【専門家監修】医療機器サイバーセキュリティ対応の実務とSBOM

医療機器サイバーセキュリティの規制対応は、①自社製品が基本要件基準第12条第3項の対象かを判定する、②適合をJIS T 81001-5-1と社内文書で示す、③市販後に脆弱性を管理し続ける、という3層に整理できます。技術部門だけの話ではなく、承認申請の添付資料とQMS適合性調査で品質保証部門・薬事部門が説明を求められる領域です。2026年8月25日には「医療機器におけるSBOM導入・運用ガイドライン（第1版）」（医薬機審発0825第1号）が発出され、SBOMをQMSと市販後安全管理プロセスに統合するという論点が加わりました。

医療機器サイバーセキュリティ対応で最初に決める3つのこと

最初に決めるべきことは、対象該当性・適合の示し方・市販後運用の3点です。根拠となる通知が層ごとに分かれているため、着手前に3層を切り分けて計画すると手戻りが減ります。

最も抜けやすいのは②です。適合は「対策を実施した」ことではなく「実施した結果を示す社内文書を特定できる」ことで示します（薬生機審発0523第1号）。その記録は承認審査だけの資料ではなく、薬生機審発0331第8号 記3（3）はQMS適合性調査（薬機法第23条の2の5第6項又は第23条の2の23第4項の規定による調査。同通知は改正前の項番で「第23条の2の5第7項」と記載していますが、承認品目に係る調査の根拠は令和7年法律第37号による改正（令和8年5月1日施行）で同条第6項に繰り上がっています）の調査権者の求めなどに応じた提示と説明を求めています。

法的根拠と適用スケジュール ― 基本要件基準第12条第3項

根拠は基本要件基準（医薬品、医療機器等の品質、有効性及び安全性の確保等に関する法律第41条第3項の規定により厚生労働大臣が定める医療機器の基準。平成17年厚生労働省告示第122号）第12条第3項です。令和5年厚生労働省告示第67号（令和5年3月9日）により第12条に第3項が追加され、令和5年4月1日から適用されています。

第12条第3項は何を要求しているか

条文は次のとおりです。

プログラムを用いた医療機器のうち、他の機器及びネットワーク等と接続して使用する医療機器又は外部からの不正アクセス及び攻撃アクセス等が想定される医療機器については、当該医療機器における動作環境及びネットワークの使用環境等を踏まえて適切な要件を特定し、当該医療機器の機能に支障が生じる又は安全性の懸念が生じるサイバーセキュリティに係る危険性を特定及び評価するとともに、当該危険性が低減する管理が行われていなければならない。また、当該医療機器は、当該医療機器のライフサイクルの全てにおいて、サイバーセキュリティを確保するための計画に基づいて設計及び製造されていなければならない。

要求は4つです。①動作環境及びネットワークの使用環境等を踏まえた適切な要件の特定、②サイバーセキュリティに係る危険性（機能に支障が生じる又は安全性の懸念が生じるもの）の特定及び評価、③当該危険性が低減する管理、④ライフサイクルの全てにおける、計画に基づく設計及び製造です。

薬生機審発0331第8号 記2（3）は、①の「使用環境」を、医療機関・在宅・救急・植込み型機器等の動作環境と、接続するネットワーク種別やOS及び各種ライブラリ等のプラットフォームの両方を特定し、その使用環境に適した運用体制等を含めた医療機器の意図する使用に適切な要件を設定することだと説明しています。②③は「他のリスクと同様に」適切にリスクマネジメントを行うことであり（記2（4））、脅威モデリングは既存のリスクマネジメントプロセスの上で実施します（医療機器QMSにおけるリスクマネジメント実践ガイド）。

いつから適用され、既承認品はどう扱われるか

適用日は令和5年4月1日で、1年間の経過措置期間が設定されました。押さえるべきは経過措置の期日よりも、申請区分ごとの取扱いと、既に市場に出ている機器の取扱いです。

既存品を一斉に作り直す必要はありませんが、令和6年4月1日以降の新規申請と一変申請はすべて適合資料を伴うため、一変予定のある品目から順に整備するのが現実的です。JIS T 81001-5-1を適用して開発していない既存品目については、令和5年7月20日の質疑応答集（事務連絡）Ａ３が、同規格の附属書F（トランジションヘルスソフトウェア）を適用してよいとしています。ただしこれは適合性確認通知の記1（1）〜（6）の要件に対する取扱いで、記2の追加確認事項4項目を代替するものではありません。同Ａ３は対策として「セキュリティ運用ガイドラインを更新する」「補完的コントロールを義務付ける」「ヘルスソフトウェアの一部を書き直す」なども可能とした上で、セキュリティに関するリスクアセスメントを行い、リスク評価の結果、受容できないリスクがないことを確認するよう求めています。医療機器外部の補完的対策が必須になる場合もあり、リスクが受容できないと判断された場合は、製造販売業者が医療機関に対して当該医療機器使用の中止勧告を検討することとされています。適用する場合はその旨を承認（認証）申請書添付資料4項に記載します。

