6月29日，安合規律檢驗(以下簡稱安合規律Secure Vectors Surveillance Inc.)攜手西班牙檢測認證集團Applus+ Laboratories宣布正式簽約結盟，安合規律自此成為Applus+ Laboratories在台戰略夥伴暨認可資安實驗室。雙方表示，臺灣醫材廠商在地就能完成從管理制度、資安檢測、文件審查到歐盟公告機構（NB, Notified Body）審查的完整流程，除了在地提供最有效的實驗室服務外，目標是透過流程整合，協助客戶更有效率完成合規路徑，並降低跨海溝通與重複測試、來回送件的成本，同時，符合性評鑑最終決定權仍尤其公告機構獨立負責。

Applus+ Laboratories雙公告機構(NB2764 &NB3121) 及安合規律 ISO17025認可資安實驗室

 
近年醫療器材紛紛走向連網。產品一旦加入Wi-Fi、藍牙與雲端功能，市場准入要求便成倍增加，法規門檻也隨之墊高。Applus+ Laboratories中國區總經理Josep Prat表示，Applus+Laboratories 旗下擁有NB 2764(土耳其) & NB 3121(斯洛維尼亞)雙公告機構，為臺灣醫材製造商在外銷取證上，提供更直接且多元的新選擇。


安合規律檢驗執行長 Vincent Huang。攝影／李林娜

安合規律檢驗執行長 Vincent Huang補充表示，臺灣醫材認證產業有個結構性問題，就是實驗室數量不少，真正少的是一條銜接MDR與美國FDA的高效路徑。資安項目的檢測，近年日趨嚴格，廠商過去只能自行在海外找公告機構、另在本地找資安實驗室，兩軌之間語言、時區與文件格式各行其是，取證時程動輒拖上十二至十八個月。
 
安合規律的資安實驗室是源自於母公司安律國際（Secure Vectors Information Technologies Inc.），自2010年以來深耕金融支付資安認證，由於金融產業使用的資訊技術更廣泛，攻擊的誘因更強，因此金融產業的資安攻擊力道及頻次更甚於醫材領域，安合規律承襲服務金融業的豐厚經驗，投入醫療器材安全檢測領域，將多年資安保護、驗證及檢測經驗帶進醫療器材產業。
 
安合規律有本土資安測試實力、Applus+ Laboratories旗下除了有歐盟雙公告機構，更有兩個資安檢測最高階的CC (Common Criteria) 檢測實驗室的深厚安全檢測基礎，無論在服務場域、檢測技術上雙方都以「互補性」形容這次合作，而這場結盟要打通的，正是這最後一哩路。
 

連網醫材資安要求：IEC81001-5-1、MDCG 2019-16兩套標準大幅墊高准入門檻

 
此外，連網醫材的法規監管亦有重重門檻。Josep Prat表示，醫材一旦導入Wi-Fi、BLE與雲端功能，除了原本的MDR與FDA安規審查，還得額外滿足IEC 81001-5-1資安生命週期與MDCG 2019-16網路安全指引兩套技術要求，兩個被醫療主管機關認定的管理方法，都高度重視將資安納入整個開發管理的生命週期內，做到全生命週期的安全管理。至於RED 3.3與EN 18031，法律上排除醫材 (Delegated Reg 2022/30 Art. 2)，但資安保護技術脈絡相通，建議廠商在設計階段參考其框架，並為未來歐盟《網路韌性法案》（Cyber Resilience Act, CRA）協調標準作準備。
 

Applus+ Laboratories中國區總經理Josep Prat。攝影/李林娜

這些標準也讓臺灣廠商常面臨挑戰。Vincent Huang表示，最常見的困境有四道，且環環相扣，分別是測試不足且缺乏第三方獨立性、文件缺乏統一追溯矩陣而形成文件孤島、ISO 13485品質系統未整合IEC 81001-5-1資安風險管理，以及上市後監督(PMS)帶來的持續安全的監控及合規負擔。他指出，歐盟資安入法從RED3.3到CRA，2022年密集啟動，2025年起監管強度大幅拉高、且強制接軌國際標準，讓中小廠商面臨龐大的合規壓力。
 
以 Class IIa/IIb/III 軟體醫材為例，MDR並未強制要求引用特定技術標準，但業界普遍以一套指標性標準與指引作為「當前技術水準 (State of the Art)」的舉證依據，包括ISO 13485 品質管理系統、ISO 14971 風險管理、IEC 62304 軟體生命週期、IEC 81001-5-1 資安生命週期、MDCG 2019-16 資安審查指引——這些文件過去分屬不同單位，透過安合規律與Applus+Laboratories的合作，讓醫材廠商開發、生產、製造所需要的五類管理工作在一站式整合檢測流程中被查核發現出問題，避免送審後被公告機構或主管機關要求重整。
 

