米国で医療機器を販売する際、サイバーセキュリティと SBOM（ソフトウェア部品表）が市販前申請の要件になっています。根拠が FD&C法の 524B 条です。米国市場向けの医療機器・SaMD（プログラム医療機器）を扱う日本メーカーにも関わります。

524B 条とは（背景）

2022年12月に成立した**2023年連結歳出法（Consolidated Appropriations Act, 2023）の第3305条が、米国食品医薬品化粧品法（FD&C法）に524B条「医療機器のサイバーセキュリティ確保」**を新設しました。

  • 2023年10月1日以降、FDAは、必要なサイバーセキュリティ情報（SBOM を含む）を欠く市販前申請を**受理拒否（Refuse to Accept）**できるようになりました。
  • それ以前の経過措置（RTAを出さず協調的にレビュー）は2023年10月1日で終了しています。

正確な適用対象・運用はFDAの一次情報（524B・関連ガイダンス）でご確認ください。本記事は技術的・事実的な整理であり、法的助言・適法性保証ではありません。

「サイバーデバイス」の定義（おおまか）

524B条が対象とする「サイバーデバイス」は、おおむね次を満たす機器です。

  1. スポンサーが検証・搭載・許可したソフトウェアを含む
  2. インターネットに接続できる
  3. サイバー脅威に対して脆弱になり得る技術的特性を持つ

つまり接続する医療機器・医療ソフトの多くが該当し得ます。

SBOM が求められる理由（OSS観点）

医療機器ソフトの中身も、その多くは **OSS（オープンソース）**です。FDAは申請時に、製品に含まれるソフト部品の一覧＝SBOM を求めます。これは「何が入っているか」を示し、脆弱性管理とライセンス管理の土台になります。

  • 各コンポーネントの名称・バージョン・サプライヤ・依存関係
  • 既知脆弱性（CVE）への対応状況
  • それぞれのOSSライセンスと義務（配布・表示・コピーレフトの伝搬）

医療機器ソフトのライフサイクル規格 IEC 62304 や、EUの MDR、欧州 CRA とも方向性は一致しており、「自社製品のOSS棚卸し」を一度作れば多くの場面で再利用できます。

日本のメーカーへの影響

米国市場に医療機器・SaMDを出す（または出す予定の）日本企業は、SBOM を出せないと申請が通らない可能性があります。また、医療機器メーカーに納める受託開発・部品サプライヤの中小にも、取引先から「SBOM提出」「OSSライセンスの整理」が求められる流れがあります。

まず着手すること

  1. 対象製品を1つに絞る
  2. 依存マニフェスト／SBOM（SPDX / CycloneDX）を用意する
  3. 含まれる OSS のライセンスと既知脆弱性を点検する
  4. 申請・取引先要求に即応できる形にしておく

SBOM の基本は SBOMとは？なぜ今求められるのか を、欧州側の規制は EU CRA対応ページ をご覧ください。

→ 自社の医療機器ソフトで「何の OSS が、どのライセンス・どの版で入っているか」を可視化する第一歩として、公開情報ベースの無料サンプルをお作りできます。お問い合わせからどうぞ。