Mit der novellierten Medizinprodukte-Betreiberverordnung (MPBetreibV) treffen Betreiber seit 2025 erweiterte Pflichten beim Betrieb bestimmter Software. Für Software als Medizinprodukt der Klassen IIb und III sowie Software als In-vitro-Diagnostikum der Klassen C und D fordert § 17 MPBetreibV die Prüfung der ordnungsgemäßen Installation (Abs. 1) sowie die Durchführung angemessener IT-Sicherheitsüberprüfungen nach den allgemein anerkannten Regeln der Technik (Abs. 3). Diese Überprüfungen sind spätestens alle zwei Jahre zu wiederholen und in einem Protokoll mit Datum und Ergebnissen zu dokumentieren.
Die Verordnung beschreibt das Ziel, nicht den konkreten Umfang: Was „angemessen“ ist, ergibt sich aus der jeweiligen Software, ihrer Risikoklasse und den konkreten Benutzungs- und Umgebungsbedingungen beim Betreiber. Zugleich dürfen die Überprüfungen nach § 17 Abs. 4 i. V. m. § 5 MPBetreibV nur von entsprechend qualifizierten Personen durchgeführt werden – gefordert ist damit eine Prüfung, die IT-Sicherheit und Medizinprodukte-Regulatorik gleichermaßen beherrscht.
Gleichzeitig ist aber auch klar, dass der Gesetzgeber für diese zusätzliche Prüfung keine zusätzliche Vergütung oder zusätzliches Personal vorgesehen hat. Die Leistungen müssen also aus dem Bestand erbracht werden. Benötigt wird daher ein möglichst schlankes Vorgehen bei gleichzeitiger Erfüllung der gesetzlichen Vorgaben.
Genau hier setzt unser Vorgehen an. Unsere IT-Sicherheitsüberprüfung „ITS17“ erfüllt die Anforderungen der MPBetreibV an eine Prüfung nach § 17 und basiert methodisch auf dem IT-Grundschutz des BSI. Daraus leiten wir gezielt diejenigen Anforderungen ab, die ein Hersteller bzw. Dienstleister mit seinem Produkt erfüllen sollte, und prüfen deren Umsetzung in der real installierten Umgebung. Dabei greifen wir auf einen breiten Fundus an System- und Anwendungskenntnissen zu einzelnen Geräten und Systemen zurück, welche wir aufgrund von vergangenen ITS17 IT-Sicherheitsüberprüfungen sammeln konnten.
Unsere Leistung umfasst:
- Prüfung der Einschlägigkeit des § 17 MPBetreibV auf die jeweilige MP-Software anhand der vom Hersteller bereitgestellten Unterlagen
- Prüfung des Nachweises zur ordnungsgemäßen Installation der Software
- Abstimmung mit dem Hersteller bzw. Dienstleister zu den herstellerseitigen Sicherheitsvorgaben und –eigenschaften der Software
- Einen Abstimmungstermin mit dem Betreiber zur Besprechung der konkret realisierten Installation, Netzwerkintegration und Konfiguration inkl. Datenmanagement, Nutzerverwaltung und Authentifizierung
- Bewertung der IT-Sicherheit auf Basis der einschlägigen Anforderungen des IT-Grundschutzes
- Dokumentation der Ergebnisse in einem Protokoll inkl. abschließendem Bericht.
Als Ergebnis erhalten Sie konkrete Maßnahmen und Empfehlungen zur Verbesserung der IT-Sicherheit – anschlussfähig an Ihre bestehende Dokumentation und geeignet als Nachweis der Betreiberpflichten nach § 17 MPBetreibV. Synagon verbindet langjährige Erfahrung in der Medizinprodukte-Regulatorik mit fundierter Expertise in der IT-Sicherheit von Krankenhäusern. Gerne unterstützen wir Sie bei der Durchführung Ihrer IT-Sicherheitsüberprüfungen nach § 17 MPBetreibV.