今般、医療機器の基本要件基準第12条第3項の適用に関する質疑応答集を別紙のとおり取りまとめましたので、貴管内の製造販売業者において浸透が図られるよう、周知方御配慮願います。

医療機器の基本要件基準第12条第3項の適用に関する質疑応答集(Q＆A)

〔用いた略語〕

基本要件基準：「医薬品、医療機器等の品質、有効性及び安全性の確保等に関する法律第41条第3項の規定により厚生労働大臣が定める医療機器の基準」(平成17年厚生労働省告示第122号)

確保通知：平成27年4月28日付け薬食機参発0428第1号・薬食安発0428第1号厚生労働省大臣官房参事官(医療機器・再生医療等製品審査管理担当)・医薬食品局安全対策課長連名通知「医療機器におけるサイバーセキュリティの確保について」

ガイダンス通知：平成30年7月24日付け薬生機審発0724第1号・薬生安発0724第1号厚生労働省医薬・生活衛生局医療機器審査管理課長・医薬安全対策課長連名通知「医療機器のサイバーセキュリティの確保に関するガイダンスについて」

取扱い通知：令和5年3月31日付け薬生機審発0331第8号厚生労働省医薬・生活衛生局医療機器審査管理課長通知「医療機器の基本要件基準第12条第3項の適用について」

製販向け手引書通知：令和5年3月31日付け薬生機審発0331第11号・薬生安発0331第4号厚生労働省医薬・生活衛生局医療機器審査管理課長・医薬安全対策課長連名通知「医療機器のサイバーセキュリティ導入に関する手引書の改訂について」

適合性確認通知：令和5年5月23日付け薬生機審発0523第1号厚生労働省医薬・生活衛生局医療機器審査管理課長通知「医療機器の基本要件基準第12条第3項の適合性の確認について」

JIS T 81001―5―1：JIS T 81001―5―1「ヘルスソフトウェア及びヘルスITシステムの安全有効性及びセキュリティ―第5―1部：セキュリティ―製品ライフサイクルにおけるアクティビティ」

A1：適合性確認通知は、取扱い通知で示されている「JIS T 81001―5―1等への適合性を示す資料」をより具体的にした通知であり、基本要件基準への適合を示すために、JIS T 81001―5―1以外にも既存のサイバーセキュリティに関する通知にて求めてきた要件もあわせて記載し、医療機器におけるサイバーセキュリティへの対応の具体的な要件として示している。

例えば、「セキュリティに対する窓口の明確化」、「顧客に対する脆弱性等の開示手順」はJIS T 81001―5―1の要求に明示的には含まれていないが、適合性確認通知による要求事項として対応する必要があり、具体的にはガイダンス通知にて示されている。

A2：貴見のとおり。別添の記載事例を参照とし、承認(認証)申請書添付資料4項の電気安全・電磁両立(ソフトウェアライフサイクルの後ろ)に記載する。なお、現在既に製造販売されている医療機器であって、令和6年4月1日以降も引き続き製造販売する医療機器についても、改正後の基本要件基準への適合を確認する上では、適合性確認通知の1の(1)～(6)及び2の(1)～(4)のそれぞれの要件に対する社内文書を特定する情報を提示できるようにしておくこと。

A3：貴見のとおり。適合性確認通知の1の(1)～(6)の要件に対して、JIS T 81001―5―1の附属書Fトランジションヘルスソフトウェアにあるように、「セキュリティ運用ガイドラインを更新する」、「補完的コントロールを義務付ける」、「ヘルスソフトウェアの一部を書き直す」などの対策も可能である。なお、セキュリティに関するリスクアセスメントを行い、リスク評価の結果、受容できないリスクがないことを確認すること。医療機器外部の補完的対策が必須になる場合もあり、リスクが受容できないと判断された場合は、医療機器製造販売業者が医療機関に対して当該医療機器使用の中止勧告を検討すること。

また、JIS T 81001―5―1の附属書Fトランジションヘルスソフトウェアを適用する場合は、その旨を承認(認証)申請書添付資料4項に記載すること。

A4：「問い合わせ窓口」は、セキュリティに関して緊急に対応できる窓口(連絡先)の設定が想定され、例えば、医療機器製造販売業者のホームページにあるセキュリティポリシー、取扱説明書、又は注意事項等情報等に、セキュリティに関して緊急で対応できる窓口(連絡先)であることがわかるように記載することが望ましい。注意事項等情報として記載する場合は、「製造販売業者及び製造業者の氏名又は名称等」欄に記載すること。

また、承認・認証申請時に適合していることを示す方法としては、窓口を明確にしている文書名を示すことが想定される。

A5：申請時に提出する必要はないが、承認・認証申請時にはSBOMを作成していることを明示する必要があり、例えばSBOMの文書名を記載する。なお、申請の際はSBOMを提示できるように準備しておくこと。

A6：SBOMは、JIS T 81001―5―1の箇条8の構成管理プロセスが対象としている全てのコンポーネント(ソフトウェアアイテム)で、自社製(開発委託したものも含む)及び外部調達ソフトウェア(OSS(オープンソースソフトウェア)を含む)が含まれるように作成すること。少なくとも製品の最上位のコンポーネント及びそれに直接含まれるコンポーネントの情報を含めること。

また、コンポーネントの各々について、①サプライヤの名前、②コンポーネントの名前、③バージョン、④固有識別子、⑤上流のコンポーネントとの関係、⑥作成者名(これらの情報を作成した組織名または担当者名)、⑦タイムスタンプ(情報を登録した日時)を明示すること。

(製販向け手引書通知の附属書Aソフトウェア部品表(SBOM)の扱い参照)

A7：リスクマネジメントプロセスで特定した脅威に対する方法が実装され、有効であることが確認できれば第三者試験であることは必須ではない。

[記載事例]

2．基本要件と基本要件への適合性

2．1　参照規格一覧

基本要件への適合性を示すために用いた規格

＜省略＞

第二章　設計及び製造要求事項

＜省略＞

2．3　適合性を確認するために用いた規格等の適用に関する妥当性説明

＜省略＞

2．4　適合宣誓書

本資料に適合宣言書を添付する。

4．設計検証及び妥当性確認文書の要約

＜省略＞

4．3　適合性認証基準等に適合することを証明する資料

(1)　基本要件第6条への適合性を示す資料

＜省略＞

(3)　JIS T 2304の実施状況

＜省略＞

(4)　JIS T 81001―5―1の実施状況