前言：一个康复 App 的合规噩梦

2025 年，某个做了三年手指康复外骨骼的创业团队，终于拿到了二类医疗器械注册证。结果上市前一个月，被告知：

「您的 APP 没有做医疗器械网络信息服务备案，不能上线。」

三个月白等。

这不是段子。这是现实。医疗器械（含配套软件）的合规链条，远比很多人想象的更长、更细、更贵。

本文基于最新法规，为你拆解：二类医疗器械软件，从研发到上市，到底要过多少道关，哪些是硬门槛，哪些坑最常见。

无论你是康复 App、脑机接口设备、影像分析软件，只要涉及「医疗器械独立软件（SaMD）」或「软件组件」，这篇文章都适用。

一、先搞清楚：你的产品归哪类？

医疗器械软件分两种，监管路径完全不同：

本文覆盖：二类、独立软件、联网、有 APP/云端——这是最复杂也最典型的场景。

二、上市前：你以为注册完就完了？差得远

2.1 注册证只是起点，不是终点

拿到《医疗器械注册证》需要几步？

合计：约 12-24 个月。这还没算体系建立的时间。

2.2 软件注册，资料清单到底有多长？

注册申报时，软件资料是重头戏。很多人低估了这一块的工作量。

⚠️硬门槛警告：以下资料缺任何一项，注册申请不会被受理！

✅软件描述文档（名称/型号/版本/架构/运行环境）

✅风险管理文档（YY/T 0316，覆盖功能/算法/网络/数据/更新/故障/恶意攻击）

✅软件验证报告（单元/集成/系统测试，覆盖率报告）

✅软件确认报告（真实用户测试，临床使用场景全覆盖）

✅网络安全技术文档（身份认证/加密/审计/漏洞管理/应急响应）

✅现成软件（开源/第三方）清单 + 许可证分析 + 风险评估

✅数据库架构 + 数据完整性（ALCOA+）方案

2.3 质量体系：ISO 13485 不是用来应付审核的

很多人把 ISO 13485 当成「拿证用的文件」，注册完就吃灰。

错！

药监局飞检的核心就是查体系运行记录是否真实。

体系里和软件最相关的三条红线：

⚠️红线一：设计开发记录必须真实可追溯

软件需求规格说明书 → 设计说明书 → 测试计划 → 测试报告，每一步都要有评审签字、版本号、日期。没有=造假。

⚠️红线二：设计变更必须走评审流程

注册后，重大变更必须重新注册，。乱改版本号=违规。

⚠️红线三：软件生存周期必须留痕（YY/T 0664-2020）

需求/设计/编码/测试/验证/确认/维护，每个阶段都要记录在案。

不是口头说「我们做了」，是要能拿出文档。

三、软件安全分级：B 级到底意味着什么？

医疗器械软件按安全级别分为 A/B/C 三级。这个分级直接决定了你要做多少临床确认工作。

四、网络安全：联网设备不过这一关，别想上市

4.1 九条硬要求，少一条注册被拒

4.2 数据完整性：ALCOA+ 不是选择题，是必修课

药监局现在查数据完整性比查功能还严。ALCOA+ 原则，每一条都要落地：

✅ A（可归属）：每个操作绑定到具体用户，禁止共享账号

✅ L（清晰）：数据格式统一、结构化存储，10 年后还能打开

✅ C（同步）：时间戳 UTC+本地时区，禁止手动补录

✅ O（原始）：保留原始记录，不覆盖，覆盖需留痕

✅ A（准确）：输入校验、范围检查、逻辑验证

✅ +Complete：完整性校验（哈希），缺失数据标注原因

✅ +Consistent：跨系统数据一致，版本同步

✅ +Enduring：格式开放，定期迁移评估（别用私有格式！）

✅ +Available：备份可恢复，SLA 明确

五、三平台合规：Windows · Android · iOS 各有各的坑

5.1 Android 上架：这些条件缺一不可

5.2 iOS 上架：医疗类审核更严

5.3 Windows：最容易忽略的平台

很多团队做了移动端，忽略了 Windows 端。但 Windows 端的合规要求同样严格：

⚠️代码签名（Authenticode）：没有数字签名，Windows SmartScreen 直接报警，用户不敢装

⚠️ICP 备案：官网提供下载也必须完成 ICP 备案，否则域名被封

⚠️隐私声明：官网必须提供隐私声明页面

六、数据合规：医疗数据是最高风险资产

6.1 你的数据属于哪一级？

不是所有数据都是一个风险等级。先分类，再分级保护：

6.2 六个最常见的违规场景

⚠️场景一：隐私政策捆绑同意

用户不点「同意」就无法使用 APP。违规。敏感数据必须单独弹窗明示。

⚠️场景二：过度收集权限

康复 App 要手机通讯录？没有任何理由。最小必要原则没过→被投诉→下架。

⚠️场景三：数据出境

服务器放境外、用境外 CDN、患者数据传到海外服务器。医疗数据原则上禁止出境，违规处罚最高 1000 万。

