IT-Sicherheitsüberprüfung nach §17 MPBetreibV

Ablaufdiagramm der IT-Sicherheitsüberprüfung (ITS17) — Software als Medizinprodukt IIb/III, Software als IVD C/D
HANDREICHUNG BVMI UND FBMT
1
Vorbereitung
Anwendungsentscheidung · Herstellerunterlagen · individueller Prüfkatalog · Betriebs- und Sicherheitskonzept · Zuständigkeiten
2
Installation & Einweisung
Installationsprüfung · Einweisung · Bestandsverzeichnis und Medizinproduktebuch · Risikomanagement IT-Netzwerk
3
IT-Sicherheitsüberprüfung
Prüfer beauftragen · Dokumentenprüfung · Nachweisprüfung · Prüfprotokoll · Mängelliste
4
Mängelbeseitigung
Mängel beseitigen · Nachprüfung · Freigabeentscheidung durch den Betreiber · Dokumentation
5
Folgeprüfung
spätestens alle zwei Jahre · früher bei konkretem Anlass · Außerbetriebsetzung
1
Vorbereitung
§4, §7, §13, §14, §17(1) MPBetreibV
1.1
Betreiber
Anwendungsentscheidung: Klasse der Software prüfen
Fällt die Software unter §17? Medizinprodukt-Software IIb/III (MDR) · Software als IVD C/D (IVDR) · Eigenherstellung eingeschlossen · Ausnahme DiGA/DiPA, aber nur für Abs. 1.
§17(1)
EUDAMED – Klasse prüfen
1.2
Betreiber
Bestandssystem ohne Erstprüfung?
Häufigster Praxisfall. Sollzustand nachziehen statt Installationsprüfung wiederholen. Übergangsfrist endete am 1.8.2025 — meist ist die Überprüfung längst fällig.
§20(3) i.V.m. §17(3)
Anwendungsentscheidung / Register betroffener Software
1.3
Hersteller
Herstellerdokumentation bereitstellen
Regulatorische, sicherheitsbezogene und technische Unterlagen übergeben. Übersicht nach Abschnitt 0.4 des Prüfprotokolls ITS17 V38.
Inhalte anzeigen
Regulatorisch — EU-Konformitätserklärung · Zertifikat der Benannten Stelle, falls die Konformitätserklärung Umfang oder Gültigkeit offenlässt · Gebrauchsanweisung / Herstellerhandbuch · Herstellerauskunft zur Zweckbestimmung bei Unklarheiten
Sicherheitsangaben — MDS2 (ANSI/NEMA HN 1-2019) · Security Guidance / Hardening Guide · IT-Sicherheitszertifikate, z. B. IEC 81001-5-1, IEC 62443-4-1, ISO/IEC 27001
Technische Vorgaben — Systemanforderungen sowie Installations-, Netzwerk- und Infrastrukturvorgaben · Systemarchitektur mit Netzwerk- und Datenflussdiagramm · Schnittstellen-, Port- und Protokollliste, ggf. DICOM Conformance Statement
Lebenszyklus — Release Notes und Versionsstände · Security Advisories und PSIRT-Mitteilungen · SBOM · Servicevertrag mit Patchversorgung und Supportende
Wenn etwas fehlt — nicht jeder Hersteller liefert alle Unterlagen. Fehlende Dokumente werden vermerkt und angefordert; der Prüfumfang wird darauf bezogen.
B3S 6.13.14 MDR Anh. I 17.4
Gebrauchsanweisung / Security Guideline
MDS2 – BSI Leitfaden Medizinprodukte SBoM – Expertenkreis CyberMed (ACS)
1.4
Betreiber
Herstellerunterlagen auswerten, Prüfkatalog ableiten
