软件与网络安全：RDC 848/2024 第 50、51、53 条的落地要点

一、结论先行

含软件的器械与软件即医疗器械（SaMD）在巴西要同时满足 3 项并列要求：软件按生命周期原则开发并经确认与验证（第 50 条）、用于移动平台的须考虑平台自身与外部使用环境因素（第 51 条）、器械须提供足够水平的网络安全以抵御未授权访问（第 53 条），该决议自公布之日起 180 天起适用（第 88 条）；ANVISA 于 2024 年 9 月 10 日发布生效公告。

二、法规依据

• 《基本安全与性能要求》——RDC nº 848/2024，2024 年 3 月 8 日 DOU 公布，第 50 条、第 51 条、第 53 条、第 85 条、第 88 条
• 《医疗器械分类、通知与注册及标签说明书要求》——RDC nº 751/2022，2022 年 9 月 15 日决议，第 10 条第 9 款、第 10 条第 10 款、第 16 条
• 《软件即医疗器械 SaMD》——RDC nº 657/2022，2022 年 3 月 30 日公布（DOU nº 61）、2022 年 7 月 1 日生效（第 25 条），第 3 条、第 7 条、第 8 条、第 10 条至第 13 条、第 16 条
• 《巴西良好生产规范》——RDC nº 665/2022，2022 年 3 月 30 日公布、2022 年 5 月 2 日生效（第 138 条），第 1 条
• 《卫生违法行为处罚法》——Lei nº 6.437/1977，1977 年 8 月 20 日落款、1977 年 8 月 24 日 DOU 公布（第 1 部分，第 11145 页），全文

三、专业解读看点

第 49 条先给含可编程电子系统或本身即为 SaMD 的器械定调：须保证准确性、可靠性与安全性，并对单一故障状态作出处理。第 50 条接着把软件的开发、制造与维护绑定在当前技术水平上，要求遵循生命周期开发原则并把风险管理（含信息安全）与确认、验证纳入。国瑞中安的判断是，杀伤力在于「信息安全」被写进风险管理，而不是作为独立的网络安全条款单列——网络安全须在风险分析阶段就有危害条目、控制措施与残余风险评价。第 52 条另有独立义务：制造商须指明运行软件所需的最低硬件要求、IT 网络特性与 IT 安全措施，包括对未授权访问的防护。

第二个坑是移动平台。第 51 条要求设计时考虑平台本身的尺寸、屏幕对比度、连接性与内存，以及光照或噪声等外部因素。中国企业做 App 型 SaMD 常只测旗舰机型，而巴西视角下的「可变使用环境」是硬性设计输入。

第三个判断：第 53 条要求器械对未授权访问尝试提供适当水平的网络安全，覆盖设计、制造与维护三个环节，维护环节意味着上市后的漏洞响应与补丁管理进入合规范围。再叠加 ANVISA 的 SaMD 专项决议 RDC nº 657/2022（2022 年 3 月 30 日 DOU nº 61 公布，第 25 条规定自 2022 年 7 月 1 日生效），软件类产品在巴西实际是「ESPR 原则 + 专项决议」双层规则。第 3 条先把嵌入式软件划出 SaMD 路径——嵌入在医疗器械中的软件随主器械走，不单独申报；第 5 条则把医疗机构内部自研的 I/II 类软件列为豁免，条件是保存记录 10 年。

第四个判断：SaMD 的说明书与技术档案另有加码。第 7 条要求使用说明书在常规内容之外额外载明更新程序、最低软硬件要求、工作原理（含算法、例程、公式的通用描述及其有效临床关联）、警示、互操作性与兼容或不兼容信息、网络安全信息；第 8 条允许这些信息置于软件内，但须以版本标识代替批号追溯，与 RDC 751/2022 第 47 条第 V 项的批号逻辑不同。技术档案按风险分档：第 10、11 条要求 I/II 类通知档案含软件架构文档、兼容性与互操作性测试、残余异常清单、可追溯文件与变更历史，II 类另须网络安全架构与符合性声明；第 12 条对 III/IV 类技术报告另加 10 项内容，含网络安全架构信息与控制措施、临床评价与有效临床关联。

第五个判断：标准引用要分清「硬引用」与「认可地位」。第 13 条法定硬引用 IEC 62304:2006、IEC 62366-1:2015 与 ISO 14971:2007 三份标准，其独款允许采用更新版本；国瑞中安提示读者，巴西现行认可清单已列 ABNT NBR ISO 14971:2020，照 2007 版准备是过时做法。另有一条边界值得写进立项判断：ANVISA 官方认可标准清单（v1.0，2026-09-11）未列入 IEC 60601 系列、ISO 13485、IEC 62304、IEC 80601 等常用标准。认可不等于批准也不等于强制，属自愿采用；未列入清单的标准不享认可地位，采用时须单独论证——这是「需单独论证」，不是「不被接受」。

第六个判断：软件发版要连过两道变更关。RDC 657/2022 第 16 条划分三类必须申报的变更与简易维护的免申报情形；RDC 751/2022 第 16 条把变更分为须批准、即时实施与无需申报三级，I/II 类原则上走即时实施。补丁与版本迭代落在哪一级，取决于是否触及安全与性能。

第七个取舍：软件界面与使用说明受 RDC 751/2022 第 10 条第 9 款约束必须为葡萄牙文；界面字符串本地化应排进开发计划，而非临递交前返工。

四、实务建议

• 在风险管理文件中为网络安全单列「危害—控制措施—残余风险」链条。
• 机型与使用场景做成测试矩阵，覆盖低端机型与极端光照、噪声环境。
• 建立上市后漏洞响应与补丁发布流程，并把发布类型与三级变更分类做成对照表。
• 按 RDC 657/2022 的 SaMD 分层准备资料：嵌入式软件随主器械走，III/IV 类另补第 12 条的 10 项技术报告内容；风险管理证据对齐巴西现行认可的 ABNT NBR ISO 14971:2020。
• 违反 ESPR 按第 85 条构成卫生违法，适用 Lei 6.437/1977 处罚清单，罚款依违法分级（leve／grave／gravíssima）确定，具体数额依现行规定〔Lei 6.437/1977 第 5 条原文金额为 1977 年克鲁塞罗计价，历经多次改币已非法定货币，具体数额依现行规定，本系列不列示金额〕。

五、核验清单

• □ 软件开发生命周期证据是否齐备（需求、设计、验证、确认、维护）
• □ 网络安全是否进入风险管理文件，而非仅一份测试报告
• □ 移动平台因素、最低硬件要求与 IT 安全措施是否均有设计与测试记录
• □ 葡文界面、说明书与标签模型是否完成本地化
• □ 软件版本迭代的变更级别判定是否成文

法规信息核验至 2026 年 10 月 29 日

国瑞中安法规团队