Erfüllt unsere MDR-Konformität die NIS2-Anforderungen?

Nein, die Regelungsgegenstände sind verschieden. Die Medizinprodukteverordnung stellt Anforderungen an das Produkt und seine Konformität, einschließlich IT-Sicherheitsaspekten für Produkte mit Software. NIS2 und das BSIG verpflichten das Unternehmen zu Risikomanagement, Meldewesen, Registrierung und Leitungspflichten. Vorhandene MDR-Strukturen verkürzen die NIS2-Umsetzung erheblich, ersetzen sie aber nicht.

Wohin melden wir einen Sicherheitsvorfall?

Möglicherweise an mehrere Stellen gleichzeitig. Ein erheblicher Sicherheitsvorfall im Unternehmen ist nach § 32 BSIG an das BSI zu melden, mit Erstmeldung binnen 24 Stunden. Betrifft der Vorfall ein in Verkehr gebrachtes Produkt, können daneben Meldepflichten aus dem Medizinprodukterecht und Informationspflichten gegenüber Anwendern greifen. Diese Wege haben unterschiedliche Fristen und Adressaten und gehören vorab in einem Entscheidungsbaum festgelegt.

Wie gehen wir mit Schwachstellen in zugelassenen Produkten um?

Mit einem Prozess, der Sicherheitsbewertung und Änderungsbewertung parallel führt. Zu klären ist jeweils, ob die Behebung eine Änderung mit Auswirkung auf die Konformität darstellt, welche Information Anwender kurzfristig brauchen und welche kompensierenden Maßnahmen bis zur Bereitstellung eines Updates gelten. Ein Prozess, der erst beim ersten Fall entworfen wird, kostet genau die Zeit, in der das Produkt verwundbar bleibt.

Unsere Kunden sind Kliniken — was verlangen sie von uns?

Zunehmend belastbare Nachweise statt Zusicherungen: ausgefüllte Sicherheitsfragebögen, Angaben zu eingesetzten Komponenten, definierte Update- und Supportzeiträume, Kontaktwege für Sicherheitsmeldungen und vertraglich zugesagte Informationspflichten im Vorfallsfall. Der Grund ist einfach: Kliniken müssen ihrerseits die Sicherheit ihrer Lieferkette nach § 30 Abs. 2 Nr. 4 BSIG steuern und geben die Anforderung weiter.

Verarbeitendes Gewerbe

NIS2 im Medizinprodukte

Zwischen Medizinprodukterecht und Cybersicherheitsrecht

Sind Sie betroffen?

Hersteller von Medizinprodukten fallen als Teil des verarbeitenden Gewerbes unter Anhang II der NIS2-Richtlinie, sobald sie mindestens 50 Beschäftigte oder mehr als 10 Mio. EUR Jahresumsatz erreichen. Sie sind die Teilbranche mit der dichtesten Regulierung: Neben dem BSIG greifen das Medizinprodukterecht und produktbezogene Sicherheitsanforderungen — mit eigenen Behörden und eigenen Meldewegen.

Verarbeitendes Gewerbe nach Anhang II der NIS2-Richtlinie
Ab 50 Beschäftigten oder mehr als 10 Mio. EUR Jahresumsatz
Zusätzlich produktbezogene Anforderungen aus der Medizinprodukteverordnung (EU) 2017/745
Mittelbar über Kliniken und Versorger, die als Einrichtungen des Gesundheitswesens ihrerseits reguliert sind

Diese Seite vertieft eine Teilbranche des Sektors Verarbeitendes Gewerbe. Die gesetzliche Sektorzuordnung nach Anhang II erfolgt dort — Medizinprodukte ist keine eigene NIS2-Kategorie.

Was im Medizinprodukte anders ist

Cybersicherheit ist bereits Teil der Produktzulassung

Anders als in anderen Teilbranchen ist IT-Sicherheit im Medizinproduktebereich kein neues Thema: Die Medizinprodukteverordnung verlangt für Produkte mit Software bereits Anforderungen an Entwicklung, Risikomanagement und Aktualisierung. NIS2 kommt nicht als Ersatz, sondern als Unternehmensebene darüber.

Änderungen sind zulassungsrelevant

Ein Sicherheitsupdate an einem zugelassenen Produkt kann eine Änderungsbewertung auslösen. Das begrenzt die Geschwindigkeit, mit der Schwachstellen im Feld geschlossen werden können — und macht die Abstimmung zwischen Regulatory Affairs und IT-Sicherheit zur Pflichtübung, nicht zur Kür.

Mehrere Meldewege nebeneinander

Ein Vorfall kann gleichzeitig eine Meldung an das BSI nach § 32 BSIG, eine Vorkommnismeldung im Medizinprodukterecht und eine Information an betroffene Kliniken auslösen. Diese Wege haben unterschiedliche Fristen, Empfänger und Inhalte — wer sie erst im Ernstfall sortiert, verliert Zeit an der falschen Stelle.

Ihre Kunden sind selbst reguliert

Kliniken und Versorgungseinrichtungen unterliegen als Gesundheitssektor eigenen Pflichten und reichen sie an Sie weiter. Sicherheitsfragebögen, Nachweisanforderungen und Vertragsklauseln kommen deshalb aus einer Richtung, in der Nichterfüllung unmittelbar den Marktzugang berührt.

