令和7年度医療機器サイバーセキュリティ対応の推進事業で取りまとめられ、厚生労働省の通知により参考として周知されたガイドライン。医療機器に含まれる全てのソフトウェアを対象に、組織の成熟度に応じた段階的導入を示す。第1段階はNTIA最小要素等を踏まえたSBOMの作成・更新・変更管理体制の確立、第2段階は脆弱性管理・ライセンス管理・EOL／EOS管理など既存のQMS及び市販後安全管理プロセスとの統合によるライフサイクル全体のリスクマネジメントへの活用。新規導入時の推奨フォーマットはSPDX 2.2以上及びCycloneDX 1.6以上で、既存資産でSWIDを用いる場合は必要に応じて併用又は変換を検討する。開示のベースラインは、導入時及び重要なソフトウェア変更時を中心に医療機関等へ提供可能な体制を整え、少なくとも製品のサポート期間を通じて要請に応じて提示できること。対象読者はソフトウェア開発・品質保証・薬事・PSIRT／情報セキュリティ・フィールドサービスの各部門で、組織横断の共通指針と位置付ける。背景として基本要件基準第12条第3項及び米国FD&C法第524B条に言及。

「新しい資本主義実行計画フォローアップ」（令和4年閣議決定）を受けて令和4年度から実施してきたプログラム医療機器の優先審査等の試行を継続するため、指定要件を定めて対象品目を随時募集する通知。対象はプログラム医療機器及び医療機器相当のプログラム機能を有する有体物の医療機器で、リバランス通知又は二段階承認通知を活用する品目は除く。指定要件は次の3つすべて。①治療法・診断法・予防法の画期性（患者指導と同様の内容で自宅での行動変容を促すプログラムは原則として該当しない）。②対象疾患に係る医療上の有用性。③世界に先駆けて又は同時（3か月以内）に日本で承認申請する意思と、PMDAの先駆け総合評価相談を活用できる体制。指定品目は、優先相談、優先審査（薬機法第23条の2の5第10項）、コンシェルジュによる調整、革新的医療機器等相談承認申請支援事業の対象となり、事前評価を経て承認申請から承認までの期間を6か月以内に短縮することを図る。手続きは登録申込み、ヒアリング、予備的審査、指定申請、PMDAの評価を経て、薬事審議会への報告後に公表する。指定の取消し要件も定める。

家庭用医療機器プログラムの承認事例増加を受け、製造販売業・販売業の「開始時点」を明確化した厚労省事務連絡（その3）。電気通信回線を通じた提供の場合、製造販売開始はアプリストア等への公開時、販売開始は使用者が利用可能にした時点とする。同一企業が製造販売・販売の両方を行う場合は両方の業許可（届出）が必要。法定表示情報は電磁的記録により、使用前に提供すれば足りるとした。

医療機器に接続するVPN装置等のネットワーク機器を悪用したランサムウェア侵入被害の増加を受け、厚労省が発した注意喚起（令和8年3月19日事務連絡）。医療機器製造販売業者に対し、①医療機関との保守契約における付属ネットワーク機器の責任分界の確認、②ファームウェアの最新性・サポート終了機器の有無の点検、③サポート終了機器への情報提供・更新対応や認証強化・アクセス制御等のセキュリティ対策強化、を求めている。

登録認証機関（QMS適合性調査・認証業務を担う民間機関）の登録申請・業務運営に関する取扱いを定めた通知（医薬機審発0306第1号、令和8年3月6日）。令和7年法律第37号による薬機法改正で新設された「登録認証機関の地位承継」制度（事業譲渡・相続・合併・分割時の地位承継）への対応が主眼。登録申請の書類・登録免許税（9万円）の納付手続き、業務休止・廃止時の届出（予定日2週間前まで）、ISO/IEC 17021-1・17065に適合した業務規程、公平性を損なうコンサルタント業務の制限、地位承継手続き（事前相談は6か月前から）を規定。令和8年5月1日適用開始。

登録認証機関に対する「立会検査」実施要領を新設し、既存の立入検査実施要領を一部改正した通知（医薬機審発0306第4号、令和8年3月6日）。令和7年法律第37号による薬機法改正で法制化された制度で、登録認証機関の調査能力の維持向上・均一化を目的とする。立会検査は、厚労省・PMDA職員が登録認証機関の適合性調査等を観察する検査で、登録後おおむね1年ごとに2名以上の職員が実施し、調査対象施設の同意を要する（原則、調査業務に影響を与えない形で実施）。あわせて、登録認証機関に対し調査対象施設から立会検査受入れの理解を得るよう努める努力義務を明記。令和8年5月1日適用開始。

「医療機器の不具合等報告について」（令和2年1月31日薬生安発0131第1号）別添の一部改正通知（医薬安発0210第3号、令和8年2月10日）。令和7年法律第37号による薬機法改正・令和7年厚生労働省令第117号の施行に伴うもので、外国医療機器・外国再生医療等製品による既知の死亡又は重篤症例を30日以内報告の対象から除外する一方、予測可能性が低い、発生傾向が明確でない、または保健衛生上の危害発生のおそれを示す外国製品の不具合については15日以内報告を新たに義務付ける等の改正を行った。令和8年5月1日適用開始。

市販後の脆弱性管理体制整備に関する通知。製造販売業者に対し、脆弱性の監視・評価・対応・開示の一連のプロセス（SBOM活用を含む）を品質マネジメントシステムに組み込むことを求める。PSIRT体制の確立、顧客への脆弱性通知方針の明確化、EOL（サポート終了）管理の実践的手順を規定。

基本要件基準第12条第3項の適用・適合性確認に関する追加Q&A集（令和6年版）。令和5年7月Q&Aの拡充版。システム構成図の様式、経過措置後の申請取扱い、第三者試験機関の活用、SBOMの記載範囲、レガシー製品の対応方針等、実務上の疑義に広く回答。

医療機器のサイバーセキュリティに関する事象を不具合・有害事象報告制度においてどのように扱うかを示した通知。サイバー攻撃・脆弱性悪用による患者危害が生じた場合の報告対象該当性、報告の要否判断フロー、製造販売業者の対応手順を整理。市販後サイバーセキュリティ管理の実務上の根拠文書。