB 3121（斯洛文尼亚）双公告机构，为台湾医疗器械制造商在外销取证上，提供更直接且多元的新选择。

安合规律检验执行长 Vincent Huang 补充表示，台湾医疗器械认证产业有个结构性问题，就是实验室数量不少，真正少的是一条衔接直达 MDR 与美国 FDA 的高效路径。资安项目的检测近年日趋严格，厂商过去只能自行在海外找公告机构、另在本地找资安实验室，两轨之间语言、时区与文件格式各行其是，取证时程动辄拖上十二至十八个月。

安合规律的资安实验室源自母公司安律国际（Secure Vectors Information Technologies Inc.），自 2010 年以来深耕金融支付资安认证，由于金融产业使用的信息技术更广泛、攻击的诱因更强，金融产业的资安攻击力度及频次更甚于医疗器械领域，安合规律承袭服务金融业的丰厚经验，投入医疗器械安全检测领域，将多年资安保护、验证及检测经验带进医疗器械产业。

安合规律有本土资安测试实力，Applus+ Laboratories 旗下除了有欧盟双公告机构，更有两个资安检测最高阶的 CC（Common Criteria）检测实验室的深厚安全检测基础，无论在服务场域、检测技术上双方都以“互补性”形容这次合作，而这场结盟要打通的，正是这最后一哩路。

联网医疗器械资安要求：IEC 81001-5-1、MDCG 2019-16 两套标准大幅垫高准入门槛

联网医疗器械的法规监管亦有重重门槛。Josep Prat 表示，医疗器械一旦导入 Wi-Fi、BLE 与云端功能，除了原本的 MDR 与 FDA 安规审查，还得额外满足 IEC 81001-5-1 资安生命周期与 MDCG 2019-16 网络安全指引两套技术要求，两个被医疗主管机关认定的管理方法，都高度重视将资安纳入整个开发管理的生命周期内，做到全生命周期的安全管理。至于 RED 3.3 与 EN 18031，法律上排除医疗器械（Delegated Reg 2022/30 Art. 2），但资安保护技术脉络相通，建议厂商在设计阶段参考其框架，并为未来欧盟《网络韧性法案》（CRA）协调标准作准备。

这些标准也让台湾厂商常面临挑战。Vincent Huang 表示，最常见的困境有四道，且环环相扣：测试不足且缺乏第三方独立性、文件缺乏统一追溯矩阵而形成文件孤岛、ISO 13485 质量体系未整合 IEC 81001-5-1 资安风险管理，以及上市后监督（PMS）带来的持续安全监控及合规负担。他指出，欧盟资安入法从 RED 3.3 到 CRA，2022 年密集启动，2025 年起监管强度大幅拉高、且强制接轨国际标准，让中小厂商面临庞大的合规压力。

以 Class IIa/IIb/III 软件医疗器械为例，MDR 并未强制要求引用特定技术标准，但业界普遍以一套指标性标准与指引作为“当前技术水平（State of the Art）”的举证依据，包括 ISO 13485 质量管理体系、ISO 14971 风险管理、IEC 62304 软件生命周期、IEC 81001-5-1 资安生命周期、MDCG 2019-16 资安审查指引——这些文件过去分属不同单位，通过安合规律与 Applus+ Laboratories 的合作，让医疗器械厂商开发、生产、制造所需要的五类管理工作在一站式整合检测流程中被查核发现问题，避免送审后被公告机构或主管机关要求重整。

被要求资安补件／退件成常态，台湾医疗器械厂商陷入认证时间倒计时

门槛攀升的直接后果，就是退件成了常态。Vincent Huang 举例，近期就有一起设备与手机蓝牙对接遭 FDA 退件，这项对接过去测试无虞，如今 FDA 注意到此类技术有高风险的攻击可能而要求补做安全措施及测试。他表示，FDA 自 Section 524B 生效后，明确拥有“因资安文件不足而拒绝受理”510(k) 送件的法定权利（refuse to accept）。业界近期已陆续传出因 SBOM 不完整、缺少渗透测试与威胁模型边界不清等理由，而遭 FDA 要求补件甚至暂缓受理的案例。

