連續血糖監測系統 (CGM)符合資訊安全條例模擬（五之一）

適合醫療器材及資訊安全產業界，具備大學教育背景的亞洲讀者。 此文僅供個人參考與資訊喚回，尚非法律建議或符合性途徑。內文引用人工智慧網路平臺提供資訊，經由整合篩選與文字調整。後續修訂請查閱ISO與歐盟官方網站、洽詢各家驗證公司、諮詢顧問等。CC BY-SA 4。0。

目錄

1. 執行摘要
2. 背景與專案範圍
3. 關鍵術語與法規架構
4. 風險評鑑與器材分級
5. 設計開發過程演進
6. 資訊安全法規建置
7. 查證與確證（V&V）策略
8. 外部支援與合作需求
9. 不符合法規的罰款
10. 預期人力資源配置
11. 市場監督
12. 成本估算（A方案，B方案）
13. 外部第三方合作
14. 實務案例分析
15. 方案對比與建議
16. 結論
17. 免責聲明
18. 參考文獻

1.執行摘要

本模擬報告旨在為一家生產連續血糖監測系統 (CGM, continuous Glucose monitoring system) 的醫療器材製造商，草擬一份盡可能詳述的歐盟網路與資訊安全符合法規策略藍圖底稿，以應對日益嚴峻的法規要求，特別是歐盟網路與資訊安全法案 (EU 2019/881 Cybersecurity Regulation) 及醫療器材法規 (EU 2017/745 MDR) 的挑戰。截止到2025年第四季度，係稱的 CGM 系統已獲得 FDA 510(k) 批准及歐盟 MDR Class IIb 驗證，適用於 18 至 60 歲的成年人。面對 2032 年的符合法規目標，本模擬報告將深入分析兩種符合法規方案：

• A 方案（達成 50% 符合法規，側重於基本文件與品質管理系統）
• B 方案（達成 70% 符合法規，額外涵蓋 ENISA 驗證、滲透測試及自動化安全通知等進階措施），

並提出具體實施步驟與建議，確保製造商能在此關鍵轉型期內維持市場競爭力。

本模擬報告係參考資深醫療器材與網路與資訊安全顧問團隊的公開文件和網際網路擷取的相關文件，整理編輯撰寫，融合現下最新的法規知識、技術標準與現今技術水準，為亞洲地區的產業管理階層提供具實用價值的指引。此文將考量從2025年第四季到 2032 年間法規與技術的演進，並提供詳細的成本估算與人力資源規劃，以協助製造商制定切實可行且具前瞻性的符合法規策略。 

2.背景與專案範圍

隨著數位健康技術的快速發展，連續血糖監測系統 (CGM) 已成為糖尿病管理不可或缺的工具。這類器材不僅涉及精密的感測技術，更高度依賴軟體、資料傳輸與雲端服務，使其成為網路攻擊的潛在目標。一旦 CGM 系統的網路與資訊安全防護不足，可能導致患者資料洩露、器材功能受損，甚至危及患者生命安全。因此，全球各國主管機關，特別是歐盟，正逐步旋緊對醫療器材網路與資訊安全的要求。

歐盟醫療器材法規 (MDR, EU 2017/745) 已明確將網路與資訊安全納入基本安全與性能要求 (GSPRs) 之中，而歐盟網路與資訊安全法案 (CSA, EU 2019/881) 則進一步建立了統一的網路與資訊安全驗證法規，旨在提升整個歐盟數位市場的信任度與安全性。對於 CGM 製造商而言，理解並有效應對該等複雜且不斷演進的法規要求，不僅是法律義務，更是維護品牌聲譽與患者信任的關鍵。本模擬報告將基於製造商現有的 FDA 510(k) 和 MDR Class IIb 驗證基礎，聚焦於歐盟網路與資訊安全法規的符合法規路徑，特別是針對 2032 年的長期目標，提供策略性建議。

器材概要：

CGM連續血糖監測系統（包括：感測器 => 接收器 => 伺服器管理系統）適用於18歲及以上糖尿病患者，可與自動化胰島素輸注（AID）系統自主通訊，後者依內建邏輯運算得出胰島素注射量，注入人體。現有設計CGM已取得美國FDA210(k)上市許可，及歐盟MDR 2017/745醫療器材IIb級證書。

(圖2.1) 影響網路安全設計的關鍵特性：

CGM面對挑戰：

• 法規複雜性：EU MDR網路安全要求與FDA指引存在差異，需建立雙軌合規機制
• 製造商目前歐盟團隊僅6人（法規/QA/軟體/資安各2人），大量網路與資訊安全工作考慮委託外部專業團隊協助；
• 技術演進：2032年前器材標準與網路威脅情勢將持續演變，需預留彈性變動與更改範圍；
• 供應鏈風險：CGM涉及無線通信、雲端API、第三方AID系統整合，攻擊面廣泛。