なおＱ３の問いは「製造販売承認・認証・届出済みで」今後も製造販売する予定の品目を対象としており、届出品も附属書Fの適用の対象に含まれます。申請書への記載のほうは、記載欄のある承認・認証申請を伴う品目についての取扱いです。また令和6年4月1日以降に製造販売する医療機器は、適合を確認した上で資料を求めに応じて提示できるようにしておく必要があります（同 記4（1）なお書き）。

関連文書としてはほかに、手引書の改訂通知（令和5年3月31日 薬生機審発0331第11号・薬生安発0331第4号。別添が「医療機器のサイバーセキュリティ導入に関する手引書（第2版）」）と、令和5年7月20日・令和6年1月31日の質疑応答集（Q&A、いずれも事務連絡）があります。これらの通知・事務連絡は厚生労働省のウェブサイトで、過年度の通知はPMDAのウェブサイトでも公開されています。

なお、薬生機審発0331第8号 記4（1）には「令和6年3月31日以前に製造販売された医療機器に関する取扱いについては追って通知するものとする」という後段があり、既に市場に出ている機器の扱いは留保されていました。この留保に対し、その一部として情報提供するべき事項をまとめたのが、令和7年4月17日の医薬機審発0417第1号・医薬安発0417第1号「医療機器のサイバーセキュリティ対策に関連する情報提供について」です。同通知は、令和6年3月31日以前に製造販売され医療機関等に存在する医療機器のうち第12条第3項への適合が確認されていないものについて、

①当該医療機器のサイバーリスクに関する評価及び対策等を適切に実施し、意図する使用環境におけるサイバーリスクに関する情報を医療機関等に提供すること、あわせて医療機関等の求めに応じてソフトウェア部品表（SBOM）を提示できるように準備しておくこと（記（1））

②医療機器のライフサイクルを特定し、EOL（製品寿命終了）及びEOS（サポート終了）に関する情報を医療機関等に提供していない場合はライフサイクルに応じて提供すること（記（2））

③医療機器がEOSに達していない場合は、医療機関等に提供したセキュリティパッチ等の情報について医療機器に適用する計画等を医療機関等へ示し、医療機関等と連携して定期点検等の適切な時期に適用すること（記（3））

④医療機器がEOSを越えて使用されている場合においても、有効性及び安全性に関する事項その他製品の適正な使用のために必要なサイバーセキュリティに関する情報を収集して医療機関等への情報提供を行い、サイバーセキュリティに関連して不具合が発生し健康被害が発生した若しくはそのおそれがある場合、又は脆弱性に対し外国医療機器の安全確保措置が実施された場合は、不具合等報告の要否を検討し適切な対応をとること（記（4））

を求めています。中古医療機器を取扱う販売業者等の求めに応じても、①〜④と同様の対応をします（記（5））。ただし、EOSを過ぎたものと製造販売業者等が判断した医療機器については、納入先である医療機関等に対し、既にEOSなどに関する必要な情報提供をしている場合、SBOMの作成及び提示を要しません。申請・届出の面で既存品を作り直す必要がないことと、市販後に情報提供とSBOM提示の準備が求められることは別の話であり、既販品を抱えている企業ほどこの通知への対応が先に来ます。

第12条第2項（JIS T 2304）との関係

第12条第3項は第12条第2項（JIS T 2304等への適合。薬生機審発0517第1号 記2（1）は高度管理医療機器又は管理医療機器の承認申請・認証申請を行う製造販売業者等に「JIS T 2304等への適合性を確認すること」を求め、同項のなお書きで「一般医療機器についても同様に確認が必要であること」としています。同 記1（2）はJIS T 2304の他に国際的に用いられている適切な規格等がある場合はそれらへの適合性を確認することをもって適合を確認したものとして差し支えないとしています）に置き換わるものではなく、その上に重ねる要求です。薬生機審発0331第8号 記3（1）は、プログラムを用いた医療機器については従来のJIS T 2304に「これに加えて」JIS T 81001-5-1によってサイバーセキュリティ対策を強化する必要があるとし、注記でJIS T 81001-5-1はJIS T 2304に規定する製品ライフサイクルの要求事項に加えて実施する取組を規定していると明記しています。安全クラスの判定やSOUP管理は第12条第2項側の論点で、IEC 62304とは？医療機器ソフトウェア開発の実務で整理しています。

自社製品は第12条第3項の対象か ― 該当性の判定

対象は、プログラムを用いた医療機器のうち、①他の機器及びネットワーク等と接続して使用するもの、又は②外部からの不正アクセス及び攻撃アクセス等が想定されるものです。「又は」でつながるためどちらかに当たれば対象で、実務では①の範囲が広く「ネットワークにつながっていないから対象外」という判断が誤りになりやすい点が要点です。前段の「プログラムを用いた医療機器」は、単体プログラムとして流通するプログラム医療機器（SaMD）に限りません。薬生機審発0517第1号 記1（1）はこの語を「プログラムを用いた医療機器（プログラム又はこれを記録した記録媒体を含む。以下同じ。）」と書いており、SaMDはこの語に含まれる一部です。第12条第3項側でも、薬生機審発0331第8号 記2（3）は特定すべき動作環境として「医療機関、在宅、救急、植込み型機器等」を挙げ、SBOM導入・運用ガイドラインは適用対象の構成パターンに電子血圧計・パルスオキシメーター等の組込みソフトウェアや人工呼吸器・透析装置等の機器搭載ソフトウェアを挙げています（4.1、表2。後掲）。据置型・可搬型のハードウェアに組み込んだソフトウェアやファームウェアで動作を制御している医療機器も、この前段に含まれます。令和6年1月31日の質疑応答集（事務連絡）Ａ１は、WiFiやBluetooth、有線（LANやUSBデバイス）で接続できる仕様は有するものの、患者への使用時等には接続されず製造販売業者等による保守や修理作業においてのみ接続され、注意事項等情報や使用者との契約で接続制限が合意された医療機器についても、「基本要件基準第12条第3項に示されているとおり」①又は②が適用されるため、リスク分析を行うことにより必要なセキュリティ対応・管理を行うこととしています。なおSaMDそのものの該当性判断や承認・認証・届出のルート選択は本記事の範囲外です（SaMD（プログラム医療機器）の規制とQMS対応ガイド）。

