【コラム】改訂されたGMP規制とEUサイバー・レジリエンス法がラボに与える影響
2026/03/23
記事
情報共有
近年、重要インフラや企業を標的としたサイバー攻撃が急増しており、サイバーセキュリティへの関心が世界的に高まっています。こうした状況を受け、各国・地域ではサイバーセキュリティ強化を目的とした法整備が進められています。その代表例が、欧州連合（EU）のサイバー・レジリエンス法（Cyber Resilience Act：CRA）です［1］。このほかにも、米国のCyber Trust Markや中国のサイバーセキュリティ法などが挙げられます［2,3］。
これらの法規制の整備に伴い、GMP（適正製造規範）関連規制も改訂されることとなり、その影響は世界中の規制対象環境にあるラボ・試験室に及ぶことになります。
本ブログ記事は、メトローム本社（スイス）でEnterprise Services責任者を務めるStefan Gohr氏へのインタビューをもとに作成したものです。改訂の主なポイントやラボへの影響について解説するとともに、ラボマネージャーが最初に取り組むべき対応策、さらにCRAの要件に対応するためにメトロームが進めている取り組みについてご紹介します。
クリックするとご興味のあるトピックへ直接移動できます：
- EUサイバー・レジリエンス法（CRA）の概要
- CRAによって生じるGMP規制の変更
- CRAとGMP改訂によってラボはどう変わるのか
- ラボはどのように準備を進め、コンプライアンスを確保すべきか
- メトロームはどのようにEUサイバー・レジリエンス法への適合を確保しているのか
- メトロームによる非適合システムの更新支援
EUサイバー・レジリエンス法（CRA）の概要
EUサイバー・レジリエンス法（Cyber Resilience Act：CRA）は、2024年に欧州連合（EU）で制定され、同年秋に正式に承認されました。その目的は、欧州市場で販売される製品に対するセキュリティ基準を引き上げることで、サイバーセキュリティを強化することにあります。
CRAの対象となるのは、デジタル要素を含む製品です。これにはソフトウェアだけでなく、他のシステムとデータをやり取りできる機器や装置も含まれます。
使用している分析機器がソフトウェアやクラウドへデータを送信する場合、またはネットワークを介して通信を行う場合は、サイバー・レジリエンス法（CRA）の適用対象となります。
Stefan Gohr,
Head of Metrohm Enterprise Services at Metrohm International Headquarters
この新しい法律は、以下の2段階で施行されます。
- 2026年9月：サプライヤーは、発見したサイバーセキュリティ上の脆弱性をEUサイバーセキュリティ機関 (ENISA：European Union Agency for Cybersecurity） へ報告することが義務付けられます。
- 2027年12月：CRAの要件に適合していない製品は、EU域内で販売できなくなります。
特に後者の措置は、ラボ・試験室に大きな影響を及ぼす可能性があります。CRAに適合していないシステムについては、交換機器やスペアパーツの供給を受けられなくなる可能性があるためです。 その結果、既存設備の維持や更新が困難になるケースも想定されます。
CRAによって生じるGMP規制の変更
CRAでは、サプライヤーに対して脆弱性管理プロセスの導入が求められます。これには、製品に対する定期的なセキュリティアップデートの実施や、セキュリティ上の脆弱性が発見された場合の迅速な是正対応が含まれます。
一方で、これは規制対象環境において長年採用されてきた、「バリデーション済みシステムは必要な場合にのみ更新する」という運用方針と相反する側面があります。
しかしながら、医薬品やその他の重要製品を製造する規制対象業界においては、サイバーセキュリティを軽視することはできません。これらの業界では社会的に重要な製品を取り扱っているため、システムの完全性や信頼性を維持するうえで、適切なサイバーセキュリティ対策が不可欠となります。
システムの安全性は、セキュリティ上の脆弱性を継続的に解消し、セキュリティレベルを向上させ続けることで初めて確保されます。これは継続的に取り組むべきプロセスです。この新たな考え方は、改訂版の「Annex 11（コンピュータ化システム）」にも反映されています。
Stefan Gohr,
Head of Metrohm Enterprise Services at Metrohm International Headquarters
