FDA网络安全eSTAR提交要求和相关高频发补点解析：Risk Management - Cybersecurity Risk Assessment

2025年6月27日，FDA发布最新版《医疗器械网络安全：质量体系考虑因素和上市前提交内容》指南，标志着对医疗器械网络安全监管要求的持续强化。

在eSTAR提交实践中，网络安全风险评估（Cybersecurity Risk Assessment）已成为当前最高频的发补项。

为助力高效合规，本文将系统梳理eSTAR在该部分的核心提交要点，并解析审评中常见的发补问题。eSTAR提交要求：

①　与通用安全风险管理体系分离网络安全风险评估应作为独立流程。

②　覆盖整个产品生命周期（TPLC）,风险评估标准应充分考虑设备的设计、生产、使用、维护直至退市的全过程，确保所识别的风险与控制措施在不同阶段均有效。

③　提供风险评估评分方法与接受标准

应说明：

a. 风险缓解前后的评分方法。

b. 接受风险的量化标准。

c. 如何将网络安全风险有效转入整体安全风险评估流程中。

d. 评估残余风险的控制有效性。

e. 需针对有意攻击与无意故障双路径，系统性评估残余网络安全风险及其对应的缓解策略。

④　将已知漏洞作为可预见风险处理

a. 网络安全测试中发现的漏洞需纳入风险评估。

b. 特别关注设备生命周期内漏洞利用可能性随时间增加的趋势。

c. CISA已知被利用漏洞目录中的漏洞应被主动识别并移除，避免已知攻击面危及系统与用户安全。

此处在提交实务中常见的发补项如下：

You provided cybersecurity risk assessment documentation; however, within this documentation you included the use of probabilities for assessing the 

likelihood of occurrence for cybersecurity risks. The approach used is inadequate because cybersecurity 

risks are difficult to predict, meaning that it is not possible to assess and quantify the likelihood of an 

incident occurring based on historical data or modeling (also known as a “probabilistic manner”) and 

probabilities cannot capture the likelihood of actions performed by a human or malicious actor as 

outlined in Section V.A.2. ofthe FDA guidance document “Cybersecurity in Medical Devices: Quality 

System Considerations and Content of Premarket Submissions” 

(https://www.fda.gov/media/119933/download). Adequate cybersecurity risk assessment documentation, 

including the use of exploitability (i.e., feasibility or ease and technical means by which the vulnerability 

can be exploited by a threat) for the assessment of cybersecurity risks, is important to comply with the 

requirement specified in section 524B(b)(2) ofthe Federal Food, Drug, and Cosmetic Act to provide a 

reasonable assurance that the device and related systems are cybersecure. Therefore, please update and 

provide your new methodology for the cybersecurity risk assessment to use a methodology that accounts 

for ahuman or malicious actor (i.e., Common Vulnerability Scoring System (CVSS), IEEE 11073- 

40101-2020,NIST SP 800-30, custom approaches, among others) and provide any affectedPage 15 

documentation to address these concerns. If design changes are needed to address risks that are 

determined to have unacceptable residual risk following the change in assessment methodology, 

please provide all associated updated submission documentation.

发补项说明：

You provided cybersecurity risk assessment documentation; however, within this documentation you included the use of probabilities for assessing the 

likelihood of occurrence for cybersecurity risks. 

您提供了网络安全风险评估文件；然而，在这份文件中，您使用了概率来评估网络安全风险发生的可能性。重点在于likelihood这个关键词。

发补原因:

FDA指南明确禁止使用“概率方式”（probabilistic manner）来评估网络安全风险发生的可能性（likelihood）。其逻辑依据为：

网络安全事件的发生高度不可预测；

攻击行为源于人类主观意图，无法用历史数据建模；

概率评估法无法量化恶意行为者的动机、资源与能力。

因此，若继续沿用如NIST SP 800-30或AAMI TIR57中以“likelihood”为基础的评估方法，极有可能被FDA要求整改。

整改措施：

①　采用基于威胁的风险评估方法（Threat-Based Approach）

避免使用“概率”或“likelihood”术语；

②　2. 已知漏洞的量化评估

对系统中已存在的漏洞，推荐采用CVSS v3/v4进行打分；

明确说明：

当前版本中漏洞是否被完全修复或仍存在；

针对漏洞已实施的缓解策略与防御能力。

我们团队深度参与数十个医疗器械FDA申报项目，熟悉最新网络安全指南与eSTAR提交要求，提供：

• 发补快速响应方案

• 技术文件编写咨询

• 网络安全测试

立即联系：思倍科技汪老师

电话：18128029974 邮箱：haley@sibeiwa.cn

让您的产品少走弯路，加速获批！

#医疗器械注册 #FDA咨询 #网络安全合规