인도 CDSCO 의료기기 소프트웨어 지침 2026: MDR 2017 매핑

인도의 중앙의약품표준통제기구(CDSCO)는 2026년 7월 21일에 현재의 ​의료기기 소프트웨어 가이드라인 문서​를 발표했습니다. 문서 번호 ​CDSCO/MD/GD/MDSW/01/2026​의 이 62페이지 분량의 문서는 체외진단(IVD) 소프트웨어를 포함한 의료기기 소프트웨어(MDSW)에 대한 CDSCO의 현행 접근 방식을 2017년 의료기기 규칙(MDR 2017)에 따른 단일 운용 참조 문서로 통합합니다.

이 문서의 법적 지위는 중요합니다. CDSCO는 해당 가이드라인이 MDR 2017 하의 현행 실무를 반영하며 ​“새로운 규제적 통제로 오인되어서는 안 된다”​고 밝히고 있습니다. 이는 대중의 인식을 돕기 위한 가이드라인일 뿐, 새로운 규정이나 의약품 및 화장품법(Drugs and Cosmetics Act), MDR 2017 또는 향후 CDSCO의 명확화 조치를 대체하는 것이 아닙니다. 따라서 실질적인 변화는 새로운 소프트웨어 법률의 제정이 아니라, 기존 체계가 소프트웨어 제출, 허가, 품질 시스템, 변경 및 시판 후 통제에 어떻게 적용될 것으로 CDSCO가 기대하는지 훨씬 명확하게 보여주는 안내도 역할을 한다는 점입니다.

공식 CDSCO 의료기기 공지 페이지 읽기 또는 가이드라인 전문 PDF 열기.

적용 대상 소프트웨어 범위

이 가이드라인은 소프트웨어가 단독으로 또는 다른 제품과 결합하여 의료 목적을 가지고 인도 법률상 의료기기 정의를 충족할 때 적용됩니다. CDSCO는 문서에서 달리 규정하지 않는 한 체외진단 의료기기 소프트웨어를 포함하는 포괄적 용어로 ​MDSW​를 사용합니다.

사용 목적이 구분 기준입니다. CDSCO는 ​의료 목적을 의도하지 않은 경우에 한해​ 일반적인 웰빙, 건강한 생활 습관 증진, 일상적인 신체 파라미터 추적 또는 피트니스 용도로만 사용되는 소프트웨어를 제외합니다. 웰빙 라벨이 붙어 있다고 해서 진단, 모니터링, 예측, 치료 또는 기타 의료 관련 표기·광고(claim)가 무효화되지는 않습니다. 따라서 제조자는 이러한 적용 제외 규정에 의존하기 전에 제품, 제출 서류, 라벨링, 사용 설명서 및 홍보 자료 전반에 걸쳐 사용 목적 진술을 정합성 있게 정리해야 합니다.

이 문서는 독립형 앱뿐만 아니라 더 넓은 범위에 적용됩니다. 문서의 예시 및 제출 관련 절에서는 독립적으로 작동하는 소프트웨어, 하드웨어를 구동하거나 이에 영향을 미치는 소프트웨어, 클라우드 또는 네트워크 연결 시스템, AI/ML 기능 및 IVD 소프트웨어를 다룹니다. 이 문서는 규제 승인을 받으려는 제조자, 수입자, 혁신기업, 연구자 및 기타 신청자를 대상으로 작성되었습니다.

품목 분류는 여전히 사용 목적에서 출발합니다

MDSW는 MDR 2017에서 이미 사용 중인 4가지 위험 등급을 따릅니다.

CDSCO는 소프트웨어 품목 분류가 기본적으로 사용 목적과 MDR 2017 부칙 1(First Schedule)의 분류 규칙에 근거한다고 밝히고 있습니다. 둘 이상의 규칙이 적용되는 경우, 더 높은 등급을 산출하는 가장 엄격한 규칙이 적용됩니다. 가이드라인은 실무적인 예시를 제공하지만, 이것이 제품별 품목 분류 근거를 대체하지는 않습니다.

따라서 소프트웨어 포트폴리오의 경우 유용한 분석 단위는 코드베이스나 상용 플랫폼이 아닙니다. 규제 대상이 되는 각각의 사용 목적과 해당 기능이 제공하는 정보 또는 제어로 인해 발생할 수 있는 위해(harm)입니다. 동일한 기술 아키텍처를 공유하는 두 모듈이라도 의료 목적과 위험이 다르다면 서로 다른 규제적 대응이 필요할 수 있습니다.

제출 경로 및 허가 기관

가이드라인은 신청 유형에 따라 온라인 경로를 구분합니다.

• ​시험 허가:​ 인도의 국가 단일 창구 시스템을 통해 제출합니다.
• ​기타 규제 승인, 제조 또는 수입 허가, 판매 및 유통 등록:​ 의료기기 온라인 시스템을 통해 제출합니다.

