Software und IT-Sicherheit nach § 17 MPBetreibV
Software kann selbst ein Medizinprodukt sein, etwa zur Auswertung von Bilddaten oder zur Steuerung einer Therapie. Für bestimmte Software enthält die Medizinprodukte-Betreiberverordnung (MPBetreibV) seit 2025 eigene Betreiberpflichten: § 17 ist seit dem 1. August 2025 anzuwenden.
Welche Software ist betroffen?
§ 17 gilt für Software als Medizinprodukt der Klassen IIb und III nach der Verordnung (EU) 2017/745 (MDR) sowie für Software als In-vitro-Diagnostikum der Klassen C und D nach der Verordnung (EU) 2017/746 (IVDR). Für andere Software gelten die allgemeinen Regeln der Verordnung, etwa zur Instandhaltung und zur Einweisung.
Vor dem Betrieb: Installation und Einweisung
Der Betreiber darf solche Software nur betreiben und benutzen lassen, wenn zuvor der Hersteller oder eine dazu befugte, im Einvernehmen mit dem Hersteller handelnde Person die ordnungsgemäße Installation geprüft und eine vom Betreiber beauftragte Person anhand der Gebrauchsanweisung sowie der beigefügten sicherheitsbezogenen Informationen und Instandhaltungshinweise eingewiesen hat. Die Einweisung umfasst die sachgerechte Benutzung und den Betrieb der Software sowie die zulässige Verbindung mit anderen Produkten. Anschließend darf die Software nur von entsprechend eingewiesenen Personen betrieben oder benutzt werden.
Die Installationsprüfung kann bei entsprechenden technischen Voraussetzungen auch per Fernzugriff erfolgen. Für digitale Gesundheitsanwendungen nach § 33a SGB V und digitale Pflegeanwendungen nach § 78a SGB XI gilt die besondere Regelung des § 17 Abs. 1 Satz 1 nicht.
IT-Sicherheitsüberprüfungen
Wird die Software in einer Gesundheitseinrichtung betrieben und benutzt, sind angemessene IT-Sicherheitsüberprüfungen nach den allgemein anerkannten Regeln der Technik durchzuführen oder durchführen zu lassen. Sie müssen geeignet sein, Risiken und Leistungsbeeinträchtigungen frühzeitig zu erkennen und soweit wie möglich zu verringern. Sie sind spätestens alle zwei Jahre mit Ablauf des Monats durchzuführen, in dem die Installation der Software erfolgte oder die letzte IT-Sicherheitsüberprüfung durchgeführt wurde. Bei entsprechenden Benutzungs- und Umgebungsbedingungen kann eine frühere Überprüfung erforderlich sein.
Über jede Überprüfung ist ein Protokoll mit Datum der Durchführung und Ergebnissen anzufertigen. Soweit für das betreffende Produkt ein Medizinproduktebuch nach § 13 MPBetreibV zu führen ist, sind dort auch Fristen, Durchführungsdatum und Ergebnis vorgeschriebener IT-Sicherheitsüberprüfungen zu dokumentieren.
Wer darf prüfen: Der Betreiber darf nur Personen, Betriebe oder Einrichtungen mit der IT-Sicherheitsüberprüfung beauftragen, die für das jeweilige Produkt die Voraussetzungen nach § 5 MPBetreibV erfüllen.
Updates und erneute Einweisung
Die Instandhaltung von Software umfasst die Installation sicherheitsrelevanter Softwareaktualisierungen (§ 7 MPBetreibV). Ändert ein Update die Handhabung beim Betreiben und Benutzen nicht nur geringfügig, ist nach § 4 MPBetreibV eine erneute Einweisung erforderlich.
Worauf es in der Praxis ankommt
Software ist im Alltag leicht zu übersehen, weil sie nicht im Regal steht. Diese Punkte führen erfahrungsgemäß am häufigsten zu Lücken:
- Das Installationsdatum beziehungsweise das Datum der letzten IT-Sicherheitsüberprüfung ist nicht festgehalten, obwohl sich danach die nächste Zweijahresfrist richtet.
- IT-Sicherheitsüberprüfungen liegen als lose Berichte vor und lassen sich dem Produkt nicht zuordnen.
- Updates werden eingespielt, aber weder dokumentiert noch auf neuen Einweisungsbedarf geprüft.
- Die Zuständigkeit zwischen IT-Abteilung und Medizintechnik ist nicht geklärt.
Wie Aurel hilft
Aurel ordnet Fristen, durchgeführte Maßnahmen und zugehörige Nachweise dem jeweiligen Produkt zu und macht anstehende Termine frühzeitig sichtbar. So lassen sich auch Prüftermine und Protokolle zu Software strukturiert verwalten, ohne parallele Tabellen pflegen zu müssen.
Gespräch vereinbaren