인도 CDSCO 의료기기 소프트웨어(MDSW) 최종 가이던스 2026 — 분류 매트릭스·SBOM·사후관리 총정리

인도 중앙의약품표준통제국(CDSCO)이 2026년 7월 21일 최종 발표한 의료기기 소프트웨어(MDSW) 가이던스(62쪽)의 4×3 분류 매트릭스, CLA/SLA 관할 분기표, SBOM·사이버보안 제출 요건, ACP(알고리즘 변경 프로토콜)의 법적 성격 및 한국 SaMD 기업의 인도 진출 로드맵을 정리합니다.

대한민국 디지털 헬스케어 및 AI 의료기기(SaMD) 기업들에게 인도는 14억 인구와 의료 인프라 디지털화가 급격히 진행되는 전략적 거대 시장입니다. 이미 루닛, 코어라인소프트, 제이엘케이 등 국내 주요 인공지능 진단 기업들이 글로벌 다국가 인허가를 확보하며 신흥국 확장을 가속화하고 있지만, 인도의 소프트웨어 의료기기 인허가는 그동안 명확한 가이드라인 부재로 인해 높은 규제 불확실성에 직면해 있었습니다.

이러한 규제 공백을 해소하기 위해 인도 보건가족복지부 산하 **중앙의약품표준통제국(Central Drugs Standard Control Organisation, CDSCO)**은 2026년 7월 21일, 공식 가이던스인 **‘의료기기 규칙(MDR 2017)에 따른 의료기기 소프트웨어(MDSW) 가이던스(Guidance Document on Medical Device Software, 문서번호: CDSCO/MD/GD/MDSW/01/2026, 총 62쪽)’**를 최종 확정 고시했습니다. 이는 2025년 10월 공개된 초안(Draft)에 대해 글로벌 산업계 의견을 수렴하여 확정한 공식 지침입니다.

특히 CDSCO는 이번 문서에서 본 지침이 **"새로운 규제 통제로 오해되어서는 안 되며(should not be misconstrued as a new regulatory control), 현행 의료기기 규칙(MDR 2017) 하에서 소프트웨어의 적용 기준을 명확히 한 것"**임을 공식 명시했습니다.

본 글에서는 인도 CDSCO의 최종 가이던스 원문을 바탕으로 MDSW의 4×3 위험도 분류 매트릭스, 중앙청(CLA)과 주청(SLA) 간의 인허가 관할 분기표, 소프트웨어 자재명세서(SBOM) 및 사이버보안 기술문서 요건, 알고리즘 변경 프로토콜(ACP)의 미국 FDA 대비 실무 차이점, 그리고 한국 기업의 인도 진출 실행 시퀀스를 상세히 분석합니다.

인도에서 의료기기 소프트웨어(MDSW)는 어떻게 분류되나? — 4×3 매트릭스와 최상위 규칙

CDSCO 가이던스는 독립형 소프트웨어(SaMD), 기기 내장형 소프트웨어(SiMD), 체외진단용 소프트웨어(IVD Software), AI/ML 기반 모델, 모바일 헬스 앱, 클라우드 호스팅 소프트웨어를 모두 포괄하여 **'의료기기 소프트웨어(MDSW)'**로 정의합니다. 반면, 단순 웰니스 앱, 병원정보시스템(HIS), 전자의무기록(EMR/LIS), 단순 유지보수 도구는 규제 대상에서 명확히 제외됩니다.

소프트웨어의 등급 분류는 인도 MDR 2017 제1스케줄(First Schedule)의 분류 원칙과 국제의료기기규제당국자포럼(IMDRF N12/N93)의 프레임워크를 조화시켜, **'환자 임상 상황의 심각도(State of Healthcare Situation)'**와 **'소프트웨어가 제공하는 정보의 임상적 역할(Significance of Information)'**을 교차하는 4×3 위험 매트릭스에 의해 결정됩니다.