⚠️场景四：无审计日志

谁看了哪位患者的数据？什么时候看的？没有日志=数据安全保护措施缺失=违规。

⚠️场景五：用户删除权未落实

用户申请删除数据，15 个工作日内必须完成。没有这个机制=违规。

⚠️场景六：未做儿童保护

APP 面向全年龄段，但 14 岁以下儿童须监护人单独同意。没有验证机制=违规。

七、上市后：90% 的企业栽在这里

拿到注册证，只是开始。上市后的合规维护，才是真正的持久战。

7.1 不良事件监测：24 小时是生死线

严重不良事件（死亡/严重伤害）必须在 24 小时内向监管部门报告。

逾期上报？从重处罚。

隐瞒不报？吊销注册证。

💡建议：建立不良事件 SOP，明确责任人，24x7 值班机制

7.2 软件变更：一次乱改版本，证就没了

7.3 这些坑，真实案例里最常见

❌飞检突然来了，GMP 记录对不上 → 停产整顿

❌算法更新没备案，被举报 → 注册证被吊销

❌网络漏洞被白帽子发现，漏洞长期未修复→ 监管部门通报

❌不良事件收集不完整 → 年度汇总报告造假嫌疑

❌开源组件漏洞未修复，被境外媒体报道→ 品牌危机

❌服务器在境外，患者数据出境 → 最高 1000 万罚款

八、55 条执行清单：照着做，少走弯路

  注册前必须完成的（17 条）

☐完成产品设计开发全套记录（需求/设计/验证/确认）

☐完成风险管理文档（YY/T 0316，覆盖全生命周期）

☐完成软件描述文档（含架构、运行环境、网络安全说明）

☐完成注册检测（GB 9706.1 + YY 9706.102）

☐完成软件验证报告（单元/集成/系统测试，可追溯）

☐完成软件确认报告（用户测试，临床场景全覆盖）

☐完成网络安全技术文档

☐完成临床评价报告

☐完成开源软件合规清单 + 风险评估 + 合规承诺

☐完成 ISO 13485 体系文件（设计开发/采购/生产/质量全模块）

☐完成生产许可证申请

☐完成软件著作权登记

☐完成产品商标注册（第 10 类 + 第 9 类）

☐完成发明专利申请（如有核心算法创新）

☐完成各平台隐私政策 + 同意机制

☐完成 ALCOA+ 数据完整性方案

☐通过省药监局注册审批，取得《医疗器械注册证》

  网络运营必须完成的（12 条）

☐服务器和域名完成 ICP 备案

☐服务器部署在中国大陆

☐完成医疗器械网络信息服务备案（省药监局）

☐如收费，取得 ICP 许可证（注册资本 >= 100 万）

☐完成 Android 应用商店上架（软著 + ICP 备案 + 隐私政策）

☐完成 Apple App Store 上架（企业开发者账号 + 隐私标签）

☐完成 Windows 官网分发数字签名

☐完成 TLS 1.2+ 传输加密配置

☐完成 AES-256 本地存储加密（各平台安全区域密钥存储）

☐完成渗透测试（OWASP ZAP，上线前）

☐完成审计日志系统（防篡改，>= 3 年）

☐完成漏洞管理 SOP（高危 7 日内修复）

上市后必须坚持的（12 条）

☐建立不良事件监测制度 + 严重事件 24h 上报机制

☐建立软件变更控制 SOP（重大变更重新注册，轻微变更备案）

☐建立年度维护计划 + 年度维护报告

☐建立年度体系自查报告（ISO 13485）

☐建立年度隐私合规审计

☐建立年度数据安全评估（重要数据处理者）

☐完成医疗器械网络信息服务年度报告（每年 3 月 31 日前）

☐建立用户投诉处理机制

☐每年至少一次渗透测试

☐云服务商年度 SLA 审查

☐定期（至少每年）检查监管政策更新

☐建立法规追踪机制（订阅药监局/CMDE 公告）

九、几个真心话

1. 合规不是成本，是护城河

很多创业团队把合规当成「拦路虎」，其实合规做扎实了，注册证就是壁垒，别人想抄都抄不了。

2. 法规更新快，别用去年的标准套今年的事

2025 年脑机接口已经有了专门的注册分类指导原则，BCI 设备不再是「三无产品」。AI 医疗器械的审评标准也在快速迭代。建议订阅 NMPA 和 CMDE 的官方公告，保持信息同步。

3. 找个懂医械的律师/顾问，不亏

注册申报文件、用户协议、数据共享协议，这些东西错一点可能就是几十万罚款或者几个月的时间成本。专业的事交给专业的人。

4. 数据合规是长期战，不是一次性工程

服务器迁移、用户增长、监管政策变化，都会带来新的合规挑战。建立内部的合规文化，比一次性买一个「合规方案」更重要。

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

免责声明：本文为合规知识科普，不构成法律意见。具体产品合规路径须咨询具备医疗器械注册经验的专业顾问。