PMDAや認証機関の審査でどこまで対応すべき？
JIS T 81001-5-1 (サイバーセキュリティ) 対応
医療機器の基本要件基準第12条第3項（サイバーセキュリティの確保）への適合性を証明するための中心的な規格である「JIS T 81001-5-1」について、承認・認証申請において製造販売業者が対応・確認すべき事項をまとめています。
JIS T 81001-5-1 の位置づけ
JIS T 81001-5-1は、JIS T 2304（ソフトウェアライフサイクルプロセス）の要求事項に加えて、製品ライフサイクル全体を通じたサイバーセキュリティ対策を強化し、サイバーリスクを許容可能な範囲まで低減するための取組を規定しています。
JIS T 81001-5-1（またはIEC 81001-5-1等の国際的に用いられている適切な規格）への適合性を確認することで、基本要件基準第12条第3項への適合性を示す必要があります。承認申請・認証申請を行う際は、当該規格等への適合性を示す資料の添付が必要です。
JIS T 81001-5-1 の各箇条における確認事項
適合性を確認する際は、以下の事項を含めて社内文書等で結果を特定する必要があります。
| 箇条 | 確認事項 |
|---|---|
箇条4 (一般要求事項)
|
|
箇条5 (ソフトウェア開発プロセス) |
|
箇条6 (ソフトウェア保守プロセス) |
|
箇条7 (セキュリティに関連するリスクマネジメントプロセス) |
|
箇条8 (ソフトウェア構成管理プロセス) |
|
箇条9 (ソフトウェア問題解決プロセス) |
|
承認申請および審査における実務上の留意点 (Q&Aより)
- 申請書の記載方法: 承認・認証申請書の「性能及び安全性に関する規格欄」において、JIS T 81001-5-1を記載する必要はありません。
- 第三者機関の適合証明書について: 第三者機関によるJIS T 81001-5-1の適合証明書は必須ではありません。試験機関を活用する場合でも、通知（薬生機審発0523第1号）で求められる既存通知等の追加要件に対する確認結果をまとめた社内文書の特定が別途必要です。
- 信頼性調査の対象: 承認審査時に提出するサイバーセキュリティに係る別添資料は、適合性書面調査（非臨床試験）の対象になり得ます。対象となった場合は、別添資料に添付した社内文書等が根拠資料となります。
- 附属書F（トランジションヘルスソフトウェア）の適用: 既存ソフトウェアに附属書Fを適用する場合は、箇条4を実施したうえで、特定の要求事項とのギャップ分析・解消を行い、継続使用の根拠を文書化します。また、箇条6〜9に適合するための移行計画を確立し履行する必要があります。附属書Fを適用した場合、箇条5（開発プロセス）に係る一部の追加確認事項（開発計画における考慮、アーキテクチャー設計、ベストプラクティスの考慮など）の記載は不要とできますが、その他の項目は確認と継続使用の根拠を示す必要があります。記載方法については、質疑応答集の別添に具体的な記載事例が示されています。
当社の支援先の審査を踏まえると
- これまでの当社の支援経験であるが、しっかりと対応している企業様が多い印象で、当局などの審査の観点で言えば、むしろ当局に質問されないようなところまでしっかりやっていることがある。
- 審査対応ということだけを考慮すると、QMS適合性調査でJIS T 81001-5-1の対応が説明できれば大きな課題にはならないことが多いと考える。
- コストとベネフィットのバランスを考慮して、対応範囲を調整してやりすぎないことが重要と考える。