除了退件风险，取证时间也在倒计时。双方指出，欧盟 MDD 转 MDR 进入倒数，高风险产品须在 2027 年 12 月 31 日前、中低风险产品须在 2028 年 12 月 31 日前完成认证。全球 MDR 公告机构仅约五十家，整体量能有限，根据目前发证案例，MDR 认证项目平均交付周期约在 12-18 个月左右，实际周期取决于客户端文件准备的完整度与缺失整改速度。

Vincent Huang 点出欧美两地的风险本质不同：欧盟 MDR 是公告机构常有塞车现象，厂商只能排队苦等；美国 FDA 强调资安风险则是资安文件不齐就拒绝受理，先前投入形同白做，因此两地都不容有失。至于欧盟《网络韧性法案》，医疗器械虽然被排除在法案的监管范围外，但并非放水，而是因为 MDR Annex I 第十七条早在 2021 年已把资安纳入强制门槛，属于等效监管原则。

三阶段协作搭配两大加速器，打造一站式合规解决方案

双方为了化解业内困境，端出一套三阶段协作模式，核心是流程整合与信息对称。合作从产品设计期就开始，安合规律先做 IEC 81001-5-1 资安管理差异分析，Applus+ Laboratories 同步审查 MDR 技术文件，两方共同产出联合行动清单，让厂商在送件前就清楚该补强什么，不必事后收到补件通知才付出数倍返工成本。

这套模式能省时的关键，在于采用并行处理。Vincent Huang 指出，传统路径必须先备文件送审，等公告机构回复资安缺失后才找实验室测试，接着重送、重审，一旦退件前面的投入就得部分重来。新模式把序列拆开重叠推进，资安测试与文件审查同步展开，报告即时反馈并入技术文件，两边持续对齐、互不空等，这也是项目时程能压缩逾三成的主因。

流程整合后，交付成果也与过去不同。厂商拿到的不再是两套分离报告，而是一份同时满足 MDR 与 FDA 的完整证据包，同一份审查文件就能一次投递欧、美两地。厂商只需一份 SBOM、一套渗透测试报告与一组威胁模型，即可同步对应欧盟 MDR、美国 FDA（Section 524B 与 UL 2900-2-1）与中国 NMPA（YY/T 1843）三地格式，甚至调整格式及重点后，还可以送件日、韩等国家的监管审查。

这套流程还有两大加速器。Vincent Huang 表示，安合规律的 ISO 17025 认证报告，符合 FDA 与欧盟公告机构认可测试报告的技术要求，可作为送件的核心技术证据，减少厂商重新测试的时间与成本。Josep Prat 补充，Applus+ Laboratories 累积数百件医疗器械认证经验，加上本地化服务，能让研发团队一发现漏洞就即时修补、无时差沟通。

取得 CE 标志只是起点——后续的上市后监督（PMS）同样列入合作范围，安合规律将协助台湾厂商建立通报流程 SOP，协助检验及监视上市后产品的资安状态及事故处理等，避免证书因后续稽核而被公告机构撤销。

台湾医疗器械出口：从 MDR 合规升级为亚太资安合规服务枢纽

站稳医疗器械市场之后，双方对台湾未来市场铺出三层布局。近程要在 2026 年底前催生首批 MDR 案例并开发合规套件；中程把实验室能量充分本地化，让台湾资安实验室能够更快速服务本地客户，并将资安检测的服务与能量扩充到 IoT、CRA、电动车、无人机等台湾具备实力的产业；长程则要让台湾以完整产业链与工程人才密度为基地，升级为亚太区的资安合规服务枢纽。

配合这三层布局，双方近期陆续开办 MDR 资安工作坊与 ISO 13485、IEC 81001-5-1 内审人员培训课程，并辅以欧盟 CRA 第一手解析。Vincent Huang 表示，台湾过去只能被动等海外认证，如今在本地就能一次搞定欧美合规，这才是这场结盟真正的意义。

安合规律官网已提供 MDR 合规自检及相关培训课程，读者可至 www.securevectorlab.com 进一步了解；培训课程信息与报名，请至《CRA、MDR、ISO 13485 培训课程》页面；更多 CRA 法规深度解析，请见《CRA 倒计时：台湾 ICT 厂商合规指南》。

原始报道：Global Bio 环球生技