Aus MDS2 und den übrigen Begleitdokumenten — Security Guidance, Systemanforderungen, Advisories — individuelle Prüf- und Anforderungspunkte ableiten. Liefert der Hersteller kein MDS2, tragen Gebrauchsanweisung und Security Guidance die Sollwerte. Ergebnis: ein Prüfkatalog für dieses Produkt in dieser Betriebsumgebung.
B3S 6.13.14 TR 80001-2-8 Kap. 4
Individueller Prüfkatalog (Produkt + Betriebsumgebung)
1.5
Betreiber
Betriebs- und Sicherheitskonzept erstellen
Netzwerkintegration planen, Anforderungen an die digitale Infrastruktur berücksichtigen (§4 Abs. 6). Inhalte und Struktur liefert Schritt 1.4 — die dort abgeleiteten Anforderungs- und Prüfpunkte sind die Gliederung des Konzepts.
§4(6) B3S 6.13.1 / .3 / .6 / .15
Inhalte anzeigen
Systemzeichnung — Netzwerkplan mit Darstellung aller Verbindungen des Medizinprodukts zu IT-Systemen, Schnittstellen und Netzwerksegmenten.
Dokumentation der Betriebsumgebung — Beschreibung der digitalen Infrastruktur: Betriebssysteme, Datenbanken, Middleware, Firewalls, VPN, Zugangskontrollen und Schnittstellen zu weiteren Systemen.
Betriebs- und Sicherheitskonzept
1.6
Betreiber
Ausfall- und Wiederherstellungskonzept
Ausfall: Erkennen, Melden, Ersatzworkflow, Kommunikation. Wiederherstellung: Zuständigkeit, Wiederanlauf, Funktionsprüfung. Empfehlung, keine Wortlautpflicht des §17.
B3S 6.4 / 6.6 / 6.13.11
Ausfall- und Wiederherstellungskonzept
1.7
Betreiber
Verantwortlichkeitsvereinbarung
Klare Zuordnung der Zuständigkeiten zwischen Hersteller, Betreiber und ggf. Dienstleister.
B3S 6.12 TR 80001-2-6 Abschn. 5
Zuständigkeitsvereinbarung
RACI-Matrix
2
Installation & Einweisung
§17 Abs. 1 MPBetreibV
2.1
Hersteller / befugte Person
Prüfung ordnungsgemäße Installation
Hersteller oder eine im Einvernehmen mit dem Hersteller handelnde befugte Person prüft die korrekte Installation. Auch per Fernzugriff möglich.
§17(1) Nr. 1 B3S 6.13.3 / .10 / .14 80001-1, 6.1.4.3
Prüfprotokoll ordnungsgemäße Installation
2.2
Hersteller / befugte Person
Einweisung der beauftragten Person
Einweisung anhand Gebrauchsanweisung, sicherheitsbezogener Informationen, Instandhaltungshinweise und zulässiger Verbindung mit anderen Produkten.
§17(1) Nr. 2 B3S 6.8
Einweisungsprotokoll / -nachweis
2.3
Betreiber
Medizinproduktebuch / Bestandsverzeichnis führen
Bestandsverzeichnis nach §14: Bezeichnung, Typ, Seriennummer, Anschaffungsjahr, Hersteller, Standort, Zuordnung. Medizinproduktebuch nach §13: Installation, Einweisung, Überprüfungen, Fristen, Instandhaltungen. Empfohlen als der eine Ort für alles — es deckt das Bestandsverzeichnis mit ab und geht darüber hinaus.
§14 MPBetreibV §13 MPBetreibV B3S 6.5
Bestandsverzeichnis (aktualisiert)
Medizinproduktebuch, soweit zu führen
2.4
Betreiber
Risikomanagement IT-Netzwerk
Risikoanalyse nach DIN EN IEC 80001-1 für den vernetzten Betrieb. Schutzziele: Safety, Effectiveness, Security. Vorhandene Controls taugen als Prüfpunkte. Diese Risikobewertung ist die Grundlage der späteren Freigabeentscheidung (→ 4.3).