專案範圍：

年份	規劃目標
2026	已取得美國FDA 510(k)許可函 歐盟MDR技術文件準備啟動 採用IEC 81001-5-1 MDR協調標準更新（預計納入IEC 81001-5-1） 可使用性評估作業啟動 收集臨床資料、文獻，加強網路與資訊安全內容 收集CGM器材上市後監督資料
2027	CGM器材接受資訊安全實驗室測試 撰寫臨床評估報告（CER），添加網路與資訊安全資料 上市後監督系統（PMS）運作
2028	IEC 81001-5-1正式成為協調標準 做成CGM器材網路與資訊安全報告 完成內部稽核與管理審查 公告機構技術文件預審啟動
2029	公告機構QMS稽核（Annex IX） 公告機構技術文件審查通過 臨床評估報告（CER）更新 網路與資訊安全驗證準備（B方案） 自動化安全更新機制部署
2030	CE標誌取得（A方案目標） 公告機構ISO 27001驗證稽核（B方案）
2031	定期安全更新報告（PSUR）首次提交 取得 ISO 27001驗證（B方案目標） 取得ENISA驗證（B方案目標） 符合法規驗證事項
2032	持續符合法規維護 因應法規變更

3. 關鍵術語與法規架構

3.1關鍵術語表

為確保報告內容的清晰與一致性，以下列出本模擬報告中使用的關鍵術語及其解釋，部分術語亦提供原文對照以供參考。

術語 (繁體中文) 英文 德文 法文	解釋
連續血糖監測系統 Continuous Glucose Monitoring (CGM) System Kontinuierliche Glukoseüberwachungssystem Système de surveillance continue du glucose	一種用於即時或近即時測量皮下組織間液葡萄糖水準的醫療器材。
歐盟醫療器材條例 Medical Device Regulation (MDR) Medizinprodukte-Verordnung Règlement sur les dispositifs médicaux	歐盟關於醫療器材上市、監督和安全的基本法規 (EU 2017/745) 2017年5月5日生效， 2021年5月26日全面適用
歐盟網路與資訊安全法案 Cybersecurity Act (CSA) Cybersicherheitsgesetz Loi sur la cybersécurité	歐盟關於網路與資訊安全驗證法規和 ENISA 職責的法規 (EU 2019/881)。
基本安全與性能要求 General Safety and Performance Requirements (GSPRs) Allgemeine Sicherheits- und Leistungsanforderungen Exigences générales en matière de sécurité et de performances	MDR 附件 I 中列出的醫療器材必須滿足的一般安全與性能要求 第14-17項明確涵蓋網路安全、軟體、資料保護
軟體物料清單 Software Bill of Materials (SBOM) Software-Stückliste Nomenclature logicielle	一份詳細列出軟體元件、版本、授權及已知漏洞、及其供應鏈關係的清單，有助於識別和管理潛在漏洞 MDR要求將其納入技術文件
漏洞 Vulnerability Schwachstelle Vulnérabilité	系統、應用程式或協定中可能被惡意利用的弱點。
漏洞揭露 Coordinated Vulnerability Disclosure (CVD) Koordinierte Schwachstellen-Offenlegung divulgation coordonnée de vulnérabilités	發現漏洞後，協調廠商、研究人員與主管機關的標準化揭露流程
滲透測試 Penetration Test Penetrationstest Test d'intrusion	一種模擬網路攻擊以評估及查證資訊安全系統安全性的測試方法，旨在發現潛在弱點。
威脅建模 Threat Modeling Bedrohungsmodellierung modélisation des menaces	系統性識別、評估與緩解安全威脅的結構化方法
符合性評估機構 Conformity Assessment Body (CAB) Konformitätsbewertungsstelle Organisme d'évaluation de la conformité	負責執行產品、服務或流程符合性評估的獨立機構。
歐盟網路與資訊安全驗證 EU Cybersecurity Certification EU-Cybersicherheitszertifizierung Certification de cybersécurité de l'UE	根據歐盟網路與資訊安全法案建立的法規，用於評估和證明 ICT 產品、服務和流程的網路與資訊安全水準。
歐盟網路與資訊安全局 European Union Agency for Cybersecurity (ENISA) Agentur der Europäischen Union für Cybersicherheit Agence de l'Union européenne pour la cybersécurité	歐盟的網路與資訊安全專業知識中心，負責實施網路與資訊安全法案。
市場監督條例 Market Surveillance (MSR) Marktüberwachungsverordnung Surveillance du marché	主管機關為確保市場上產品符合相關法規要求而進行的活動(EU) 2023/1230。
資訊與通訊技術 Information and Communication Technology (ICT) Informations- und Kommunikationstechnologie Technologies de l'information et de la communication	涵蓋所有用於處理、儲存、傳輸和檢索資訊的技術。
醫療器材軟體 Medical Device Software (MDSW) Medizinproduktesoftware Logiciel de dispositif médical	專門用於醫療目的的軟體，無論是否獨立於硬體。