허가 관할 기관 역시 거래 유형 및 위험 등급에 따라 달라집니다. CDSCO의 표 5은 모든 등급의 시험 허가 및 수입 허가를 중앙 허가 기관(CLA)의 관할로 배정합니다. Class A 및 B MDSW의 제조 허가는 주 허가 기관(SLA)의 관할이며, Class C 및 D 제조 허가는 CLA의 관할입니다. Class A 비멸균, 비측정 기기는 허가가 면제되며 MDR 2017 제3B장에 따른 등록이 필요합니다. 이러한 면제 규정을 적용 가능한 조건을 확인하지 않고 다른 Class A 소프트웨어 구성으로 일반화해서는 안 됩니다.

이러한 구분은 인도 내 제조와 수입 제품을 모두 보유한 기업에게 실무적으로 중요합니다. “CDSCO 제출”은 단일한 미분화 경로가 아닙니다. 신청자가 승인을 요청하는 작업 내용에 따라 올바른 포털, 양식, 관할 기관 및 제출 서류(dossier)가 결정됩니다.

제출 서류에 일괄 정리된 주요 평가 영역

제12.1절~제12.5절 및 부속서 A(Annexure A)는 시험 허가, 임상시험 또는 IVD 성능 평가, 임상시험용 기기 승인, 상용 제조/수입 허가 및 시판 후 의무 전반에 걸쳐 요구되는 입증 자료를 체계화합니다. 적용 여부는 여전히 제품 및 신청 유형에 따라 달라지지만, 가이드라인은 주요 입증 영역을 명확히 제시합니다.

• 사용 목적, 적응증, 대상 사용자, 사용 환경, 입력값, 출력값, 금기사항 및 한계사항;
• 기기 개요, 소프트웨어 아키텍처, 버전 관리, 인터페이스, 의존성, 소프트웨어와 하드웨어 간의 관계;
• 품목 분류 근거 및 해당하는 경우 기존 기기(predicate)와의 비교;
• 소프트웨어 개발 생애주기, 요구사항, 설계, 검증, 유효성 확인, 구성, 결함 및 변경 관리 기록;
• 해당되는 경우 임상, 사용성, 데이터, 사이버 보안, 상호운용성 및 AI 관련 위험을 포함하는 위험 관리;
• 소프트웨어 및 신청 경로에 적절한 임상 또는 성능 입증 자료;
• 라벨링, 전자 정보, 설치, 유지보수, 업데이트 및 버전 추적성 정보;
• 국내외 제조소에 대한 QMS 입증 자료; 및
• 시판 후 조사, 안전성 정보 관리(vigilance), 시정 조치, 회수 및 소프트웨어 특화 시정 조치.

부속서 A는 이러한 영역을 신청 체크리스트로 구현합니다. 또한 목록에 기재된 문서가 적용되지 않는 경우, 신청자는 무단으로 생략하기보다는 상세한 사유를 제시해야 한다고 규정합니다.

QMS, 표준, 사이버 보안 및 소프트웨어 변경

CDSCO는 소프트웨어 생애주기 통제를 품질 경영 시스템(QMS) 내에 배치합니다. 국내 제조자는 QMS 절차 및 기록을 수립하고 유지해야 하며, 제조 허가 신청 시 MDR 2017 부칙 5(Fifth Schedule) 준수 확약서를 제출해야 합니다. 수입 제품의 경우, 해외 제조자는 가이드라인에 기술된 QMS 입증 자료를 바탕으로 수입 허가 신청을 뒷받침해야 합니다.

표준 관련 절에서는 MDR 2017의 우선순위 체계를 유지합니다. 적용 가능한 BIS 또는 고시된 인도 표준이 최우선 적용되며, 인도 표준이 없는 경우 ISO, IEC 또는 기타 명시된 국제 표준이 적용되고, 지정된 표준이 없는 경우 검증된 제조자 표준이 적용됩니다. 예시로 제시된 MDSW 표에는 ​ISO 13485​, ​ISO 14971​, ​IEC 62304​, ​IEC 82304-1​ 및 ​IEC 81001-5-1​ 등이 포함되어 있습니다. 표에는 해당 표준들이 “적용될 수 있다”고 명시되어 있으며, 이는 나열된 모든 표준이 모든 제품에 동일하게 적용된다는 선언이 아닙니다.

생애주기 보안과 관련하여 CDSCO는 제조자가 서드파티, 오픈 소스 및 상용 구성 요소를 적절히 포함하는 ​소프트웨어 자재 명세서(SBOM)​를 비롯한 자재 명세서(bill of materials)를 유지하고 주기적으로 업데이트해야 한다고 밝힙니다. 가이드라인은 SBOM을 알려진 취약점의 모니터링, 평가 및 완화 조치와 연계합니다. 또한 임상적으로 유의미한 성능 저하, 알고리즘 표류(drift), 사이버 보안 취약점 및 의도하지 않은 결과를 포함하여 배포 후 성능에 대한 문서화된 모니터링을 요구합니다.