┌────────────────────────────────────────────────────────────────────────────────────────┐
│                   인도 CDSCO 의료기기 소프트웨어(MDSW) 분류 매트릭스                   │
├─────────────────────────┬──────────────────────────┬───────────────────┬───────────────┤
│ 임상 상황의 심각도      │ 치료 또는 진단            │ 치료/진단 결정 주도│ 임상 정보 제공│
│ (Healthcare Situation)  │ (Treat or Diagnose)      │ (Drive Management)│ (Inform Care) │
├─────────────────────────┼──────────────────────────┼───────────────────┼───────────────┤
│ **위중한 상태 (Critical)**│ **Class D (최고위험)**   │ **Class C (고위험)**│ **Class B**   │
│ (생명 위협, 비가역적 상태) │ (예: 뇌졸중/심근경색 즉시경보)│ (예: 항암제 용량 계산)│ (예: 중환자 모니터링)│
├─────────────────────────┼──────────────────────────┼───────────────────┼───────────────┤
│ **심각한 상태 (Serious)** │ **Class C (고위험)**     │ **Class B (중위험)**│ **Class A**   │
│ (중증 질환, 즉각 악화 가능)│ (예: 폐암 결절 AI 스크리닝)  │ (예: 당뇨 인슐린 조절) │ (예: 만성질환 추적)│
├─────────────────────────┼──────────────────────────┼───────────────────┼───────────────┤
│ **비심각 상태 (Non-serious)**│ **Class B (중위험)**   │ **Class A (저위험)**│ **Class A**   │
│ (경증 질환, 가역적 상태)  │ (예: 피부염 진단 보조)     │ (예: 재활 운동 가이드)│ (예: 생체신호 기록)│
└─────────────────────────┴──────────────────────────┴───────────────────┴───────────────┘

적용 시 반드시 숙지해야 할 3대 분류 원칙

최상위 등급 적용 규칙 (Highest Class Rule): 소프트웨어가 복수의 모듈을 포함하거나 여러 의도된 사용 목적(Intended Use)을 가지는 경우, 적용 가능한 분류 규칙 중 **가장 높은 위험 등급(Highest Risk Class)**으로 전체 제품의 등급이 결정됩니다.
하드웨어 구동 소프트웨어의 등급 승계: 물리적 의료기기(하드웨어)를 직접 제어하거나 구동하는 임베디드 소프트웨어(SiMD)는 독립된 등급을 받지 않고 해당 하드웨어 기기의 규제 등급을 그대로 승계합니다.
공식 등재 목록 부재 시 절차: CDSCO는 포털을 통해 공식 분류된 기기 목록(Classified Devices)을 운영하고 있습니다. 만약 자사의 신규 SaMD가 기존 목록에 명시되어 있지 않은 경우, 온라인 포털(CDSCO MD Online Portal)을 통해 정식 등급 결정 신청을 제출해야 합니다.

테스트·제조·수입 라이선스는 어디서 누가 심사하나? — CLA/SLA 분기와 포털

인도에서 의료기기 인허가는 중앙정부 규제기관인 **중앙인허가청(Central Licensing Authority, CLA = CDSCO 본부)**과 각 주정부 산하 **주인허가청(State Licensing Authority, SLA)**으로 권한이 이원화되어 있습니다. 인도 의료기기 수입 라이선스(MD-14/15) 실무 가이드에서 다룬 기본 구조와 동일하게, 소프트웨어 역시 제품 등급 및 신청 목적에 따라 신청 포털과 심사 주체가 엄격히 구분됩니다.

활동 구분	적용 대상 등급	신청 접수 시스템 (Portal)	심사 및 허가 주체	허가 양식 (Form)
임상시험/테스트 수입	전 등급 (Class A, B, C, D)	국가단일창구 (NSWS)	중앙청 (CLA)	MD-16 (신청) → MD-17 (면허)
상업용 수입 허가	Class A, B, C, D 전 등급	의료기기 온라인 시스템 (Online System for Medical Devices)	중앙청 (CLA)	MD-14 (신청) → MD-15 (면허)
인도 현지 제조 허가	Class A & Class B (저/중위험)	의료기기 온라인 시스템	주청 (SLA)	MD-3 (신청) → MD-5 (면허)
	Class C & Class D (고위험)	의료기기 온라인 시스템	중앙청 (CLA)	MD-7 (신청) → MD-9 (면허)
Class A 비멸균·비계측	Class A 소프트웨어 (예외품)	의료기기 온라인 시스템	자가 등록 (Chapter IIIB)	등록 확인서 (Registration)

한국에 본사를 두고 소프트웨어를 인도에 수출(SaaS 공급 또는 온프레미스 라이선스 판매)하려는 기업의 경우, **등급에 관계없이 모두 중앙청(CLA) 관할의 수입 라이선스(MD-14/MD-15)**를 취득해야 합니다. 이를 위해서는 인도 현지에 등록된 공인대리인(Authorized Indian Agent) 선임이 필수적입니다.