これらの理由から、GMP委員会は第4章「Documentation（文書化）」および附属書11「Computerised Systems（コンピュータ化システム）」を改訂しました［4］。これらの改訂に関する協議は2025年7月から10月にかけて実施され、改訂ガイドラインは2026年にも施行される見込みです。
CRAとGMP改訂によってラボはどう変わるのか
CRAおよび改訂GMPガイドラインは、バリデーションプロセスに影響を及ぼし、場合によっては現在使用している機器の更新または交換を必要とする可能性があります。
極端に言えば、従来のGMPガイドラインは「システムを構築してバリデーションを実施したら、その後は手を加えない」という考え方に基づいていました。しかし、この運用方針はCRAと相容れません。そのため、GMP委員会はCRAが示す新たな基準に沿うことを決定しました。
Stefan Gohr,
Head of Metrohm Enterprise Services at Metrohm International Headquarters
第一に、ソフトウェアアップデートやセキュリティアップデートの頻度が高まることで、システムの再バリデーションがより頻繁に必要になる可能性があります。ラボでは、オペレーティングシステム（Windowsなど）だけでなく、重要なラボ用ソフトウェアも対象としたセキュリティパッチやシステムアップデートの導入方針を策定する必要があります。改訂GMPガイドラインによれば、規制対象のラボはサプライヤーの推奨事項に従うことが求められます。推奨される対策としては、 セキュリティアップデートの適切な管理 や 専用のテスト環境の整備 などが挙げられます。
第二に、CRAにより、要件に適合していない分析機器やソフトウェアの販売が禁止されます。2027年12月以前に販売された機器やソフトウェアは適用除外となりますが、それらの製品に対するアップデートはCRAに適合していなければなりません。一部のサプライヤーにとっては、既存製品を新たな規制要件に適合させることが複雑でコストのかかる作業となる可能性があります。その結果、製品の提供を終了し、2027年までにサポート終了を宣言するケースも考えられます。
適合要件を満たしていないシステムやセキュリティパッチが適用されていないシステムを、適合済みで適切にパッチ管理されたシステムと同じIT環境内で運用していては、コンプライアンスを確保することはできません。そのような状態ではセキュリティ上の隙が生じてしまいます。これは大きなリスクです。
Stefan Gohr,
Head of Metrohm Enterprise Services at Metrohm International Headquarters
規制対象のラボがCRAに適合していない機器を継続使用する場合は、それらの機器を社内ネットワークやインターネットから完全に切り離した緊急用IT環境を構築する必要があります。しかし、LIMSやERPシステムと連携している分析機器では、このような対応は現実的ではなく、データインテグリティに影響を及ぼす可能性があります。
一方、規制対象外のラボでは、独自にリスクアセスメントを実施したうえで、新たな設備投資が可能になるまでの暫定措置として、CRAに適合していない機器を継続使用するかどうかを判断できます。ただし、機器の更新を先送りにすると、時間の経過とともにセキュリティ上の脆弱性が拡大し、セキュリティリスクが高まる可能性があることに留意する必要があります。
ラボはどのように準備を進め、コンプライアンスを確保すべきか
ラボは、改訂GMPガイドラインおよびEUサイバー・レジリエンス法（CRA）への対応に向けて、いくつかの準備を進めることができます（図1）。
- 現在使用している機器やソフトウェアを評価し、潜在的なギャップを特定する
- 再バリデーションの負担を最小限に抑えられるよう、セキュリティアップデートの導入方針を策定する
- アップデートによって運用に支障が生じないことを確認するため、専用のテスト環境を構築する
改訂GMPガイドラインとCRAへの対応により、規制対象のラボでは業務負荷やコストの増加が見込まれます。そのため、今から計画立案に着手し、対応ロードマップを策定しておくことで、これらの変化に円滑に備えることができます。
ラボで使用中の機器を評価する
最初のステップは、現在使用しているすべての機器およびソフトウェアを評価することです。また、メトロームのようなサプライヤーに対して、対象製品に関するコンプライアンス対応計画を確認することも重要です。
確認すべき主なポイントは以下のとおりです。:
- 使用中の機器やソフトウェアは、現在もサプライヤーによるサポート対象となっているか
- サプライヤーはCRAおよび改訂GMPガイドラインへの対応を進めているか。また、製品の脆弱性管理をどのように行い、セキュリティアップデートをどのように提供する予定か
- サプライヤーは、2027年12月以降も当該機器やソフトウェアのサポートを継続する予定か
これらの質問のいずれかに対する回答が否定的な場合、ラボは機器の更新・交換に向けた予算を確保するか、あるいはIT部門と連携してシステムを隔離するための方策を検討する必要があります。
影響を受けるシステムが複数存在する場合は、それぞれのシステムが業務にとってどの程度重要であるかを考慮しながら、更新・交換または隔離のためのロードマップを策定することが推奨されます。
SBOMとHBOM ― 対応状況を確認するための有用な指標
現在使用しているソフトウェアを評価する際には、SBOM（Software Bill of Materials：ソフトウェア部品表）が提供されているかを確認する必要があります。CRAで提供が求められるSBOMには、ソフトウェアの構築に使用されているすべてのコンポーネントに関する重要な情報（サードパーティ製コンポーネントを含む）が記載されています。これにより、ソフトウェアに既知の脆弱性を持つコンポーネントが含まれていないかを把握できます。
一般に、SBOMはインストールディレクトリ内のテキストファイルとして提供されるか、製品ドキュメントに掲載されています。SBOMが提供されていない場合、その製品はCRAへの対応準備が整っていない可能性があるため、注意が必要です。そのような場合には、施行開始までにSBOMが提供される予定かどうかをベンダーに確認することが推奨されます。
ハードウェアにおけるSBOMに相当するものが、HBOM（Hardware Bill of Materials：ハードウェア部品表）です。ファームウェアを搭載した機器については、HBOMの作成が必要となります。サプライヤーはHBOMをデジタル形式で提供することが求められます。
そのため、サプライヤーに連絡し、HBOMファイルの提供を依頼するか、あるいは提供開始予定時期を確認することをお勧めします。
セキュリティアップデート導入の方針を策定する
改訂GMP規制およびCRAでは、定期的なセキュリティアップデートの実施が求められます。バリデーションに伴う負担や生産停止のリスクを最小限に抑えるため、ラボはアップデート導入に関する方針を策定する必要があります。
再バリデーションの負担を軽減するうえで重要なのが、機能アップデートと切り離されたセキュリティアップデートです。一般的なソフトウェアアップデートには、新機能の追加とセキュリティ修正の両方が含まれているため、完全なバリデーションが必要になります。
一方、セキュリティアップデートは新機能を追加せず、セキュリティ上の問題のみを修正します。そのため、変更範囲が限定され、バリデーションをより迅速かつ簡便に実施できます。
バリデーションを迅速に行えることは非常に重要です。特に重大なセキュリティ上の脆弱性が発見された場合は、できる限り速やかに修正を適用する必要があります。重大なセキュリティ問題への対応において、完全な再バリデーションの完了まで6～9か月も待つことは許容されません。
セキュリティアップデートが機能追加と切り離されて提供される製品だけが、再バリデーションをより迅速かつ低コストにし、管理しやすくします。ラボはベンダーと緊密に連携することで、機能変更が行われていないこと、およびバリデーション済みのプロセスが引き続き意図どおりに機能していることを確認できます。独立したセキュリティアップデートとリスク管理を組み合わせることで、システム全体を再バリデーションする必要がなくなります。
Stefan Gohr,
Head of Metrohm Enterprise Services at Metrohm International Headquarters
テスト環境を構築する
セキュリティアップデートの適用には、常にシステム障害のリスクが伴います。その結果、生産停止につながる可能性もあります。このリスクを低減するため、ラボではテスト環境の構築を検討することが推奨されます。
この方法では、まずセキュリティアップデートをテストシステムに適用し、日常業務に必要な主要機能が正常に動作するかを十分に検証します。そして、セキュリティアップデートの影響を受ける機能についてテスト環境で問題なく動作することを確認した後に、本番環境へアップデートを展開します。
図2は、テスト環境を備えたラボと、テスト環境を備えていないラボの違いを示しています。