被要求資安補/退件成常態，讓臺灣醫材廠商陷入認證時間倒數

 
門檻攀升的直接後果，就是退件成了常態。Vincent Huang舉例，近期就有一起設備與手機藍牙對接遭FDA退件，這項對接過去測試無虞，如今FDA注意到此類技術有高風險的的攻擊可能而要求補做安全措施及測試。他表示，FDA自Section 524B生效後，明確擁有『因資安文件不足而拒絕受理』510(k)送件的法定權利 (refuse to accept)。業界近期已陸續傳出因SBOM不完整、缺少滲透測試與威脅模型邊界不清等理由，而遭FDA要求補件甚至暫緩受理的案例。
 
除了退件風險，取證時間也在倒數。雙方指出，歐盟MDD轉MDR進入倒數，高風險產品須在2027年12月31日前、中低風險產品須在2028年12月31日前完成認證。全球MDR公告機構僅約五十家，整體量能有限，根據目前發證案例，MDR認證專案平均交付週期約在12-18個月左右，實際週期取決於客戶段文件準備的完整度與缺失整改速度。

Vincent Huang點出歐美兩地的風險本質不同。他表示，歐盟MDR是公告機構常有塞車現象，廠商只能排隊苦等；美國FDA強調資安風險則是資安文件不齊就拒絕受理，先前投入形同白做，因此兩地都不容有失。
 
至於歐盟《網路韌性法案》，雙方補充，醫材雖然被排除在法案的監管範圍外，但並非放水，而是因為MDR Annex I第十七條早在 2021年已把資安納入強制門檻，屬於等效監管原則。
 

三階段協作搭配兩大加速器打造一站式合規解方

 
雙方為了化解業內困境，端出一套三階段協作模式，核心是流程整合與資訊對稱。合作從產品設計期就開始，安合規律先做IEC 81001-5-1資安管理差異分析，Applus+ Laboratories同步審查MDR技術文件，兩方共同產出聯合行動清單，讓廠商在送件前就清楚該補強什麼，不必事後收到補件通知才付出數倍返工成本。
 
這套模式能省時的關鍵，在於採用並行處理。Vincent Huang指出，傳統路徑必須先備文件送審，等公告機構回覆資安缺失後才找實驗室測試，接著重送、重審，做完一段再等一段，一旦退件前面的投入就得部分重來。他說明，新模式把序列拆開重疊推進，資安測試與文件審查同步展開，報告即時回饋併入技術文件，兩邊持續對齊、互不空等，這也是能大幅縮短專案時程的主因。
 
流程整合後，交付成果也與過去不同。雙方表示，廠商拿到的不再是兩套分離報告，而是一份同時滿足MDR與FDA的完整證據包，同一份審查文件就能一次投遞歐、美兩地。廠商只需一份SBOM、一套滲透測試報告與一組威脅模型，即可同步對應歐盟MDR、美國FDA(Section 524B與UL 2900-2-1)與中國NMPA(YY/T 1843)三地格式甚至調整格式及重點後，廠商還可以送件日、韓等國家的監管審查。
 
這套流程還有兩大加速器。Vincent Huang表示，安合規律的ISO 17025認證報告，符合FDA與歐盟公告機構認可測試報告的技術要求，可作為送件的核心技術證據，減少廠商重新測試的時間與成本。Josep Prat補充，Applus+ Laboratories累積數百件醫材認證經驗，加上在地化服務，能讓研發團隊一發現漏洞就即時修補、無時差溝通。
 
取得 CE 標章只是起點——後續的上市後監督（PMS）同樣列入合作範圍，安合規律將協助臺灣廠商建立通報流程 SOP，協助檢驗及監視上市後產品的資安狀態及事故處理等，避免證書因後續稽核而被公告機構撤銷。
 

臺灣醫材出口：從MDR合規升級為亞太資安合規服務樞紐

 
站穩醫材市場之後，雙方對臺灣未來市場鋪出三層佈局。近程要在2026年底前催生首批MDR案例並開發合規套件，中程把實驗室能量充分在地化，讓台灣資安實驗室能夠更快速的服務本地客戶，並將資安檢測的服務與能量擴充到全面性的產品包含 IOT、CRA、電動車、無人機等台灣具備實力的產業。至於長程，雙方則要讓臺灣以完整產業鏈與工程人才密度為基地，升級為亞太區的資安合規服務樞紐。
 
配合這三層佈局，雙方近期陸續開辦MDR資安工作坊與ISO 13485、IEC 81001-5-1內稽人員培訓課程，並輔以歐盟CRA第一手解析。Vincent Huang表示，臺灣過去只能被動等海外認證，如今在地就能一次完成歐美合規，這才是這場結盟真正的意義。
 
安合規律官網已提供 MDR 合規自檢及相關培訓課程，讀者可至 [www.securevectorlab.com]進一步了解。