「他の機器及びネットワーク等と接続して使用する医療機器」の範囲

薬生機審発0331第8号 記2（1）は範囲を列挙しています。「他の機器」には医療機器、IoT機器、周辺機器、外部記録媒体（USB、SD、HDD、CD、DVD等）、電子カルテ、PC（外部からの持ち込みPCを含む）が含まれ、「ネットワーク」には院内システム、院外システム、グローバルが含まれます。これらに接続して電磁的情報のやり取りをする医療機器が該当するため、常時ネットワーク接続していない機器でもUSBメモリでデータを受け渡す構成なら対象で、保守で技術者が持ち込むPCと接続する機器も同様です。

「外部からの不正アクセス及び攻撃アクセス等が想定される医療機器」の範囲

同 記2（2）は、想定する攻撃として、脆弱性を攻撃対象とする等の設計者が通常使用において想定していない手法を用いた悪意を持った不正アクセス、意図的に過剰な負荷を与える攻撃（DoS攻撃、DDoS攻撃等）、マルウェアの感染を意図する攻撃によるアクセス等を挙げ、続けて攻撃形式が多様化・高度化しており今後はこれらの手法のほかにも対応することが必要となり得ると述べています。該当性の判定は一度で終わらせず、脅威環境の変化に応じて見直す前提で記録を残してください。

クラス分類で変わるのは「資料の添付」だけ

クラス分類によって適合の必要性は変わりません。変わるのは申請・届出時に資料を添付するかどうかだけです。

（薬生機審発0331第8号 記3（4）に基づき作成）

一般医療機器は届出時の資料添付を求められませんが「同様に適合性を確認する必要がある」と明記されており、確認の記録は保管してQMS適合性調査で提示できる状態にする必要があります（同 記3（3））。

適合をどう示すか ― JIS T 81001-5-1と適合性確認通知の6要求

第12条第3項への適合は、製造販売業者等自身が確認して示します。薬生機審発0523第1号 記は、JIS T 81001-5-1等への適合性を確認する際に「当該結果を示すか又は当該結果をまとめた社内文書等を特定すること」と求めています。この「社内文書等を特定する」という一文が実務の設計を決めます。同 記 柱書のなお書きは「一般医療機器についても同様に確認が必要であること」としており、次に見る箇条4〜9の確認は届出品にも及びます。粒度については、令和5年7月20日の質疑応答集（事務連絡）Ａ２が、令和6年4月1日以降も引き続き製造販売する既存の医療機器についても、改正後の基本要件基準への適合を確認する上では「適合性確認通知の１の（１）〜（６）及び２の（１）〜（４）のそれぞれの要件に対する社内文書を特定する情報を提示できるようにしておくこと」としています（同Ａ２は、記載先を承認（認証）申請書添付資料4項の電気安全・電磁両立の欄としています）。記1の6項目と記2の4項目のそれぞれについて文書を特定するところまでが求められるという意味です。先に引いた記 柱書のなお書きが一般医療機器についても「同様に」としていることと合わせると、クラスや新旧で項目が減るわけではありません。

JIS T 81001-5-1はJIS T 2304の上に載る

JIS T 81001-5-1:2023は「ヘルスソフトウェア及びヘルスITシステムの安全，有効性及びセキュリティ―第5-1部：セキュリティ―製品ライフサイクルにおけるアクティビティ」です。対応国際規格はIEC 81001-5-1:2021、一致の程度はIDT（一致）とされています（日本規格協会の規格情報による）。JIS T 2304が規定するライフサイクルプロセスの各段階にセキュリティのアクティビティを重ねる構造のため、62304対応ができている組織なら既存プロセスに成果物を追加する形になります。

箇条4〜9で確認される6項目と、追加で確認される4項目

薬生機審発0523第1号は、適合性を確認する際の留意事項を、記1で規格に関連する要求事項として箇条4〜9の6項目、記2で既存通知等に関連する追加確認事項として4項目に整理しています。下表は各要求と、適合を示すために特定することになる社内文書の対応例です。

（「確認内容」は薬生機審発0523第1号 記1・記2の記載に基づく。箇条4の追加確認は平成30年7月24日 薬生機審発0724第1号・薬生安発0724第1号に基づくものとされています。「社内文書の例」は文書を特定する際の例示であり、同通知に列挙されているものではありません）