組織規模の大きな企業では、開発・適格性評価環境、テスト環境、本番環境の3つの環境を構築することも検討できます。 開発・適格性評価環境は、分析メソッドの開発やバリデーションに使用されます。テスト環境は本番環境を再現したもので、例えば同一のネットワークやファイアウォール設定を備えています。最後に、製品出荷時の品質管理（QC）などの日常業務は、本番環境で実施されます。
すでに本番環境を運用している場合でも、私としては、並行してテスト環境を構築すること、あるいは少なくともその計画を開始することをお勧めします。例えば、そのための予算を確保したり、IT部門内でテスト環境の構築・運用に必要なリソースを手配したりすることが考えられます。
Stefan Gohr,
Head of Metrohm Enterprise Services at Metrohm International Headquarters
追加のテスト環境を導入するにはコストがかかるほか、特にクライアントサーバーシステムでは、より多くのITリソースが必要になります。拡張性とコスト効率に優れたシステムがなぜ重要なのかについては、無料のホワイトペーパーをご覧ください。
ホワイトペーパー：OMNIS Client/Server（C/S）へ移行する理由とは？
メトロームはどのようにEUサイバー・レジリエンス法への適合を確保しているのか
メトロームでは、これらの規制の施行開始時にベンダーとしてCRAおよびGMPの要件を満たせるよう、以前から対応準備を進めてきました。当社のプラットフォームソフトウェアである OMNIS については、これらの要件に適合することを保証しています。SBOMファイルはすでにインストールディレクトリ内で提供されており、リリースごとにサイバーセキュリティに関する宣言も公開しています。この宣言は Metrohm Knowledge Base でご確認いただけます。HBOMファイルについては現在準備を進めています。
お客様には、OMNISの定期アップデートおよびセキュリティパッチをご提供していきます。OMNISの保守契約をご契約いただいているお客様には、当社から直接ご連絡いたします。それ以外のお客様への情報提供方法については、現在さまざまな選択肢を検討しています。
私たちは、CRAであれ改訂GMPガイドラインであれ、OMNISが新たな規制要件を満たせるよう、あらゆる対応を進めています。
Stefan Gohr,
Head of Metrohm Enterprise Services at Metrohm International Headquarters
ニーズに応じて選べるOMNISのバージョン
ソフトウェアアップデートに対する業界の要求はさまざまです。モバイルアプリの更新と同様に、定期的な自動アップデートが受け入れられている業界もあります。しかし、規制対象環境では、このような自動アップデートは望ましくありません。また、ラボのネットワークがインターネットに接続されていない場合もあります。
そのため、メトロームでは2種類のOMNISを提供しています。両者はサポート内容およびサービス保証が異なります。違いについては 表1 をご参照ください。
| 項目 | Standard version | Long-Term Support (LTS) version |
|---|---|---|
| ソフトウェアサポート保証 | 次期バージョンのリリースまで | リリースから5年間保証 |
| サービス保証 | 次期バージョンのリリースまで、すべての部品の保守対応を保証 | リリースから5年間、すべての部品の保守対応を保証 |
| IQ/OQサポート | IQ/OQは提供されない | FDA 21 CFR Part 11およびEudraLex Volume 4 Annex 11に準拠した、完全なドキュメントを備えたコンピュータ化システムの適格性評価（Qualification）を提供 |
| 再適格性評価 | 提供されない | 提供される |
| セキュリティアップデート | 定期的に提供 | お客様が定めた運用方針に従って手動で適用 |
メトロームによる非適合システムの更新支援
サプライヤーによるサポートが終了したハードウェアやソフトウェアは、最終的には交換が必要になります。これらを社内ネットワークから切り離して運用する方法は一時的な対策に過ぎないためです。新しい製品、特に新しいソフトウェアソリューションへの移行には、さまざまな課題が伴います。メトロームでは、お客様のOMNISへの移行を支援するために、Metrohm Enterprise Servicesチームを設置しています。このチームは、お客様それぞれのニーズや環境に応じた専門的なコンサルティングおよび導入支援サービスを提供しています。
