作者：译安 ｜ 思倍信息科技旗下医疗器械出海合规顾问
一句话结论：510(k) 因网络安全被发补（Additional Information）或拒收（RTA），不是终点，而是可补救的——绝大多数情况能在 2–4 周内完成补件；但每拖延一天都是真金白银，因为发补会显著拖后上市时间。
如果你正卡在这里，先做一件事：别急着重写，先定位"被卡在哪个环节"。补错方向比不发补更浪费。
一、先分清：发补（AI）和拒收（RTA）是两回事
| 发补 Additional Information | 拒收 Refuse to Accept (RTA) |
|---|
| 发生在 | 实质性审查阶段，审评员看材料后要求补充 | 受理阶段（提交后约 15 个自然日内），材料不完整直接退回 |
| 严重程度 | 可补件，但拖时间 | 直接退回，需重新递交 |
| 常见原因 | 网络安全证据不完整、可追溯性不足、测试范围不覆盖 | 无机器可读 SBOM、渗透测试缺失或范围不符、漏洞管理内容缺失 |
| 补救 | 针对性补齐 + 回复审评意见 | 补齐后重新递交 |
关键背景：自 2023 年 10 月 1 日起，eSTAR 对 510(k) 强制实施。FDA 对网络安全材料的把关，走的是 eSTAR 内置验证加一般 RTA 权限（网络安全专项 RTA 政策已于 2023 年 10 月 1 日到期），材料存在实质缺陷（如无机器可读 SBOM、渗透测试缺失或范围不符、漏洞管理内容缺失）时，会在进入临床审评前被拦下。2026 年 2 月 FDA 又发布了新版上市前网络安全指南，主要变化是把引用框架对齐到 QMSR（ISO 13485）质量体系。
二、六步急救流程（按时间线）
第 1 步（当天）：读信，逐条拆解缺陷项。
审评信里的每一项缺陷，都要对应到具体交付物。别凭感觉补，先建一张"缺陷 → 交付物 → 责任方 → 完成时间"的对照表。
第 2 步（1–3 天）：对照 FDA 最新口径重新基线。
如果你原来的网络安全包是按旧版指南做的，先核对关键差异。2026 版相比 2025 版，技术内容基本无变化，主要变化在引用框架——从 QSR 换成 QMSR（ISO 13485）的术语与条款号。所以这一步的核心是把现有材料重新对齐到 QMSR 口径，而非推倒重来。
第 3 步（3–7 天）：补齐核心交付物。优先补审评最看重的"硬证据"：
威胁模型——必须针对你设备具体架构的（数据流图 + 信任边界 + 威胁枚举 + 缓解映射），模板化的泛泛之谈是 2026 年最高频缺陷之一。
SBOM + VEX——SBOM 对 cyber device 是法定要求，须机器可读（行业通行做法为 CycloneDX 或 SPDX，指南未强制指定格式与版本），覆盖全部组件（含传递依赖、操作系统、固件、AI/ML 模型构件）。VEX 虽非法定强制，但强烈建议随 SBOM 提供。
渗透测试报告——范围必须与架构视图逐接口对应，方法覆盖静态分析、动态分析、模糊测试、鲁棒性测试。
安全风险管理报告——独立成册、但需显式映射到 ISO 14971 危害分析，用"可利用性"而非"发生概率"评估。
第 4 步（7–14 天）：补"流程证据"，不只是"文档"。
SBOM 要能说明"谁维护、何时更新、组件 EOL 怎么办"；漏洞管理要能说明"监控什么源、什么节奏、什么阈值触发什么动作、怎么通知用户"。
第 5 步（第 14 天前后）：内部交叉自检。
让非本项目的人做一次"模拟审查"，重点查低级错误：版本不一致、附件传错、签字页模糊、翻译件无合规声明。
第 6 步：重新递交，并准备答复口径。
补件时别只交文件，附一份清晰的"缺陷项 → 对应整改 → 定位"索引。
三、FDA 2026 年最高频的五个缺陷（自检对照）
| 高频缺陷 | 具体表现 | 怎么避免 |
|---|
| 威胁模型模板化 | 画个框图、列几个通用威胁、说"加密+认证缓解" | 针对实际架构做 STRIDE/攻击树，威胁映射到具体组件和缓解措施 |
| SBOM 不完整 | 只列直接依赖，漏了传递依赖、OS、固件、AI 模型 | 用 Syft/ORT 等工具生成并核对运行环境 |
| 静态 SBOM、无管理流程 | 交一份快照就完事 | 说明 SBOM 的更新机制、维护责任人、EOL 处理 |
| 渗透测试范围不符 | 测试范围与架构视图对不上、只跑现成工具 | 逐接口 scoping，覆盖设备的临床特色功能 |
| 安全风险文件未对齐 SW96 | 风险方法停留在"发生概率"式评估，或与 ISO 14971 无链接 | 建议对齐 AAMI SW96:2023 框架（认可共识标准），并显式映射到 14971 危害分析 |
四、FAQ
Q：我是不是要先重做整个网络安全体系？
不必要。多数发补是"证据不完整/不可追溯"，不是"体系全错"。先定位缺陷项，针对性补。
Q：VEX 到底是什么，2026 年一定要有吗？
VEX 是说明"某个 CVE 在你的具体配置下到底能不能被利用"的机器可读声明。SBOM 是 524B 法定义务，缺失可直接被 RTA；VEX 并非法定必备，是行业事实标准做法，缺了大概率吃缺陷信，但不算违规。
Q：被拒收过一次，重新递交会不会更难？
没有"记仇"的惩罚机制。但重交前做严格自查避免二次被打回；若同一提交反复因 eSTAR 验证或 RTA 审查被 hold，会持续消耗审评员耐心和时间成本。
Q：我们自己补，还是找专业团队？
取决于内部是否有熟悉 FDA 网络安全审查口径且懂 ISO 13485 的人。网络安全风险管理（SW96）与安全风险管理（ISO 14971）方法论不同，但两者必须建立可追溯链接。
合规提示：本文为通用信息梳理，不构成对任何具体申请的审评结果承诺；法规与指南以 FDA 官网现行版本为准。
