Medizinprodukte: Der vollständige NIS2-Leitfaden

Hersteller von Medizinprodukten ab 50 Mitarbeitenden oder 10 Mio. EUR Jahresumsatz fallen unter NIS2-Anhang II Nr. 5 (Verarbeitendes Gewerbe) und sehen sich gleichzeitig mit MDR-Cybersicherheitsanforderungen und IEC 81001-5-1 konfrontiert. Diese drei Regelwerke überschneiden sich erheblich - wer alle drei versteht, kann doppelte Arbeit vermeiden. Dieser Leitfaden richtet sich an Regulatory Affairs, IT-Sicherheitsverantwortliche und Geschäftsführer in der Medizintechnik.

Wer ist betroffen?

Medizinproduktehersteller (NACE C.26.6, C.32.5) fallen unter NIS2-Anhang II Nr. 5 bei Überschreitung der KMU-Schwellen: mindestens 50 Mitarbeitende oder mindestens 10 Mio. EUR Jahresumsatz (EU-Empfehlung 2003/361/EG Art. 2).

Hersteller von Produkten der Risikoklassen IIb und III nach MDR, die in kritische Gesundheitsinfrastruktur eingebunden sind (z.B. Krankenhäuser als KRITIS-Einrichtungen), sind als Lieferanten kritischer Einrichtungen besonders im Fokus der Supply-Chain-Pflichten nach § 30 Abs. 2 Nr. 4 BSIG-neu.

Ein Hersteller vernetzter Medizingeräte mit 150 Mitarbeitenden, MDR-Klasse-IIb-Produkten und einer Cloud-Plattform für Remote-Monitoring ist Wichtige Einrichtung nach NIS2.

Die Pflichten nach § 30 BSIG-neu

§ 30 BSIG-neu fordert sieben Pflichtkategorien, die für Medizinprodukteherste-ller durch die regulatorische Dreifachbelastung besonders relevant sind:

1. Risikoanalyse und -management: Produktentwicklungs-IT (PLM), Qualitätsmanagementsystem (QMS), Post-Market-Surveillance-Systeme und Cloud-Infrastruktur für vernetzte Geräte müssen bewertet werden.
2. Incident Handling: Ein Cybersecurity-Vorfall an einem vernetzten Medizinprodukt ist NIS2-meldepflichtig (BSI) und gleichzeitig ein Vigilanz-Ereignis nach MDR Art. 87 (EUDAMED/BfArM).
3. Business Continuity: QMS und regulatorische Dokumentation dürfen bei IT-Ausfall nicht verloren gehen. BCPs müssen die Unverletzlichkeit der MDR-Dokumentation sicherstellen.
4. Supply-Chain-Sicherheit: Lieferanten von Software-Komponenten, Cloud-Diensten und Hardware müssen nach § 30 Abs. 2 Nr. 4 BSIG-neu auf Sicherheitsstandards bewertet werden.
5. Zugangskontrolle und MFA: Zugang zu QMS, PLM und Cloud-Plattformen für vernetzte Geräte muss durch MFA gesichert sein. Remote-Updates für Medizinprodukte erfordern sichere Signaturverfahren.
6. Verschlüsselung: Patientendaten, klinische Studien-Daten und regulatorische Dokumentation müssen verschlüsselt gespeichert sein.
7. Schulung und Awareness: Entwickler, Regulatory Affairs und Qualitätsmanagement müssen regelmäßig zu Cybersicherheit geschult werden.

Fristen und Meldepflichten

BSI-Registrierung nach § 33 BSIG-neu binnen drei Monaten. Für Sicherheitsvorfälle nach § 32 BSIG-neu: Erstmeldung 24 Stunden, vollständige Meldung 72 Stunden, Abschlussbericht 30 Tage.

Besonderheit: Ein Cybersecurity-Vorfall an einem vernetzten Medizinprodukt löst parallel die MDR-Vigilanzpflicht aus (Meldung an BfArM binnen 15 Tagen, § 93 MDR). Beide Meldewege müssen koordiniert sein.

