【Global Bio 報道】EU MDR 経過期間の締め切り迫る！SV Surveillance と Applus+ が台湾医療機器向け MDR・FDA セキュリティのワンストップ対応窓口を構築

Global Bio 報道｜著：呉康瑋

6 月 29 日、Secure Vectors Surveillance Inc.（安律国際グループ、以下 SV Surveillance）とスペインの試験・認証グループ Applus+ Laboratories は正式な提携を発表し、SV Surveillance は同グループの台湾における戦略パートナー兼公認セキュリティラボとなりました。これにより台湾の医療機器メーカーは、マネジメントシステム、セキュリティ試験、技術文書審査から EU ノーティファイボディ（NB）審査までの全工程を現地で完結できます。狙いはプロセス統合による効率的なコンプライアンス対応と、海外とのやり取りや重複試験、再提出に伴うコストの削減です。なお、適合性評価の最終判断は引き続きノーティファイボディが独立して行います。

Applus+ Laboratories のダブル NB（NB 2764 & NB 3121）と SV Surveillance の ISO 17025 認定セキュリティラボ

医療機器のネットワーク化が進むなか、Wi-Fi・Bluetooth・クラウド機能を搭載した瞬間に市場参入要件は何倍にも増え、規制のハードルも上がります。Applus+ Laboratories 中国地区ゼネラルマネージャーの Josep Prat 氏は、同グループが NB 2764（トルコ）と NB 3121（スロベニア）のダブルノーティファイボディを保有し、台湾の医療機器メーカーの輸出認証により直接的で多様な選択肢を提供すると述べます。

SV Surveillance の Vincent Huang CEO は、台湾の医療機器認証業界の構造的な課題を指摘します。ラボの数は少なくないのに、MDR と米 FDA に直結する効率的なルートが不足しているのです。セキュリティ試験の要求は年々厳格化しており、メーカーは従来、海外で NB を、国内でセキュリティラボを別々に探すしかなく、言語・時差・文書形式が呑み合わず、認証に 12〜18 カ月かかるのが常態でした。

SV Surveillance のセキュリティラボは、親会社の安律国際（Secure Vectors Information Technologies Inc.）に由来します。2010 年以来、決済セキュリティ認証に特化してきました。金融業界は情報技術の利用範囲が広く攻撃の誘因も強いため、攻撃の強度と頻度は医療分野を上回ります。SV Surveillance は金融業で培った豊富な経験を医療機器セキュリティ試験に持ち込みます。

SV Surveillance には現地のセキュリティ試験能力があり、Applus+ Laboratories には EU ダブル NB に加え、最高水準の CC（Common Criteria）試験ラボ二拠点の安全試験基盤があります。サービス拠点と試験技術の両面で「相互補完」と両社が評するこの提携が開通するのは、まさにラストワンマイルです。

コネクテッド医療機器のセキュリティ要件：IEC 81001-5-1 と MDCG 2019-16 が参入障壁を大幅に引き上げ

Josep Prat 氏によれば、医療機器に Wi-Fi、BLE、クラウド機能を導入すると、従来の MDR・FDA の安全審査に加え、IEC 81001-5-1（ヘルスソフトウェアセキュリティライフサイクル規格）と MDCG 2019-16（サイバーセキュリティガイダンス）の二つの技術要件を満たす必要があります。いずれも規制当局が認める管理手法であり、開発ライフサイクル全体へのセキュリティ統合を重視します。RED 3.3 と EN 18031 は法令上医療機器を適用除外としていますが（委任規則 2022/30 第 2 条）、技術的な考え方は共通しており、設計段階での参照と将来の CRA 整合規格への準備が推奨されます。

台湾メーカーがつまずきやすいのは、相互に絡み合う四つの壁だと Vincent Huang 氏は言います。第三者の独立性を欠く不十分な試験、統一されたトレーサビリティマトリクスのない文書の孤立、ISO 13485 品質システムと IEC 81001-5-1 セキュリティリスク管理の未統合、そして市場投入後監視（PMS）に伴う継続的な監視・コンプライアンス負担です。EU のセキュリティ法制化は 2022 年から加速し、2025 年以降は執行が大幅に強化され、中小メーカーに大きな圧力がかかっています。

Class IIa/IIb/III のソフトウェア医療機器では、MDR は特定の技術規格を強制しませんが、業界では「技術水準（State of the Art）」の立証に一連の指標的規格を用います。ISO 13485 品質マネジメント、ISO 14971 リスクマネジメント、IEC 62304 ソフトウェアライフサイクル、IEC 81001-5-1 セキュリティライフサイクル、MDCG 2019-16 審査ガイダンスです。これらは従来別々の主体が担っていましたが、SV Surveillance と Applus+ Laboratories の協働により、五つの管理領域をワンストップの統合試験プロセスで点検し、審査後に NB や規制当局からの手戻りを回避できます。

