BOTENSTOFFE
IT-Sicherheitsüberprüfung nach § 17 MPBetreibV
Software der Klasse MDR IIb/III oder IVDR C/D muss geprüft werden, bevor sie in Betrieb geht — und danach spätestens alle zwei Jahre. Prüfen darf nur, wer die Anforderungen des § 5 MPBetreibV erfüllt. Wir tun das.
Sie kommen über den QR-Code aus der mdi? Willkommen. Der Leitfaden sagt, was das Gesetz verlangt. Hier steht, was Sie damit machen.
Medizintechnik oder IT?
Die Anzeige hatte nur Platz für die erste Antwort. Hier ist der Rest.
Einordnen. Prüfen. Dokumentieren. Beheben.
- Einordnung Ihrer Software (MDR IIb/III, IVDR C/D) und der Unterlagen
- Prüfung mit Protokoll, das einer Aufsicht standhält
- Mängelbeseitigung – wir zeigen nicht nur, was fehlt
Fangen wir an.
Die Prüfung dauert kürzer als die Diskussion darüber, wer zuständig ist. Nach zwanzig Minuten haben Sie eine Liste Ihrer betroffenen Systeme und wissen, was zu tun ist.
Termin buchen — 20 MinutenZwei Fragen, dann wissen Sie es
Typischerweise betroffen ist Software, die unmittelbar in Diagnose, Therapie oder Behandlungssteuerung eingreift:
Aber: Produktbezeichnungen wie PDMS, Bildanalyse, Navigation oder KI-Diagnostik erlauben allein keine sichere Risikoklassifizierung. Maßgeblich ist der regulatorische Status des konkreten Produkts — und der steht in der Konformitätserklärung, nicht im Datenblatt. Nachschlagen lässt er sich in der europäischen Datenbank EUDAMED, deren erste Module seit Mai 2026 verpflichtend sind.
1Welche Risikoklasse trägt die Software?
§ 17 Absatz 1 knüpft an Artikel 51 Absatz 1 in Verbindung mit Anhang VIII MDR an — für Software insbesondere Regel 11 — beziehungsweise an Artikel 47 Absatz 1 in Verbindung mit Anhang VIII IVDR. Betroffen sind MDR IIb und III sowie IVDR C und D. Nachweis: Konformitätserklärung, Zertifikat, Herstellerauskunft.
2Wird sie in einer Gesundheitseinrichtung betrieben und benutzt?
Gesundheitseinrichtung ist jede Einrichtung, in der Produkte durch medizinisches Personal, Personen der Pflegeberufe oder sonstige dazu befugte Personen betrieben oder benutzt werden. Cloud- und SaaS-Betrieb ändert nichts an der Betreiberverantwortung — Aufgaben sind übertragbar, die Verantwortung nicht.
Ohne Formular, ohne E-Mail-Adresse.
Was das Gesetz verlangt
Vor Aufnahme des Betriebs
Die Software ist zu prüfen, bevor sie betrieben und benutzt wird. Nicht nur einmalig: Bei Neuinstallation, Migration oder Plattformwechsel greift die Pflicht erneut.
§ 17 Abs. 1 Satz 1Einweisung — und deren Nachweis
Die Benutzer sind einzuweisen. Die Einweisung ist in geeigneter Form zu dokumentieren; Software gilt nach Artikel 2 Nummer 4 MDR als aktives Produkt. Der Nachweis ist ein prüfbarer Beleg, kein Organisationsmittel.
§ 17 Abs. 2 · § 4 Abs. 3 Satz 4Spätestens alle zwei Jahre
Genauer: mit Ablauf des Monats, in dem die Installation erfolgte oder die letzte IT-Sicherheitsüberprüfung durchgeführt wurde. Bei erhöhtem Risiko früher. Wo ein Medizinproduktebuch zu führen ist, ist die Überprüfung dort einzutragen.
§ 17 Abs. 3 Sätze 2 und 3 · § 13 Abs. 2 Nr. 4Protokoll mit Datum und Ergebnissen
Eine Aufbewahrungsfrist nennt die Verordnung hier nicht — anders als bei der sicherheitstechnischen Kontrolle. Wir empfehlen: mindestens bis zur übernächsten Überprüfung.
