歐盟《網路韌性法案》CRA是否適用醫療器材？

歐盟《網路韌性法案》（Cyber Resilience Act, CRA）針對具有數位元素的產品建立橫向網路安全要求，涵蓋產品設計、開發、生產、漏洞管理及生命週期中的資安責任。對於連網醫療器材、醫療軟體及體外診斷醫療器材（IVD）業者而言，CRA與既有醫療器材法規之間的適用關係，也成為近年重要的法規議題。

依據Regulation (EU) 2024/2847第2條，CRA原則上適用於具有數位元素，且其預期用途或合理可預見使用涉及直接或間接連接裝置或網路的產品；但同條也明確規定，已受Regulation (EU) 2017/745（MDR）或Regulation (EU) 2017/746（IVDR）管轄的產品，不適用CRA。因此，若產品本身已屬於MDR或IVDR規範範圍，例如符合醫療器材或IVD定義的連網醫材與醫療器材軟體，原則上不需再依CRA辦理產品合規。

不過，CRA的排除適用是以「產品」為判斷基礎，而非整家公司皆可排除。因此，醫療器材企業若同時提供其他具有數位元素的非醫療產品，仍應逐一確認CRA的適用性。可能需要進一步評估的產品包括：

• 非醫療用途的App或軟體

• Gateway、IoT Hub或其他網路連線設備

• 未納入MDR或IVDR規範範圍的數位周邊產品

• 獨立銷售的一般IT或網路安全軟體

• Device、App與Cloud組合架構中，不屬於醫療器材法規範圍的個別產品或元件
  
  

此外，不適用CRA並不代表醫療器材無須進行網路安全風險管理。受MDR或IVDR管轄的醫療器材，仍需依其一般安全與性能要求、風險管理及產品生命週期管理要求，考量安全設計、資安風險控制、漏洞管理、軟體維護與上市後監督等議題。

歐盟MDCG 2019-16 Rev.1《Guidance on Cybersecurity for Medical Devices》亦針對醫療器材網路安全提供相關實務指引，包括安全設計、風險管理、資訊安全及連網醫療器材之生命週期管理等內容。對於同時提供醫療器材、軟體、雲端服務或連網設備的企業而言，建議先釐清各項產品的預期用途、法規定位及產品邊界，再分別確認MDR、IVDR與CRA的適用範圍，以建立適切的產品資安與法規合規策略。

如需進一步了解CRA、醫療器材網路安全要求或相關資安解決方案，歡迎聯絡：cyber.cdtl.tw@sgs.com