3省2ガイドラインの改定動向

「去年ガイドライン対応をやったばかりなのに、また改定ですか」。医療機関の担当者からよく聞く反応です。3省2ガイドラインは制度・技術・脅威の変化に応じて改定され続けており、一度対応すれば終わりという性質のものではありません。

もっとも、改定のたびに一から作り直す必要があるわけでもありません。改定の多くは、要求の骨格を変えるのではなく、具体化・精緻化の方向で積み重なっていきます。この性質を理解しておけば、改定への構えは「追随」ではなく「更新」で済みます。

本記事は、これまでの改定の流れと、直近で何が起きたか、そしてどう備えるかを整理したものです。今後どう改定されるかを予測する記事ではありません。 現時点で公表されている事実と、そこから読み取れる方向性の範囲に留めます。

免責：本記事は一般的な情報提供です。ガイドラインの版数・改定時期・要求事項の詳細は、厚生労働省・経済産業省・総務省の公表資料が正本です。本記事で「議論されている」と記した事項は、将来の改定内容を保証するものではありません。実務判断は必ず最新の一次情報に基づいて行ってください。

第6.0版までの流れ

厚生労働省の「医療情報システムの安全管理に関するガイドライン」は、初版の公表が2000年代半ばで、以降、複数回の改定を重ねてきました。版ごとの正確な改定時期は厚生労働省の公表ページでご確認ください。

改定の内容を大づかみに見ると、外部環境の変化に対応する形で範囲が広がってきたことが分かります。

そして最新は第6.0版（2023年5月改定）です。第6.0版で特徴的なのは、内容の追加以上に構成そのものが変わったことでした。

この4編構成は、「誰が読むか」で分けるという設計です。従来、ガイドラインは分量が多く、情シス担当が全部読むか、誰も読まないかになりがちでした。読者別に分けたことで、経営層が読むべき部分が明示された意味は小さくありません。セキュリティを現場の技術課題ではなく経営課題として位置づける、という方向性がここに表れています。

対象範囲についても、「全ての医療情報システムの導入、運用、利用、保守及び廃棄に関わる者」とされており、病院・クリニック・歯科医院・薬局など規模や種類を問わない構成になっています。「うちは小さいから関係ない」という整理は成立しません。小規模施設での考え方は 小規模クリニックのガイドライン対応 に、各編の要点は 経営管理編の要点 と 企画管理編の要点 にまとめています。

なお3省2ガイドラインのもう一方、経済産業省・総務省の事業者向けガイドラインも別途改定されています。医療機関としては、委託先が参照している版が最新かどうかを確認する視点を持っておくとよいでしょう。事業者側に何が求められるかは 経産省・総務省ガイドラインの要点（事業者側） をご覧ください。

2025年に何が起きたか

直近で注目すべき動きが、2025年に2つありました。いずれも新しい版の公表ではなく、既存の要求を使いやすくする方向の動きです。

1. 第6.0版に関するQ&Aの公表（2025年5月）

厚生労働省が第6.0版に関するQ&Aを公表しました。ガイドラインの本文は抽象度が高く、現場では「この記述は自院のこの状況に当てはまるのか」という解釈の問題が生じます。Q&Aは、その解釈の幅を狭める役割を果たします。

実務上の意味は2つあります。第一に、これまで解釈で対応していた事項に公式の判断材料が加わったこと。第二に、「解釈が分からなかったので対応していない」という説明が通りにくくなったことです。

2. サイバーセキュリティ対策チェックリストとマニュアルの公表（2025年5月14日）

厚生労働省が「医療機関等におけるサイバーセキュリティ対策チェックリスト」および同マニュアルを公表しました。従来のものより具体的・実践的で、クラウド環境・BCP・IoT・BYODへの言及が加わっています。

この2つを並べて見ると、方向性が読み取れます。要求の水準を上げるのではなく、既存の要求を実行可能な形に落とし込むという動きです。ガイドラインは長く「何をすべきか」を示してきましたが、現場では「具体的に何をどこまでやれば足りるのか」が分からず止まる例が多くありました。Q&Aとチェックリストは、その詰まりを解消する方向に働きます。

医療機関の立場では、これらを使って自己点検を行うのが最も費用対効果の高い動きになります。使い方は 厚労省のチェックリストをどう使うか と 3省2ガイドライン対応チェックリスト をご覧ください。

診療報酬との接続という新しい軸

改定動向を語るうえで、2026年度診療報酬改定は無視できません。ガイドラインそのものの改定ではありませんが、ガイドラインの位置づけを変える出来事だったからです。

2026年度改定では電子的診療情報連携体制整備加算が新設されました。医療情報取得加算と医療DX推進体制整備加算を廃止・統合し、そこにサイバーセキュリティ対策の評価を組み込んだものです。診療録管理体制加算1のサイバーセキュリティ要件も本加算へ移管・統合されています。

入院加算の要件は次のとおりです。

共通要件

• 「医療情報システムの安全管理に関するガイドライン」への準拠
• 専任の医療情報システム安全管理責任者の配置

加算1のみの要件

• 医療情報システムの複数方式によるバックアップ確保（一部はオフライン保管）
• サイバー攻撃等に対するBCP策定と訓練の実施

ここで起きた変化は、要求の中身以上に位置づけの変化です。ガイドライン準拠は長らく「守るべき規範」ではあっても、守らなかった場合の直接的な帰結が見えにくいものでした。それが算定要件に組み込まれたことで、対応の有無が収入に直結する構造になりました。

