BIOSECURE Act落地：规则与中国生物医药企业的应对-TONACEA

BIOSECURE Act落地：规则与中国生物医药企业的应对

Update time:

2025-12-19 21:08

Reads:

2025年12月，美国2026财年《国防授权法案》（NDAA）完成国会审议并由总统签署，其中纳入了业内常说的Biosecure Act相关条款。该条款以联邦采购/联邦资金合规为切入口，对特定受关注生物技术公司（Biotechnology Companies of Concern，简称BCOC）的设备与服务设定准入红线。它不是传统意义上的经济制裁或出口管制，但由于合规义务会沿着联邦合同与联邦资助链条向外传导，其对行业的影响可能更下沉，也更容易外溢到商业市场。

小爱老师：某医药公司法务部负责人，深耕医疗领域法律事务

TONACEA

立法落地

从点名转向机制化识别

Biosecure相关立法在早期版本中曾直接列举若干中国企业，引发美国生物医药行业对供应链中断的集中担忧。最终落地文本的表达更偏制度化：不再依赖一次性点名，而是搭建可持续更新的识别框架——对既有的美国国防部1260H清单设置自动触发，并授权美国管理和预算办公室（OMB）牵头开展跨部门国家安全评估，按统一标准新增或更新BCOC名单。对企业而言，这意味着合规评估很难被当作一次性舆情事件处理，更可能演化为长期的准入审查与持续尽调。

TONACEA

核心规则

联邦采购与联邦资金的准入门槛

（一）禁令的穿透力：既禁买，也禁用

Biosecure条款主要建立两类禁令：

1）联邦机构不得采购、获取或使用BCOC提供的生物技术设备或服务；

2）联邦机构不得与在履行联邦合同/项目过程中使用BCOC设备或服务的主体签订、续签或延长合同。

在实务中，上述限制通常也会以合规条款的方式被写入联邦资助、补助金、贷款等资金安排：联邦资金不得被用于购买BCOC设备/服务，或用于资助与其相关的合同安排。

从操作角度看，第二层禁令更具链条效应：它会把联邦合规责任传导给联邦承包商、受资助科研机构、医院体系以及其上下游供应链，进而推动市场主体提前开展供应链去风险。与其说它只管政府采购，不如说更像一套联邦资金准入规则，对商业合作的影响往往来自合规传导，而非条文直接禁止。

（二）生物技术设备或服务的范围：硬件、软件、数据均可能涉及

条款对生物技术设备或服务采取较宽口径，通常覆盖：用于生物材料研究、开发、生产、分析的仪器设备及关键部件；运行上述设备所必需的软件和固件；与生物材料相关的研究分析服务、数据存储与传输服务；疾病检测服务、基因/多组学分析与家谱分析等生物信息服务；以及OMB基于国家安全考虑进一步认定的其他相关设备或服务。

（三）BCOC的认定：两条路径，确定性与程序权利不同

1）DoD 1260H清单的自动触发。凡被列入DoD依据NDAA第1260H条发布的中国军工企业名单的主体，在Biosecure框架下将被视为BCOC。该清单机制通常不以企业事先申辩为前提，因此合规上更强调提前排查、避免触发。

2）OMB牵头的标准化评估。对未被纳入1260H清单的企业，OMB可依据国家安全评估标准进行指定，并负责发布与更新BCOC清单。评估通常围绕三个维度展开：（i）是否与外国对手国家（如中国、俄罗斯、伊朗、朝鲜等）存在控制、影响或重大关联；（ii）是否从事生物技术设备或服务业务；（iii）是否被评估存在特定国家安全风险（例如与外国对手国家军队或情报系统存在联系、向其提供多组学生物数据、或在缺乏明确同意的情况下收集人体多组学数据等）。

与1260H路径相比，OMB指定一般会配套一定的程序保障：在拟列名阶段通知企业，并给予一定期限提交异议信息或补充说明；同时设置复核、申诉与移除申请机制。对有美国业务或美国客户的企业而言，尽早准备政府可理解的合规与治理材料（结构化、可验证、可留痕），往往会直接影响应对空间与商业谈判的可选项。

