前言：一个康复 App 的合规噩梦

   2025 年，某个做了三年手指康复外骨骼的创业团队，终于拿到了二类医疗器械注册证。结果上市前一个月，被告知：

   「您的 APP 没有做医疗器械网络信息服务备案，不能上线。」

   三个月白等。

   这不是段子。这是现实。医疗器械（含配套软件）的合规链条，远比很多人想象的更长、更细、更贵。

   本文基于最新法规，为你拆解：二类医疗器械软件，从研发到上市，到底要过多少道关，哪些是硬门槛，哪些坑最常见。

   无论你是康复 App、脑机接口设备、影像分析软件，只要涉及「医疗器械独立软件（SaMD）」或「软件组件」，这篇文章都适用。

一、先搞清楚：你的产品归哪类？

   医疗器械软件分两种，监管路径完全不同：

   本文覆盖：二类、独立软件、联网、有 APP/云端——这是最复杂也最典型的场景。

二、上市前：你以为注册完就完了？差得远

   2.1 注册证只是起点，不是终点

   拿到《医疗器械注册证》需要几步？

   合计：约 12-24 个月。这还没算体系建立的时间。

   2.2 软件注册，资料清单到底有多长？

   注册申报时，软件资料是重头戏。很多人低估了这一块的工作量。

   硬门槛警告：以下资料缺任何一项，注册申请不会被受理！

   （1）软件描述文档（名称/型号/版本/架构/运行环境）

   （2）风险管理文档（YY/T 0316，覆盖功能/算法/网络/数据/更新/故障/恶意攻击）

   （3）软件验证报告（单元/集成/系统测试，覆盖率报告）

   （4）软件确认报告（真实用户测试，临床使用场景全覆盖）

   （5）网络安全技术文档（身份认证/加密/审计/漏洞管理/应急响应）

   （6）现成软件（开源/第三方）清单 + 许可证分析 + 风险评估

   （7）数据库架构 + 数据完整性（ALCOA+）方案

   2.3 质量体系：ISO 13485 不是用来应付审核的

   很多人把 ISO 13485 当成「拿证用的文件」，注册完就吃灰。

   错！

   药监局飞检的核心就是查体系运行记录是否真实。

   体系里和软件最相关的三条红线：

   红线一：设计开发记录必须真实可追溯

     软件需求规格说明书 → 设计说明书 → 测试计划 → 测试报告，每一步都要有评审签字、版本号、日期。没有=造假。

   红线二：设计变更必须走评审流程

     注册后，重大变更必须重新注册，。乱改版本号=违规。

   红线三：软件生存周期必须留痕（YY/T 0664-2020）

     需求/设计/编码/测试/验证/确认/维护，每个阶段都要记录在案。

     不是口头说「我们做了」，是要能拿出文档。

三、软件安全分级：B 级到底意味着什么？

   医疗器械软件按安全级别分为 A/B/C 三级。这个分级直接决定了你要做多少临床确认工作。

四、网络安全：联网设备不过这一关，别想上市

   4.1 九条硬要求，少一条注册被拒

   4.2 数据完整性：ALCOA+ 不是选择题，是必修课

   药监局现在查数据完整性比查功能还严。ALCOA+ 原则，每一条都要落地：

     A（可归属）：每个操作绑定到具体用户，禁止共享账号

     L（清晰）：数据格式统一、结构化存储，10 年后还能打开

     C（同步）：时间戳 UTC+本地时区，禁止手动补录

     O（原始）：保留原始记录，不覆盖，覆盖需留痕

     A（准确）：输入校验、范围检查、逻辑验证

     +Complete：完整性校验（哈希），缺失数据标注原因

     +Consistent：跨系统数据一致，版本同步

     +Enduring：格式开放，定期迁移评估（别用私有格式！）

     +Available：备份可恢复，SLA 明确

五、三平台合规：Windows · Android · iOS 各有各的坑

   5.1 Android 上架：这些条件缺一不可

   5.2 iOS 上架：医疗类审核更严

   5.3 Windows：最容易忽略的平台

   很多团队做了移动端，忽略了 Windows 端。但 Windows 端的合规要求同样严格：

   代码签名（Authenticode）：没有数字签名，Windows SmartScreen 直接报警，用户不敢装

   ICP 备案：官网提供下载也必须完成 ICP 备案，否则域名被封

   隐私声明：官网必须提供隐私声明页面

六、数据合规：医疗数据是最高风险资产

   6.1 你的数据属于哪一级？

   不是所有数据都是一个风险等级。先分类，再分级保护：

   6.2 六个最常见的违规场景

   场景一：隐私政策捆绑同意

      用户不点「同意」就无法使用 APP。违规。敏感数据必须单独弹窗明示。

   场景二：过度收集权限

      康复 App 要手机通讯录？没有任何理由。最小必要原则没过→被投诉→下架。

   场景三：数据出境

      服务器放境外、用境外 CDN、患者数据传到海外服务器。医疗数据原则上禁止出境，违规处罚最高 1000 万。

   场景四：无审计日志

      谁看了哪位患者的数据？什么时候看的？没有日志=数据安全保护措施缺失=违规。

   场景五：用户删除权未落实