Bußgelder und persönliche Haftung

Wichtige Einrichtung (Anhang II): bis 7 Mio. EUR oder 1,4 % Umsatz. § 38 BSIG-neu begründet persönliche Haftung der Geschäftsleitung. Hinzu kommen MDR-Sanktionen und potenzielle Produkthaftung bei patientenschädigenden Sicherheitsvorfällen.

MDR Art. 5 Cybersecurity, IEC 81001-5-1 und ISO 13485: die Dreifach-Compliance-Pyramide

Die Medizintechnik-Branche steht vor einem Dreifach-Compliance-Konstrukt:

MDR Art. 5 Abs. 5 (Cybersecurity): Die EU-Medizinprodukteverordnung verlangt für vernetzte Produkte, dass Hersteller Cybersicherheitsrisiken in der technischen Dokumentation adressieren und Lifecycle-Maßnahmen implementieren. Die MDCG-Leitlinie 2019-16 konkretisiert diese Anforderungen.

IEC 81001-5-1 (2021): Diese Norm spezifiziert Cybersicherheitsanforderungen für den Lebenszyklus von Medizinprodukten und deren Software (SaMD). Sie ist die bevorzugte Referenznorm für MDR-Compliance in der Cybersecurity-Dimension.

ISO 13485 (QMS): Das Qualitätsmanagementsystem nach ISO 13485 bildet die Grundlage für alle regulatorischen Prozesse. Cybersicherheitsmaßnahmen nach NIS2 und IEC 81001-5-1 müssen im ISO-13485-QMS dokumentiert sein.

NIS2 ergänzt dieses Konstrukt um Unternehmens-IT-Sicherheitspflichten. Wer IEC 81001-5-1 umsetzt, erfüllt damit bereits substantielle Teile der § 30 BSIG-neu-Anforderungen. Eine harmonisierte Compliance-Strategie spart erhebliche Ressourcen.

Erste Schritte

1. Kläre Mitarbeiterzahl und Umsatz. Über 50 MA oder 10 Mio. EUR: Wichtige Einrichtung.
2. Führe eine Gap-Analyse durch: Welche Anforderungen decken IEC 81001-5-1 und ISO 13485 bereits ab? Was ist NIS2-spezifisch?
3. Inventarisiere alle vernetzten Produkte und die zugehörige Cloud-Infrastruktur.
4. Stelle sicher, dass Cybersecurity-Vorfälle an Produkten in deinem IR-Plan NIS2-Meldung UND MDR-Vigilanz auslösen.
5. Prüfe Remote-Update-Prozesse für Medizinprodukte auf Signatur-Integrität.
6. Überarbeite Lieferantenverträge für Software-Komponenten auf § 30 Abs. 2 Nr. 4 BSIG-neu.
7. Registriere dich beim BSI.

Typische Fehler vermeiden

NIS2 als separates Compliance-Projekt: Der größte Fehler wäre, NIS2 unabhängig von MDR und IEC 81001-5-1 zu behandeln. Alle drei bauen auf denselben Grundprinzipien auf.

Vigilanz-Meldung und BSI-Meldung nicht koordiniert: Wenn ein Sicherheitsvorfall an einem Medizinprodukt Patientenrisiken birgt, müssen beide Meldewege gleichzeitig bedient werden.

Post-Market-Surveillance nicht als IT-Sicherheitsquelle: PMS-Daten über Cybersecurity-Schwachstellen in Felddaten sind wichtige Eingaben für die NIS2-Risikoanalyse.

SBOM (Software Bill of Materials) nicht erstellt: MDR und IEC 81001-5-1 empfehlen, NIS2 unterstützt, die Erstellung einer SBOM für vernetzte Produkte. Ohne SBOM ist Supply-Chain-Risikoanalyse kaum möglich.

Nutze den branchengenauen NIS2-Rechner für Medizinprodukte, um deine Betroffenheit zu ermitteln.