言い換えれば、セキュリティ対策は「コストをかけるかどうか」の問題から「算定できるかどうか」の問題に変わりました。 経営層に説明する際の言葉も、ここに合わせて変えるべきでしょう。改定の全体像は 2026年度診療報酬改定 をご覧ください。

バックアップ要件については、外部媒体方式（RDX等の別媒体での保管と世代管理）、自動転送方式（NAS等へ自動転送し常時ネットワークから切り離された状態）、クラウド内方式（クラウドサービス内の論理的に切り離された領域へのバックアップで速やかな復旧が可能な場合）のいずれも要件を満たすとされています。世代管理については、日次でバックアップする場合は少なくとも3世代の確保が目安とされ、週次・月次の扱いは病院規模やバックアップ方式で異なるため一概には示されていません。具体的な設計は 医療機関のバックアップ設計｜3-2-1ルール と サイバー攻撃を想定したBCP をご覧ください。

なお、加算の算定要件は告示・通知・疑義解釈の原文で確認してください。 本記事の記載は概要であり、算定判断の根拠にはなりません。

今後の論点として議論されていること

ここからは慎重に書きます。将来の改定内容は現時点で確定していません。 以下は、公表資料・審議の場・業界の議論において話題になっている領域であり、改定されると断定できるものではありません。

1. 生成AIの医療利用に関する整理

生成AIを診療情報の取扱いに用いる場面が増えており、既存のガイドラインの枠組みでどこまで読めるのかという議論があります。入力された情報の取扱い、学習への利用、出力の責任といった論点が挙げられています。現時点で医療機関が取り得る整理は 医療機関の生成AI利用｜法規制とセキュリティ と AI音声カルテのセキュリティ にまとめています。

2. サプライチェーンリスクの扱い

医療機関の被害が、直接の取引先ではなくその先の事業者や、接続された医療機器を経由して生じる構造への関心が高まっています。どこまでを管理対象とするかは、実務上も難しい論点です。医療機関のサプライチェーンリスク で扱っています。

3. 小規模施設における現実的な水準

ガイドラインが規模を問わない構成である一方、診療所と大規模病院で取り得る対策には差があります。求める水準をどう表現するかは継続的な論点です。

4. インシデント発生時の情報共有のあり方

被害を受けた医療機関が情報を出しにくい構造があり、結果として同種の被害が繰り返されるという指摘があります。共有の仕組みをどう作るかが議論されています。

繰り返しますが、これらが次の改定に盛り込まれると述べているのではありません。 医療機関としては、「こうした領域が注目されている」という認識を持ち、自院の対応がこれらに触れる場合は一次情報の動きを追う、という構えが適切です。

改定に振り回されないための備え方

最後に実務的な話をします。改定のたびに慌てないためには、次の4つを用意しておくのが有効です。

1. 追跡の担当と頻度を決める。 誰が、どの頻度で、どのページを確認するか。年2回でも決まっていれば十分機能します。厚労省のガイドライン掲載ページを定点観測するだけでも違います
2. 自院の対応を「なぜそうしたか」とセットで記録する。 改定時に見直すべき箇所を特定できるのは、判断の理由が残っている場合だけです。理由の記録がない文書は、改定のたびに全体を読み直すことになります
3. 文書を階層化する。 方針（変わりにくい）／規程（改定で見直す）／手順書（運用で頻繁に変わる）を分けておくと、改定時の影響範囲が限定されます。すべてを1つの文書にまとめていると、小さな改定でも全体の改訂が必要になります
4. 委託先にも改定追随を求める。 契約に、ガイドライン改定時の対応方針の説明義務を入れておく。医療機関側だけで追いきれない領域があります

この4つは、改定対応のためというより、対応を継続可能にするための仕組みです。詳しい実装手順は 3省2ガイドライン対応の実務ステップ、ガイドラインの基礎的な内容は 3省2ガイドラインをわかりやすく解説 をご覧ください。事業者側で継続的なマネジメントの仕組みを整える場合は ISMS（ISO/IEC 27001）とは｜ヘルスケア企業のための完全ガイド が参考になります。

まとめ

1. ガイドラインは改定され続けるが、多くは骨格の変更ではなく具体化・精緻化の積み重ねである
2. 最新は第6.0版（2023年5月）。読者別の4編構成になり、経営層が読むべき部分が明示された
3. 2025年の動きはQ&A（5月）とチェックリスト・マニュアル（5月14日）の公表。要求水準の引き上げではなく、実行可能な形への落とし込み
4. 2026年度診療報酬改定で、ガイドライン準拠が算定要件に組み込まれた。位置づけが変わった
5. 今後の論点として、生成AI・サプライチェーン・小規模施設の水準・インシデント情報共有などが議論されている（改定内容が確定しているわけではない）
6. 備え方は、追跡担当の設定・判断理由の記録・文書の階層化・委託先への追随要求の4つ

改定のたびに見直しが発生する体制づくりや、自院の文書構成の整理でお困りの場合は お問い合わせ からご相談ください。

参考・出典

• 医療情報システムの安全管理に関するガイドライン｜厚生労働省
• 医療情報システムの安全管理に関するガイドライン 第6.0版（本文PDF）｜厚生労働省
• 令和8年度診療報酬改定について｜厚生労働省
• 経済産業省
• 総務省
• 内閣サイバーセキュリティセンター（NISC）

※版数・改定時期・要求事項の詳細は各省の公表資料が正本です。本記事の「議論されている」との記載は将来の改定内容を保証するものではありません。診療報酬上の算定要件は告示・通知・疑義解釈の原文をご確認ください。