Die Medical Device Regulation (MDR, Verordnung (EU) 2017/745) regelt die Sicherheit und Leistungsfähigkeit von Medizinprodukten in der EU – von Herzschrittmachern über Insulinpumpen bis zu diagnostischer Software. Seit vernetzte und softwarebasierte Medizinprodukte zum Standard geworden sind, ist Cybersicherheit darin keine Nebensache mehr: Die MDR verlangt von Herstellern explizit robuste IT-Sicherheitsmaßnahmen als Teil der grundlegenden Sicherheits- und Leistungsanforderungen. Diese Seite konzentriert sich auf genau diesen cybersicherheitsrelevanten Teil der MDR – nicht auf das gesamte Medizinprodukterecht.
Was regelt die MDR im Bereich Cybersicherheit?
Die MDR wurde am 5. April 2017 erlassen, am 5. Mai 2017 im Amtsblatt der EU veröffentlicht und trat am 25. Mai 2017 in Kraft. Als Verordnung gilt sie unmittelbar in allen Mitgliedstaaten. Ursprünglich sollte die volle Anwendung ab dem 26. Mai 2020 gelten; wegen der COVID-19-Pandemie wurde dieser Termin durch Verordnung (EU) 2020/561 um ein Jahr auf den 26. Mai 2021 verschoben. Die MDR löst die früheren Richtlinien 93/42/EWG (Medizinprodukte-Richtlinie, MDD) und 90/385/EWG (Aktive-Implantate-Richtlinie, AIMDD) ab. Die Cybersicherheitsanforderungen finden sich nicht in einem eigenen Kapitel, sondern in Anhang I, den „Grundlegenden Sicherheits- und Leistungsanforderungen" (GSPR) – konkret in Abschnitt 17 zu elektronischen programmierbaren Systemen.
Wer ist von der MDR betroffen?
Die MDR richtet sich in erster Linie an Hersteller von Medizinprodukten – nicht an Anwender oder Betreiber wie Krankenhäuser. Betroffen sind alle physischen Geräte mit medizinischer Zweckbestimmung (Diagnose, Prävention, Überwachung, Behandlung), aber ausdrücklich auch Software als Medizinprodukt (Software as a Medical Device, SaMD): Eine App oder ein Algorithmus gilt als eigenständiges Medizinprodukt, wenn sie selbst einen der genannten medizinischen Zwecke erfüllt – etwa eine KI-gestützte Diagnosesoftware oder eine App zur Dosisberechnung. Reine Fitness- oder Wellness-Apps ohne medizinische Zweckbestimmung fallen nicht unter die MDR. Auch Importeure und Händler haben abgeleitete Pflichten, insbesondere bei der Weitergabe sicherheitsrelevanter Informationen.
Anhang I, Abschnitt 17 – die zentralen Cybersicherheitsanforderungen
Abschnitt 17 der GSPR („Elektronische programmierbare Systeme – Geräte, die Software enthalten, sowie Software, die selbst Medizinprodukte sind") verlangt von Herstellern im Kern vier Dinge, häufig als 17.1-17.4 zitiert:
| GSPR-Abschnitt | Kernanforderung |
|---|---|
| 17.1 Allgemeine Anforderungen | Software muss nach dem Stand der Technik unter Berücksichtigung von Entwicklungslebenszyklus, Risikomanagement (inkl. Informationssicherheit), Verifizierung und Validierung entwickelt und hergestellt werden. |
| 17.2 Kombination mit Hardware | Bei Software, die zusammen mit Hardware betrieben wird, müssen die Anforderungen an das kombinierte System berücksichtigt werden. |
| 17.3 IT-Sicherheitsmaßnahmen | Hersteller müssen Mindestanforderungen an Hardware, IT-Netzwerkeigenschaften und IT-Sicherheitsmaßnahmen – einschließlich Schutz vor unbefugtem Zugriff – festlegen und angeben. |
| 17.4 Wirksamkeitsnachweis | Die getroffenen Schutzmaßnahmen müssen nachweislich geeignet sein, unbefugten Zugriff zu verhindern, der die bestimmungsgemäße Funktion des Geräts beeinträchtigen könnte. |
Damit verlangt die MDR von Herstellern einen Secure-Development-Lifecycle-Ansatz: Sicherheit muss von der Konzeption an mitgedacht (Security by Design), während der gesamten Entwicklung verifiziert und nach Markteinführung weiter beobachtet werden. Das Risikomanagement nach Abschnitt 17 ist eng mit der allgemeinen Risikomanagementpflicht nach Anhang I Abschnitt 3 verzahnt, die sich an der Normenreihe ISO 14971 orientiert.