TONACEA

生效路径与过渡安排

重视时间表，而不只是通过与否

Biosecure禁令并非一经总统签署即全面落地，其实施路径与行政清单发布及《联邦采购条例》（FAR）修订紧密绑定。就时间轴而言，企业更应关注四步走：

（1）OMB须在法案生效后1年内发布首份BCOC清单，并至少每年更新一次；

（2）在清单发布后180天内，OMB须发布实施指南（implementing guidance），为各联邦机构和市场主体提供执行口径；

（3）在指南发布后1年内，联邦采购法规理事会（FAR Council）须完成FAR修订，将禁令要求转化为可操作的采购合规条款；

（4）FAR更新后，禁令按不同认定路径分别进入生效期：对1260H自动触发企业一般在FAR更新后60天起适用；对OMB指定企业一般在FAR更新后90天起适用。

为降低对既有合作的冲击，条款设置了存量协议保护：对禁令触发前已签署的合同/协议（含已谈妥的续约选项），原则上在最长5年的范围内不因新规被直接否定；同时，对在生效日前与新近被指定的BCOC签署的协议，也通常可获得最长5年的过渡期。但需要注意的是，对已在1260H清单内的企业，市场普遍预期其适用节奏更快、过渡空间更有限，客户侧往往不会等到过渡期临近才启动替代方案。

此外，条款通常保留有限的豁免/例外场景（例如：经授权的情报活动、驻外人员特定医疗采购、公共卫生紧急情况下医疗对策采购、依法汇编的公开或商用多组学数据使用等），并允许机构负责人在国家安全利益等条件下给予个案豁免。就药品可及性层面，条款也设置了类似安全港的思路：例如在特定情形下，制造商不会仅因Biosecure导致无法签署退伍军人事务部的供货协议而被连带影响医保相关资格。

TONACEA

影响力外溢

为什么一般商业合作也会被合影响

从条文本身看，Biosecure主要约束联邦机构及其承包商/受资助方，对纯粹的民商事合作并非直接禁止。但在生物医药行业，以下三类场景会让其影响显著外溢：

（1）研发阶段：高校、研究机构、医院体系的研究项目大量依赖联邦经费；一旦项目链条被要求无BCOC，相关设备、测序平台、外包服务就会被重新评估；

（2）临床与CMC阶段：涉及联邦资金的临床网络、公共卫生项目或政府支持的研究计划，会推动申办方对供应链提出更硬的合规要求；

（3）商业化阶段：大型药企在关键治疗领域往往与政府采购/报销关系密切。即使Biosecure不直接约束FDA审批流程，企业在注册申报与商业化筹备时也会倾向于减少潜在合规回溯风险，避免在政府采购、军方体系或联邦报销路径上遇到障碍。

因此，合规侧建议考虑的实务动作包括：在尽调清单中新增Biosecure/1260H问卷；要求供应商披露关键分包与关键设备/软件来源；在合同中加入持续陈述、通知义务与替代承诺；并在项目执行中开展针对性的供应链排雷。

TONACEA

对中国生物科技企业的具体影响

按业态拆分

（一）CRO/CDMO：从项目资格到交付连续性的双重压力

对外包服务企业而言，最直接的冲击未必来自政府作为客户，更常见的压力来源于客户的客户。若美国药企/生物科技公司、大学或医院体系的项目涉及联邦合同或联邦科研经费，通常会要求服务商出具更严格的合规声明、分包披露与替代方案；一旦服务商被识别为BCOC或与BCOC存在关键依赖，项目可能面临被迫切换供应商、申报节奏受影响及成本上升等后果。

在临床与CMC交付场景中，切换成本往往更高：工艺与质量体系、样品与原始数据的可迁移性、监管问询口径的一致性等，都可能把一个合规问题放大为项目交付与时间表风险。

（二）基因测序、检测与数据服务：国家安全敏感性高

条款在评估标准中对人体多组学数据数据收集与使用同意以及与政府/军队/情报系统的关联度较为敏感。对提供测序、检测、数据库、云端分析平台等业务的企业而言，合规风险不仅取决于客户结构，也取决于数据治理的可审计性与透明度：包括知情同意的完备性、数据最小化、访问控制、跨境传输路径、第三方共享边界、数据留存与删除规则等。客户侧也更可能要求提供数据不回传/不复用的明确承诺，以及相应的技术措施与流程证明。