Regelwerke, die neben dem BSIG greifen

Regelwerke mit Bezug zu Medizinprodukte neben dem BSIG
Regelwerk	Bezug
Verordnung (EU) 2017/745 über Medizinprodukte	Enthält in Anhang I grundlegende Sicherheits- und Leistungsanforderungen, die für Produkte mit Software auch IT-Sicherheit umfassen — einschließlich Anforderungen an Entwicklung, Wartung und Aktualisierung.
IEC 81001-5-1	Sicherheit im Produktlebenszyklus von Gesundheitssoftware. Der etablierte Weg, die Anforderungen an sichere Entwicklung strukturiert nachzuweisen.
ISO 14971 und ISO 13485	Risikomanagement und Qualitätsmanagement im Medizinproduktebereich. Beide bringen Strukturen mit, an die sich das Risikomanagement nach § 30 BSIG anschließen lässt, ohne ein zweites System aufzubauen.

Bedrohungslage

Angriff mit unmittelbarem Patientenbezug

Wo ein Produkt in der Versorgung eingesetzt wird, ist der Schaden nicht auf Daten oder Verfügbarkeit begrenzt. Das verschiebt die Risikobewertung und rechtfertigt eine andere Maßnahmentiefe als in anderer Fertigung.

Schwachstelle im Feld ohne schnellen Patchweg

Wird eine Schwachstelle in einem zugelassenen Produkt bekannt, stehen Meldepflichten und Änderungsbewertung nebeneinander. Ohne vorbereiteten Prozess vergeht Zeit, in der das Produkt beim Anwender verwundbar bleibt.

Angriff über den Servicezugang beim Anwender

Wartungs- und Fernzugänge in Kliniken verbinden Herstellersysteme mit Krankenhausnetzen. Ein kompromittierter Zugang wirkt in beide Richtungen — und trifft eine Einrichtung, die selbst reguliert ist.

Maßnahmen mit Priorität

Die zehn Maßnahmenbereiche des § 30 BSIG gelten unverändert. Diese Punkte werden im Medizinprodukte anders gewichtet als im Durchschnitt.

Risikomanagement nach ISO 14971 und das Risikomanagement nach § 30 BSIG methodisch verbinden, statt zwei getrennte Register zu führen
Sichere Entwicklung nach IEC 81001-5-1 nachweisen und die Nachweise zugleich für § 30 Abs. 2 Nr. 5 BSIG nutzen
Einen Meldeentscheidungsbaum vorhalten, der BSI-Meldung, Vorkommnismeldung und Kundeninformation gegeneinander abgrenzt
Prozess für Schwachstellen im Feld festlegen, inklusive Änderungsbewertung und Kommunikation an Anwender
Schwachstellenannahme veröffentlichen, damit Sicherheitsforscher und Kliniken einen definierten Weg haben
Servicezugänge in Kundennetzen inventarisieren, je Einrichtung trennen und befristen
Antwortpaket für Sicherheitsfragebögen von Kliniken aufbauen
Geschäftsleitung gesondert nach § 38 Abs. 3 BSIG schulen — die Pflicht besteht neben allen produktbezogenen Anforderungen

Häufige Fragen

Erfüllt unsere MDR-Konformität die NIS2-Anforderungen?: Nein, die Regelungsgegenstände sind verschieden. Die Medizinprodukteverordnung stellt Anforderungen an das Produkt und seine Konformität, einschließlich IT-Sicherheitsaspekten für Produkte mit Software. NIS2 und das BSIG verpflichten das Unternehmen zu Risikomanagement, Meldewesen, Registrierung und Leitungspflichten. Vorhandene MDR-Strukturen verkürzen die NIS2-Umsetzung erheblich, ersetzen sie aber nicht.
Wohin melden wir einen Sicherheitsvorfall?: Möglicherweise an mehrere Stellen gleichzeitig. Ein erheblicher Sicherheitsvorfall im Unternehmen ist nach § 32 BSIG an das BSI zu melden, mit Erstmeldung binnen 24 Stunden. Betrifft der Vorfall ein in Verkehr gebrachtes Produkt, können daneben Meldepflichten aus dem Medizinprodukterecht und Informationspflichten gegenüber Anwendern greifen. Diese Wege haben unterschiedliche Fristen und Adressaten und gehören vorab in einem Entscheidungsbaum festgelegt.
Wie gehen wir mit Schwachstellen in zugelassenen Produkten um?: Mit einem Prozess, der Sicherheitsbewertung und Änderungsbewertung parallel führt. Zu klären ist jeweils, ob die Behebung eine Änderung mit Auswirkung auf die Konformität darstellt, welche Information Anwender kurzfristig brauchen und welche kompensierenden Maßnahmen bis zur Bereitstellung eines Updates gelten. Ein Prozess, der erst beim ersten Fall entworfen wird, kostet genau die Zeit, in der das Produkt verwundbar bleibt.
Unsere Kunden sind Kliniken — was verlangen sie von uns?: Zunehmend belastbare Nachweise statt Zusicherungen: ausgefüllte Sicherheitsfragebögen, Angaben zu eingesetzten Komponenten, definierte Update- und Supportzeiträume, Kontaktwege für Sicherheitsmeldungen und vertraglich zugesagte Informationspflichten im Vorfallsfall. Der Grund ist einfach: Kliniken müssen ihrerseits die Sicherheit ihrer Lieferkette nach § 30 Abs. 2 Nr. 4 BSIG steuern und geben die Anforderung weiter.

Weiter zu

Stand: 23.08.2026 · Zuletzt geprüft: 23.08.2026. Fachliche Einordnung zur technischen und organisatorischen Umsetzung, keine Rechtsberatung.

NIS2 im Medizinprodukte — wo stehen Sie?

Eine Gap-Analyse zeigt anhand Ihrer Nachweise, welche der zehn Maßnahmenbereiche offen sind und in welcher Reihenfolge sie geschlossen werden sollten.

Gap-Analyse ansehen