AI 변경 계획과 관련된 문구는 주의가 필요합니다. 가이드라인은 MDSW의 특성 및 위험에 근거하여 ​적용 가능한 경우 알고리즘 변경 프로토콜(ACP)을 수립할 수 있다​고 규정합니다. 따라서 ACP는 모든 소프트웨어 기기에 대한 필수 문서로 제시되지 않습니다. ACP가 사용되는 경우, 관련 데이터, 유효성 확인, 위험, 모니터링 및 롤백 통제를 포함하여 변경 사항이 안전성이나 사용 목적을 저해하지 않도록 보장하기 위한 절차를 기술해야 합니다.

시판 후 의무는 위험도 및 허가 경로에 따라 달라집니다

상용 허가가 완료되었다고 해서 소프트웨어 생애주기가 끝나는 것은 아닙니다. 가이드라인은 허가 조건, 이상사례 보고, 현장 안전 시정 조치, 회수, 업데이트 및 버전 추적성을 기존 MDR 2017 시판 후 체계와 연계합니다. 소프트웨어의 경우 회수 조치에는 유통 중단, 삭제 또는 채널, 네트워크, 하드웨어로부터의 제품 폐기가 포함될 수 있습니다.

정기 안전성 최신 보고서(PSUR) 관련 규정은 모든 MDSW에 적용되는 포괄적 규칙보다 범위가 좁습니다. CDSCO는 기존 비교 대상 기기가 없는 기기와 같이 임상시험을 거쳐 시판 허가를 받은 MDSW를 면밀히 모니터링해야 하며, 제조자 또는 수입자가 MDR 2017에 규정된 조건에 따라 PSUR을 제출해야 한다고 명시적으로 밝히고 있습니다. 따라서 관련 담당 팀은 다른 제품의 보편적인 주기를 그대로 적용하기보다는 승인 경로 및 허가 조건에 맞춰 정확한 시판 후 의무를 매핑해야 합니다.

제조업체 및 수입업체가 지금 조치해야 할 사항

Pure Global의 견해는 가장 유용한 대응 방식이 “지침”이라는 단어에 기반한 대대적인 전면 재설계가 아닌 통제된 갭 평가(gap assessment)라는 것입니다.

1. ​규제 인텔리전스 파일의 초안을 교체하십시오.​ 2026년 7월 21일자 문서 번호를 기록하고 발간된 지침을 현재 참조용 문서로 보관하십시오.
2. ​사용 목적과 품목 분류를 조율하십시오.​ 제품 표방 사항, 모듈 경계, 품목 분류 규칙 및 최상위 적용 규칙 분석 결과가 서로 일치하는지 확인하십시오.
3. ​거래별 특정 경로를 확인하십시오.​ 시험, 제조, 수입, 임상시험 및 상업적 허가·등록 활동을 구분하고 각각을 올바른 포털, 양식 및 인허가 당국에 매핑하십시오.
4. ​도시에(dossier)를 섹션 12 및 부속서(Annexure) A와 교차 비교하십시오.​ 누락된 증거를 확인하고 체크리스트 항목이 적용되지 않는 이유를 문서화하십시오.
5. ​소프트웨어의 실제 구현 현황에 맞추어 QMS를 검증하십시오.​ 생명주기, 위험, 형상, 검증/유효성 확인, 취약점, SBOM, 모니터링 및 변경 기록이 QMS 외부의 엔지니어링 산출물이 아닌 통제된 증거 자료로 존재함을 확인하십시오.
6. ​다음 릴리스 전에 변경 경계를 정의하십시오.​ 어떤 변경 사항이 유효성 확인, 문서화 및 규제 평가를 필요로 하는지, 그리고 특정 AI/ML 기능에 대해 ACP가 유용한지 여부를 결정하십시오.
7. ​시판 후 데이터를 소프트웨어 버전과 일치시키십시오.​ 불만 사항, 이상사례, 성능 변동, 취약점, 시정 조치 및 회수 정보는 실제 배포된 소프트웨어 버전까지 추적 가능하도록 유지되어야 합니다.

더 광범위한 인도 등록 절차에 대해서는 Pure Global의 인도 의료기기 시장 진출 가이드를 참조하십시오. AI 기반 소프트웨어가 어떻게 분류되고 관리되는지에 대한 글로벌 시장 비교 시각을 확인하려면 의료기기로서의 AI: 규제, 등록 및 시장 진출에 대한 글로벌 맵을 참조하십시오.

핵심 시사점은 명확합니다. CDSCO는 별도의 새로운 소프트웨어 체계를 발표한 것이 아닙니다. 의료기기 소프트웨어가 인도의 기존 MDR 2017 시스템 내에 어떻게 부합하는지에 대해 지금까지 가장 명확하게 통합된 설명을 발표한 것입니다. 규제 준수 가치는 허가 신청, 소프트웨어 릴리스 또는 시판 후 이벤트 시점에 불일치가 나타나기 전에, 해당 맵을 사용하여 불일치 사항을 드러내는 데서 나옵니다.