Compliance & Regulations

IT-Sicherheitsprüfung nach §17 MPBetreibV

Anforderungen, Ablauf, Compliance

Ablauf ansehen Kontakt aufnehmen
Gilt ab 1. August 2025
In Kraft seit 20. Februar 2025
Taktung spätestens alle zwei Jahre

Was fordert §17 MPBetreibV bei Medizinprodukte-Software?

§17 MPBetreibV verpflichtet Betreiber zu regelmäßigen IT-Sicherheitsüberprüfungen für bestimmte Software. Die Vorschrift ist seit dem 20. Februar 2025 in Kraft und gilt ab dem 1. August 2025.

Betroffen ist Software als Medizinprodukt der Klassen IIb und III sowie Software als In-vitro-Diagnostikum der Klassen C und D, die in einer Gesundheitseinrichtung betrieben wird. Der Gesetzgeber verlangt „angemessene IT-Sicherheitsüberprüfungen nach den allgemein anerkannten Regeln der Technik“.

Ziel der Prüfung: Risiken und Leistungsbeeinträchtigungen der Software frühzeitig erkennen und so weit wie möglich verringern. Damit schützt die Prüfung sowohl die eingesetzten Systeme als auch die Patientenversorgung, die von ihrer Funktionsfähigkeit abhängt.

Als Orientierungspunkte für unsere Prüfverfahren nutzen wir bewährte Standards wie den B3S für Krankenhäuser und den IT-Grundschutz des BSI. Diese Standards spiegeln den aktuellen Stand der Technik wider und bieten eine gute Grundlage.

Wer darf die IT-Sicherheitsprüfung durchführen?

§17 MPBetreibV stellt hohe Anforderungen an die Prüfer. Eine Eigenprüfung durch die interne IT ist zwar theoretisch möglich, praktisch aber meist nicht umsetzbar.

Anforderungen nach §5 MPBetreibV:

 

Unabhängigkeit

Die fachliche Beurteilung darf keiner Weisung unterliegen. Das schließt intern angebundene Abteilungen in der Regel aus.

Fachkompetenz

Aktuelle Kenntnisse durch geeignete Ausbildung und einschlägige berufliche Tätigkeit im IT-Betrieb.

Das macht externe, spezialisierte IT-Dienstleister zur üblichen Lösung (o.ä.). Sie bringen die erforderliche Expertise in IT-Sicherheit mit und weisen die geforderte Unabhängigkeit nach.

Axians trägt zu diesen Anforderungen bei: Wir berücksichtigen bei unseren Informationssicherheitsprozessen Aspekte, die sich an Standards wie ISO/IEC 27001 orientieren. Mit unserer Erfahrung in der IT-Sicherheitsprüfung von Gesundheitseinrichtungen und qualifizierten Prüfern tragen wir zur Erfüllung der Anforderungen nach §5 MPBetreibV bei.

Wie läuft die IT-Sicherheitsprüfung bei Axians ab?

Wir prüfen im strukturierten Interview-Verfahren und legen dabei einen Prüfkatalog zugrunde, der sich auf den B3S und den IT-Grundschutz des BSI stützt.

  1. Vorbereitung

    Wir stellen im Vorfeld eine detaillierte Prüfliste bereit, damit Ihr Team die erforderlichen Nachweise vorbereiten kann.

  2. 2

    Interview mit Ihrem Fachpersonal

    Wer die Systeme administriert, zeigt uns im Gespräch die konkreten Nachweise auf den zu prüfenden Systemen.

  3. 3

    Keine direkten Systemzugriffe

    Unsere Prüfer erhalten zu keinem Zeitpunkt Zugriff auf Ihre Systeme. Die Prüfung stützt sich auf Dokumentation, Interviews und Sichtprüfung.

  4. 4

    Systemgerechte Prüfung

    Wir prüfen jedes Medizinprodukt-System einzeln. Besteht ein Produkt aus mehreren Komponenten, etwa Webserver und Datenbankserver, betrachten wir jede Komponente separat und terminieren die Prüfungen möglichst zeitnah zueinander.

  5. 5

    Netzwerkprüfung

    Da Medizinprodukte in speziellen Netzwerken betrieben werden, prüfen wir auch die Netzwerkinfrastruktur: Segmentierung, Firewall-Regeln, zentrale Protokollierung.

  6. 6

    Remote-Durchführung

    Alle Termine finden bevorzugt remote statt. Das erleichtert die Terminfindung und reduziert Ausfallzeiten in Ihrem Betrieb.

  7. 7

    Berichterstellung

    Nach jeder Prüfung erhalten Sie einen Prüfbericht mit Ergebnissen und, wo nötig, Handlungsempfehlungen. Wir stellen die Berichte je Medizinprodukt zeitnah nach der Prüfung aus, damit Ihre Dokumentation jederzeit aktuell bleibt.

Fristen & Dokumentation

Fristen und Dokumentationspflichten

Wie oft muss geprüft werden?

Die IT-Sicherheitsüberprüfung ist spätestens alle zwei Jahre fällig, mit Ablauf des Monats, in dem die Installation der Software erfolgte oder die letzte Überprüfung stattfand.

Beispiel: Wurde Ihre Software im März 2025 installiert, muss die nächste Prüfung spätestens im März 2027 erfolgen.

Frühzeitige Prüfung bei erhöhtem Risiko

Ist aufgrund der konkreten Nutzungs- und Umgebungsbedingungen früher mit Mängeln zu rechnen, müssen Sie die Prüfung schon vor Ablauf der zwei Jahre durchführen lassen, etwa bei kritischen Systemen oder häufigen Netzwerkänderungen.