また、Metrohm Enterprise Servicesでは、脆弱性管理およびセキュリティパッチ管理を含むOMNIS向け保守契約も提供しています。お客様のIT部門およびセキュリティ担当者と協力しながら、セキュリティパッチ適用の方針を策定します。さらに、サービスマネージャーが、お客様のサイトにおけるOMNISの運用期間を通じて、その方針の実施と維持を管理します。
ITアーキテクチャ、IT戦略、そしてITセキュリティ戦略は企業ごとに異なるため、すべての企業に当てはまる一般的な解決策は存在しません。当社では、OMNISのセキュリティアップデート戦略を、それぞれの企業のニーズや運用環境に合わせて策定することを強く推奨しています。そして、その際にお客様を支援し、それぞれの要件に最適なソリューションを見いだすための支援として、当社のコンサルティングサービスをご提供しています。
Stefan Gohr,
Head of Metrohm Enterprise Services at Metrohm International Headquarters
まとめ
改訂GMPガイドラインとCRAは、規制対象ラボの業務のあり方に変化をもたらします。ラボは、現在使用している機器やソフトウェアを評価することで、こうした変化への準備を始めることができます。CRAおよび改訂されたGMP Annex 11の施行後は、サポートが継続されないシステムについて、更新や交換が必要になる可能性があります。
また、サイバーセキュリティは継続的な取り組みであることから、定期的なセキュリティアップデートが標準となります。これに伴い、分析システムのアップデート、再バリデーション、および保守に関するラボの運用プロセスも見直しが求められます。さらに、継続的な運用を確保するために、追加のテスト環境の構築が必要になる場合もあります。
OMNISのように、改訂GMP規制とCRAの要件を満たしたソリューションのみが、ラボのコンプライアンス維持を支援します。メトロームでは、OMNISへの移行を支援するためにMetrohm Enterprise Servicesを設立し、お客様と密接に連携しながら、それぞれのセキュリティ戦略に適した安全なOMNIS環境の導入・維持をサポートしています。
関連資料
White Paper: Why switch to OMNIS Client/Server (C/S)?
Blog: Introduction to Analytical Instrument Qualification
参考文献
[1] European Commission. Cyber Resilience Act. Shaping Europe’s digital future. https://digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act (accessed 2025-12-18).
[2] Federal Communications Commission. U.S. Cyber Trust Mark. Federal Communications Commission (FCC). https://www.fcc.gov/CyberTrustMark (accessed 2025-12-18).
[3] Creemers, R.; Webster, G.; Triolo, P. Translation: Cybersecurity Law of the People’s Republic of China (Effective June 1, 2017). DigiChina, 2018.
[4] European Commission. Stakeholders’ Consultation on EudraLex Volume 4 - Good Manufacturing Practice Guidelines: Chapter 4, Annex 11 and New Annex 22 - Public Health. Public Health. https://health.ec.europa.eu/consultations/stakeholders-consultation-eudralex-volume-4-good-manufacturing-practice-guidelines-chapter-4-annex_en (accessed 2025-12-18).