追加確認事項が置かれているのは箇条4・5・6・8の4か所だけで、箇条7と箇条9にはありません。そして箇条8の追加確認によって、SBOMは国内でも構成管理プロセスの確認手段として位置づけられています。任意の先進的な取組ではなく、遅くとも令和5年5月の通知の時点で、適合確認の道具として明示されていました。

基本要件基準チェックリストに何を書くか

薬生機審発0523第1号の末尾には「参考：基本要件基準CLの適合」として記載例が示されています。列は「基本要件」「当該機器への適用・不適用」「適合の方法」「特定文書の確認」の4つで、記載例では第12条第3項に対し、適用・不適用は「適用」、適合の方法は「認知された基準の該当する項目に適合することを示す」、特定文書の確認は同通知とされています。CLの記載自体は簡潔で、裏付けは前掲の社内文書の一覧が担います。

IEC 81001-5-1などの国際規格を使う場合の条件

薬生機審発0331第8号 記3（2）は、IEC 81001-5-1等の国際的に用いられている適切な規格等への適合性の確認をもって第12条第3項への適合を確認したものとして差し支えないとしています。なお、承認申請（一部変更承認申請を含む）又は認証申請（一部変更認証申請を含む）に際しては、それらの規格等を用いることの妥当性を説明しなければなりません。海外本社の規格体系を流用する場合は、この妥当性説明の資料を申請パッケージに含める前提で準備してください。この国際規格ルートを使う場合でも、薬生機審発0523第1号 記の確認事項は別途満たす必要があります。同 記の柱書は「JIS T 81001-5-1等への適合性を確認する際には」、記2の柱書は「規格への適合性を確認する際」と書いており、いずれも規格名を限定していません。前掲の表で「追加」と示した記2の4項目（箇条4のセキュリティ対応方針・問い合わせ窓口・脆弱性開示手順、箇条5の意図する使用環境の構成図での明示、箇条6のソフトウェア保守計画、箇条8のSBOM）は、規格本文の外にある国内固有の上乗せです。令和5年7月20日の質疑応答集（事務連絡）Ａ１も、例えばセキュリティに対する窓口の明確化と顧客に対する脆弱性等の開示手順を挙げて、これらは「JIS T 81001-5-1の要求に明示的には含まれていないが、適合性確認通知による要求事項として対応する必要があり」としています。記2（2）（箇条5）・記2（3）（箇条6）は基本要件基準第12条第3項の文言そのものに紐づく要求であり、用いる規格の版や言語によって変わりません。第三者機関の試験を使う場合も同じです。令和6年1月31日の質疑応答集（事務連絡）Ａ４は、第12条第3項の適合性の確認のための第三者機関による試験は必須ではないとした上で、試験機関を活用した場合は申請時に「適合証明書に加えて」薬生機審発0523第1号 記2に記載されている項目に対する適合性の確認結果を示すか、確認結果をまとめた社内文書等を特定することを求めています。

SBOM対応 ― 2026年8月のSBOM導入・運用ガイドラインで何が変わったか

2026年8月25日発出の「医療機器におけるSBOM導入・運用ガイドライン（第1版）について」（医薬機審発0825第1号）は、SBOMを既存のQMS及び市販後安全管理プロセスへ統合する道筋を示した点が従来の通知との違いです。ただし同通知が求めているのは、本ガイドラインを参考として必要な対応を行うことであり、ガイドラインへの適合そのものを法令上の要件として課すものではありません。対象読者にはソフトウェア開発部門と並んで品質保証・QMS担当部門、薬事・規制申請部門が明記され（1.3）、すでに適切に導入・運用している場合は手順・手法等の変更を求めるものではないとされています（1.2）。SBOMの作成責任は原則として製造販売業者が負い、サードパーティから提供を受ける場合でも内容の妥当性確認、統合、管理は製造販売業者が実施します（3.2）。なお同1.1は、国内の基本要件基準第12条第3項と並べて米国FD&C法第524B条などを挙げ、国内外の当局が規制要求事項を強化していると述べています（海外規制の全体像は海外の医療機器規制入門）。

SBOMの最小要素とフォーマット

第1版が採用する最小要素は、NTIA（米国商務省電気通信情報局）の「The Minimum Elements for a Software Bill of Materials (SBOM)」に基づき、「医療機器のサイバーセキュリティ導入に関する手引書（第2版）」の附属書Aに示された要素です（2.3）。サプライヤーの名前、コンポーネント名、バージョン、その他の固有識別子（purl、CPE等）、コンポーネント間の関係、SBOMの作成主体、タイムスタンプ（ISO 8601形式）を、少なくとも医療機関等に提供する最終的なSBOMに含めます。コンポーネントハッシュは手引書ではオプション要素ですが可能な限り付与するとされ、フォーマットは新規導入時の推奨としてSPDX 2.2以上又はCycloneDX 1.6以上が示されました（2.4）。SBOMが複数のファイルで構成されている場合は、必ずSBOMの構成（フォルダを含む）を説明する文書を添えます（同2.4）。なお、この最小要素は医療機関等に提供する最終的なSBOMに係るものです。承認・認証申請との関係は令和5年7月20日の質疑応答集（事務連絡）Ａ５が答えており、SBOMを申請時に提出する必要はないものの、承認・認証申請時にはSBOMを作成していることを明示する必要があり（例えばSBOMの文書名を記載する）、申請の際はSBOMを提示できるように準備しておくこととされています。申請時に添付するのはJIS T 81001-5-1等への適合性を示す資料（薬生機審発0331第8号 記3（4））で、SBOMは箇条8の適合を示す社内文書として特定される位置づけです。