B3S 5 / 6.13.10 / .14 DIN EN IEC 80001-1
Risikobewertung IT-Netzwerk
⚠ §17(2): Software darf nur von eingewiesenen Personen betrieben/benutzt werden.
Voraussetzung für Betrieb erfüllt
3
IT-Sicherheitsüberprüfung (Erst-/Folgeprüfung)
§17 Abs. 3 MPBetreibV
3.1
Betreiber
Beauftragung qualifizierter Prüfer
Nur wer die Voraussetzungen nach §5 für das jeweilige Produkt erfüllt: Fachkenntnis, Weisungsfreiheit, geeignete Mittel.
§17(4) i.V.m. §5 B3S 8.1 (analog)
3.2
Prüfer
Dokumentenprüfung
Abgleich der Unterlagen aus 1.3 gegen den in 1.4 abgeleiteten Prüfkatalog: Stimmen die dokumentierten IT-Sicherheitseigenschaften mit der tatsächlichen Installation überein?
§17(3) B3S 6.10
3.3
Prüfer
Nachweisprüfung
Betriebszustand verifizieren: vorhanden, aktiv, wirksam, dokumentiert. Nachweise aus dem laufenden Betrieb — Protokolle, Patchstände, Berechtigungen, Netz und Zertifikate, Backup.
B3S 6.10
3.4
Prüfer
Prüfprotokoll erstellen
Protokoll mit Datum der Durchführung, Ergebnissen und ggf. Mängelliste. Es führt vier Prüfteile zusammen: dokumentarisch-regulatorische Prüfung, Funktionsfähigkeit und Leistung, technische und organisatorische IT-Sicherheit, Risiko- und Mängelbewertung.
§17(3) S. 4 B3S 6.10 Aufbewahrung — offen
Prüfprotokoll ITS17 V38 (BVMI / fbmt)
3.5
Prüfer
Mängelliste erstellen
Festgestellte Mängel aus Dokumenten- und Nachweisprüfung (→ 3.2, 3.3) mit Schweregrad, Maßnahme, Verantwortlichkeit und Frist erfassen.
§17(3) S. 4
Mängelliste
⚠ Prüfumfang und Prüftiefe. Kontrolle des bestehenden Betriebszustands — nicht erneute Bewertung von Konzeption, Auslegung oder Konfiguration, das ist §17 Abs. 1. Kein Penetrationstest. Die ITS17 umfasst neben Dokumenten- und Nachweisprüfung auch Funktionsfähigkeit und Leistung — Alarme und Meldungen, Fehlerzustände, Kernfunktionen, Schnittstellen und Hersteller-Systemanforderungen. Abweichungsvorbehalt: konkrete Anhaltspunkte für eine unwirksame Maßnahme werden einbezogen und als Mangel erfasst.
Ergebnis der Prüfung — Mängel festgestellt?
4
Mängelbeseitigung (falls Mängel festgestellt)
Pflicht des Betreibers
4.1
Betreiber
Mängelbeseitigung
Festgestellte Mängel beseitigen, ggf. unter Mitwirkung des Herstellers oder IT-Dienstleisters.
B3S 6.10 / 6.13.4
4.2
Prüfer
Nachprüfung
Verifizierung der Mängelbeseitigung durch den qualifizierten Prüfer.
80001-1, 6.1.4.3
Nachprüfungsprotokoll
4.3
Betreiber
Freigabeentscheidung
Der Prüfer gibt eine Empfehlung, die Entscheidung trifft der Betreiber — begründet. Offene Mängel mit Frist weiterverfolgen, ggf. kompensierende Maßnahmen.
B3S 5.2
Freigabeentscheidung (Zusammenfassung im Prüfprotokoll)
4.4
Betreiber
Dokumentation aktualisieren
Mängelbeseitigung und Nachprüfung im Medizinproduktebuch dokumentieren.
§13
Medizinproduktebuch (aktualisiert)
Freigabeentscheidung getroffen — Betrieb wird fortgesetzt
5
Folgeprüfung (Zyklus) und Außerbetriebsetzung
§17 Abs. 3 Satz 2–3 MPBetreibV
🔄