セキュリティの追加資料要求・不受理が常態化、認証のタイムリミット迫る

ハードル上昇の直接の帰結が、不受理の常態化です。Vincent Huang 氏は、従来問題なく通っていた機器とスマホの Bluetooth 接続が、高リスクな攻撃経路と見なされて FDA に差し戻され、追加の安全対策と試験を求められた事例を挙げます。Section 524B 発効後、FDA はセキュリティ文書の不備を理由に 510(k) の受理を拒否（Refuse to Accept, RTA）する法的権利を持ちます。SBOM の不備、ペネトレーションテストの欠如、脅威モデルの境界不明確さなどを理由に、追加資料要求や審査保留となる事例が相次いでいます。

時間も限られています。EU の MDD から MDR への移行は最終局面にあり、高リスク製品は 2027 年 12 月 31 日、中低リスク製品は 2028 年 12 月 31 日までに認証を完了する必要があります。世界の MDR ノーティファイボディは約 50 機関にとどまり、MDR 認証の平均期間は 12〜18 カ月。実際の期間は文書の完成度と不備の是正スピードに左右されます。

Vincent Huang 氏は欧米のリスクの性質の違いを指摘します。EU の MDR は NB の渋滞が常態でメーカーは列に並ぶしかなく、米 FDA はセキュリティ文書が不十分なら受理自体を拒否し、それまでの投資が無駄になります。どちらも失敗は許されません。なお EU サイバーレジリエンス法（CRA）については、医療機器は適用除外ですが規制緩和ではなく、MDR 付属書 I 第 17 項が 2021 年の時点でセキュリティを強制要件化しているための等価規制原則によるものです。

三段階の協働と二つのアクセラレーターによるワンストップソリューション

両社の答えは、プロセス統合と情報の対称性を核とする三段階協働モデルです。協働は製品設計段階から始まり、SV Surveillance が IEC 81001-5-1 のギャップアセスメントを行うと同時に Applus+ Laboratories が MDR 技術文書を審査し、共同のアクションリストを作成します。提出前に何を補強すべきかが明確になり、追加資料要求後の何倍もの手戻りコストを回避できます。

時間短縮の鍵は並行処理です。従来は文書提出→NB の不備指摘→ラボ試験→再提出・再審査と直列に進み、不受理になると前工程の投資が部分的に無駄になりました。新モデルは工程を重ねて進め、セキュリティ試験と技術文書審査を同時並行で展開し、報告書を即時に技術文書へ反映します。両者が常に同期し待ち時間がないことが、プロジェクト期間を 3 割以上短縮できる主因です。

成果物も変わります。メーカーが受け取るのは二つの別々の報告書ではなく、MDR と FDA の両方を満たす一つのエビデンスパッケージです。一式の SBOM、一通のペネテスト報告書、一組の脅威モデルで、EU MDR、米 FDA（Section 524B と UL 2900-2-1）、中国 NMPA（YY/T 1843）の三地域に同時対応でき、形式と重点を調整すれば日本や韓国の審査にも提出可能です。

さらに二つのアクセラレーターがあります。SV Surveillance の ISO 17025 認定報告書は FDA と EU ノーティファイボディが認める試験報告書の技術要件を満たし、提出の中核エビデンスとして再試験の時間とコストを削減します。Applus+ Laboratories は数百件の医療機器認証実績と現地化サービスにより、開発チームが脆弱性を発見したその場で時差なく修正できる体制を提供します。

CE マーク取得はスタート地点に過ぎません。市場投入後監視（PMS）も協働範囲に含まれ、SV Surveillance は台湾メーカーの報告 SOP 整備を支援し、市場投入後製品のセキュリティ状態とインシデント対応を検査・監視して、後日の監査による証明書取消を防ぎます。

台湾の医療機器輸出：MDR 対応からアジア太平洋のセキュリティコンプライアンスハブへ

医療機器市場での地歩を固めた先に、両社は台湾向けに三層のロードマップを描きます。短期では 2026 年末までに初の MDR 案件を創出しコンプライアンスキットを開発。中期ではラボの能力を十分に現地化し、台湾のセキュリティラボが現地顧客をより迅速に支援し、試験サービスを IoT、CRA、電気自動車、ドローンなど台湾が強みを持つ産業に拡張します。長期では、完結した産業チェーンとエンジニア人材の密度を基盤に、台湾をアジア太平洋のセキュリティコンプライアンスサービスハブへと引き上げます。

この三層戦略に合わせ、両社は MDR セキュリティワークショップと ISO 13485・IEC 81001-5-1 内部監査員研修を順次開講し、EU CRA の最新解説も提供しています。Vincent Huang 氏は「台湾はこれまで海外の認証を受動的に待つしかありませんでしたが、今や現地で欧米のコンプライアンスを一度に完結できます。それこそがこの提携の真の意義です」と述べました。

SV Surveillance 公式サイトでは MDR コンプライアンスセルフチェックをご案内しています（www.securevectorlab.com）。研修の日程・お申し込みは「CRA・MDR・ISO 13485 研修」ページを、CRA 規制の詳細解説は「CRA カウントダウン：台湾 ICT メーカーのコンプライアンスガイド」をご覧ください。

元記事：Global Bio（環球生技）