제출 기술문서에는 무엇이 들어가나? — Sections 12, Annexure A, SBOM, 사이버보안

최종 가이던스의 핵심은 가이던스 Section 12.1~12.5 및 **Annexure A(체크리스트)**에 정리된 기술문서(Device Master File / Software Technical Documentation) 요건입니다. 이 섹션들은 테스트 라이선스, 임상시험·IVD 성능평가, 상업 제조·수입 허가, 사후관리 각 경로별로 제출해야 할 증거 영역을 하나의 체크리스트로 묶어 다음과 같이 요구합니다.

[인도 CDSCO 소프트웨어 기술문서 핵심 증거 영역 (Sections 12.1~12.5 + Annexure A)]
- 의도된 사용·적응증·대상 사용자·사용 환경·입출력·금기·한계 (intended use 명세)
- 기기 설명: 소프트웨어 아키텍처·버전·인터페이스·의존성, 하드웨어와의 관계
- 분류 근거 및 해당 시 프리디켓(predicate) 비교
- 소프트웨어 생애주기: 요구사항·설계·검증(V&V)·구성관리·결함·변경관리 기록
- 위험관리: 임상·사용성·데이터·사이버보안·상호운용성·AI 관련 리스크
- 임상/성능 근거 및 라벨·설치·유지보수·버전 추적성 정보
- 국내·해외 제조사업장 QMS 증빙 (제5스케줄)
- 사후관리: 불만·유해사례·시정조치·리콜 등 소프트웨어 특성 반영

사이버보안 및 SBOM(Software Bill of Materials) 요구사항

CDSCO는 글로벌 규제 조화 흐름에 맞추어 소프트웨어 공급망 보안을 대폭 강화했습니다.

전체 SBOM 유지 및 갱신: 자체 개발 코드뿐만 아니라 오픈소스 소프트웨어(OSS), 상용 서드파티(COTS) 라이브러리, 런타임 프레임워크의 정확한 버전 및 라이선스 목록을 문서화해야 합니다.
공동 취약점 관리(Vulnerability Management): 배포된 소프트웨어에 영향을 미칠 수 있는 보안 취약점(CVE)에 대한 상시 모니터링 절차와 패치 배포 계획을 제출해야 합니다.
MeitY 클라우드 고지 요건: SaaS(Software as a Service) 형태로 제공되는 솔루션의 경우, 인도의 **전자정보기술부(Ministry of Electronics and Information Technology, MeitY)**에 등재된 공인 클라우드 서비스 제공업체(Empanelled CSP)를 사용하는지 여부를 명시하고, 호스팅 인프라의 네트워크 접근 통제 및 데이터 암호화 평가서를 제출해야 합니다.

AI/ML 알고리즘 변경 관리 — ACP(Algorithm Change Protocol)는 의무인가?

국내 AI 의료기기 개발사들이 가장 주목하는 쟁점은 인공지능 모델의 재학습 및 업데이트에 따른 변경 허가 요건입니다.

FDA GMLP 의료기기 머신러닝 모범실무 가이드와 중국 NMPA AI 의료기기·SaMD 분류 및 등록 가이드에서 설명한 바와 같이, 미국 FDA는 사전에 승인된 범위 내 변경을 허용하는 PCCP(Predetermined Change Control Plan) 제도를 강력히 운영하고 있습니다.

인도 CDSCO 최종 가이던스는 **알고리즘 변경 프로토콜(Algorithm Change Protocol, ACP)**을 도입하면서, 이것이 **"적용 가능한 경우 마련될 수 있다(may be devised, wherever applicable)"**는 표현으로 규정했습니다. ACP를 마련할 경우 변경이 안전성과 의도된 사용을 훼손하지 않음을 보장하는 절차(관련 데이터, 검증, 리스크, 모니터링, 롤백 통제 포함)를 담아야 합니다.

