令和7年度医療機器サイバーセキュリティ対応の推進事業で取りまとめられ、厚生労働省の通知により参考として周知されたガイドライン。医療機器に含まれる全てのソフトウェアを対象に、組織の成熟度に応じた段階的導入を示す。第1段階はNTIA最小要素等を踏まえたSBOMの作成・更新・変更管理体制の確立、第2段階は脆弱性管理・ライセンス管理・EOL／EOS管理など既存のQMS及び市販後安全管理プロセスとの統合によるライフサイクル全体のリスクマネジメントへの活用。新規導入時の推奨フォーマットはSPDX 2.2以上及びCycloneDX 1.6以上で、既存資産でSWIDを用いる場合は必要に応じて併用又は変換を検討する。開示のベースラインは、導入時及び重要なソフトウェア変更時を中心に医療機関等へ提供可能な体制を整え、少なくとも製品のサポート期間を通じて要請に応じて提示できること。対象読者はソフトウェア開発・品質保証・薬事・PSIRT／情報セキュリティ・フィールドサービスの各部門で、組織横断の共通指針と位置付ける。背景として基本要件基準第12条第3項及び米国FD&C法第524B条に言及。

市販後の脆弱性管理体制整備に関する通知。製造販売業者に対し、脆弱性の監視・評価・対応・開示の一連のプロセス（SBOM活用を含む）を品質マネジメントシステムに組み込むことを求める。PSIRT体制の確立、顧客への脆弱性通知方針の明確化、EOL（サポート終了）管理の実践的手順を規定。