自社製品はどの構成パターンか

ガイドラインは医療機器ソフトウェアの構成を4パターンに分類し、パターンごとに適用範囲を示しています（4.1、表2）。自社製品をこの分類に当てはめるのが最初の作業です。

段階的導入と調達・契約への織り込み

ガイドラインは成熟度に応じた段階的導入の道筋を示しています（1.2、3.1）。第1段階では最小要素を踏まえたSBOMを作成・更新できる体制を整え、対象製品のSBOMを作成し変更管理できる状態にします。第2段階では、その体制を脆弱性管理・ライセンス管理・EOL／EOS管理といった既存のQMS及び市販後安全管理プロセスと統合します。運用の打ち手としてコンポーネント情報を集約した「SBOMコンポーネントリポジトリ」の構築と表記揺れを吸収する「正規化」が挙げられ、SBOMの更新完了をソフトウェアリリース承認の条件の一つと位置付けることで構成情報の漏れを防止できるとされています（6.1.2）。

第三者が実装したソフトウェアについても最終的なSBOMの正確性と網羅性に責任を負うのは製造販売業者です。ガイドライン6.3は、サプライヤーや開発委託先、OEM／ODM先との契約・調達仕様に、①NTIA最小要素に準拠した機械可読なSBOMの提供、②引渡し時までの提供と構成変更時の更新提供、③各コンポーネントのEOS及びEOLの情報提供と変更時の通知、④重大な脆弱性判明時の脆弱性情報・影響範囲・対策方針・SBOM更新の通知、を条項として検討するよう挙げています。あわせてSBOMツールの導入では、販売代理店やツールベンダーがQMS省令（医療機器及び体外診断用医薬品の製造管理及び品質管理の基準に関する省令。平成16年厚生労働省令第169号）第37条から第39条に基づく購買管理の対象となり得ること、ツール自体が同令第5条の6（ソフトウェアの使用。限定第三種医療機器製造販売業者は適用除外）に基づくバリデーション・記録の管理・変更管理の対象となり得ることが明記されています（4.3.2）。

よくある誤解

ガイドライン2.5は、導入判断や運用定着を妨げる誤解を整理しています。社内説明で反論材料になるのは次の2点です。「Excelが1つあれば十分」＝導入初期の可視化には有効だが、表記揺れの抑止、更新漏れの防止、識別子による自動照合、変更履歴の一貫管理に限界がある。「ツールが出力した脆弱性すべてに対応が必要」＝検出結果には悪用不可能なものや当該製品構成では影響を受けないものも含まれ、リスク評価と影響範囲を踏まえた優先順位付けが不可欠。

同2.5は「ツールで生成すれば内容は自動的に正しい」という誤解についても、SBOMの正確性・完全性は解析対象の定義、ビルド手順、ツール設定や検出能力、運用プロセスに依存するとし、SBOM生成ツールについてもコンピュータ化システムバリデーションの考え方を踏まえ、意図した用途に対して適切に機能していることを確認した上で、その成果物を有効な情報として扱うとしています（CSV／CSAの考え方はCSV（コンピュータ化システムバリデーション）とCSA入門）。

市販後に何をし続けるのか ― 脆弱性管理・報告・変更手続

市販後にやり続けるのは、脆弱性の特定・評価・開示・修正等と、その結果として生じる報告と薬事手続です。根拠は医薬機審発0328第1号・医薬安発0328第3号（令和6年3月28日）で、脆弱性を「システムのセキュリティポリシーを破るために悪用される可能性のある、システムの設計、導入又は運用管理における欠陥又は弱み」（JIS T 81001-1:2022 3.4.22）と定義した上で、製造販売業者等がこれらを行う必要があるとしています。

脆弱性情報の収集と評価（IPA／JPCERT/CCとの関係）

同通知 記1（1）は、脆弱性の特定及び検出のため、医療機関等と連携するとともにIPA（独立行政法人情報処理推進機構）又はJPCERT/CCのウェブサイトから適時情報収集に努めることを求めています（GVP省令（平成16年厚生労働省令第135号）第7条の規定に沿って収集する場合は窓口への登録を要しません）。脆弱性と思われる情報を入手したときは、情報の受付、確認及び評価を行い、修正策、緩和策又は補完的対策を行う手順と、使用している医療機関へ情報提供する手順を確立します（記1（2））。脆弱性を確認した場合は情報セキュリティ早期警戒パートナーシップの手順に基づき対処し、他の製造販売業者等への影響も考慮して適時かつ適切な範囲に開示します（記1（3））。同パートナーシップにおいてIPAは届出の受付機関、JPCERT/CCは連絡及び公表に係る調整機関です。