Prüfkalender

Empfehlung: Führen Sie einen Prüfkalender mit allen installierten Medizinprodukten und den jeweiligen Prüffristen. So vermeiden Sie Fristüberschreitungen und behalten die Compliance im Blick. Gerne unterstützen wir Sie bei der Führung und Verwaltung des Prüfkalenders. Sprechen Sie uns an, um die passende Lösung für Ihre Anforderungen zu finden.

Dokumentationspflichten

Über jede IT-Sicherheitsüberprüfung ist ein Protokoll anzufertigen mit:

  • Datum der Durchführung
  • Ergebnissen der Prüfung
  • Name des durchführenden Prüfers
  • Identifikation des geprüften Medizinprodukts: Gerätetyp, Hersteller, Seriennummer, Softwareversion

Sie nehmen das Protokoll in Ihr Medizinproduktebuch auf. Es muss für die zuständigen Behörden verfügbar sein.

Ihr Weg zur ersten Prüfung

Die Anforderungen aus §17 MPBetreibV traten bereits am 1. August 2025 in Kraft. Bis zu diesem Stichtag sollten Ihre erste Prüfung geplant und Ihre Infrastruktur dokumentiert sein.

Inventarisieren

Erfassen Sie alle betroffenen Software-Medizinprodukte der Klassen IIb, III, C und D.

Kontakt aufnehmen

Wir besprechen Ihre Systemlandschaft und den passenden Prüfumfang.

Prüfkalender anlegen

Auf Wunsch unterstützen wir Sie dabei, alle Fristen zentral abzubilden.

Prüfung durchführen

Wir führen die Prüfung remote durch und liefern ein rechtssicheres Protokoll für Ihr Medizinproduktebuch.

Zyklus fortführen

Über einen Rahmenvertrag mit 2 bis 3 Jahren Laufzeit bleibt der Aufwand für Folgeprüfungen planbar.

Jetzt IT-Sicherheitsprüfung Ihrer Medizinprodukte durchführen

Darüber hinaus unterstützen wir auf Wunsch bei der Abstimmung zwischen IT und Medizintechnik, etwa bei Verantwortungsverteilung, Prozessen und Schulungen.

Sie möchten wissen, welcher Prüfumfang für Ihre Einrichtung gilt und was das kostet? Nehmen Sie Kontakt zu unserem Team für IT-Sicherheitsprüfungen nach §17 MPBetreibV auf. Kontaktieren Sie uns.

Häufige Fragen zur IT-Sicherheitsprüfung nach §17

Brauchen wir neben §17 noch weitere Prüfungen?

§17 deckt speziell die Medizinprodukte-Software ab. Je nach Einrichtung kommen weitere Anforderungen hinzu:

  • NIS2-Umsetzungsgesetz: Für Betreiber kritischer Infrastrukturen gelten seit Dezember 2025 zusätzliche IT-Sicherheitspflichten.
  • ISO 27001: Kein Muss für §17, schafft aber zusätzliche Struktur im Sicherheitsmanagement.
  • DIN 80001: Regelt das Risikomanagement für IT-Netzwerke mit Medizinprodukten und fordert eine sichere Netzwerkintegration von Medizinprodukten, einschließlich angemessener Netzwerktrennung und Sicherheitsmaßnahmen.

Wir beraten Sie gerne, welche zusätzlichen Maßnahmen für Ihre Einrichtung sinnvoll sind.

Können wir die Prüfung selbst durchführen?

Rein rechtlich ja, in der Praxis meist nicht. Wer bei Ihnen prüft, muss die Anforderungen nach §5 MPBetreibV erfüllen: nachgewiesene Unabhängigkeit bei fachlichen Beurteilungen sowie aktuelle Fachkenntnisse und einschlägige Erfahrung speziell in der IT-Sicherheit. Diese Kombination ist innerhalb interner Strukturen selten gegeben. Deshalb beauftragen die meisten Betreiber externe Dienstleister wie Axians.

Was kostet eine IT-Sicherheitsprüfung nach §17?

Die Kosten richten sich nach Anzahl und Komplexität Ihrer Systeme: Wie viele Medizinprodukte betroffen sind, aus wie vielen Komponenten sie bestehen und wie das zugehörige Netzwerk aufgebaut ist. Daher haben wir das modulare System der Einzelkomponenten gewählt. Für jede Komponente gibt es definierte typische Aufwände, sodass die Skalierung leicht absehbar ist. Die Module umfassen beispielsweise Netzwerk, System und Golden Images. So können Sie transparent nachvollziehen, welche Leistungen in welchem Umfang anfallen.

Da sich diese Faktoren von Einrichtung zu Einrichtung deutlich unterscheiden, lässt sich ein pauschaler Preis nicht seriös nennen. Nach einem kurzen Gespräch zu Ihrer Systemlandschaft erstellen wir Ihnen ein konkretes, auf Ihre Situation zugeschnittenes Angebot.

Gilt §17 auch für kleinere Einrichtungen ohne KRITIS-Status?

Ja. §17 MPBetreibV gilt unabhängig davon, ob Ihre Einrichtung unter die KRITIS-Regulierung fällt oder ob Sie bereits ein Informationssicherheitsmanagementsystem nach ISO 27001 betreiben. Die Pflicht trifft jeden Betreiber von Software der betroffenen Risikoklassen.

axians-secure.de | Compliance & Regulations | IT-Sicherheitsprüfung nach §17 MPBetreibV