（三）仪器设备与生命科学软件：容易被动进入采购合规清单

对设备制造商和软件提供商而言，客户常会以FAR合规联邦资金合规为由，要求披露设备/软件供应链信息、核心部件来源、远程维护与数据回传路径、漏洞响应机制等。对有在美渠道或面向美国研究机构销售的企业，建议尽早准备标准化合规资料包（例如产品架构说明、数据流向图、远程访问控制措施、第三方组件清单及更新机制），以降低交易摩擦与沟通成本。

TONACEA

实务合规建议

（一）降低被识别为BCOC的概率

1）治理与股权透明：梳理股权结构、控制权安排、政府关联交易与合规披露口径，确保对外可解释、可验证；

2）数据治理与同意链条：针对多组学/临床相关数据建立可审计的同意与授权流程，明确数据用途、共享边界与安全措施；对跨境数据流转保持可追溯记录，并准备可供第三方审阅的制度材料；

3）敏感合作排雷：审视与军工、情报、军民融合相关主体的合作与投资安排，必要时评估业务隔离或退出路径；

4）预案化应对：建立被通知—取证—陈述—复核的内部流程与材料库，明确责任人、外部顾问接口与证据清单，确保在较短期限内能提交反证。

（二）与BCOC/高风险主体合作时的交易保护

在与高风险主体（含已在1260H清单内主体）合作，或在项目链条中不可避免接触其设备/服务时，建议在合同与项目管理层面重点关注：

1）合规陈述与持续义务：设置未被列名/未触发禁令的陈述保证、持续披露与通知义务，并明确触发后的补救措施与违约后果；

2）替代与切换机制：提前约定替代供应商、技术转移与数据迁移的触发条件、时间表与成本分担；对关键里程碑项目，可考虑设置切换协助义务与过渡支持条款；

3）分包与供应链穿透：对关键分包商、关键设备/软件供应商设置披露与变更限制，并结合项目需要设置必要的审计、抽查或第三方认证机制。

（三）与BCOC企业合作的实务关注点

如果企业自身不太可能被认定为BCOC，但在研发或生产链条中需要与被列名或高风险供应商合作，建议至少把以下问题想清楚、写进信息收集与合同条款：

1）项目是否存在联邦资金或联邦承包链条？例如客户是否为联邦承包商/分包商、是否接受NIH等联邦科研经费、项目是否与军方医疗体系或政府采购/报销路径存在关联。若答案不明，建议把客户是否受Biosecure约束写入问卷或信息收集表单；

2）合作对象在项目链条中的不可替代性有多高？对关键环节（核心CMC步骤、关键原材料、关键检测平台、关键软件/云服务）应预先做替代评估，并在合同中锁定切换支持与数据/工艺迁移安排；

3）是否可以通过隔离降低风险？例如为联邦相关项目单独设立不使用特定供应商的交付路径（人员/系统/数据/设备隔离），并形成可审计的证明材料，以满足客户侧合规审查；

4）对外沟通口径如何把握？建议提前准备说明材料，明确：合作范围、数据处理方式、是否存在数据回传、远程访问控制、以及触发列名时的应急切换机制。这样既能提升谈判效率，也能降低客户因为不确定性而直接拒绝合作的概率。

就是否会影响后续产品在美国商业化这一中国biotech常见担忧而言：从条文逻辑看，Biosecure主要约束联邦采购与联邦资金使用，并不直接改变FDA注册审批标准；但若未来商业化路径涉及政府采购、军方体系，或在政府项目/基金支持下推进，客户与合作方往往会倾向于在更早阶段就要求供应链合规可解释、可替代。更务实的策略通常不是等到被动切换，而是在立项与签约时就把替代与隔离机制先设计进去。

— 结语 —

Biosecure条款的要点，是把国家安全考量嵌入联邦采购与资金合规体系，并通过承包链条向市场传导。对中国生物科技企业而言，关键不在于是否直接做美国政府生意，而在于是否处于美国合规链条的可视范围内、是否具备可解释的治理与数据合规能力，以及是否能在交易与交付层面做到可替代、可切换。尽早完成自查与预案化建设，通常更有利于把不确定性压缩为可管理的合规成本。

超越替尔泊肽，礼来的下一战

2025 Biotech：AI落地，GLP-1持续引爆