評価の手順はSBOM導入・運用ガイドラインが整理しています。JVN・NVD等の脆弱性情報データベースやベンダーのアドバイザリーを収集してSBOMと照合し、影響を受ける可能性のある製品・バージョンを特定します（6.2.1）。次に、公表されている深刻度（CVSSスコア等）、悪用の可能性、当該コンポーネントの医療機器内での役割、使用環境における露出状況、回避策の有無を踏まえ、「直ちに対応すべきもの」「次回の定期アップデートで対応するもの」「リスク受容としてモニタリングのみ行うもの」に整理します（6.2.2）。「影響なし」と判断した場合も判断理由を品質記録として残します（6.2.4）。

サイバーセキュリティに起因する不具合等報告の考え方

不具合等報告も通常と同じ枠組みで実施します。根拠は薬機法第68条の10第1項で、考え方は医薬安発0115第2号（令和6年1月15日）別添にあります。対象は薬機法（昭和35年法律第145号）第2条第4項に定義された医療機器のうち、無線又は有線により、メディア媒体を含む他の機器、ネットワーク等との接続が可能なプログラム医療機器（SaMD）を含む医療機器及びプログラムを用いた附属品等で、医療機器のクラス分類を問いません（別添 2.）。

判断の骨格は同 別添 4.（3）です。脆弱性は全てが報告の対象ではありません。当該医療機器のSBOM及び設計情報等から、脆弱性が存在するソフトウェアの存在、使用の有無及び機能性能に関する影響等を評価し、使用目的、使用部位、蓋然性等を総合的に判断した結果、悪用が原因で死亡や重篤な健康被害が発生した場合、又は発生するおそれがあると判断した場合に報告します。逆に、脆弱性が存在するソフトウェアが使用されていない場合、又はセキュリティパッチ等の対策により問題が除去又は機能性能に影響がない程度にリスクを低減可能で健康被害が発生するおそれがないと判断できる場合は報告不要で、経時的にモニターし報告の必要が出てきた場合には報告します。「自社製品に当該コンポーネントは含まれていない」と説明するには、含まれていないことを示す構成情報が必要であり、ここでSBOMが報告要否判断の一次資料になります。なお一般の情報セキュリティを想定したCVSSスコアは臨床環境や患者安全への影響へ置き換えて再評価する必要があり、EOS後を含めた不具合情報の収集義務（薬機法第68条の2の6第1項）と行政報告義務（同法第68条の10第1項）も残ります（同 別添 4.（3）・（4））。なお、自社製品の脆弱性に対して外国医療機器の安全確保措置が実施された場合も、不具合等報告の要否を検討する必要があります（同 別添 4.（2））。外国で先に措置が打たれた場合に、国内での検討が漏れやすい経路です。

対策に伴う変更は一変か、軽微変更届か、いずれも不要か

サイバーセキュリティ対策の多くは薬事手続を伴わずに実施できます。医薬機審発0423第1号（令和6年4月23日）別添が事例を整理しており、いずれもこれらの変更等に伴う医療機器としての機能の追加・変更等がない場合に限りという条件付きです。

表の3行目「本事例の対象外」に当たる場合、この事例集を根拠に手続不要と判断することはできません。一変申請又は軽微変更届の要否を個別に検討します。

また、表の④は使用方法欄に「動作環境」として記載しているOS・データベース・ランタイム等の更新を指すものです。使用方法欄に記載していない、製品内部に同梱・組み込んだOSSライブラリやサードパーティコンポーネントを脆弱性対応で更新する場合に直接該当する行は、この事例集にはありません（SBOM導入・運用ガイドラインの構成パターンBは、商用OS・ミドルウェア・ランタイム・OSS・OTS・推移的依存を「製品内部で動作する全コンポーネント」として製品側に位置づけています）。同別添は事例が限定列挙ではないことも明記し、個別の取扱いは必要に応じてPMDA又は登録認証機関に相談するよう求めています。一変と軽微変更届の一般的な区分判断、提出書類、届出期限は一部変更承認申請と軽微変更届で整理しています。

医療機関との責任分界（VPN装置等の付属機器を含む）

令和8年3月19日の事務連絡「医療機器に接続するVPN装置等のネットワーク機器におけるサイバーセキュリティ対策の徹底について（注意喚起）」（厚生労働省医薬局医療機器審査管理課・医薬安全対策課。事務連絡のため文書番号はありません）は、VPN装置を悪用した侵入によるランサムウェア被害の増加を踏まえ、①リモートメンテナンスに使用するVPN装置等のネットワーク機器など医療機器本体以外の付属機器についても、保守契約等に基づき医療機関との間で責任分界が明らかになっていることを確認すること、②製造販売業者に管理の責任がある、医療機器に接続するVPN装置等のネットワーク機器についてファームウェア等が最新であること及びサポート終了機器が存在しないことを確認し、サポート終了時は医療機関に情報提供して機器更新等の対応を行うこと、③VPN装置について認証の強化、アクセス制御の実施その他の適切なセキュリティ対策を実施することを求めています。これは都道府県あての注意喚起の依頼で、新たな法令上の義務を課すものではなく、既存の枠組みの徹底を求めるものです。責任分界は納入時に決めるもので、医薬機審発0328第1号 記2（2）も、サイバーセキュリティに関する保守計画、インシデントを処理するためのポリシー及び役割を医療機関に説明した上で納入することを求めています。なお医療機関側の対策については、医療機関向けの手引書が別に発出されています。

