Die Medical Device Regulation (Verordnung (EU) 2017/745) gilt seit dem 26. Mai 2021 und regelt das Inverkehrbringen von Medizinprodukten in der EU – einschließlich Software, die eigenständig als Medizinprodukt gilt (Software as a Medical Device).
Cybersicherheit ist dabei Zulassungsvoraussetzung: Anhang I der MDR (Grundlegende Sicherheits- und Leistungsanforderungen) verlangt in Abschnitt 17.2, dass Software nach dem Stand der Technik entwickelt wird – ausdrücklich inklusive IT-Sicherheit. Die Leitlinie MDCG 2019-16 konkretisiert, wie Hersteller Cybersecurity über den gesamten Lebenszyklus nachweisen müssen.
Für den Nachweis haben sich IEC 81001-5-1 (Security-Aktivitäten im Software-Lebenszyklus für Health Software), ISO 14971 (Risikomanagement) und IEC 62304 (Software-Lebenszyklus) etabliert. Benannte Stellen prüfen die technische Dokumentation zunehmend gezielt auf Cybersecurity-Nachweise – fehlende Security-Tests sind ein häufiger Grund für Nachforderungen im Konformitätsbewertungsverfahren.
Prüfen, ob Ihre Software ein Medizinprodukt ist (MDCG 2019-11) und welche Risikoklasse (I–III) gilt.
Threat Modeling und Security-Risikoanalyse nach ISO 14971 / IEC 81001-5-1 in die technische Dokumentation integrieren.
Secure-Coding-Richtlinien, Code-Reviews und SBOM (Software Bill of Materials) im Entwicklungsprozess verankern.
Penetrationstests und Schwachstellenanalysen als Verifizierungsnachweis für Anhang I 17.2 dokumentieren.
Sicherheitsanforderungen an die Betriebsumgebung (Anhang I 17.4) in der Gebrauchsanweisung festhalten.
Schwachstellen-Monitoring, Patch-Prozess und Vigilanz-Meldewege für die Zeit nach Markteinführung aufbauen.
Sanktionen regeln die Mitgliedstaaten (in Deutschland: MPDG) – von Bußgeldern bis zu Vertriebsverboten. Praktisch gravierender: Ohne ausreichende Cybersecurity-Nachweise verweigert die Benannte Stelle das CE-Zertifikat, das Produkt darf nicht in Verkehr gebracht werden.
MDCG 2019-16 nennt Penetrationstests ausdrücklich als Bestandteil der Security-Verifizierung. Ein Pentest-Bericht mit Methodik, Findings und Retest ist ein direkt verwertbarer Nachweis für die technische Dokumentation gegenüber der Benannten Stelle.
MDR-Cybersecurity mit Sodu SecureAlle Angaben dieses Artikels stützen sich auf die folgenden Primärquellen (Stand: 2026-07-17).