Was seit dem 1. August 2025 gilt – und warum jetzt klare Zuständigkeiten entscheidend sind
Zum 1. August 2025 sind die neuen Regelungen der Medizinprodukte-Betreiberverordnung (MPBetreibV) in Kraft getreten. Sie bringen insbesondere für bestimmte Softwareprodukte im Medizinproduktebereich neue Pflichten mit sich.
Für die Leitungen von Krankenhäusern ist das besonders relevant, da sich hieraus unter Umständen ein neuer Abstimmungsbedarf zwischen IT-Abteilung und Medizintechnik (MT) ergibt.
Doch zunächst zu den Grundlagen.
Geltungsbereich der neuen Regelungen
Die Vorschriften betreffen Software, die als Medizinprodukt eingesetzt wird und den Risikoklassen IIb oder III zugeordnet ist. Diese Klassen spiegeln das potenzielle Risiko bei der Anwendung wider und werden vom Hersteller nach EU-weit einheitlichen Vorgaben festgelegt. Zusätzlich ist eine externe Zertifizierung durch eine benannte Stelle verpflichtend.
Derzeit gibt es noch vergleichsweise wenige Softwarelösungen, die unter diesen Geltungsbereich fallen. Beispiele sind:
- Software zur Dosisberechnung von Zytostatika
- Medikamentendatenbanken, mit denen Infusionspumpen programmiert werden können
Das praktische Problem im Alltag
In der Praxis zeigt sich häufig folgende Konstellation:
Die Beschaffung von Software erfolgt meist in Abstimmung mit der IT-Abteilung, dort wird sie auch weiterverarbeitet und betreut. Das Bestandsverzeichnis der Medizinprodukte wird hingegen in der Regel von der MT-Abteilung geführt.
Die Folge:
Nur jene Medizinprodukte werden erfasst, von denen die MT-Abteilung auch tatsächlich Kenntnis hat. In der IT-Abteilung ist das Medizinprodukterecht oftmals kein Schwerpunkt – sodass dort unter Umständen nicht erkannt wird, dass es sich um ein Medizinprodukt handelt und entsprechender Handlungsbedarf besteht.
Im ungünstigsten Fall werden dadurch auch weiterführende Pflichten nicht erfüllt, etwa:
- die Dokumentation der Netzwerkumgebung
- die ordnungsgemäße Einweisung
- die regelmäßigen IT-Sicherheitsüberprüfungen
Ihre wichtigsten Aufgaben als Leitung
Die zentrale Aufgabe der Leitung besteht daher darin,
- zu prüfen, ob eine organisatorische Lücke besteht, und
- diese gegebenenfalls gezielt zu schließen.
Ist dies erforderlich, sollte eine klare und verbindliche Aufgabenverteilung zwischen den Abteilungen Einkauf, IT und MT neu geregelt werden.
Neue Pflichten für Software ab 1. August 2025 (Risikoklassen IIb und III)
Für Software in den höheren Risikoklassen gelten seit dem Stichtag folgende Vorgaben:
- Herstellerpflichten
Der Hersteller muss die ordnungsgemäße Installation prüfen, eine Einweisung durchführen und auf zulässige Kombinationen mit anderen Produkten hinweisen.
- Betrieb nur nach Einweisung
Die Software darf ausschließlich von Personen betrieben und genutzt werden, die entsprechend eingewiesen wurden.
- Regelmäßige IT-Sicherheitsüberprüfungen
Diese sind mindestens alle zwei Jahre durchzuführen und zu dokumentieren.
Praxisnahe Hinweise zur Umsetzung
Wichtige Punkte bereits vor der Installation
- Risikoklasse frühzeitig abfragen
Bereits vor der Anschaffung sollte beim Lieferanten die Risikoklasse der Software sowie die damit verbundenen Auflagen erfragt werden. Das hilft, späteren Mehraufwand im Betrieb zu vermeiden – insbesondere, wenn mehrere Produkte zur Auswahl stehen.
- Installation prüfen und dokumentieren
Die Installation muss durch den Hersteller oder eine beauftragte Person (z. B. den Lieferanten) geprüft werden. Ziel ist es sicherzustellen, dass die Software im bestehenden IT-Netzwerk ordnungsgemäß funktioniert.
Diese Prüfung sollte dokumentiert und die Unterlagen aufbewahrt werden, da sie bei späteren IT-Sicherheitsüberprüfungen wertvolle Hinweise liefern können.
- Einweisung der Nutzer sicherstellen
Der Hersteller oder der beauftragte Lieferant muss mindestens eine Person in der Einrichtung einweisen. Die Einweisung erfolgt auf Grundlage der Gebrauchsanweisung sowie sicherheitsrelevanter Informationen und umfasst:
- sachgerechte Bedienung und Betrieb
- zulässige Verbindungen zu anderen Produkten
- Wartungshinweise
Ausnahme:
Für digitale Gesundheitsanwendungen, die vom Patienten selbst auf ärztliche Verordnung genutzt werden, sowie für digitale Pflegeanwendungen gelten besondere Regelungen und Ausnahmen.
Besonderheiten bei der Einweisung (Risikoklassen IIb und III)
Für Software dieser Risikoklassen gilt eine Besonderheit: Die Einweisung muss zwingend durch eine vom Hersteller beauftragte Person erfolgen.
Der Hintergrund: Diese Software dient der Unterstützung diagnostischer oder therapeutischer Entscheidungen, bei denen Fehlfunktionen oder Fehlanwendungen erhebliche Auswirkungen auf den Patienten haben können.
- Risikoklasse III: Software, deren Entscheidungen zum Tod oder zu einer irreversiblen Verschlechterung des Gesundheitszustands führen können.
- Risikoklasse IIb: Software, die eine schwerwiegende Verschlechterung des Gesundheitszustands oder einen zusätzlichen chirurgischen Eingriff verursachen kann.
Bei der ersten Einweisung sollten möglichst alle künftigen Nutzer teilnehmen. Kommt später neues Personal hinzu, ist eine erneute Einweisung durch den Hersteller oder Lieferanten erforderlich.
IT-Sicherheitsprüfung: Pflicht alle zwei Jahre
Die IT-Sicherheitsprüfung ist spätestens alle zwei Jahre durchzuführen. Ziel ist es, Risiken und Leistungsbeeinträchtigungen frühzeitig zu erkennen und zu minimieren. Maßgeblich sind dabei die allgemein anerkannten Regeln der Technik.
Da es aktuell noch keine spezifischen, verbindlichen Standards für diese Prüfungen gibt, sollten insbesondere folgende Punkte berücksichtigt werden:
- Hat sich die IT-Netzwerkumgebung verändert?
- Ist die aktuelle Softwareversion installiert?
- Wurden alle Sicherheitsupdates eingespielt?
- Das Installationsprotokoll des Herstellers kann als Grundlage für den Prüfungsumfang dienen.
Anforderungen an die prüfende Person
Die Prüfung darf nur durch Personen erfolgen, die:
- über aktuelle Fachkenntnisse verfügen,
- in ihrer fachlichen Beurteilung weisungsfrei sind,
- über die erforderlichen Mittel und Einrichtungen verfügen.
Das Prüfprotokoll ist zu dokumentieren und mindestens bis zur nächsten Prüfung aufzubewahren.
Sobald es neue Erkenntnisse oder allgemein anerkannte Standards zu diesen Prüfungen gibt, informieren wir Sie selbstverständlich in unserem Newsletter.
Bei Fragen stehen wir Ihnen jederzeit gerne zur Verfügung.