QMSへの組み込みとセルフチェックリスト

サイバーセキュリティ対応の成果物は、独立した文書群ではなくQMS省令の記録として管理します。専用の手順書を別立てするより、既存の設計開発・苦情処理・記録管理の各手順にセキュリティ観点を差し込むほうが運用が破綻しません。

設計開発プロセスに載せる（第30条〜第36条の2）

第36条第2項の「法令の規定等の適合性」という文言が要点です。セキュリティ機能の変更が第12条第3項への適合に影響するかの検証は、規格の要請である以前にQMS省令の要求であり、前掲の医薬機審発0423第1号による手続の判断はこの検証の出力として記録されるべきものです。なおセキュリティリスクは、第26条第3項が求める製品実現の全工程におけるリスクマネジメントの対象に含めます。

苦情処理と厚生労働大臣等への報告に載せる（第55条の2／第55条の3）

QMS省令第55条の2第1項は、苦情処理の手順に含める事項として、第3号に苦情の調査、第4号に法第68条の10第1項及び法第68条の11の規定に基づく報告の必要性の評価、第6号に修正又は是正措置の必要性の評価を挙げています。サイバーセキュリティに起因する不具合等報告の要否判断は、この第4号の評価そのものです。第55条の3は同じ報告に係る手順の文書化と記録の作成・保管を求めています。医療機関からの連絡が苦情として入ることもIPA／JPCERT/CC経由の脆弱性情報として入ることもありますが、入口が違っても報告の必要性の評価に合流させる設計が必要です（QMSの苦情処理とは？）。

記録として残す（第9条第2項・第3項）

セキュリティ対応の記録は、QMS省令第9条第2項の管理下に置きます。同項は、記録の識別、保管、セキュリティ確保（漏えい、滅失又は毀損の防止その他安全管理）、完全性の確保（記録が正確であり、作成された時点から不適切な改変がない状態を保つこと）、検索、保管期間及び廃棄についての管理方法に関する手順の文書化を求めています（記録の完全性の考え方はデータインテグリティとは？）。医療機器等の使用によって得られた個人情報を保有する場合は、同条第3項により適正な管理方法を定めて管理します。SBOM導入・運用ガイドライン6.1.3も、SBOMの生成・更新・利用に関する記録を既存の文書・記録管理プロセスの中で管理し、内部監査や当局査察、QMS適合性調査等において説明可能な状態を維持することを求めています。

脅威モデル、脆弱性の評価と対応判断、SBOMの版と承認履歴は、いずれも「誰がいつ何を根拠に判断したか」を後から問われる記録です。ファイルサーバーと表計算ソフトで運用していると、第9条第2項が求める完全性の確保を証明するのに手間がかかり、調査対応の場面で説明が滞ります。医療機器QMSに特化した電子QMSであれば、版管理・承認履歴・監査証跡が記録側の標準機能として残るため、脆弱性1件ごとの判断の経緯を時系列で追える状態を維持しやすくなります。あわせて、セキュリティの証跡を外部サービスに預ける以上、提供事業者自身の情報セキュリティ体制も選定基準に入れてください。

着手チェックリスト

該当性の判定→社内文書の特定→CL記載→SBOM体制→市販後手順の順に埋めてください。

• [ ] 「プログラムを用いた医療機器」であり、他の機器及びネットワーク等と接続して使用するか、又は外部からの不正アクセス及び攻撃アクセス等が想定されるかを判定し、判定根拠を記録した
• [ ] 動作環境と使用環境（ネットワーク種別、OS、各種ライブラリ等）を特定し、システム構成図・ネットワーク構成図として文書化した
• [ ] リスクマネジメントのプロセスに、脆弱性の特定・脅威の評価・リスクコントロール・有効性の監視を組み込んだ
• [ ] JIS T 81001-5-1の箇条4〜9それぞれについて、適合を示す社内文書を特定した一覧を作成した
• [ ] IEC 81001-5-1等の国際規格を用いる場合、申請時に妥当性を説明する資料を準備した
• [ ] 基本要件基準CLの第12条第3項の欄に、適用・不適用、適合の方法、特定文書の確認を記載した
• [ ] セキュリティに対する対応方針と問い合わせ窓口を明確化し、顧客に対する脆弱性等の開示手順を定めた
• [ ] ソフトウェア保守計画に、製品寿命、脆弱性の監視、セキュリティ更新の実施計画、顧客への通知方針を定めた
• [ ] SBOMの適用範囲を定義し、構成パターンA〜Dのどれに当たるかを整理した
• [ ] SBOMを最小要素を満たす形式（SPDX 2.2以上／CycloneDX 1.6以上）で作成し、製品型番・バージョンとの対応を追跡でき、更新完了をリリース承認の条件に加えた
• [ ] SBOMツールの選定・導入について、購買管理（第37条〜第39条）とバリデーション（第5条の6）の要否を検討した
• [ ] IPA／JPCERT/CCからの情報収集経路を確保し、脆弱性の受付・評価・修正・開示の手順を確立した
• [ ] 不具合等報告の要否判断を、苦情処理手順（第55条の2第1項第4号）と報告手順（第55条の3）に組み込んだ
• [ ] VPN装置等の付属機器について、医療機関との責任分界を保守契約等で明確にした
• [ ] 令和6年3月31日以前に製造販売した機器について、サイバーリスクの評価・対策とEOL／EOS情報の提供状況を棚卸しし、医療機関等の求めに応じてSBOMを提示できる準備（又は既にEOSなどに関する必要な情報提供をしており作成・提示を要しないことの記録）を整えた（医薬機審発0417第1号・医薬安発0417第1号）

