Zurück zum Wiki
Verordnung (EU) 2017/745

MDR – Medical Device Regulation

Die Medical Device Regulation (Verordnung (EU) 2017/745) gilt seit dem 26. Mai 2021 und regelt das Inverkehrbringen von Medizinprodukten in der EU – einschließlich Software, die eigenständig als Medizinprodukt gilt (Software as a Medical Device).

Cybersicherheit ist dabei Zulassungsvoraussetzung: Anhang I der MDR (Grundlegende Sicherheits- und Leistungsanforderungen) verlangt in Abschnitt 17.2, dass Software nach dem Stand der Technik entwickelt wird – ausdrücklich inklusive IT-Sicherheit. Die Leitlinie MDCG 2019-16 konkretisiert, wie Hersteller Cybersecurity über den gesamten Lebenszyklus nachweisen müssen.

Rechtsakt
Verordnung (EU) 2017/745
Gültig seit
26. Mai 2021
Security-Leitlinie
MDCG 2019-16

Cybersecurity-Anforderungen der MDR

  • Anhang I, 17.2: Entwicklung nach dem Stand der Technik – Lebenszyklus, Risikomanagement, Verifizierung und Validierung inkl. IT-Sicherheit.
  • Anhang I, 17.4: Hersteller müssen Mindestanforderungen an Hardware, IT-Netze und IT-Sicherheitsmaßnahmen der Betriebsumgebung festlegen.
  • Post-Market Surveillance (Art. 83 ff.): Schwachstellen müssen auch nach Markteinführung überwacht und behoben werden.
  • Vigilanz (Art. 87 ff.): Schwerwiegende Vorkommnisse – auch security-bedingte – sind meldepflichtig.
  • MDCG 2019-16 verlangt u. a. Threat Modeling, Security-Risk-Management, Security-Testing (inkl. Penetrationstests) und einen koordinierten Umgang mit Schwachstellen.

Relevante Normen

Für den Nachweis haben sich IEC 81001-5-1 (Security-Aktivitäten im Software-Lebenszyklus für Health Software), ISO 14971 (Risikomanagement) und IEC 62304 (Software-Lebenszyklus) etabliert. Benannte Stellen prüfen die technische Dokumentation zunehmend gezielt auf Cybersecurity-Nachweise – fehlende Security-Tests sind ein häufiger Grund für Nachforderungen im Konformitätsbewertungsverfahren.

So setzen Sie es um

  1. 1

    Produkt klassifizieren

    Prüfen, ob Ihre Software ein Medizinprodukt ist (MDCG 2019-11) und welche Risikoklasse (I–III) gilt.

  2. 2

    Security-Risikomanagement aufsetzen

    Threat Modeling und Security-Risikoanalyse nach ISO 14971 / IEC 81001-5-1 in die technische Dokumentation integrieren.

  3. 3

    Sichere Entwicklung etablieren

    Secure-Coding-Richtlinien, Code-Reviews und SBOM (Software Bill of Materials) im Entwicklungsprozess verankern.

  4. 4

    Security-Tests durchführen

    Penetrationstests und Schwachstellenanalysen als Verifizierungsnachweis für Anhang I 17.2 dokumentieren.

  5. 5

    Begleitdokumente erstellen

    Sicherheitsanforderungen an die Betriebsumgebung (Anhang I 17.4) in der Gebrauchsanweisung festhalten.

  6. 6

    Post-Market-Prozess einrichten

    Schwachstellen-Monitoring, Patch-Prozess und Vigilanz-Meldewege für die Zeit nach Markteinführung aufbauen.

Was droht bei Verstößen?

Sanktionen regeln die Mitgliedstaaten (in Deutschland: MPDG) – von Bußgeldern bis zu Vertriebsverboten. Praktisch gravierender: Ohne ausreichende Cybersecurity-Nachweise verweigert die Benannte Stelle das CE-Zertifikat, das Produkt darf nicht in Verkehr gebracht werden.

Die Rolle des Penetrationstests

MDCG 2019-16 nennt Penetrationstests ausdrücklich als Bestandteil der Security-Verifizierung. Ein Pentest-Bericht mit Methodik, Findings und Retest ist ein direkt verwertbarer Nachweis für die technische Dokumentation gegenüber der Benannten Stelle.

MDR-Cybersecurity mit Sodu Secure

Offizielle Quellen & Belege

Alle Angaben dieses Artikels stützen sich auf die folgenden Primärquellen (Stand: 2026-07-17).

MDR – Medical Device Regulation – Wiki | Sodu Secure