즉, CDSCO 가이던스 상 ACP는 **모든 AI 소프트웨어에 강제되는 전면 의무 사항이 아니라, 제조사가 사전에 계획된 성능 개선 및 파라미터 미세조정을 변경 승인 면제 경로로 활용하고자 할 때 선택적으로 마련할 수 있는 제도(Discretionary Tool)**입니다.

┌─────────────────────────────────────────────────────────────────────────┐
│               AI/ML 소프트웨어 변경 관리: 인도 CDSCO vs 미국 FDA 비교             │
├───────────────────┬───────────────────────────────┬─────────────────────┤
│ 항목              │ 인도 CDSCO (MDSW Guidance)    │ 미국 FDA (PCCP 규정)│
├───────────────────┼───────────────────────────────┼─────────────────────┤
│ 제도 명칭         │ Algorithm Change Protocol(ACP)│ PCCP                │
├───────────────────┼───────────────────────────────┼─────────────────────┤
│ 제출 의무 여부    │ 선택적 (적용 가능한 경우 마련)│ 의무 또는 선택 승인 │
├───────────────────┼───────────────────────────────┼─────────────────────┤
│ 변경 허가 면제 범위│ 기승인된 프로토콜 범위 내 변경│ 승인된 프로토콜 내  │
│                   │ (안전성·유효성 중대 영향 제외)│ 사후 보고로 갈음    │
├───────────────────┼───────────────────────────────┼─────────────────────┤
│ 드리프트 모니터링 │ 배포 후 임상 성능 저하 및     │ GMLP 기반 연속적    │
│ 요구 수준         │ 알고리즘 드리프트 문서화 필수 │ 성능 편향 추적 의무 │
└───────────────────┴───────────────────────────────┴─────────────────────┘

따라서 한국 기업은 초기 수입 라이선스(MD-14) 신청 시 불필요하게 복잡한 ACP를 무리하게 포함하기보다는, 동결된(Locked) 알고리즘 버전으로 초기 허가를 신속히 획득한 후, 메이저 업데이트 시점에 ACP를 도입하는 단계적 접근이 실무적으로 유리합니다.

승인 후 사후관리는 무엇을 유지해야 하나? — PSUR·리콜·드리프트 추적

인도 시장에서 소프트웨어 승인을 획득한 이후에도 MDR 2017 제5스케줄(품질경영시스템)에 따라 지속적인 시판 후 안전관리를 수행해야 합니다.

정기안전성최신보고(PSUR)의 정확한 적용 범위: 가이던스는 모든 MDSW에 PSUR을 일괄 강제하지 않습니다. **"인도 내 임상시험을 거쳐 신규 승인된(프리디켓이 없는) 혁신 소프트웨어"**에 한정하여 면밀한 사후 모니터링과 함께 MDR 2017이 정한 조건에 따라 PSUR을 제출하도록 규정합니다. 제출 주기는 제품·승인 경로·라이선스 조건에 따라 달라지므로, 타 제품의 주기를 그대로 베끼지 말고 자사 승인 조건에 맞춰 확정해야 합니다.
알고리즘 성능 드리프트(Drift) 모니터링: 배포 후 실제 인도 의료현장에서 나타나는 데이터 분포 변화(인종적, 장비적 차이)로 인한 판독 정확도 저하나 의도치 않은 편향(Bias) 발생 여부를 문서화하여 관리해야 합니다.
소프트웨어 특화 리콜(Recall) 정의: CDSCO는 하드웨어 회수뿐만 아니라, **"원격 업데이트 배포, 사용자 시스템에서의 소프트웨어 언인스톨(Uninstall), 네트워크 및 하드웨어 인프라로부터의 서비스 폐기(Decommissioning)"**까지 공식적인 리콜 조치 범위에 포함했습니다.

한국 SaMD·AI 기업의 인도 진출 실행 로드맵

인도 CDSCO 2026년 의료기기 규칙 개정안 분석과 IMDRF N93 AI 의료기기 전주기 프레임워크의 규제 정합성을 고려할 때, 인도 시장 진입을 추진하는 한국 디지털 헬스케어 팀은 다음 4단계 로드맵을 구축해야 합니다.

