Regelwerk
Vernetzte Medizinprodukte und Software als Medizinprodukt müssen nach MDR und IVDR sicher entwickelt, dokumentiert und im Feld überwacht werden. Complass führt Hersteller und Zulieferer der Medizintechnik vom Bedrohungsmodell bis zur Schwachstellenmeldung.
Die Medizinprodukteverordnung (EU) 2017/745 (MDR) und die In-vitro-Diagnostika-Verordnung (EU) 2017/746 (IVDR) verlangen, dass Software nach dem Stand der Technik entwickelt wird, das Risikomanagement die Informationssicherheit einschließt und Hersteller Mindestanforderungen an Hardware, IT-Netze und IT-Sicherheitsmaßnahmen festlegen. Die Leitlinie MDCG 2019-16 Rev. 1 erläutert, was das in der Praxis bedeutet.
Stand der Inhalte:
Die Anforderungen gelten für Hersteller von Medizinprodukten und In-vitro-Diagnostika, die Software enthalten oder selbst Software sind. Zulieferer von Elektronik, Embedded-Software, Funkmodulen oder Auftragsfertigung sind mittelbar betroffen: Hersteller geben die Anforderungen über das Qualitätsmanagementsystem und Verträge an sie weiter und erwarten etwa SBOM, Security-Datenblatt und Zusagen zu Updates.
Medizinprodukte sind vom Cyber Resilience Act ausgenommen. Komponenten mit digitalen Elementen, die auch eigenständig oder außerhalb der Medizintechnik verkauft werden, fallen dagegen in der Regel unter den CRA. Hersteller von Medizinprodukten und In-vitro-Diagnostika können ab mittlerer Unternehmensgröße zusätzlich unter NIS2 fallen (Anlage 2 BSIG).
Diese Übersicht ersetzt keine Rechtsberatung. Maßgeblich ist der Gesetzes- bzw. Normtext; in Complass prüfen Sie die Betroffenheit geführt anhand der Verweise.
Geltungsbeginn und Übergangsfristen nach den konsolidierten Fassungen von MDR und IVDR. Ein Vorschlag der Kommission vom 16.12.2025 (COM(2025) 1023) sieht zusätzliche Meldepflichten für Schwachstellen vor; er ist noch nicht beschlossen.
Einordnung und Rolle, sichere Entwicklung mit Risikomanagement, Mindestanforderungen an die IT-Umgebung, technische Dokumentation, Überwachung nach dem Inverkehrbringen und Vigilanz sowie eine eigene Phase für Zulieferer.
Cyber-Anforderungen aus MDR und IVDR, Maßnahmen nach MDCG 2019-16 und Security-Aktivitäten im Lebenszyklus mit Status und Nachweis, verknüpfbar mit CRA, IEC 62443 und ISO 27001.
u. a. Security-Plan, Bedrohungsmodell, Security-Risikomanagementakte, SBOM-Verzeichnis, Mindestanforderungen an die IT-Umgebung, Richtlinie zur koordinierten Offenlegung, Patch- und Update-Konzept und Security-Vereinbarung mit Zulieferern.
SBOM-Abgleich mit bekannten Schwachstellen, Erfassung von Vorfällen und Überblick über Meldefristen.
Katalog: MDR/IVDR-Anforderungen mit Cyberbezug
Regelwerke geführt umsetzen: Phasen, Vorlagen, Dokumentenpyramide, Kataloge, Gap-Analyse, Ziele und Maßnahmenplan bis zur Prüfung im Prüferportal.
Mehr erfahrenBekannte Schwachstellen Ihrer Assets finden, im Kontext priorisieren und mit Empfehlungen und Fristen abarbeiten.
Mehr erfahrenRisikoregister mit qualitativer oder quantitativer Bewertung, Risikoappetit und Behandlungsplan, verzahnt mit Assets, Schwachstellen und Vorfällen.
Mehr erfahrenDie Branchenvorlage Medizintechnik wählt das Regelwerk für MDR und IVDR und die Bausteine vor, die Sie für Bedrohungsmodell, Schwachstellen und Zulieferer brauchen.
buchbar
ab 476 € pro Monat zzgl. USt. im Paket Start, Größe S, bei jährlicher Zahlung
Alle Preise gelten für Unternehmen, nicht für Verbraucher. Sie verstehen sich netto zzgl. USt. bei jährlicher Zahlung; bei monatlicher Zahlung gilt ein Aufschlag von 15 %. Stand 16.10.2026. Enterprise und Unternehmensgruppen auf Anfrage.
Mittelbar ja: Ihre Kunden müssen die Cyber-Anforderungen der MDR nachweisen und erwarten dafür Angaben und Zusagen von Ihnen. Verkaufen Sie die Komponente auch an andere Branchen, gilt dafür in der Regel zusätzlich der Cyber Resilience Act. Das Modul enthält eine eigene Phase für Zulieferer.
Nein. Complass strukturiert die Cyber-Anforderungen und Nachweise und lässt sich in Ihr bestehendes QMS einbinden; Konformitätsbewertung und Freigaben bleiben bei Ihnen und Ihrer benannten Stelle.
Das Modul beschreibt die Aktivitäten in eigenen Worten mit Verweis auf die Abschnitte. Den Normtext selbst beziehen Sie über den Normenhandel; Auszüge aus Ihrer lizenzierten Ausgabe können Sie im Projekt hinterlegen.
Legen Sie Ihren Testzugang selbst an, auf Wunsch mit einem Beispielprojekt je Regelwerk. Wenn Sie Complass lieber erst gezeigt bekommen, fragen Sie eine Demo an.
