Praxisfrage:

Frage eines Leiters der Medizintechnik:

In § 2 Absatz 1 Nr. 6 MPBetreibV ist als Tätigkeit im Zusammenhang mit dem Betreiben und Benutzen von Produkten neu der Begriff IT-Sicherheitsüberprüfungen aufgenommen.

1. Für welche Produkte gilt das?
2. Was versteht man darunter?

Antworten:

1. IT-Sicherheitsüberprüfungen gelten unmittelbar nur für Standalone-Software, die in die Klassen IIb und III MDR sowie in die Klassen C und D IVDR eingeordnet sind. Nach § 17 Abs. 3 Satz 1 MPBetreibV „hat der Betreiber nach Maßgabe des Satzes 2 angemessene IT-Sicherheitsüberprüfungen nach den allgemein anerkannten Regeln der Technik durchzuführen oder durchführen zu lassen, die dazu geeignet sind, Risiken und Leistungsbeeinträchtigungen frühzeitig zu erkennen und soweit wie möglich zu verringern“.

Das bedeutet, dass ein Umkehrschluss insoweit gezogen werden muss, dass Standalone-Software, die nicht in die Klassen IIb und III MDR sowie in die Klassen C und D IVDR eingeordnet ist, keiner IT-Sicherheitsüberprüfung mit zweijähriger Hauptuntersuchung bedarf, nachdem § 17 MPBetreibV dies ausdrücklich nur für Software der Klassen IIb und III MDR sowie der Klassen C und D IVDR verlangt. Andere Software wie z.B. Steuerungssoftware unterliegt hingegen den Einweisungsanforderungen des § 4 Abs. 3 MPBetreibV und den Instandhaltungsanforderungen des § 7 MPBetreibV.

2. Was IT-Sicherheitsüberprüfungen sind, ist in der MPBerteibV nicht geregelt. In der Verordnungsbegründung ist dazu ausgeführt:¹

„Angesichts der vielgestaltigen Anwendungsgebiete und Ausgestaltungen der Softwareprodukte müssen sich die im Rahmen der IT-Sicherheitsüberprüfung durchzuführenden Schritte am jeweiligen Softwareprodukt orientieren. Pauschale Anforderungen verbieten sich insofern. Je nach Einzelfall kann die IT-Sicherheitsüberprüfungen insbesondere umfassen:

• Prüfung bestehender Schnittstellen (z. B. WLAN, Ethernet, Mobilfunk, Bluetooth, Radio-Frequency Identification, Near Field Communication, serielle Schnittstellen)
• Prüfung begleitender Hardware (z. B. Endgeräte, Netzwerkverkabelungen, Netzwerkkomponenten, Peripheriegeräte)
• Prüfung eingebetteter Systeme
• Prüfung von Authentifizierungsmechanismen (z. B. Stärke der implementierten Methode(n), Zertifikatsprüfungen, Passwortrichtlinien)
• Ausschluss von Logikfehlern (z. B. Löschung von Parametern, Bewertung der Upload- & Download-Funktionalität).“

Somit muss für jede einzelne Standealone-Software der Klassen IIb und III MDR sowie der Klassen C und D IVDR der Umfang einer IT-Sicherheitsüberprüfung gesondert festgestellt werden.

¹ Bundesratsdrucksache 251/24 vom 23.05.2024, S. 42.

Diese Nachricht stammt aus dem Healthcare & Hospital Law Newsletter. Abonnieren Sie hier kostenlos und verpassen Sie keine wichtigen News aus der Branche!