よくある質問

自社の医療機器は基本要件基準第12条第3項の対象になりますか？

プログラムを用いた医療機器で、①他の機器及びネットワーク等と接続して使用する、②外部からの不正アクセス及び攻撃アクセス等が想定される、のいずれかに当たれば対象です。①の「他の機器」にはUSB・SD・HDD・CD・DVD等の外部記録媒体、電子カルテ、外部から持ち込まれたPCが含まれ（薬生機審発0331第8号 記2（1））、有線・無線を問わないため常時接続していない機器でも該当し得ます。

JIS T 81001-5-1の「認証」を取得する必要がありますか？

求められているのは、製造販売業者等自身による適合性の確認です。高度管理医療機器・管理医療機器の承認申請又は認証申請ではJIS T 81001-5-1等への適合性を示す資料の添付が必要で、その示し方は、確認した結果を示すか、結果をまとめた社内文書等を特定することとされています（薬生機審発0523第1号 記）。薬生機審発0523第1号・薬生機審発0331第8号のいずれも、第三者認証の取得を求めてはいません。IEC 81001-5-1等の国際規格を用いることもできますが、申請時に妥当性を説明する必要があります（薬生機審発0331第8号 記3（2））。

一般医療機器（クラスI・届出）も対応が必要ですか？

必要です。ただし届出の際に資料の添付は要さないとされています（薬生機審発0331第8号 記3（4））。適合の確認等の記録は保管し、QMS適合性調査の調査権者の求めなどに応じて提示できる状態にしておく必要があります（同 記3（3））。市販後の不具合等報告についても、対象は医療機器のクラス分類を問いません（医薬安発0115第2号 別添 2.）。

OSのバージョンを追加するときは一部変更承認申請が必要ですか？

医療機器としての機能の追加・変更等がない場合、動作環境であるOS等のバージョンの追加・変更・削除は一変申請も軽微変更届も不要です（次回の一変申請時に記載整備を要します）。一方、異なる種類のOSの追加やクラウド動作の追加は軽微変更届の対象です（医薬機審発0423第1号 別添）。製品の有効性及び安全性に関わる機能に影響する場合は本事例の対象外で、遠隔モニタリング目的でネットワーク接続する植込み型機器等も対象外です。なお、使用方法欄に動作環境として記載していない、製品に組み込んだOSSライブラリ等を脆弱性対応で更新する場合は、この事例集に直接該当する行がないため個別に判断します。

サイバーセキュリティに起因する不具合は報告義務がありますか？

薬機法第68条の10第1項に基づく不具合等報告の枠組みで扱います。基本的考え方は医薬安発0115第2号（令和6年1月15日）に示されており、脆弱性は全てが報告対象ではなく、SBOM及び設計情報等から影響を評価し、悪用が原因で死亡や重篤な健康被害が発生した場合又は発生するおそれがあると判断した場合に報告します。QMS省令側では第55条の2第1項第4号が報告の必要性の評価を、第55条の3が報告手順の文書化と記録を求めています。

SBOMはExcelで作ってはいけないのですか？

導入初期にExcel等で主要コンポーネントを可視化し、関係者間で構成認識を揃えることは有効とされています。ただしExcelのみの運用では、表記揺れの抑止、更新漏れの防止、ソフトウェア識別子を用いた自動照合、変更履歴の一貫管理に限界があります。継続的な活用には、標準フォーマット（SPDX 2.2以上／CycloneDX 1.6以上）への対応、ツールによる一元管理、表記揺れを吸収する正規化を段階的に導入する必要があります（SBOM導入・運用ガイドライン 2.4・2.5）。

まとめ

医療機器サイバーセキュリティの規制対応は、基本要件基準第12条第3項の該当性判定から始まり、JIS T 81001-5-1の箇条ごとに適合を示す社内文書を特定し、市販後の脆弱性管理と報告・変更手続を回し続けるところまでが一続きです。

• 適合は、製造販売業者等自身が確認し、箇条4〜9それぞれについて「結果を示すか、結果をまとめた社内文書等を特定する」ことで示す（薬生機審発0523第1号）
• 令和6年4月1日以降の承認申請・認証申請は適合資料の添付が必要。既存品も次の一変で対応が必要になるため、一変予定のある品目から着手する

適合を示す社内文書、脅威モデル、脆弱性ごとの評価と判断の記録、SBOMの版と承認履歴は、いずれもQMS適合性調査で提示を求められる可能性があります。医療機器QMSに特化した電子QMSであるQMSmartのように、版管理・承認履歴・監査証跡を標準機能として備えた基盤の上に記録を載せておくと、脆弱性が公表されるたびに文書を探し回る状態から抜け出せます。まずは対象製品の該当性を判定し、判定根拠を1枚の記録に残すところから始めてください。