互联网药品信息服务资格证书办理，应急演练真得每季度一次？

最近不少药企朋友在办《互联网药品信息服务资格证书》时，被“应急响应演练”这一条卡住了——
“是不是必须每季度搞一次？不搞会不会被驳回？”
“我们一年做两次全盘演练+两次桌面推演，算不算合规？”
别急，咱们一条一条捋清楚。

别被“每季度”三个字吓住，关键看监管逻辑

国家药监局《互联网药品信息服务管理办法》及配套审查细则里，并没有白纸黑字写“必须每季度演练一次”。真正明确的是：申请单位需具备健全的网络安全与数据安全应急机制，且能提供近一年内开展应急响应演练的有效记录。
换句话说——频次不是硬杠杠，实效性才是重点。一次扎实、有场景、有复盘、有改进的实战演练，远胜四次走流程式的“打卡”。

演练怎么才算“有效”？三看就明白

一看有没有真实场景：比如药品信息被篡改、用户隐私批量泄露、网站遭DDoS攻击等贴近业务的风险点；
二看有没有闭环动作：从预警、响应、处置到事后分析、制度优化，全程留痕可追溯；
三看有没有人员覆盖：技术、内容、法务、客服等关键岗位是否都参与其中，而非仅IT部门“独角戏”。

九蚂蚁帮客户过审的常见做法

我们服务过的50+家持证企业中，超7成采用“1次年度实战+2次专项桌面推演”的组合模式（比如Q2做系统故障响应，Q4做数据泄露模拟），辅以完整的《演练方案—过程记录—问题清单—整改报告》四件套。只要材料扎实、逻辑自洽、风险覆盖到位，审批老师一眼就能看出“你们是真准备了”，而不是应付差事。

说到底，监管要的不是你的日历上打了几个勾，而是你心里有没有那根弦——
药品信息无小事，线上服务出问题，可能比线下更急、更快、影响面更广。
把演练当真事办，证书自然水到渠成。