Digital Health Regulatory: Medizinprodukte-Software und KI rechtssicher in die EU bringen Connecting the dots: Software qualifizieren, Pflichten einordnen, Nicht-EU-Hersteller aufstellen
Software ist ein Medizinprodukt, wenn der Hersteller sie für einen medizinischen Zweck bestimmt (Art. 2 Nr. 1 MDR). Dann gelten die Herstellerpflichten des Art. 10 MDR. Hersteller ohne Sitz in der EU brauchen einen Bevollmächtigten (Art. 11); Importeure und Händler prüfen das (Art. 13, 14). In Deutschland ergänzt das MPDG die Verordnung. Für Produkte, die nach dem 09.12.2026 in Verkehr gebracht werden, ist Software auch im Produkthaftungsrecht ein Produkt (Richtlinie (EU) 2024/2853).
Der Software-Check führt durch fünf Prüfschritte nach MDCG 2019-11 und nennt eine vorläufige Klasse nach Regel 11 Anhang VIII MDR. Er läuft nur in Ihrem Browser.
Ist die KI selbst das Produkt oder dessen Sicherheitsbauteil und muss eine Benannte Stelle das Produkt bewerten, ist sie ein Hochrisiko-KI-System. Die Anforderungen gelten ab dem 02.08.2028 und werden im Verfahren der MDR mitgeprüft.
Schwerwiegendes Vorkommnis? Die Meldefrist nach Art. 87 MDR läuft ab Kenntnis: spätestens 15 Tage. Bei Tod oder unvorhergesehener schwerwiegender Verschlechterung des Gesundheitszustands beträgt sie 10 Tage, bei schwerwiegender Gefahr für die öffentliche Gesundheit 2 Tage (für In-vitro-Diagnostika Art. 82 IVDR). Melden müssen Sie selbst, in Deutschland in der Regel an das BfArM. Eine Anfrage bei uns wahrt die Frist nicht. Für die rechtliche Begleitung: E-Mail an office@kanzlei-theofunk.de mit dem Betreff „Vorkommnis“ oder Nachricht unter 0951 16099520 (Sprachbox), Bearbeitung werktags.
Software ist ein Medizinprodukt, wenn der Hersteller sie für einen medizinischen Zweck bestimmt, etwa um Krankheiten zu erkennen, zu überwachen, vorherzusagen oder zu behandeln (Art. 2 Nr. 1 MDR). Maßgeblich ist die Zweckbestimmung aus Kennzeichnung, Gebrauchsanweisung, Werbe- und Verkaufsmaterial und klinischer Bewertung (Art. 2 Nr. 12 MDR), nicht die Technik. Die Leitlinie MDCG 2019-11 rev.1 (Juni 2025) prüft das in fünf Schritten.
Software-Check · nur im Browser
Höchstens 11 Fragen, meist 5 bis 8. Der Check folgt den Prüfschritten der Leitlinie MDCG 2019-11 rev.1 der Koordinierungsgruppe Medizinprodukte und schätzt die Klasse. Kreuzen Sie bei der Zweckfrage alle zutreffenden Zwecke an; haben Teile Ihres Produkts unterschiedliche Rollen für Diagnose oder Behandlung, prüfen Sie jeden Teil für sich. Unverbindliche Orientierung, keine Rechtsberatung; die Auswertung läuft nur in Ihrem Browser.
1 · Einordnung
2 · Klasse
3 · Weitere Angaben zu KI und Sitz (freiwillig)
Diese Angaben ändern die Einordnung oben nicht; sie ergänzen nur die Hinweise zu Pflichten.
Noch keine Angaben. Beantworten Sie die Fragen; Ihre Einordnung erscheint hier.
Die fünf Prüfschritte nach MDCG 2019-11 rev.1
Software? Eine App, ein Algorithmus oder ein Cloud-Dienst, auch als Teil eines größeren Systems.
Gehört sie zu einem Gerät? Software, die ein Medizinprodukt steuert oder dessen Anwendung beeinflusst, wird derselben Klasse zugerechnet wie das Gerät (Anhang VIII Kapitel II Nr. 3.3 MDR). Gehört die Software zu einem Produkt nach Anhang XVI MDR oder ist sie Zubehör, fällt sie ebenfalls unter die MDR; Zubehör wird gesondert klassifiziert (Nr. 3.2). Hat steuernde Software zusätzlich einen eigenen medizinischen Zweck, wird sie auch selbst klassifiziert, mindestens in der Klasse des Geräts (Nr. 3.5; MDCG 2019-11 rev.1, 4.1).
