의료기기 사이버보안 허가·심사 가이드라인 6차 개정 — 인증정보 «주기적 변경» 요구가 빠지고, 입력값 검증·오류 메시지 목록은 «다 해야 하는 일»로 (안내서-0995-06)

식품의약품안전처 식품의약품안전평가원이 2026년 10월 30일 민원인안내서 「의료기기의 사이버보안 허가·심사 가이드라인」을 개정했다(안내서-0995-06, 의료기기심사부). 2019년 제정 이후 여섯 번째 판이다. 개정 이력표가 적은 이번 개정의 내용은 한 줄이다. «요구사항 국제조화(IA-04, IA-05), 명확화(SI-05, SI-07) 및 별첨삭제». 요구사항 35개 체계(IA·UC·SI·DC·TRE·RA)와 제출자료 구성은 그대로이고, 네 개 요구사항의 문구가 바뀌었다. [S1 · p.3][S2]

무엇이 바뀌나 — 05판(2025-01-10)과 06판 문구 대조

아래 «05판» 문구는 이 뉴스룸이 보관한 직전판(안내서-0995-05, 2025-01-10) 원문에서, «06판» 문구는 이번 개정본에서 옮겼다. [S1][S4]

그대로인 것. 제품 특성상 적용할 수 없는 요구사항은 «미적용 사유를 확인할 수 있는 근거자료(위험관리문서, 사용자 설명서, 설계 문서 등)»를 낸다는 표 2 앞 문단, 제출자료 예시 3종(체크리스트·검증 자료·미적용 근거 자료), 체크리스트에서 제외 사유를 «적합성 입증 방법» 란에 적는 방식, KISA IoT 보안인증서를 전문기관 시험자료로 낼 수 있다는 문단, 2019년 11월 이전 허가 제품도 변경 신청 때 «사용 시 주의사항»에 사이버보안 사고 대응 문구를 넣어야 한다는 문단은 05판과 같다. [S1 · p.15, p.59~65][S4]

📌 RA 실무 영향 REGNA 편집 해석

1. IA-04 «주기적 변경 강제»로 설계를 바꿔야 할 이유는 줄었다. 그래도 «변경 주기 명시»는 남았다. 06판 요구는 «변경할 수 있는 기능»이다. 그러나 비밀번호 예시와 시험방법 3)은 여전히 변경 주기를 적고 설정 가능 여부를 확인한다. 체크리스트와 SW V&V 보고서에는 «변경 기능 있음»과 함께 «주기 설정 방법(또는 고정 주기와 그 근거)»을 같이 적어 두는 편이 보완을 피한다. [S1 · p.22~23]
2. IA-05는 자사 «비밀번호 설정 지침»을 근거 문서로 쓸 수 있게 됐다. 대신 그 지침이 «위험도 및 제품 특성에 따라 수립»됐다는 것이 보여야 한다. 사이버보안 위험관리문서에서 위해도(상·중·하)·통신방법·사용환경(표 1)을 근거로 조합규칙을 정한 기록을 남기고, 설계 문서·사용자 설명서에 같은 규칙을 적는다. [S1 · p.14, p.24]
3. SI-05는 «6개 항목 각각의 적용/미적용»을 표로 만든다. 06판은 «모두 검증»이 기본이고, 안 하는 항목은 사유를 설계문서나 위험관리 문서에 적으라고 한다. 예를 들어 웹 인터페이스가 없는 기기에서 크로스사이트스크립트를 빼려면, 그 사유가 문서에 있어야 한다. 시험 보고서에 «해당 없음»만 쓰는 것은 이번 문구와 맞지 않는다. [S1 · p.40]
4. SI-07은 오류 메시지 목록을 제출 문서에 넣는다. 시험기준 2)가 «사용자에게 반환되는 오류 메시지 목록이 있어야 한다»이므로, 설계 문서나 사용자 설명서에 목록이 없으면 시험 전에 걸린다. 목록과 함께 각 메시지에 중요정보(계정 존재 여부, 내부 경로·버전 등)가 없는지 점검한 결과를 SW V&V 자료에 붙인다. [S1 · p.42]
5. 진행 중인 허가 건의 적용 시점은 원문에 없다. 06판에는 05판 별첨 같은 경과 문구가 없다(확인 불가). 접수 건의 보완 대응은 담당 부서(지능형융합의료기기과)에 확인한다. 11월 26일 온라인 교육이 질의 창구가 될 수 있다. [S1][S2]