產品生命週期 Product Lifecycle Produktlebenszyklus Cycle de vie du produit	產品從概念、設計、開發、生產、上市、使用到報廢的整個過程。
風險管理 Risk Management Risikomanagement Gestion des risques	識別、分析、評估、控制和監測與醫療器材相關風險的系統性過程。
軟體安全更新 Software Security Update Software-Sicherheitsupdate Mise à jour de sécurité logicielle	用於修復軟體漏洞或增強安全功能的更新。
威脅監控 Threat Monitoring Bedrohungsüberwachung Surveillance des menaces	持續監測系統和網路以識別和響應潛在網路威脅的活動。
自動化安全通知 Automated Safety Notification Automatisierte Sicherheitsbenachrichtigung Notification de sécurité automatisée	系統自動向用戶或相關方發送安全相關警報或資訊的功能。
臨床評估 Clinical Evaluation Klinische Bewertung Évaluation clinique	系統性地分析和評估醫療器材的臨床資料，以查證其安全性和性能。
外部第三方 External Third Parties Externe Dritte Tiers externes	供應商、測試實驗室、公告機構、驗證機構等非製造商本身的實體。
現今技術水準 State of the art Stand der Technik État de l'art	當前技術發展水準，即使尚未成為調和標準，主管機關仍接受公告機構與驗證機構採納為符合性準則
單一識別碼 Basic UDI-DI UDI-DI de base	醫療器材唯一識別編碼系統，用於主管機關及歐盟醫療器材資料庫登錄、追溯與警戒通報時運用
安全開發生命週期 Secure Software Development Lifecycle (SSDLC) Sicherer Software-Entwicklungslebenszyklus cycle de vie sécurisé du développement logiciel	將網路與資訊安全要求整合至軟體開發各階段的流程框架
零信任架構 Zero Trust Architecture Null-Vertrauen-Architektur architecture Zero Trust	預設不採信任何內部或外部存取紀錄，仍持續連線查證的資訊安全模型
加密金鑰管理 Cryptographic Key Management Kryptographische Schlüsselverwaltung gestion des clés cryptographiques	金鑰生成、儲存、分發、輪換與銷毀的全生命周期管理
韌體簽章 Firmware Signing Firmware-Signierung signature du micrologiciel	使用數位簽章確保韌體完整性與來源真實性

術語參考文獻

[1] Regulation (EU) 2019/881 of the European Parliament and of the Council of 17 April 2019 on ENISA (the European Union Agency for Cybersecurity) and on information and communications technology cybersecurity certification and repealing Regulation (EU) No 526/2013 (Cybersecurity Act). EUR-Lex.
[2] Regulation (EU) 2017/745 of the European Parliament and of the Council of 5 April 2017 on medical devices, amending Directive 2001/83/EC, Regulation (EC) No 178/2002 and Regulation (EU) No 1223/2009 and repealing Council Directives 90/385/EEC and 93/42/EEC. EUR-Lex.
[3] IEC 81001-5-1:2021 Health software and health IT systems safety, effectiveness and security — Part 5-1: Security — Activities in the product lifecycle. IEC.
[4] ISO/TS 6268-1:2025 Health informatics — Cybersecurity framework for telehealth environments - Part 1: Overview and concepts.
[5] Cybersecurity Certification Framework. ENISA. https://www.enisa.europa.eu/topics/product-security-and-certification/cybersecurity-certification-framework
[6] Homepage - European Union Cybersecurity Certification. ENISA. https://certification.enisa.europa.eu/
[7] Cybersecurity Specialist Salary in Frankfurt am Main, Germany (2026). SalaryExpert. https://www.salaryexpert.com/salary/job/cybersecurity-specialist/germany/frankfurt-am-main
[8] How Much Can You Earn In Cybersecurity? (USA vs Germany). YouTube. https://www.youtube.com/shorts/cUADf9O1Y2k

（未完、待續）