近日，国家药监局发布通知，新修订《医疗器械生产质量管理规范》及《检查指导原则》将于2026年11月1日同步施行。相较于之前，来看本次规范与检查原则都有哪些显著的变化，相关企业应该把握哪些要点？

一、数据的重要性显著增加

不妨先设想一个检查现场常见的提问：“你们的电子记录多久备份一次？备份由谁负责？能否证明随时可以恢复？” 如果回答是“每天都在备，IT部门在负责”，或是一时无法提供恢复验证记录——可能就已经站在失分边缘。而支撑这一转变的两根支柱，正是数据保护与数据验证。

本次修订后的《规范》新增“质量保证”、“验证与确认”、“委托生产与外协加工”三个章节。而新的《检查指导原则》将《规范》条款划分为多项关键项目、主要项目与一般项目，并明确：核查发现关键项目不符合3项及以上，或关键项目与主要项目不符合合计10项及以上，即判定为“未通过核查”；上市后监督检查中同类情形判定为“暂停生产整改”。

这意味着，从今年11月1日起，“数据”不再只是IT部门的运维话题，而是质量管理体系里的检查项、判定项、乃至停产项。

重点关注：从监管导向来看，规范标准的逻辑转变很清晰：纸质时代靠“签字”留痕，数字时代靠“数据”自证。GMP的落脚点，正在从“有没有记录”，转向“数据能不能证明过程”。

二、数据备份与验证的必要要求

法规中仅规定“应当进行备份”，并未对备份频率、备份介质及备份副本数量作出具体数值要求。这并非留白，而是把举证责任交给了企业——企业须在文件、程序、验证方案与运行记录中，自定义“多久备一次、备到哪里、留存多久、如何证明其可用”。检查时，该自定答案能不能被证明“充分且有效”，即为关键得分点。

数据保护回答的是“数据还在不在”。围绕“备份”这一核心动作，法规与检查要点可以拆成三个重要问题：依据是什么、策略怎么定与数据怎么管理？

（1）备份依据是什么？

新《规范》第六章为“文件和数据管理”，其中第四十六条专门针对信息化管理方式，要求企业确保电子记录或数据真实、准确、完整、及时和可追溯，并符合四项要求：

从检查应对来看，重点关注的检查方向在于：

（2）备份策略怎么定？

法规给目标，工程实践给方法。目前业内普遍参照的备份策略原则包括：

• 3-2-1 原则：至少3份数据副本、存放在2种不同介质上、其中1份离线或异地存放；在合规场景中常进一步扩展为 3-2-1-1-0——额外要求1份不可变（WORM）副本、0错误（备份必须经过可验证性检查）。

• 备份类型组合：全量备份 + 增量/差异备份搭配，配合 GFS保留策略，兼顾恢复速度与存储成本。

• 持续数据保护（CDP）：对LIMS、MES、QMS等对数据丢失高度敏感的系统，采用秒级捕获的实时备份技术，可将 RPO 压低至趋近于0。按GB/T20988—2025的分级口径，这已接近“数据零丢失”的能力水平。

  
  

重点关注：备份的终点不是“备份成功”，而是“能够恢复”。企业应把“恢复演练”与“数据验证”作为备份策略的必要组成部分，而非可选项。

（3）备份数据怎么管理？

数据管理的核心不只是存下来，而是抗篡改、抗勒索、抗误删。《医疗器械网络安全注册审查指导原则（2022年修订版）》提出的22项网络安全能力中，与数据保护直接相关的有：

工程实践中常见的三类措施是：介质分层（生产存储 + 备份存储 + 离线/异地副本）、WORM 不可变存储、备份链路自身的勒索防护与病毒查杀。

三、从单纯备份到验证可用

如果说数据保护解决“数据还在不在”，数据验证解决的就是“数据能不能被采信”。

对医疗器械企业来说，当前是一个确定的合规窗口，剩下的工作可以归纳为三句话：把数据备起来（策略、频率、介质、留存可举证）、把数据验起来（一致性、完整性、可恢复性、可演练）、把记录留完整（权限、留痕、签名、可追溯）。

数据合规从来不是IT部门的独角戏。它是质量管理体系的一部分，是产品放行证据链的一部分，也是下一个检查周期里，监管提问的第一站。

best365官网中文版登录GMP数据管理系统（VDMS），专门针对GMP数据合规与验证场景深入开发，帮助药品与医疗器械企业快速构建数据保护与验证合规链。

10月13日下午15点

关注best365官网中文版登录直播间

best365官网中文版登录高级产品经理赵建哲先生将带来

《药械GMP更新，如何把握数据合规窗口》

围绕数据备份、验证、防勒索等环节为您详细讲述！

关注best365官网中文版登录，获取更多精彩信息。