[한국 SaMD 기업의 인도 진출 4단계 실행 로드맵]
1단계: 4×3 매트릭스 기반 자사 소프트웨어 등급 판정 (Class B vs Class C)
2단계: 인도 공인대리인(Authorized Indian Agent) 계약 및 위임장(Power of Attorney) 공증
3단계: IEC 62304 개발문서, CycloneDX/SPDX 기반 SBOM 및 사이버보안 서류 정비
4단계: CDSCO 온라인 시스템을 통한 수입 라이선스(MD-14) 접수 및 심사 대응

인도 정부가 62쪽에 달하는 정교한 가이던스를 최종 발표한 것은 규제 진입 장벽을 높이기 위함이 아니라, 기존의 불투명했던 심사 기준을 글로벌 표준(IMDRF, ISO/IEC)과 일치시켜 진입 비용을 예측 가능하게 만든 조치입니다. 미국 FDA 510(k)나 유럽 CE 인증을 이미 확보한 한국 AI 기업들에게 인도는 이제 명확한 체크리스트 기반으로 공략할 수 있는 거대한 기회의 시장입니다.

자주 묻는 질문 (FAQ)

Q1. 이번 가이던스 발표로 인도에서 새로운 소프트웨어 허가법이 제정된 것인가요?

아닙니다. CDSCO는 본 가이던스가 새로운 법적 규제 통제가 아니며, 기존 **의료기기 규칙(MDR 2017)**의 프레임워크 내에서 소프트웨어에 대한 기술적 해석과 심사 지침을 구체화한 행정 가이던스임을 명확히 밝혔습니다.

Q2. 운동 관리나 수면 기록을 돕는 일반 웰니스 앱도 CDSCO 허가를 받아야 하나요?

아닙니다. 질병의 진단, 치료, 완화, 예방 등 직접적인 의학적 목적(Medical Purpose) 없이 단순 건강 증진, 피트니스, 생활습관 관리를 목적으로 하는 웰니스 소프트웨어는 MDSW 규제 대상에서 제외됩니다.

Q3. 클라우드(SaaS) 기반 SaMD는 반드시 인도 내 물리적 서버에 호스팅되어야 하나요?

인도 의료 데이터 주권 관련 규정에 따라 민감 건강정보(Sensitive Personal Data)는 인도 내 저장을 권장하고 있으며, CDSCO 가이던스는 SaaS 신청 시 인도 정부(MeitY)에 공인 등재된 클라우드 서비스 제공업체(Empanelled CSP) 사용 여부와 인프라 보안 리스크 평가서 제출을 요구합니다.

Q4. 한국 본사의 ISO 13485 인증서만으로 수입 허가(MD-14) 신청이 가능한가요?

네, 가능합니다. 해외 제조사의 품질시스템 증빙으로 공인 인증기관이 발행한 ISO 13485 인증서와 본국(대한민국 식약처)의 자유판매증명서(CFS) 및 제조증명서를 정식 공증(Apostille 또는 영사확인)하여 제출해야 합니다.

Q5. AI 모델의 알고리즘 변경 프로토콜(ACP)을 초기에 제출하지 않으면 나중에 업데이트가 불가능한가요?

아닙니다. 초기 승인 시 ACP를 제출하지 않더라도, 향후 중대한 알고리즘 업데이트가 발생했을 때 일반적인 변경 허가(Amendment / Major Change) 신청 절차를 통해 변경 승인을 받을 수 있습니다.

참고 출처

Central Drugs Standard Control Organisation (CDSCO): Guidance Document on Medical Device Software under MDR 2017 (Doc No: CDSCO/MD/GD/MDSW/01/2026, 2026년 7월 21일 최종 발표)
Ministry of Health and Family Welfare (India): Medical Devices Rules, 2017 (G.S.R. 78(E), First Schedule Classification Rules & Fifth Schedule QMS)
International Medical Device Regulators Forum (IMDRF): Software as a Medical Device (SaMD): Key Definitions (N10) & Possible Framework for Risk Categorization (N12)
Ministry of Electronics and Information Technology (MeitY): Guidelines for Cloud Service Providers Empanelment and Government Data Security