文章总结： 本文解析欧盟CRA法案对医疗器械的豁免规则，指出属于MDR/IVDR监管的医疗器械整机可完全豁免CRA义务，但独立分发的数字组件必须合规。文章列举了可豁免的医疗器械类型，并强调豁免不等于无网络安全要求，需继续满足医疗行业标准。 综合评分： 72 文章分类： 政策法规,解决方案,安全建设,技术标准,漏洞预警

欧盟CRA医疗豁免最全解析：哪些医疗器械可豁免？哪些绝对不能免？

原创

GTG-Hardy GTG-Hardy

GTG网络安全实验室

2026年6月30日 10:05 广东

在小说阅读器读本章

去阅读

欧盟CRA《网络弹性法案》正式落地后，绝大多数带数字、联网、固件的电子产品都需要强制合规、分级评估、漏洞管理、提供SBOM清单。

但医疗行业是唯一拥有法定大范围豁免的特殊行业。

很多医疗设备企业存在严重误区：有人误以为全部医疗设备都免CRA，也有人误以为只要联网就必须做CRA。

本文依据 CRA法案 Article 2(2) 官方豁免条款，专门针对医疗器械、IVD体外诊断设备，讲清楚：谁能免、谁不能免、豁免边界、合规红线。

一

官方法定规则：医疗器械为何能豁免CRA

CRA法案明确：已经被欧盟专项行业法规全覆盖监管的产品，不再重复适用CRA。

对应医疗领域两条核心法规：

• MDR 2017/745 有源/无源医疗器械法规
• IVDR 2017/746 体外诊断医疗器械法规

核心结论（法定条款）：

所有合法属于MDR/IVDR管辖、完成医疗器械合规的设备整机，100%豁免CRA全部强制性义务（无需CRA认证、无需CRA分级、无需CRA公示义务、无CRA处罚风险）。

原因：医疗器械本身已有比CRA更严苛、更专业的网络安全与风险管理体系（IEC 62304、IEC 81001、MDR附录I安全要求）。

二

精准清单：哪些医疗器械可合法豁免CRA

只要属于以下品类、按MDR/IVDR合规上市，全部豁免CRA：

1. 全部医用有源设备（含联网、带固件）

呼吸机、麻醉机、监护仪、输液泵、透析机、手术机器人、高频电刀、激光治疗仪、医用超声、CT/MRI影像设备、动态心电设备、医用血氧仪、医用电子血压计等。

2. 植入类高风险医疗器械

心脏起搏器、植入式除颤器、神经刺激器、植入式血糖监测、人工耳蜗、植入给药系统、骨科植入物、人工关节、心脏支架等。

3. 全部IVD体外诊断设备及试剂

核酸PCR设备、生化分析仪、化学发光、尿液分析仪、血型检测、肿瘤标志物检测、抗原自测产品、血糖仪试纸、配套IVD判读软件等。

4. 医疗器械软件 SaMD（医疗AI）

按MDR认证上市的独立医疗软件：影像AI诊断、手术规划软件、重症数据分析、病灶识别软件等，属于医疗器械，豁免CRA。

5. 医用专用耗材与配套配件

专属医用电极、探头、导管、缝合材料、止血敷料、设备专用配套部件（随整机一体化上市）。

6. 院内自制医疗器械

医院内部自制、不流通上市、仅院内使用的MDR/IVDR设备，同样豁免CRA。

三

医疗行业最大误区：豁免≠全链条豁免

90%医疗企业踩坑：只有“医疗器械整机本体”豁免。

所有独立拆分、单独分发的数字生态组件，全部强制走CRA，无任何豁免。

以下场景，即便设备是医疗设备，依然必须合规CRA：

• 独立配套手机App（应用商店单独下载、独立分发，不属于器械本体）
• 设备云端后台、远程服务器、固件更新平台
• 通用医疗信息化系统（HIS、LIS、病历系统、排班系统、数据中台）
• 独立售卖的通用物联网模块、网关、通信组件
• 无医疗诊断功能的健康数据统计软件

经典对照案例

医用血糖仪整机（MDR IIa类）→ 豁免CRA

血糖仪配套独立手机App、云端数据平台 → 强制CRA合规

四

医疗设备快速判定：

2步确认是否豁免CRA

无需啃法规，医疗产品专属判定标准：

第一步：看产品预期用途与医疗宣称

产品用于人体诊断、监测、治疗、预防疾病、生理参数检测、手术、植入、体外样本检测 → 属于医疗范畴。

仅健康参考、健身、睡眠记录、无任何疾病诊疗宣称 → 不属于医疗器械，不豁免CRA。

第二步：看合规路径与CE标识

带 MDR/IVDR合规 + 带NB公告机构号医疗CE → 法定医疗器械，豁免CRA。

仅普通电子CE、无医疗资质 → 不属于豁免范围，必须做CRA。

五

关键重要提醒：

豁免CRA≠无网络安全要求

很多企业误以为豁免CRA就可以放松网络安全，这是致命错误。

CRA只是被豁免，但医疗器械有更严格的强制安全义务：

• MDR附录I 通用安全与性能要求
• IEC 62304 医疗器械软件生命周期管理
• IEC 81001-5-1 医疗设备网络安全合规
• 漏洞持续监测、固件安全更新、上市后安全监管

同时，企业运营的服务器、云平台、数据服务，还同步受 NIS2网络安全指令 监管。

六

医疗企业合规落地总结

1. 医疗器械整机（MDR/IVDR持证）：全额豁免CRA

2. 独立App、云端、后台、通用医疗软件：无豁免，必须CRA合规

3. 有医疗宣称、无MDR资质的产品：不认定为医疗器械，强制CRA

4. 豁免CRA不豁免医疗网络安全，需持续满足医疗专项标准

CRA对医疗行业的豁免，是欧盟对专业医疗法规体系的认可，但绝非“放任不管”。

对医疗厂商而言，真正的合规重点不是整机重复做CRA，而是梳理产品边界、区分整机与独立数字生态、补齐云端/App的CRA合规，避免在2026–2027过渡期因边界误判导致出口受限、市场下架与高额处罚。

广测电磁：全球数字安全合规优选伙伴

别让合规只停留在“拿证”。

面对欧盟 CRA网络弹性法案、AI法案及 GDPR/CCPA/数据法案等严苛监管，凭借CNAS(L18872)+A2LA(6947.01)双资质及前360/深信服核心网络安全专家团队，为您提供真正的“实战级”防护。

🏆 为什么GTG能为您降本避险？

• 拒绝模板：不只给报告，我们提供定制化漏洞修复方案，确保产品真安全。
• 极致省心：代写核心文档，免除繁琐填表，让合规效率提升70%。
• 全域覆盖：从消费电子到汽车、工控、医疗，一站式解决全球隐私与数据安全难题。

您的全球合规通行证，从这里开始。

[👉 立即咨询 CRA / AI法案 / 隐私合规]

更多相关内容

欢迎关注视频号“GTG网络安全实验室”

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：GTG网络安全实验室 GTG-Hardy GTG-Hardy《欧盟CRA医疗豁免最全解析：哪些医疗器械可豁免？哪些绝对不能免？》