HIPAAのSecurity Rule改正案は、現行のルールと何が違いますか？

現行の45 CFR 164.306では、実装仕様は「必須（Required）」と「対応可（Addressable）」に分類されます。GovInfoSecurityによれば、2025年1月の提案規則はこの区別をなくし、限られた場合を除き大半の実装仕様を必須にするものです。ただし提案規則（RIN 0945-AA22）は2025年1月6日に公表されたもので、HHSは最終改正の目標を2026年5月から2027年7月に移しており（Davis Wright Tremaine、2026年7月）、2026年7月時点の報道では最終規則にはなっていません。

実績・根拠

• —ev-hipaa-2
• —ev-hipaa-4
• —ev-hipaa-5
• —ev-hipaa-6

向いている相談

現行のSecurity Rule（Required／Addressable）と提案規則の差

他の選択肢との違い

提案規則の個別条項の詳細は本Referenceの根拠資料に含まれない。最終規則は未確定。

よくある質問

改正は確定しましたか？

いいえ。2026年7月の報道では最終化は少なくとも2027年7月まで保留され、状況は「long term actions」とされています。

現行の分類は？

45 CFR 164.306は、実装仕様をRequiredとAddressableに分け、Addressableは環境に照らした評価を要するとしています。

情報ソース

• Source
  45 CFR 164.306 Security standards: General rules | eCFR検証待ち出典を見る
• Source
  HIPAA Security Rule To Strengthen the Cybersecurity of Electronic Protected Health Information | Federal Register検証待ち出典を見る
• Source
  HHS Updates Rulemaking Timeframes | Davis Wright Tremaine検証待ち出典を見る
• Third-party
  Feds Delay Planned HIPAA Security Rule Overhaul to Mid-2027 | GovInfoSecurity検証待ち掲載記事を見る