§ 17 Abs. 3 Satz 4Bußgeldbewehrt.
§ 19 MPBetreibV stellt Verstöße gegen § 17 ausdrücklich als Ordnungswidrigkeit — das Betreiben- oder Benutzenlassen ohne Prüfung und Einweisung, die nicht, nicht richtig oder nicht rechtzeitig durchgeführte Überprüfung, und die Beauftragung einer Stelle, die § 5 nicht erfüllt. Über § 94 Absatz 2 Nummer 10 MPDG beträgt der Rahmen bis zu 30.000 Euro. Fahrlässigkeit genügt.
Einordnen. Prüfen. Dokumentieren. Beheben.
Wir bestimmen, welche Ihrer Systeme unter § 17 fallen, und sichten die Unterlagen: Konformitätserklärung, Zweckbestimmung, Herstellerangaben zur IT-Sicherheit und zur digitalen Infrastruktur. Das Ergebnis ist eine begründete Liste, keine Vermutung.
Wir prüfen gegen den Sollzustand, den der Hersteller vorgibt — MDR Anhang I Kapitel II Nummer 17.4 beziehungsweise IVDR Nummer 16.4 verpflichten ihn, diesen zu benennen. Was er fordert, ist Prüfmaßstab, nicht Empfehlung.
Protokoll mit Datum, Prüfumfang, Ergebnissen und dem Fälligkeitstermin der nächsten Überprüfung. Geschrieben für den Fall, dass jemand von außen hineinsieht.
Der Teil, den andere weglassen. Wir übergeben nicht nur eine Mängelliste, sondern begleiten die Beseitigung — mit Ihrer IT, Ihrer Medizintechnik und wenn nötig mit dem Hersteller.
So viel oder so wenig, wie Sie brauchen
Prüfung
Sie haben Ihre Systeme im Griff und brauchen die Überprüfung nach § 17 mit belastbarem Protokoll.
- Prüfung gegen die Herstellervorgaben
- Protokoll nach § 17 Abs. 3 Satz 4
- Fälligkeitstermin der nächsten Prüfung
Prüfung mit Vorbereitung
Sie wissen noch nicht sicher, welche Systeme betroffen sind. Wir klären das vorher.
- Einordnung Ihrer Systemlandschaft
- Unterlagenbeschaffung und Herstellerabstimmung
- anschließend Prüfung und Protokoll
Prüfung mit technischer Tiefe
Für Systeme, bei denen das Protokoll nicht reicht.
- alles aus Paket 2
- technische Verifikation bis zum Penetrationstest
- begleitete Mängelbeseitigung
Preise auf Anfrage — der Aufwand hängt an der Zahl der Systeme und daran, wie vollständig die Herstellerunterlagen vorliegen.
Medizintechnik und IT — bei uns dieselbe Abteilung
Der Witz in der Anzeige ist ernst gemeint. In den meisten Häusern liegt die Zuständigkeit zwischen Medizintechnik und IT, und genau dort bleibt § 17 liegen. Wir decken beide Seiten ab.
Wir erfüllen die Anforderungen des § 5 MPBetreibV und legen auf Wunsch offen, woraus sich das im Einzelnen ergibt. Und wir haben am Leitfaden zur Umsetzung des § 17 mitgeschrieben, der in der Fachzeitschrift mdi erscheint.
- BrancheAusschließlich Gesundheitswesen — Kliniken, MVZ, Praxen, Medizinproduktehersteller
- QualifikationPrüfende Stelle nach § 5 MPBetreibV — nachweisbar, produktbezogen
- PraxisLaufende Mandate als externe Informationssicherheitsbeauftragte in Kliniken
- PrüferfahrungAudits und Sicherheitsüberprüfungen nach ISO 27001, B3S und IEC 80001-1, Penetrationstests, Häuser unter KRITIS und NIS2
- FachlichMitautoren des § 17-Leitfadens, erscheint in der mdi
20 Minuten, dann wissen Sie, woran Sie sind
Kein Vertrieb, kein Foliensatz. Sie schildern Ihre Systemlandschaft, wir sagen Ihnen, was davon unter § 17 fällt und was das an Aufwand bedeutet.
Lieber direkt: +49 621 4908956-0 · info@botenstoffe.com