Medizintechnik: Produktsicherheit, Software und Cybersecurity

Produktsicherheit beginnt in der Entwicklung

Ob Infusionspumpe, Implantat oder App: Medizinprodukte müssen die grundlegenden Sicherheits- und Leistungsanforderungen nach Anhang I der Verordnung (EU) 2017/745 (MDR) erfüllen. Der Hersteller muss Risiken über den gesamten Lebenszyklus beherrschen, das Risikomanagement nach EN ISO 14971 führen und die Gebrauchstauglichkeit nachweisen. Die Grundlagen zu Klassifizierung und Zertifizierung finden Sie auf unserer Seite Medizinprodukterecht.

Die technische Dokumentation nach Anhang II und III MDR ist das Rückgrat jeder Zertifizierung. Sie umfasst Zweckbestimmung, Design- und Herstellungsinformationen, Risikoanalyse, Verifizierung und Validierung, klinische Bewertung und den Plan zur Überwachung nach dem Inverkehrbringen. Lücken fallen spätestens im Audit der Benannten Stelle oder in einem Haftungsprozess auf.

Software als Medizinprodukt

Software ist ein Medizinprodukt, wenn sie nach ihrer Zweckbestimmung der Diagnose, Überwachung, Vorhersage oder Behandlung von Krankheiten dient. Für die Klasse gilt Regel 11 Anhang VIII MDR: Software, die Informationen für diagnostische oder therapeutische Entscheidungen liefert, ist mindestens Klasse IIa. Die Leitlinie MDCG 2019-11 hilft bei Abgrenzung und Klassifizierung.

Für Software-Updates gilt: Jede wesentliche Änderung kann eine erneute Bewertung durch die Benannte Stelle auslösen. Ein Änderungsmanagement, das Updates nach Sicherheits- und Leistungsrelevanz einordnet, spart Zeit und schafft Rechtssicherheit. KI-basierte Software unterliegt zusätzlich der KI-Verordnung, deren Pflichten für Medizinprodukte ab 2. August 2028 gelten.

Software-Änderungen richtig einordnen

Ob ein Update die Benannte Stelle auf den Plan ruft, richtet sich bei Altprodukten nach der Leitlinie MDCG 2020-3 und bei MDR-Produkten nach den Vorgaben im Zertifikat und im Vertrag mit der Stelle. Die Einordnung ist immer eine Einzelfallentscheidung. Für die Planung helfen aber Erfahrungswerte.

Cybersecurity

Vernetzte Produkte und Software müssen nach Anhang I Abschnitte 17.2, 17.4 und 18.8 MDR gegen unbefugten Zugriff geschützt sein. Die Leitlinie MDCG 2019-16 konkretisiert, was das bedeutet: Security by Design, Bedrohungsanalyse, Mindestanforderungen an IT-Netze, Informationen für Betreiber und ein Prozess für Sicherheitsupdates und Schwachstellen über die gesamte Lebensdauer.

Der Cyber Resilience Act (VO (EU) 2024/2847) gilt nach Art. 2 Abs. 2 nicht für Produkte, die unter MDR oder IVDR fallen. Er wird aber relevant für Zubehör, Gateways, Apps ohne medizinische Zweckbestimmung und Komponenten, die Zulieferer separat in Verkehr bringen. Seine Meldepflichten für ausgenutzte Schwachstellen gelten seit 11. September 2026, die übrigen Pflichten ab 11. Dezember 2027. Der MDR-Reformvorschlag vom Dezember 2025 sieht vor, das Verhältnis beider Regelwerke klarer zu fassen und Meldewege für Sicherheitsvorfälle zu ergänzen.

Checkliste Cybersecurity für Hersteller

• Bedrohungsanalyse für jedes vernetzte Produkt erstellt und im Risikomanagement nach EN ISO 14971 verankert
• Software-Stückliste (SBOM) mit allen Fremd- und Open-Source-Komponenten geführt
• Prozess für die Entgegennahme und Bewertung von Schwachstellenmeldungen eingerichtet und veröffentlicht
• Supportzeitraum für Sicherheitsupdates festgelegt und den Betreibern mitgeteilt
• Mindestanforderungen an IT-Umgebung und Netz in den Betreiberinformationen beschrieben (MDCG 2019-16)
• Bewertungsschema, wann eine Sicherheitslücke ein meldepflichtiges Vorkommnis oder eine Sicherheitskorrekturmaßnahme auslöst
• Penetrationstests vor größeren Releases durchgeführt und dokumentiert
• Update- und Mitwirkungspflichten in den Verträgen mit Softwarelieferanten geregelt

