医療機器ソフトウェアの製造・販売をするためには

医療機器となるソフトウェアを日本で製造・販売するには、「業（製造販売業許可・製造業登録）」「品目（承認・認証・届出）」「品質システム（QMS省令）」の三つを揃える必要がある。単体プログラムが医療機器として規制対象になったのは2014年11月25日であり、そこから10年以上が経過した2026年8月現在、当時の「これから始まる」という前提で書かれた解説はほぼすべて過去形になっている。本稿は、プログラム医療機器（SaMD）を市場に出すために現在何が必要かを、業許可・登録から規格適合、サイバーセキュリティ、実用化促進制度まで通しで整理したものである。

1．前提の確認 ― 「薬事法」はもう存在しない

2014年（平成26年）11月25日、平成25年法律第84号により薬事法が改正・改称され、「医薬品、医療機器等の品質、有効性及び安全性の確保等に関する法律」（薬機法、医薬品医療機器等法）となった。社内SOPや教育資料に「薬事法」という表記が残っている場合、それは12年前の法令名である。

この改正が医療機器ソフトウェアに与えた影響は、大きく二点である。

なお、直近の薬機法改正は令和7年法律第37号（令和7年5月21日公布、施行は段階的）である。同法にプログラム医療機器を対象とする新設制度は置かれていない。「令和6年改正薬機法」という法律は存在しないので、社内資料に見かけたら誤記である。

2．市場に出すために必要な三つの手続

医療機器プログラムを業として市場に出すには、次の三系統の手続を並行して進める。どれか一つが欠けても出荷はできない。

2-1．製造販売業許可の種類

製造販売業許可は、取り扱う医療機器のクラスに応じて三種類に分かれる。第一種を持っていれば下位のクラスも扱えるため、第一種と第三種を同時に保有するという事態は生じない。

2-2．製造業登録 ― ソフトウェアは「設計」が登録対象

開発を外部委託している場合、設計を実質的に行っている事業所がどこかを整理し、登録の要否を判断する必要がある。委託先が設計そのものを担っているのであれば、その事業所が登録対象になり得る。

3．体制の整備 ― 三役と管理監督者・管理責任者

製造販売業許可の要件として、品質保証と安全管理の体制を整えることが求められる。求められる役職は、法・体制省令（平成26年厚生労働省令第94号）・QMS省令・GVP省令（平成16年厚生労働省令第135号）にまたがって規定されている。

プログラム医療機器のみを扱う事業者に対する特例として、特別講習の修了をもって3年以上の業務経験があるものとみなす経過措置が置かれていたが、これは平成29年11月24日で終了している。2026年現在、この経過措置に依拠した人員配置はできない。「国内品質業務運営責任者」は旧QMS省令で「品質保証責任者」と呼ばれていた役職であり、社内文書で旧称を併記すること自体は差し支えない。

4．QMS省令 ― 経過措置はすでに終了している

QMS省令（医療機器及び体外診断用医薬品の製造管理及び品質管理の基準に関する省令、平成16年厚生労働省令第169号）は、令和3年厚生労働省令第60号により令和3年3月26日に公布・施行され、ISO 13485:2016と整合化された。

なお、参照元であるISO 13485は2016年版（第3版）が現行であり、2025年10月31日の定期見直しでも「確認（Confirmed）」とされている。改訂を前提とした準備は不要である。

5．基本要件基準 ― ソフトウェアとサイバーセキュリティ

製品そのものが満たすべき要件は、基本要件基準（平成17年3月29日厚生労働省告示第122号、最新改正は令和5年厚生労働省告示第67号）に規定されている。ソフトウェアに直接効いてくるのは第12条である。

第12条第3項は、IMDRFのN47文書およびN60文書を踏まえ、(1) 製品の全ライフサイクルにわたってサイバーセキュリティを確保する計画を備えること、(2) サイバーリスクを低減する設計および製造を行うこと、(3) 適切な動作環境に必要となるハードウェア・ネットワーク・ITセキュリティ対策の最低限の要件を設定すること、の三つの観点から追加されたものである。高度管理医療機器または管理医療機器の承認申請・認証申請では、JIS T 81001-5-1等への適合性を示す資料の添付が必要であり、一般医療機器についても同様の確認は必要（届出時の資料添付は不要）とされている。

6．準拠すべき規格の現在地

「どの規格の、どの版か」を取り違えると、申請資料の参照規格一覧がそのまま指摘対象になる。2026年8月時点の現行版は次のとおりである。

7．海外展開を前提とするなら

7-1．米国 FDA

旧記事にあった「FDAは1987年にGPSVを発行した」という記述は誤りである。GPSVはドラフト（Version 1.1）が1997年6月9日、最終版（Version 2.0）が2002年1月11日である。放射線治療装置のソフトウェア欠陥による過大照射事故（1985〜1987年）が医療機器ソフトウェア規制の契機になったこと自体は事実だが、GPSVの発行年とは切り分けて記述すべきである。

7-2．欧州
欧州は規則(EU)2017/745（MDR）が2021年5月26日から適用されており、旧MDD 93/42/EECは置換済みである。レガシーデバイスの移行期限は(EU)2023/607により2027年12月31日／2028年12月31日とされている。なお、EN ISO 14971:2019+A11:2021はMDR整合規格に収載されているが、EN IEC 62366-1は収載されていない点に注意が必要である。

8．プログラム医療機器の実用化を早める枠組み

SaMDについては、通常の承認プロセスに加えて複数の枠組みが用意されている。名称と法的位置づけを取り違えている資料が多いため、整理しておく。

9．該当性の判断は最初にやる

ここまでの手続は、そもそも開発中のプログラムが医療機器に該当する場合の話である。該当性の判断は「プログラムの医療機器該当性に関するガイドライン」（令和3年3月31日、令和5年3月31日一部改正／薬生機審発0331第1号・薬生監麻発0331第4号）に従う。該当性は製造販売業者等による表示・説明資料・広告等に基づき、使用目的とリスクの程度から判断されるため、同じ機能でも標ぼう次第で結論が変わる。開発の企画段階で使用目的を確定させておくことが、後戻りを避ける最大のポイントである。

10．2026年時点で取るべき対応