なぜIEC 81001-5-1が必要か

「なぜIEC 81001-5-1が必要か」という問いに対する2026年時点の答えは、きわめて即物的である。日本では基本要件基準第12条第3項の適合手段として通知に名指しされており、その経過措置は令和6年4月1日で終了しているからだ。もはや「今後求められるようになる規格」ではなく、承認・認証申請で適合資料の添付が求められる規格である。本稿は、この規格を自社の開発プロセスと申請資料にどう組み込むかという導入の実務を扱う。規格そのものが何を要求しているかは、姉妹記事「なぜIEC 81001-5-1:2021が必要か」で箇条ごとに整理している。
1．必要性の三つの根拠

2．日本で「いつ・誰に・何が」必要か

基本要件基準第12条第3項の適用通知（令和5年3月31日 薬生機審発0331第8号）は、適合性の確認と資料添付の要否をクラスごとに整理している。

JIS T 81001-5-1のほか、IEC 81001-5-1等の国際的に用いられている適切な規格等への適合性の確認をもって代えることも認められている。ただしその場合、申請に際して当該規格を用いることの妥当性を説明する必要がある。英語版の規格で社内運用している場合は、この説明文を申請資料に用意しておく。

3．適合性確認のチェックリスト

「適合を示す資料」として何を用意すればよいかは、令和5年5月23日の通知（薬生機審発0523第1号）が具体的に示している。同通知は、確認結果を示すか、または結果をまとめた社内文書等を特定することを求めており、承認申請書添付資料の書き方を規定していると言ってよい。

右列の4項目は、規格を読んだだけでは出てこない日本固有の上乗せ要求である。導入プロジェクトでは、ここが抜けやすい。

4．既存プロセスへの組み込み手順

IEC 81001-5-1はIEC 62304のプロセスに追加する形式を採っている。したがって導入作業の実態は、新規SOPの一斉整備ではなく、既存文書への追記と、不足している手順の新設である。

5．部門間の共通言語としての価値

規制対応という側面を離れても、この規格には実務上の効用がある。セキュリティの専門人材にとって、IEC 62304の用語も、医療機器固有の用語も、ISO 14971のリスクマネジメント用語も、日常的なものではない。逆に、医療機器の開発者や薬事担当者にとって、脅威モデリングや信頼境界といった語彙は馴染みが薄い。

IEC 81001-5-1は、既存の医療機器開発プロセスの各段階にセキュリティのアクティビティを対応づけることで、両者に共通の座標系を与える。セキュリティレビューの指摘が設計変更として設計管理プロセスに乗り、リスクマネジメントファイルに反映され、市販後の脆弱性情報が問題解決プロセスを通って是正処置につながる——この一連の流れを組織として回せるようにするのが、規格導入の本質的な目的である。

6．関連通知の全体像

日本の医療機器サイバーセキュリティ関連通知は数が多く、どれが生きているのか分かりにくい。基本要件基準第12条第3項の制定を境に整理すると見通しがよい。

基本要件基準第12条第3項は、IMDRFのN47文書（Essential Principles of Safety and Performance of Medical Devices and IVD Medical Devices）およびN60文書（Principles and Practices for Medical Device Cybersecurity）を踏まえて追加されたものである。国内要求の背景を理解するうえで、この2文書は押さえておきたい。

7．2026年時点で取るべき対応

規格の箇条ごとの要求内容そのものについては、「なぜIEC 81001-5-1:2021が必要か」を参照されたい。