４．考察

ソフトウェアや機器等の脆弱性が悪用され、医療機関がサイバー攻撃を受け
て医療機関に損害が発生した場合の、医療機関とシステムベンダーの責任関係
については、基本的には両者間で締結されたシステム保守契約の規定による。
保守契約上の規定がない場合には、法令上の解釈による判断となる。

４－１．保守契約上のシステムベンダーの責任

システム保守契約上、システムベンダーに当リスクにかかる情報提供義務が
明記されている場合、または、保守契約上の明記がない場合であっても、契約
時の経緯や保守契約料金の妥当性等から、当事者双方に当リスクにかかる情報
提供義務をシステムベンダーが負う意思があったと認定できる場合であれば、
システムベンダーが医療機関に対して負う善管注意義務（民法第 644 条、同
656 条）違反を問うことができる＊以下注３。
しかしながら、本稿で参考とした 4 事例もそうであったように、保守契約
に、当リスクにかかるシステムベンダーの情報提供義務が明記されていること
は少ないと考えられる。また、保守契約上の明記がない場合に、黙示で情報提
供義務をシステムベンダーが負っていると認定されるためのハードルは高いと
思われる。
従って、保守契約上の善管注意義務違反を理由にシステムベンダーの責任を
問えるケースは、実態としては極めて少ない現状にあると推察される。

＊注３：システム保守契約（システムを本番運用した後、問題が発生した場合の
迅速な復旧や、システム改良の要望に応えてもらうために締結）は、仕事の完成
9