MDCG 2019-16 und harmonisierte Normen
Da die MDR selbst technologieneutral formuliert ist, konkretisiert die Medical Device Coordination Group (MDCG) die Erwartungen in der Leitlinie MDCG 2019-16 „Guidance on Cybersecurity for medical devices" (aktuelle Fassung: Rev. 1, Juli 2020). Sie beschreibt praxisnah, wie Hersteller Cybersicherheit über den gesamten Produktlebenszyklus umsetzen sollten – von der Bedrohungsmodellierung über sicheres Design bis zum Schwachstellenmanagement nach Markteinführung. Ergänzend etabliert sich die Norm IEC 81001-5-1 (Health-Software-Cybersicherheit, europäische Fassung EN IEC 81001-5-1:2022) zunehmend als Stand der Technik für sichere Software-Lebenszyklusprozesse in Medizinprodukten; ihre formelle Harmonisierung im Rahmen der MDR ist für 2028 vorgesehen, sie wird von Benannten Stellen und Behörden aber schon jetzt regelmäßig als Referenz herangezogen. Für das allgemeine Risikomanagement bleibt ISO 14971:2019 (mit der EU-spezifischen Anpassung EN ISO 14971:2019/A11:2021) die maßgebliche Norm.
Übergangsfristen für Bestandsprodukte
Für Medizinprodukte, die bereits unter den alten Richtlinien (MDD/AIMDD) zertifiziert waren („Legacy Devices"), gelten verlängerte Übergangsfristen. Verordnung (EU) 2023/607 hat diese 2023 gestaffelt nach Risikoklasse deutlich verlängert:
| Geräteklasse | Frist |
|---|---|
| Klasse III & implantierbare Klasse-IIb-Produkte | 31. Dezember 2027 |
| Sonstige Klasse-IIb-, Klasse-IIa- und sterile/messfunktionale Klasse-I-Produkte | 31. Dezember 2028 |
Voraussetzung für die verlängerten Fristen war unter anderem, dass Hersteller bis zum 26. Mai 2024 ein MDR-konformes Qualitätsmanagementsystem eingerichtet und einen formellen Antrag bei einer Benannten Stelle gestellt sowie bis 26. September 2024 eine schriftliche Vereinbarung mit dieser abgeschlossen hatten. Für neu entwickelte Produkte ohne Bestandsschutz gelten die vollen MDR-Anforderungen inkl. Cybersicherheit bereits seit dem 26. Mai 2021.
Post-Market Surveillance & Vigilance nach Art. 87
Die Cybersicherheitspflichten enden nicht mit der CE-Kennzeichnung. Hersteller müssen im Rahmen der Marktbeobachtung (Post-Market Surveillance) auch nach dem Inverkehrbringen aktiv nach neu bekannt werdenden Cybersicherheits-Schwachstellen ihrer Produkte suchen und darauf reagieren – etwa durch Sicherheitsupdates oder Patches. Führt eine Schwachstelle zu einem „schwerwiegenden Vorkommnis" (Serious Incident) oder könnte sie dazu führen – etwa weil ein Cyberangriff die korrekte Funktion eines vernetzten Geräts beeinträchtigt und dadurch Patientinnen und Patienten gefährdet –, greift die Meldepflicht nach Art. 87 MDR: Der Hersteller muss dies der zuständigen Behörde grundsätzlich binnen 15 Tagen nach Kenntniserlangung melden, bei ernster Gefahr für die öffentliche Gesundheit binnen 2 Tagen und bei Tod oder unerwarteter schwerer Verschlechterung des Gesundheitszustands binnen 10 Tagen.
Sanktionen und Marktrisiken
Anders als NIS2 oder die DSGVO legt die MDR selbst keine konkreten Bußgeldbeträge fest. Art. 113 MDR verpflichtet die Mitgliedstaaten lediglich, Sanktionen festzulegen, die „wirksam, verhältnismäßig und abschreckend" sind – die genaue Ausgestaltung bleibt nationalem Recht überlassen. In Deutschland regelt das Medizinprodukterecht-Durchführungsgesetz (MPDG) die entsprechenden Bußgeldtatbestände. In der Praxis ist das kommerzielle Risiko bei MDR-Verstößen aber oft größer als das Bußgeld selbst: Werden gravierende Cybersicherheitsmängel festgestellt, können Benannte Stellen die CE-Kennzeichnung aussetzen oder entziehen und Behörden die Rücknahme des Produkts vom Markt anordnen. Für Hersteller bedeutet das faktisch einen Vertriebsstopp – ein Risiko, das die reinen Bußgeldrahmen anderer Regulierungen häufig übersteigt.
