【Global Bio 報導】歐盟 MDR 過渡期收尾倒數！安合規律結盟 Applus+，打造臺灣醫材 MDR 與 FDA 資安一站式合規支援通道

Global Bio 報導｜撰文：吳康瑋

6 月 29 日，安合規律檢驗（以下簡稱安合規律，Secure Vectors Surveillance Inc.）攜手西班牙檢測認證集團 Applus+ Laboratories 宣布正式簽約結盟，安合規律自此成為 Applus+ Laboratories 在台戰略夥伴暨認可資安實驗室。雙方表示，臺灣醫材廠商在地就能完成從管理制度、資安檢測、文件審查到歐盟公告機構（NB, Notified Body）審查的完整流程，除了在地提供最有效的實驗室服務外，目標是透過流程整合，協助客戶更有效率完成合規路徑，並降低跨海溝通與重複測試、來回送件的成本；同時，符合性評鑑最終決定權仍由公告機構獨立負責。

Applus+ Laboratories 雙公告機構（NB 2764 & NB 3121）及安合規律 ISO 17025 認可資安實驗室

近年醫療器材紛紛走向連網。產品一旦加入 Wi-Fi、藍牙與雲端功能，市場准入要求便成倍增加，法規門檻也隨之墊高。Applus+ Laboratories 中國區總經理 Josep Prat 表示，Applus+ Laboratories 旗下擁有 NB 2764（土耳其）& NB 3121（斯洛維尼亞）雙公告機構，為臺灣醫材製造商在外銷取證上，提供更直接且多元的新選擇。

安合規律檢驗執行長 Vincent Huang 補充表示，臺灣醫材認證產業有個結構性問題，就是實驗室數量不少，真正少的是一條銜接直達 MDR 與美國 FDA 的高效路徑。資安項目的檢測近年日趨嚴格，廠商過去只能自行在海外找公告機構、另在本地找資安實驗室，兩軌之間語言、時區與文件格式各行其是，取證時程動輒拖上十二至十八個月。

安合規律的資安實驗室源自母公司安律國際（Secure Vectors Information Technologies Inc.），自 2010 年以來深耕金融支付資安認證，由於金融產業使用的資訊技術更廣泛、攻擊的誘因更強，金融產業的資安攻擊力道及頻次更甚於醫材領域，安合規律承襲服務金融業的豐厚經驗，投入醫療器材安全檢測領域，將多年資安保護、驗證及檢測經驗帶進醫療器材產業。

安合規律有本土資安測試實力，Applus+ Laboratories 旗下除了有歐盟雙公告機構，更有兩個資安檢測最高階的 CC（Common Criteria）檢測實驗室的深厚安全檢測基礎，無論在服務場域、檢測技術上雙方都以「互補性」形容這次合作，而這場結盟要打通的，正是這最後一哩路。

連網醫材資安要求：IEC 81001-5-1、MDCG 2019-16 兩套標準大幅墊高准入門檻

連網醫材的法規監管亦有重重門檻。Josep Prat 表示，醫材一旦導入 Wi-Fi、BLE 與雲端功能，除了原本的 MDR 與 FDA 安規審查，還得額外滿足 IEC 81001-5-1 資安生命週期與 MDCG 2019-16 網路安全指引兩套技術要求，兩個被醫療主管機關認定的管理方法，都高度重視將資安納入整個開發管理的生命週期內，做到全生命週期的安全管理。至於 RED 3.3 與 EN 18031，法律上排除醫材（Delegated Reg 2022/30 Art. 2），但資安保護技術脈絡相通，建議廠商在設計階段參考其框架，並為未來歐盟《網路韌性法案》（CRA）協調標準作準備。

這些標準也讓臺灣廠商常面臨挑戰。Vincent Huang 表示，最常見的困境有四道，且環環相扣：測試不足且缺乏第三方獨立性、文件缺乏統一追溯矩陣而形成文件孤島、ISO 13485 品質系統未整合 IEC 81001-5-1 資安風險管理，以及上市後監督（PMS）帶來的持續安全監控及合規負擔。他指出，歐盟資安入法從 RED 3.3 到 CRA，2022 年密集啟動，2025 年起監管強度大幅拉高、且強制接軌國際標準，讓中小廠商面臨龐大的合規壓力。

以 Class IIa/IIb/III 軟體醫材為例，MDR 並未強制要求引用特定技術標準，但業界普遍以一套指標性標準與指引作為「當前技術水準（State of the Art）」的舉證依據，包括 ISO 13485 品質管理系統、ISO 14971 風險管理、IEC 62304 軟體生命週期、IEC 81001-5-1 資安生命週期、MDCG 2019-16 資安審查指引——這些文件過去分屬不同單位，透過安合規律與 Applus+ Laboratories 的合作，讓醫材廠商開發、生產、製造所需要的五類管理工作在一站式整合檢測流程中被查核發現出問題，避免送審後被公告機構或主管機關要求重整。

