Die Beachtung der Herstelleranforderungen bei der Verbindung vernetzungsfähiger Produkte mit einem Medizinischen Netzwerk

In § 4 Absatz 6 Satz 3 Medizinprodukte-Betreiberverordnung ist seit 20.02.2025 neu geregelt:

„Für vernetzte Produkte sind bei der Verbindung mit einem Netzwerk die Anforderungen des Herstellers hinsichtlich der digitalen Infrastruktur in Bezug auf die Informationssicherheit seiner Produkte zu beachten.“

Damit wird dem Benutzer von Medizinprodukten eine zusätzliche Pflicht aufgebürdet, die in der Praxis nicht so ohne weiteres umsetzbar ist.

Geplant war 2023 im Entwurf ein § 4 Absatz 9 mit folgendem Wortlaut:

„Werden vernetzte Produkte betrieben und angewendet, hat die verantwortliche Person zum Schutze dieser Produkte die nach dem Stand der Technik angemessenen technischen und organisatorischen Maßnahmen zur Gewährleistung der Informationssicherheit zu ergreifen. Dabei sollen die Angaben des Herstellers berücksichtigt werden. Satz 1 gilt als erfüllt, wenn diese Maßnahmen bereits aufgrund einer anderen gesetzlichen Pflicht getroffen wurden.“

Dieser Absatz 9 wurde im Gesetzgebungsverfahren gestrichen und durch den letzten Satz in § 4 Absatz 6 ersetzt.

Weder die geänderte Regelung noch die Begründung sind für sich gesehen nachvollziehbar. Im 2023 vorgesehenen Absatz 9 sollte die verantwortliche Person des Betreibers die Netzwerksicherheit sicherstellen, im neuen Absatz 6 Satz 3 wird der Benutzer verpflichtet, die Netzwerksicherheit zu prüfen, bevor es zu einer Handhabung kommt. Das ist kaum zu vermitteln, denn nur der Verantwortliche für Medizinprodukte kann dies sicherstellen, der Benutzer braucht schnelle, einfache Lösungen, damit er seine Arbeit überhaupt leisten kann. Der Betreiber wird also nicht umhinkommen die IEC 80001-1 Risikomanagement für Medizinische Netzwerke umzusetzen. Im Übrigen ergeben sich seine Sicherstellungspflichten aus den vorhandenen Regeln zur Cybersicherheit, die grundlegend in der DSGVO und in § 391 SGB V für Krankenhäuser geregelt sind – überdies die IT-Sicherheitsgesetze zu beachten sind.

Richtig ist, dass der geplante Absatz 9 eigentlich überflüssig war, weil die Cybersicherheit seit etlichen Jahren in anderen Vorschriften umfangreich geregelt ist, ohne dass dies in Gesundheitseinrichtungen so richtig wahrgenommen wird. Die Grundregelungen finden sich in der DSGVO von Art. 5 Abs. 1f) über Art. 24 und 25 bis Art. 32, 33 und 35 in Verbindung mit § 22 Abs. 2 S. 2 BDSG, in den §§ 306-383, 390 und 391 SGB V sowie in den Kritis-Regelungen im BSIG und KRITIS-DachG.

Eine Untersuchung von Forescout zeigt das Risiko auf, das z.B. von vernetzten medizinischen Geräten im Internet of Medical Things (IoMT) ausgeht. IoMT-Geräte verbinden Patienten, Ärzte und medizinische Geräte miteinander – einschließlich Krankenhaus-Equipment, Diagnoseausrüstung und tragbarer Technologie –, indem sie Informationen über ein sicheres Netzwerk übertragen. Im Schnitt betreibt jede Einrichtung 2.500 solcher Geräte, nur jedes zehnte wird aktiv vor Malware-Angriffen geschützt.