Verhältnis zur NIS2-Richtlinie
MDR und NIS2 setzen an unterschiedlichen Punkten an, betreffen aber teils dieselben Akteure. Das Gesundheitswesen zählt in Anhang I der NIS2-Richtlinie zu den Sektoren hoher Kritikalität – viele Krankenhäuser und Gesundheitsdienstleister sind daher selbst NIS2-pflichtig und müssen ein eigenes Risikomanagement für ihre Netz- und Informationssysteme betreiben. Hersteller von Medizinprodukten dagegen fallen unter das verarbeitende Gewerbe in Anhang II und sind nur NIS2-pflichtig, wenn sie die Größenschwellen (i. d. R. über 50 Beschäftigte bzw. 10 Mio. € Umsatz) überschreiten. Entscheidend ist die konzeptionelle Trennung: Die MDR-Cybersicherheitsanforderungen kleben am Produkt – dem Medizingerät selbst, unabhängig davon, wo es eingesetzt wird –, während NIS2 an der Organisation ansetzt, etwa dem Netzwerk und den IT-Systemen eines Krankenhauses. Ein Krankenhaus, das ausschließlich MDR-konforme, cybersicherheitsgeprüfte Geräte einsetzt, braucht trotzdem ein eigenes NIS2-Risikomanagementprogramm für sein eigenes Netzwerk. Und ein Medizinproduktehersteller, der groß genug für NIS2 ist, braucht beides gleichzeitig: organisatorische NIS2-Compliance für das eigene Unternehmen und produktbezogene MDR-Cybersicherheit für das, was er herstellt. Mehr zur NIS2-Richtlinie in unserem NIS2-Wiki-Artikel, alle EU-Cyberregulierungen im Überblick im EU Cyber-Regulierung Wiki.
Praktische nächste Schritte
- Klassifizierung klären: Ist Ihr Produkt (oder Ihre Software) ein Medizinprodukt im Sinne der MDR, und wenn ja, welcher Risikoklasse?
- Cybersicherheits-Risikomanagement nach Anhang I Abschnitt 17 und ISO 14971 in die technische Dokumentation integrieren – idealerweise orientiert an MDCG 2019-16 und IEC 81001-5-1.
- Post-Market-Surveillance-Prozess inkl. Schwachstellenmanagement und Meldewegen nach Art. 87 etablieren.
- Ist Ihr Unternehmen als Hersteller zusätzlich groß genug für NIS2, prüfen Sie Ihre organisatorische Betroffenheit mit dem kostenlosen NIS2-Check – ein Grundgerüst wie unser Risikomanagement Kit → deckt die organisatorische NIS2-Seite ab, ersetzt aber nicht die produktspezifische MDR-Dokumentation nach Abschnitt 17.
- Bei Unsicherheiten zur Klassifizierung oder zu Cybersicherheitsanforderungen frühzeitig eine Benannte Stelle oder spezialisierte Regulatory-Affairs-Beratung einbinden.
Häufig gestellte Fragen zu MDR und Cybersicherheit
Ja. Software gilt als eigenständiges Medizinprodukt (Software as a Medical Device, SaMD), wenn sie selbst eine medizinische Zweckbestimmung wie Diagnose, Überwachung oder Behandlung erfüllt – unabhängig davon, ob sie auf eigener Hardware läuft.
In Anhang I der MDR, den Grundlegenden Sicherheits- und Leistungsanforderungen (GSPR), konkret in Abschnitt 17 zu elektronischen programmierbaren Systemen (häufig als 17.1-17.4 zitiert).
Verordnung (EU) 2023/607 verlängerte die Übergangsfristen gestaffelt nach Risikoklasse: bis 31. Dezember 2027 für Klasse-III- und implantierbare Klasse-IIb-Produkte, bis 31. Dezember 2028 für die übrigen Klasse-IIb-, Klasse-IIa- und bestimmte Klasse-I-Produkte – jeweils unter zusätzlichen Voraussetzungen.
Die MDR selbst legt keine Bußgeldbeträge fest, sondern verlangt in Art. 113 nur „wirksame, verhältnismäßige und abschreckende" Sanktionen der Mitgliedstaaten (in Deutschland über das MPDG). Praktisch schwerer wiegt häufig das Risiko einer Aussetzung oder Entziehung der CE-Kennzeichnung.
Nein. MDR-Konformität betrifft das einzelne Produkt, NIS2 betrifft die Organisation als Ganzes. Ein Krankenhaus benötigt unabhängig von der Gerätequalität ein eigenes NIS2-Risikomanagementprogramm für sein Netzwerk und seine Informationssysteme.