「FDA 524Bの衝撃」SBOM義務化が変えたゲームのルール＿医療機器サイバーセキュリティの本当の課題 第2回
執筆者：酒井 由夫 Medical Software Consulting（MSC）
はじめに
前回は、日本の基本要件基準第12条第3項が求める「市販後サイバーセキュリティライフサイクル管理」の実質を解説しました。
今回取り上げるのは、
日本メーカーの多くが「対岸の火事」と捉えがちな
米国の規制です。
しかし2023年以降、これはSaMDで米国展開を狙う全メーカーにとって避けて通れない法的義務になっています。
2022年12月成立のOmnibus法（包括法）第3305条は、
連邦食品・医薬品・化粧品法（FD&C Act）に
Section 524B「機器のサイバーセキュリティ確保」を新設しました。
施行は成立90日後の2023年3月29日です。
日本の基本要件基準がガイドライン的性格を持つのに対し、524Bは連邦法そのものであり、不備は市販前申請の受理拒否に直結します。
第2回では、524Bの核心概念である「Reasonable Assurance（合理的保証）」が何を意味するのか、
そしてSBOM提出義務が日本メーカーの実務に何をもたらすのかを解説します。
1. 「Reasonable Assurance」の意味
1-1 何が法律になったのか
524Bが適用されるのは「サイバー機器（Cyber Device）」です。
FDAの定義は3要件で構成されます。
ソフトウェアが機器そのものか機器に組み込まれている
インターネットに接続する能力を有する
サイバーセキュリティ上の脅威に対して脆弱となり得る技術的特性を有する
この3条件を満たす機器を市販前申請する場合、
524B対応情報の提出が法律上の要件になりました。
1-2 「合理的保証」は努力目標ではない
524B(b)が定める3つの要求：
市販後の脆弱性を監視・特定・是正する計画の提出（協調的脆弱性開示を含む）
機器および関連システムがサイバーセキュアであることの合理的保証を提供し、市販後のアップデート・パッチを提供し続けるためのプロセス・プロシージャの設計・開発・維持
商用・オープンソース・既製ソフトウェアを含むSBOMの提供
「Reasonable Assurance」は、
努力を示せば良いという基準ではありません。
FDAが2023年9月27日に発出した最終ガイダンス
「Cybersecurity in Medical Devices: Quality System Considerations and Content of Premarket Submissions」は、
この合理的保証を裏付けるための具体的な提出物（脅威モデル、SBOM、脆弱性管理計画等）を明示しています。
つまり「対策をしている」という説明ではなく、
「対策していることを文書と成果物で示せるか」が問われる基準だということです。
2. SBOM提出義務の実務影響
2-1 「対応中」では通らない時代に
FDAは2023年10月1日以降、524Bが求める情報を欠く市販前申請についてRefuse to Accept（受理拒否）を発動する運用を開始しました。
それ以前は審査官が対話的にやり取りする猶予期間でしたが、
現在は書類不備として審査の入り口で止まります。
SBOMは「後で整備します」が通用しない、
提出必須の成果物になったということです。
2-2 日本メーカーへの影響
日本メーカーにとっての実務的インパクトは、単に書式を1つ増やす話ではありません。
SBOMを継続的に生成・更新できる開発プロセスと、
それを裏付ける脆弱性モニタリング体制が、
米国市場参入の前提条件になったということです。
日本国内向けの体制整備を優先し、
米国展開を「その後」と位置付けているメーカーは少なくありません。
しかし524Bは市場参入の即時的条件であるため、
この優先順位は多くの場合、逆転させる必要があります。
まとめ：今回の要点
第2回 キーポイント
✓ Omnibus法第3305条により、FD&C Act Section 524Bが2023年3月29日に施行された
✓ 「reasonable assurance」は文書と成果物で証明する法的基準であり、努力表明では満たされない
✓ 524B(b)は脆弱性監視計画・サイバーセキュア化プロセス・SBOM提出の3要件からなる
✓ 2023年10月1日以降、SBOM等の不備はRefuse to Acceptの対象となっている
✓ 日本メーカーにとって米国展開は、SBOM生成・脆弱性モニタリング体制の整備が前提条件になっている
✓ 日本のガイドラインが段階的整備を許容するのに対し、米国は即時対応を要求する構造的な違いがある
次回予告
第3回「IEC 81001-5-1の実装論— ISO 13485・IEC 62304との接続」
《著者プロフィール》酒井 由夫｜Medical Software Consulting（MSC）
IEC 62304・ISO 14971・IEC 81001-5-1・FDAサイバーセキュリティ規制・SaMD規制を専門とする医療機器ソフトウェア規制コンサルタント。日本のスタートアップから大手医療機器メーカー、海外展開を目指す企業まで、規制対応と製品戦略の統合支援を行う。
🔗 詳細プロフィール・個別相談をご希望の方は：
👉 酒井さんのコンサルティング会社サイトはこちら
医療機器ソフトウェア開発でお困りの方へ
「自社の開発体制、このままで本当に大丈夫だろうか？」
「海外規制も見据えた設計・文書化ができているか不安…」
そんな医療機器スタートアップ・開発チームの皆さまへ。
xCAREでは、実務経験豊富なエキスパートが並走し、後悔しない開発体制づくりを支援しています。
まずはお気軽に、現在の課題や懸念をお聞かせください。
👉 xCAREへのご相談はこちら（無料個別相談あり）