被要求資安補件／退件成常態，臺灣醫材廠商陷入認證時間倒數

門檻攀升的直接後果，就是退件成了常態。Vincent Huang 舉例，近期就有一起設備與手機藍牙對接遭 FDA 退件，這項對接過去測試無虞，如今 FDA 注意到此類技術有高風險的攻擊可能而要求補做安全措施及測試。他表示，FDA 自 Section 524B 生效後，明確擁有『因資安文件不足而拒絕受理』510(k) 送件的法定權利（refuse to accept）。業界近期已陸續傳出因 SBOM 不完整、缺少滲透測試與威脅模型邊界不清等理由，而遭 FDA 要求補件甚至暫緩受理的案例。

除了退件風險，取證時間也在倒數。雙方指出，歐盟 MDD 轉 MDR 進入倒數，高風險產品須在 2027 年 12 月 31 日前、中低風險產品須在 2028 年 12 月 31 日前完成認證。全球 MDR 公告機構僅約五十家，整體量能有限，根據目前發證案例，MDR 認證專案平均交付週期約在 12-18 個月左右，實際週期取決於客戶端文件準備的完整度與缺失整改速度。

Vincent Huang 點出歐美兩地的風險本質不同：歐盟 MDR 是公告機構常有塞車現象，廠商只能排隊苦等；美國 FDA 強調資安風險則是資安文件不齊就拒絕受理，先前投入形同白做，因此兩地都不容有失。至於歐盟《網路韌性法案》，醫材雖然被排除在法案的監管範圍外，但並非放水，而是因為 MDR Annex I 第十七條早在 2021 年已把資安納入強制門檻，屬於等效監管原則。

三階段協作搭配兩大加速器，打造一站式合規解方

雙方為了化解業內困境，端出一套三階段協作模式，核心是流程整合與資訊對稱。合作從產品設計期就開始，安合規律先做 IEC 81001-5-1 資安管理差異分析，Applus+ Laboratories 同步審查 MDR 技術文件，兩方共同產出聯合行動清單，讓廠商在送件前就清楚該補強什麼，不必事後收到補件通知才付出數倍返工成本。

這套模式能省時的關鍵，在於採用並行處理。Vincent Huang 指出，傳統路徑必須先備文件送審，等公告機構回覆資安缺失後才找實驗室測試，接著重送、重審，一旦退件前面的投入就得部分重來。新模式把序列拆開重疊推進，資安測試與文件審查同步展開，報告即時回饋併入技術文件，兩邊持續對齊、互不空等，這也是專案時程能壓縮逾三成的主因。

流程整合後，交付成果也與過去不同。廠商拿到的不再是兩套分離報告，而是一份同時滿足 MDR 與 FDA 的完整證據包，同一份審查文件就能一次投遞歐、美兩地。廠商只需一份 SBOM、一套滲透測試報告與一組威脅模型，即可同步對應歐盟 MDR、美國 FDA（Section 524B 與 UL 2900-2-1）與中國 NMPA（YY/T 1843）三地格式，甚至調整格式及重點後，還可以送件日、韓等國家的監管審查。

這套流程還有兩大加速器。Vincent Huang 表示，安合規律的 ISO 17025 認證報告，符合 FDA 與歐盟公告機構認可測試報告的技術要求，可作為送件的核心技術證據，減少廠商重新測試的時間與成本。Josep Prat 補充，Applus+ Laboratories 累積數百件醫材認證經驗，加上在地化服務，能讓研發團隊一發現漏洞就即時修補、無時差溝通。

取得 CE 標章只是起點——後續的上市後監督（PMS）同樣列入合作範圍，安合規律將協助臺灣廠商建立通報流程 SOP，協助檢驗及監視上市後產品的資安狀態及事故處理等，避免證書因後續稽核而被公告機構撤銷。

臺灣醫材出口：從 MDR 合規升級為亞太資安合規服務樞紐

站穩醫材市場之後，雙方對臺灣未來市場鋪出三層佈局。近程要在 2026 年底前催生首批 MDR 案例並開發合規套件；中程把實驗室能量充分在地化，讓台灣資安實驗室能夠更快速服務本地客戶，並將資安檢測的服務與能量擴充到 IoT、CRA、電動車、無人機等台灣具備實力的產業；長程則要讓臺灣以完整產業鏈與工程人才密度為基地，升級為亞太區的資安合規服務樞紐。

配合這三層佈局，雙方近期陸續開辦 MDR 資安工作坊與 ISO 13485、IEC 81001-5-1 內稽人員培訓課程，並輔以歐盟 CRA 第一手解析。Vincent Huang 表示，臺灣過去只能被動等海外認證，如今在地就能一次搞定歐美合規，這才是這場結盟真正的意義。

安合規律官網已提供 MDR 合規自檢及相關培訓課程，讀者可至 www.securevectorlab.com 進一步了解；培訓課程資訊與報名，請至《CRA、MDR、ISO 13485 培訓課程》頁面；更多 CRA 法規深度解析，請見《CRA 倒數計時：臺灣 ICT 廠商合規指南》。

原始報導：Global Bio 環球生技