      用户申请删除数据，15 个工作日内必须完成。没有这个机制=违规。

   场景六：未做儿童保护

      APP 面向全年龄段，但 14 岁以下儿童须监护人单独同意。没有验证机制=违规。

七、上市后：90% 的企业栽在这里

   拿到注册证，只是开始。上市后的合规维护，才是真正的持久战。

   7.1 不良事件监测：24 小时是生死线

     严重不良事件（死亡/严重伤害）必须在 24 小时内向监管部门报告。

     逾期上报？从重处罚。

     隐瞒不报？吊销注册证。

   建议：建立不良事件SOP，明确责任人，24x7 值班机制

   7.2 软件变更：一次乱改版本，证就没了

   7.3 这些坑，真实案例里最常见

   （1）飞检突然来了，GMP 记录对不上 → 停产整顿

   （2）算法更新没备案，被举报 → 注册证被吊销

   （3）网络漏洞被白帽子发现，漏洞长期未修复→ 监管部门通报

   （4）不良事件收集不完整 → 年度汇总报告造假嫌疑

   （5）开源组件漏洞未修复，被境外媒体报道→ 品牌危机

   （6）服务器在境外，患者数据出境 → 最高 1000 万罚款

八、55 条执行清单：照着做，少走弯路

    注册前必须完成的（17 条）

      1. 完成产品设计开发全套记录（需求/设计/验证/确认）

      2. 完成风险管理文档（YY/T 0316，覆盖全生命周期）

      3. 完成软件描述文档（含架构、运行环境、网络安全说明）

      4. 完成注册检测（GB 9706.1 + YY 9706.102）

      5. 完成软件验证报告（单元/集成/系统测试，可追溯）

      6. 完成软件确认报告（用户测试，临床场景全覆盖）

      7. 完成网络安全技术文档

      8. 完成临床评价报告

      9. 完成开源软件合规清单 + 风险评估 + 合规承诺

      10. 完成 ISO 13485 体系文件（设计开发/采购/生产/质量全模块）

      11. 完成生产许可证申请

      12. 完成软件著作权登记

      13. 完成产品商标注册（第 10 类 + 第 9 类）

      14. 完成发明专利申请（如有核心算法创新）

      15. 完成各平台隐私政策 + 同意机制

      16. 完成 ALCOA+ 数据完整性方案

      17. 通过省药监局注册审批，取得《医疗器械注册证》

    网络运营必须完成的（12 条）

      1. 服务器和域名完成 ICP 备案

      2. 服务器部署在中国大陆

      3. 完成医疗器械网络信息服务备案（省药监局）

      4. 如收费，取得 ICP 许可证（注册资本 >= 100 万）

      5. 完成 Android 应用商店上架（软著 + ICP 备案 + 隐私政策）

      6. 完成 Apple App Store 上架（企业开发者账号 + 隐私标签）

      7. 完成 Windows 官网分发数字签名

      8. 完成 TLS 1.2+ 传输加密配置

      9. 完成 AES-256 本地存储加密（各平台安全区域密钥存储）

      10. 完成渗透测试（OWASP ZAP，上线前）

      11. 完成审计日志系统（防篡改，>= 3 年）

      12. 完成漏洞管理 SOP（高危 7 日内修复）

   上市后必须坚持的（12 条）

      1. 建立不良事件监测制度 + 严重事件 24h 上报机制

      2. 建立软件变更控制 SOP（重大变更重新注册，轻微变更备案）

      3. 建立年度维护计划 + 年度维护报告

      4. 建立年度体系自查报告（ISO 13485）

      5. 建立年度隐私合规审计

      6. 建立年度数据安全评估（重要数据处理者）

      7. 完成医疗器械网络信息服务年度报告（每年 3 月 31 日前）

      8. 建立用户投诉处理机制

      9. 每年至少一次渗透测试

      10. 云服务商年度 SLA 审查

      11. 定期（至少每年）检查监管政策更新

      12. 建立法规追踪机制（订阅药监局/CMDE 公告）

九、几个真心话

   1. 合规不是成本，是护城河

     很多创业团队把合规当成「拦路虎」，其实合规做扎实了，注册证就是壁垒，别人想抄都抄不了。

   2. 法规更新快，别用去年的标准套今年的事

     2025 年脑机接口已经有了专门的注册分类指导原则，BCI 设备不再是「三无产品」。AI 医疗器械的审评标准也在快速迭代。建议订阅 NMPA 和 CMDE 的官方公告，保持信息同步。

   3. 找个懂医械的律师/顾问，不亏

     注册申报文件、用户协议、数据共享协议，这些东西错一点可能就是几十万罚款或者几个月的时间成本。专业的事交给专业的人。

   4. 数据合规是长期战，不是一次性工程

     服务器迁移、用户增长、监管政策变化，都会带来新的合规挑战。建立内部的合规文化，比一次性买一个「合规方案」更重要。

   文章来源：医械研习局