Software als Medizinprodukt hat jetzt einen Prüftermin

In der Medizintechnik sind Prüffristen Alltag. Das Defibrillator-Gerät hat seine sicherheitstechnische Kontrolle, die Waage ihre messtechnische, und auf jedem Gerät klebt eine Plakette. Für Software gab es so etwas bisher nicht. Seit dem 1. August 2025 gibt es das.

Was § 17 MPBetreibV verlangt

Die Medizinprodukte-Betreiberverordnung wurde 2025 neu gefasst. Ihr § 17 regelt „Besondere Pflichten bei bestimmter Software“: Software als Medizinprodukt der Klassen IIb und III nach der MDR und Software als In-vitro-Diagnostikum der Klassen C und D. Drei Pflichten stehen darin.

Erstens, vor dem Betrieb: Der Hersteller oder eine von ihm befugte Person muss die ordnungsgemäße Installation geprüft und eine vom Betreiber beauftragte Person eingewiesen haben. Die Prüfung der Installation darf ausdrücklich auch per Fernzugriff erfolgen. Und nach Absatz 2 darf die Software nur benutzen, wer eingewiesen ist.

Zweitens, in Gesundheitseinrichtungen, eine wiederkehrende Prüfung. Absatz 3:

„Die IT-Sicherheitsüberprüfungen sind spätestens alle zwei Jahre mit Ablauf des Monats durchzuführen, in dem die Installation der Software erfolgte oder die letzte IT-Sicherheitsüberprüfung durchgeführt wurde.“

Ist früher mit Mängeln zu rechnen, muss früher geprüft werden. Und: „Über die IT-Sicherheitsüberprüfungen ist ein Protokoll anzufertigen, das das Datum der Durchführung und ihre Ergebnisse enthält.“

Drittens, wer prüfen darf. Nach Absatz 4 nur Personen, Betriebe oder Einrichtungen, die die Voraussetzungen des § 5 für genau diese Überprüfung erfüllen. Die eigene IT ist damit nicht automatisch ausgeschlossen, aber sie muss die Qualifikation nachweisen können.

Anwendbar ist § 17 nach der Übergangsbestimmung in § 20 Absatz 3 seit dem 1. August 2025.

Warum das die IT betrifft

Bisher war die Medizintechnik für ihre Geräte zuständig und die IT für ihre Server. Software als Medizinprodukt liegt genau dazwischen: Sie läuft auf Servern und Arbeitsplätzen der IT, hängt an deren Netz, Updates und Benutzerkonten, und unterliegt trotzdem den Regeln für Medizinprodukte. Wer die Prüfung organisiert, wer das Protokoll ablegt und wer den nächsten Termin im Blick hat, ist in vielen Häusern noch nicht entschieden.

• Erst die Liste. Welche Software im Haus ist Medizinprodukt der Klasse IIb oder III? Die Antwort steht in der Konformitätserklärung des Herstellers, nicht im Gefühl der Anwender.
• Dann der Termin. Für jede Installation das Datum, von dem an die zwei Jahre laufen, gerechnet bis zum Monatsende.
• Dann der Prüfer. Wer erfüllt die Voraussetzungen nach Absatz 4, intern oder extern?
• Und die Einweisung. Nach § 4 Absatz 3 auch nach Updates, die die Handhabung nicht nur geringfügig ändern.

Wie isidaten das abbildet

Im Modul Medizinproduktebetrieb ist die IT-Sicherheitsüberprüfung nach § 17 eine eigene Prüfart neben sicherheitstechnischer und messtechnischer Kontrolle. Die Frist wird wie in der Verordnung zum Monatsende gerechnet, standardmäßig 24 Monate. Eine tägliche Prüfung erinnert die verantwortliche Person im Vorlauf höchstens einmal pro Woche und meldet überfällige Prüfungen; ist ein externer Prüfdienstleister hinterlegt, bekommt er die Erinnerung ebenfalls. Die Qualifikation als IT-Sicherheitsprüfer nach § 17 Absatz 4 ist als eigene Rolle geführt, und das Supportende eines Produkts lässt sich an das zugehörige IT-System koppeln.

Die Prüffrage

Wie viele Installationen von Medizinprodukt-Software der Klassen IIb und III gibt es in Ihrem Haus, und wann ist für jede die nächste IT-Sicherheitsüberprüfung fällig?

Wenn die erste Zahl unbekannt ist, ist die zweite Frage noch nicht dran.

Quellen

Medizinprodukte-Betreiberverordnung (MPBetreibV) vom 14. Februar 2025, zuletzt geändert am 31. Oktober 2025, § 4 Absatz 3, § 17 und § 20 Absatz 3, abgerufen am 30.10.2026.