Was 2026 bis 2028 ansteht

Überwachung nach dem Inverkehrbringen

Hersteller müssen ihre Produkte systematisch beobachten (Post-Market Surveillance, Art. 83 ff. MDR), Trends auswerten und schwerwiegende Vorkommnisse sowie Sicherheitskorrekturmaßnahmen im Feld an das BfArM melden. Je nach Klasse sind ein PMS-Bericht oder ein regelmäßig aktualisierter Sicherheitsbericht (PSUR) zu erstellen. Bei Rückrufen begleiten wir die Abstimmung mit Behörde, Händlern und Kunden.

Zuständige Behörden und Stellen

Für Medizintechnik-Hersteller in Deutschland sind mehrere Stellen zuständig. Das BfArM bewertet Vorkommnisse und Sicherheitskorrekturmaßnahmen, entscheidet über Abgrenzung und Klassifizierung und genehmigt klinische Prüfungen. Die Überwachung von Herstellern, Händlern und Betreibern liegt bei den Behörden der Länder, die Betriebe auch ohne Anlass inspizieren dürfen.

Die Zentralstelle der Länder für Gesundheitsschutz bei Arzneimitteln und Medizinprodukten (ZLG) benennt und überwacht die deutschen Benannten Stellen. Bei Streit mit einer Benannten Stelle, etwa über die Verweigerung oder Aussetzung eines Zertifikats, sind zunächst die vertraglichen und internen Beschwerdewege der Stelle zu nutzen. Für vernetzte Geräte in Kliniken kommt das BSI hinzu, wenn die Einrichtung unter das BSI-Gesetz fällt.

Pflichten der Betreiber

Krankenhäuser, Praxen und Pflegeeinrichtungen, die Medizinprodukte betreiben, unterliegen der Medizinprodukte-Betreiberverordnung. Die neu gefasste MPBetreibV gilt seit 20. Februar 2025. Sie regelt Einweisung, sicherheitstechnische und messtechnische Kontrollen, das Bestandsverzeichnis und verlangt in größeren Einrichtungen einen Beauftragten für Medizinproduktesicherheit. Für bestimmte Software sind seit August 2025 zusätzliche Pflichten zu IT-Sicherheit und Schulung zu beachten. Hersteller sollten ihre Betreiberinformationen darauf abstimmen.

Neue Produkthaftung

Mit dem Gesetz zur Modernisierung des Produkthaftungsrechts setzt Deutschland die Richtlinie (EU) 2024/2853 um. Der Bundestag hat es am 8. Oktober 2026 beschlossen, es gilt im Wesentlichen ab 9. Dezember 2026 für danach in Verkehr gebrachte Produkte. Software ist dann ausdrücklich ein Produkt, auch wenn sie nur heruntergeladen oder als Dienst bereitgestellt wird. Hersteller haften auch für Fehler, die durch fehlende Sicherheitsupdates entstehen, solange sie das Produkt noch kontrollieren.

Für Geschädigte gibt es Offenlegungspflichten und Beweiserleichterungen. Gerade bei komplexen Medizinprodukten kann das Gericht den Fehler oder die Ursächlichkeit vermuten. Eine lückenlose technische Dokumentation und ein belegbarer Update-Prozess werden damit zur besten Verteidigung.

Patente und Design für Medizintechnik

Geräte, Implantate, Instrumente und technische Software lassen sich durch Patente und Gebrauchsmuster schützen. Chirurgische und therapeutische Verfahren am Körper sind zwar nicht patentierbar, wohl aber die dafür eingesetzten Produkte. Die äußere Gestaltung eines Geräts oder einer Benutzeroberfläche schützt ein eingetragenes Design. Unsere Patentanwälte melden an, unsere Rechtsanwälte setzen die Rechte durch.

• VO (EU) 2017/745 (MDR)
• MPDG
• MPBetreibV
• MDCG 2019-16
• MDCG 2019-11
• VO (EU) 2024/2847 (CRA)
• RL (EU) 2024/2853
• ProdHaftG n. F.
• PatG
• DesignG

Häufige Fragen