AI医療機器を選ぶ前に—基本要件基準に加わったサイバー対策条項

画像診断を補助するAIや、他の機器・院内ネットワークとつながって動くタイプのプログラム医療機器(SaMD)を検討する場面が増えています。こうした機器は、承認や認証を受ける段階で、サイバーセキュリティへの対応状況を国に示すことが求められるようになりました。根拠となるのは、医療機器の「基本要件基準」に2023年に新設された条項です。医事課や企画部門が提案書を読むときに確認しておきたい点を整理します。

何が追加されたのか

厚生労働省は2023年3月9日付の告示(令和5年厚生労働省告示第67号)で、医薬品医療機器等法にもとづく「基本要件基準」(医療機器が備えるべき品質・有効性・安全性の基本的な要件を定めたもの)を改正し、第12条に第3項を新設しました。対象は「プログラムを用いた医療機器のうち、他の機器及びネットワーク等と接続して使用する医療機器」または「外部からの不正アクセス及び攻撃アクセス等が想定される医療機器」です。院内システムや電子カルテ、USBなどの外部記録媒体とやり取りする機器も含まれます。

新設された条項が求めているのは、大きく3点です。1つ目は、使用環境やネットワークの接続状況を踏まえて必要な要件を特定すること。2つ目は、機能への支障や安全性への懸念につながるサイバーセキュリティ上の危険性を特定・評価し、それを低減する管理を行うこと。3つ目は、機器のライフサイクル全体を通じてサイバーセキュリティを確保する計画にもとづいて設計・製造することです。厚労省・PMDAの通知(薬生機審発0331第8号、2023年3月31日付)によれば、この改正は国際医療機器規制当局フォーラム(IMDRF)が2020年3月にまとめた医療機器サイバーセキュリティの国際的な原則を踏まえたものです。

いつから、どこまで対応が必要か

この条項は2023年4月1日から適用されましたが、1年間の経過措置が設けられ、2024年3月31日までは従来どおりの扱いも認められていました。2024年4月1日以降に承認申請・認証申請を行う機器については、改正後の基準への適合確認が必要です。高度管理医療機器・管理医療機器では、申請の際にJIS T 81001-5-1(またはIEC 81001-5-1などの国際規格)への適合性を示す資料の添付が求められます。一般医療機器(届出扱い)についても適合の確認自体は必要ですが、届出時の資料添付までは求められていません。なお、2024年3月31日までに承認・認証・届出済みの機器は、あらためて申請し直す必要はないとされています。

医事課・企画部門が確認したいこと

AI搭載のSaMDを提案書で検討する際は、薬機法上の承認・認証・届出の種別に加えて、「いつ承認・認証を受けた製品か」を確認する価値があります。2024年4月以降に申請された製品であれば、サイバーセキュリティに関する適合資料が審査の対象になっているはずです。一方、それ以前から承認・届出済みの製品は、事項変更がない限り、改正後の基準への適合資料が添付されていないこともあります。院内のネットワークやほかの機器と接続して使う製品かどうかも、この条項が関わってくるかどうかの分かれ目になります。院内の情報システム全体の安全管理は別の枠組み(医療情報システムの安全管理に関するガイドライン)で扱われており、今回の条項はあくまで機器そのものの設計・製造段階の要件である点も押さえておくとよいでしょう。

まとめ

• 2023年、医療機器の「基本要件基準」第12条に、ネットワーク接続機器などを対象としたサイバーセキュリティ条項(第3項)が新設されました。
• 2023年4月1日適用、2024年3月31日までは経過措置。2024年4月1日以降の承認・認証申請では、JIS T 81001-5-1等への適合資料の添付が必要です。
• AI搭載のSaMDを検討する際は、承認・認証を受けた時期と、それに応じたサイバーセキュリティ適合資料の有無を確認しておくと、提案書を読む上での手がかりになります。

出典: 厚生労働省医薬・生活衛生局医療機器審査管理課「医療機器の基本要件基準第12条第3項の適用について」(薬生機審発0331第8号、令和5年3月31日) ／ 令和5年厚生労働省告示第67号(令和5年3月9日) ／ PMDA「医療機器のサイバーセキュリティについて」

本サイトのコンテンツは一般的な情報提供および研究・教育を目的としたものであり、特定の患者に対する医学的診断や助言に代わるものではありません。また、特定の医療機器の採用や個別の調達判断を推奨するものではありません。最新の制度内容は必ず一次情報でご確認ください。