Insgesamt zählte Forescout seinem Bericht zufolge 162 Schwachstellen auf IoMT-Geräten, viele davon wurden eigentlich bereits nach 2017 behoben.¹

Kürzlich ist G DATA CyberDefense in Zusammenarbeit mit Statista und brand eins der Frage nachgegangen, wie es um die IT-Sicherheit in Deutschland steht. Ein Ergebnis für die Gesundheitsbranche: Nur rund 17 Prozent der Angestellten schätzen ihre persönliche Kompetenz im Bereich IT-Sicherheit als (sehr) hoch ein – ein sehr niedriger Wert im Vergleich zum branchenübergreifenden Durchschnitt von rund 30 Prozent. Mehr als ein Drittel der Befragten attestiert sich sogar geringe bis sehr geringe Kenntnisse. IT-Sicherheit ist im Gesundheitswesen essenziell, trotzdem fehlt vielen Mitarbeitenden das notwendige Fachwissen, um mit den immer komplexeren Anforderungen Schritt zu halten. Dies beeinträchtigt das gesamte Schutzniveau der Einrichtungen und macht deutlich, dass gezielte Schulungen und Sensibilisierungsmaßnahmen dringend notwendig sind.²

Dass der Verordnungsgeber den § 4 Abs. 6 um den Satz 4 um Anwenderpflichten für vernetzte Medizinprodukte ergänzt hat, ist deshalb grundsätzlich verständlich. Allerdings wird kein Arzt, kein sonstiger Therapeut und auch keine Pflegekraft für diese Anwenderpflichten Verständnis haben, weil damit ein zusätzliches Zeithemmnis und damit eine Störung im Arbeitsablauf verbunden ist.

Folglich muss der Betreiber im Rahmen seiner Verpflichtungen aus dem Arbeitsschutz und seinen Organisationspflichten gegenüber den Patienten Maßnahmen ergreifen, damit die Funktionssicherheit vernetzter Medizinprodukte einfach ohne größeren Zeitaufwand geprüft werden kann wie z.B. die StK-Plakette zur einfachen Feststellung, dass die Frist für die Sicherheitstechnische Kontrolle nicht abgelaufen ist. Dies setzt aber voraus, dass vernetzte Systeme mit einem geeigneten Managementverfahren geprüft werden. Dafür gibt es bereits seit 2011 die DIN EN 80001-1:2023³, mit der der Betreiber Medizinische Netzwerke umfassend und nachhaltig ordnungsgemäß und fachgerecht sicher verwalten kann.

Dies klarzustellen, wäre eigentliche Aufgabe des Verordnungsgesetzgebers, der in § 4 Abs. 1 regeln könnte, dass der Betreiber die Informatorischen Sicherheitsregeln aufgrund anderer Vorschriften einzuhalten hat. So muss jetzt in Schulungen und Kommentierungen Klarheit geschaffen werden, was dazu führt, dass die Umsetzung viele Jahre sehr uneinheitlich erfolgen wird.⁴

¹ Augsten (2024), Forescout-Analyse Sicherheitsrisiken bei vernetzten Medizingeräten, in: Healthcare digital vom 26.11.2024, Online.
² Karpenstein (2024), IT-Bewusstsein und Unsicherheit bei NIS-2-Richtlinie erhöhen Handlungsdruck, in: HealthCare Digital vom 24.10.2024, Online.
³ DIN EN IEC 80001-1:2023-02 VDE 0756-1:2023-02: Anwendung des Risikomanagements für IT-Netzwerke, die Medizinprodukte beinhalten – Teil 1: Sicherheit, Effektivität, Daten- und Systemsicherheit bei Implementierung und Gebrauch von eingebundenen Medizinprodukten oder eingebundener Gesundheitssoftware.
⁴ Auszug aus der Kommentierung der im Juli 2026 im medhochzwei Verlag erscheinenden 2. Auflage von Böhme, Medizinprodukterecht für Betreiber und Anwender unter B.20.7.7.

Diese Nachricht stammt aus dem Healthcare & Hospital Law Newsletter. Abonnieren Sie hier kostenlos und verpassen Sie keine wichtigen News aus der Branche!