Nächste IT-Sicherheitsüberprüfung spätestens alle 2 Jahre

Frist: Spätestens mit Ablauf des Monats, in dem die Installation erfolgte oder die letzte Prüfung durchgeführt wurde. Bei konkretem Anlass (Benutzungs-/Umgebungsbedingungen) auch früher. → Weiter mit Phase 3

§17(3) S. 2–3
5.1
Betreiber
Außerbetriebsetzung
Kontrolliert und dokumentiert: Schnittstellen und Zugänge abbauen, Daten archivieren oder löschen, Medizinproduktebuch und Bestandsverzeichnis fortschreiben.
B3S 6.5 / 6.6
Außerbetriebsetzung dokumentiert
Rechtsgrundlage: §17 MPBetreibV, anzuwenden ab 1.8.2025 (§20 Abs. 3) — Software als Medizinprodukt IIb/III (MDR), Software als IVD C/D (IVDR).
Ordnungswidrigkeiten: §19 Nr. 3 (Beauftragung) · Nr. 6 (Betrieb ohne Prüfung oder Einweisung) · Nr. 7 (Überprüfung nicht oder nicht rechtzeitig) · Nr. 9 (Medizinproduktebuch, Bestandsverzeichnis) · dazu §130 OWiG.
Normen: MDS2 · BSI IT-Grundschutz · B3S „Medizinische Versorgung“ v1.3.1, Stand 06.01.2026 · DIN EN IEC 80001-1 · DIN EN IEC 81001-5-1.
BVMI und fbmt — Orientierung für den schnellen Überblick, kein Ersatz für den Leitfaden und keine Rechtsberatung. Einordnungen über den Verordnungswortlaut hinaus sind begründete Fachmeinung. Stand 02.09.2026.
Impressum

Angaben gemäß § 5 DDG

Botenstoffe Consulting GmbH
Franz-Volhard-Straße 5
68167 Mannheim

Vertreten durch

Geschäftsführer: Karsten Hellinger

Kontakt

Telefon: +49 621 4908956 0
E-Mail: info [at] botenstoffe.com

Registereintrag

Eintragung im Handelsregister.
Registergericht: Amtsgericht Mannheim
Registernummer: HRB 750668

Umsatzsteuer-ID

Umsatzsteuer-Identifikationsnummer gemäß § 27a Umsatzsteuergesetz:
DE367926760

Verantwortlich für den Inhalt nach § 18 Abs. 2 MStV

Karsten Hellinger
Botenstoffe Consulting GmbH
Franz-Volhard-Straße 5
68167 Mannheim

Haftungsausschluss

Haftung für Inhalte

Die Inhalte dieser Seite wurden mit größtmöglicher Sorgfalt erstellt. Für die Richtigkeit, Vollständigkeit und Aktualität der Inhalte können wir jedoch keine Gewähr übernehmen. Als Diensteanbieter sind wir gemäß § 7 Abs. 1 DDG für eigene Inhalte auf diesen Seiten nach den allgemeinen Gesetzen verantwortlich. Nach §§ 8 bis 10 DDG sind wir als Diensteanbieter jedoch nicht verpflichtet, übermittelte oder gespeicherte fremde Informationen zu überwachen oder nach Umständen zu forschen, die auf eine rechtswidrige Tätigkeit hinweisen.

Haftung für Links

Diese Handreichung kann Links zu externen Websites Dritter enthalten, auf deren Inhalte wir keinen Einfluss haben. Deshalb können wir für diese fremden Inhalte auch keine Gewähr übernehmen. Für die Inhalte der verlinkten Seiten ist stets der jeweilige Anbieter oder Betreiber der Seiten verantwortlich. Die verlinkten Seiten wurden zum Zeitpunkt der Verlinkung auf mögliche Rechtsverstöße überprüft. Rechtswidrige Inhalte waren zum Zeitpunkt der Verlinkung nicht erkennbar. Eine permanente inhaltliche Kontrolle der verlinkten Seiten ist jedoch ohne konkrete Anhaltspunkte einer Rechtsverletzung nicht zumutbar. Bei Bekanntwerden von Rechtsverletzungen werden wir derartige Links umgehend entfernen.

Urheberrecht

Die durch den Seitenbetreiber erstellten Inhalte und Werke auf diesen Seiten unterliegen dem deutschen Urheberrecht. Die Vervielfältigung, Bearbeitung, Verbreitung und jede Art der Verwertung außerhalb der Grenzen des Urheberrechtes bedürfen der schriftlichen Zustimmung des jeweiligen Autors bzw. Erstellers. Downloads und Kopien dieser Seite sind nur für den privaten, nicht kommerziellen Gebrauch gestattet.

Widerspruch gegen Werbung

Der Nutzung von im Rahmen der Impressumspflicht veröffentlichten Kontaktdaten durch Dritte zur Übersendung von nicht ausdrücklich angeforderter Werbung und Informationsmaterialien wird hiermit ausdrücklich widersprochen. Die Betreiber der Seiten behalten sich ausdrücklich rechtliche Schritte im Falle der unverlangten Zusendung von Werbeinformationen, etwa durch Spam-E-Mails, vor.