흐름 읽기 — 왜 지금, 그리고 어디로 REGNA 편집 해석

ⓐ 식약처 기조 — 사이버보안은 «근거 고시 → 디지털 보안지침 → 심사 문구 다듬기» 순으로 왔다. 이 뉴스룸은 2025년 4월 디지털의료기기 전자적 침해행위 보안 지침 제정, 2026년 1월 의료기기 허가·신고·심사 규정 개정(사이버보안 자료 제출 근거 명시)을 실었다. 9월에는 디지털의료기기 GMP 질의·응답집이 보안 관리를 GMP 심사 사례로 다뤘고, 변경관리 계획서 심사 지침서는 전자적 침해행위 보호조치가 계획서에 들어가면 5일 안에 예비검토해 지능형융합의료기기과로 넘기게 했다. 이번 개정은 새 의무를 더하기보다, 심사에서 자주 보완이 나던 문구를 고친 쪽이다. 같은 날 같은 과가 낸 디지털융합의약품 심사 업무절차서도 이 가이드라인의 적용 범위(디지털융합의약품)와 닿는다.

ⓑ 글로벌 연결. 06판 참고문헌은 FDA의 시판 전 사이버보안 가이던스(2023)와 시판 후 사이버보안 관리 가이던스(2016), IMDRF «Principles and Practices for Medical Device Cybersecurity»(2020), IEC 62443-4-2:2019·IEC TR 60601-4-5:2021을 든다. FDA 쪽은 이 뉴스룸의 FDA 사이버보안 QMS·시판전제출 가이던스 최종본(2026-02) 기사에서 이어 볼 수 있다. 10월 28일 나온 FDA IDE 전자제출 템플릿 초안도 «소프트웨어·사이버보안·상호운용성» 칸에서 같은 FDA 가이던스를 가리킨다. 한편 식약처 10월 28일 설명회 일정표에는 이 개정 세션이 «사이버보안 평가 시 소프트웨어 구성 요소 명세서 참고사항»으로 적혔지만, 06판 본문에는 «소프트웨어 구성 요소 명세서»(SBOM)라는 말이 없다. 설명회에서 무엇을 안내했는지는 이 기사에서 확인하지 못했다. [S1 · p.67][S3]

ⓒ 왜 지금인가 — 원문의 이유. 보도자료는 «이번 개정은 해외 규제 동향을 반영한 국제조화와 더불어, 심사 과정에서 빈번하게 발생하는 보완 사례를 줄여 산업계의 부담을 완화하는데 중점을 두었다»고 적었다. IA-04·IA-05는 «국제 기준 적용», SI-05·SI-07은 «다빈도 보완항목의 명확화»로 분류했다. 다만 IA-04·IA-05가 어느 해외 기준을 따랐는지는 보도자료와 안내서 어디에도 적혀 있지 않다(확인 불가). [S2][S1 · p.3]

ⓓ 그래서 무엇을 준비하나. ① 작성 중인 사이버보안 체크리스트에서 IA-04·IA-05·SI-05·SI-07 네 줄만 06판 문구와 다시 맞춘다(주기 → 변경 기능+주기 명시, 자사 비밀번호 지침의 위험 근거, 입력값 6개 항목 적용표, 오류 메시지 목록). ② 05판 별첨(IMDRF 옛 요구사항 대응표)을 근거로 쓴 기존 문서가 있으면 표 2 요구사항 번호 체계로 바꿔 둔다. ③ 11월 26일 온라인 교육에서 진행 중 건의 적용 시점과 IA-04 «변경 주기» 문구의 해석을 묻는다.

사실(개정 항목·문구·일정)은 위 원문에서 확인한 것이며, 「RA 실무 영향」과 「흐름 읽기」는 REGNA 편집 해석으로 법적 효력이 없습니다. 인용한 앞선 기사는 각 링크에서 확인할 수 있습니다. 적용 판단은 원문과 담당 부서 확인을 따르세요.