Mehr als Speichern? Software, die Daten nur speichert, archiviert, übermittelt, einfach durchsucht oder verlustfrei komprimiert, ist keine Medizinprodukte-Software.
Für eine bestimmte Person? Die Auswertung muss einer bestimmten Person dienen, etwa einer Patientin oder einem App-Nutzer. Statistik, Register, epidemiologische Studien und allgemeine Informationen wie Leitlinien, Literatur oder Vorlagen genügen nicht.
Medizinischer Zweck? Erst der Zweck nach Art. 2 Nr. 1 MDR macht die Software zum Medizinprodukt. Liefert sie Informationen aus der Untersuchung von Proben aus dem menschlichen Körper, gilt die IVDR (Art. 2 Nr. 2 IVDR); stützt sich das Ergebnis auf Proben- und andere Daten, entscheidet, welche Daten es maßgeblich prägen (MDCG 2019-11 rev.1, 3.4).
Fünf Beispiele, eingeordnet nach MDCG 2019-11
Software
Einordnung
Grund
Fitness-Tracker, Schrittzähler, Schlaf-App für das Wohlbefinden
kein Medizinprodukt
Wellness- und Fitness-Apps nennt MDCG 2019-11 ausdrücklich als Software ohne medizinischen Zweck (Abschnitt 3.1)
Symptom-Checker, der aus Angaben eine Verdachtsdiagnose oder Dringlichkeit ableitet
in der Regel Medizinprodukt, Klasse IIa oder höher
diagnostischer Zweck für den einzelnen Nutzer; eine App, die aus Symptomangaben eine Depression bewertet, ordnet MDCG 2019-11 der Klasse IIb zu (Anhang IV)
Dosierungsrechner, etwa für Insulin oder Chemotherapie
Medizinprodukt, häufig Klasse IIb oder III
berechnet eine Dosis für den einzelnen Patienten; die Klasse folgt den möglichen Folgen einer Fehldosis (Regel 11)
Bildanalyse, die Auffälligkeiten in Röntgen-, CT- oder Hautbildern markiert
Medizinprodukt, Klasse IIa bis III
computerunterstützte Erkennung ist Medizinprodukte-Software; Bildanalyse für Therapieentscheidungen beim akuten Schlaganfall ordnet MDCG 2019-11 der Klasse III zu (Anhang IV)
Praxis- und Klinikverwaltung: Termine, Abrechnung, Personalplanung
kein Medizinprodukt
Verwaltungszweck; Zusatzmodule mit medizinischer Auswertung können eigene Medizinprodukte sein (MDCG 2019-11, Annex I)
“
Ob Software ein Medizinprodukt ist, entscheidet nicht der Code, sondern die Zweckbestimmung: was Sie etwa in Gebrauchsanweisung und Werbung über sie sagen.
Theo Funk, Rechtsanwalt
Grenzfälle
„Unterstützt bei der Erkennung von Vorhofflimmern“ ist eine medizinische Zweckbestimmung, „zeigt Ihren Puls“ in der Regel nicht, solange keine medizinische Überwachung zugesagt wird. Prüfen Sie App-Store-Text, Website und Vertriebsunterlagen zusammen mit der Gebrauchsanweisung. Auf Antrag einer zuständigen Behörde oder des Herstellers, seines Bevollmächtigten oder seiner Benannten Stelle mit Sitz in Deutschland entscheidet die zuständige Bundesoberbehörde über Klassifizierung und rechtlichen Status; sie soll binnen drei Monaten entscheiden (§ 6 Abs. 2 Satz 1 Nr. 1 und 3, Satz 2 MPDG).
02
Klasse I, IIa, IIb oder III – was gilt für Software?
Software, die Informationen für diagnostische oder therapeutische Entscheidungen liefert, gehört mindestens zur Klasse IIa. Können diese Entscheidungen eine schwerwiegende Verschlechterung des Gesundheitszustands oder einen chirurgischen Eingriff verursachen, gilt Klasse IIb, bei möglichem Tod oder irreversibler Verschlechterung Klasse III (Regel 11 Anhang VIII MDR). Ab Klasse IIa wirkt eine Benannte Stelle mit.
Regel 11 Anhang VIII MDR
Software, die …
Klasse
Informationen für diagnostische oder therapeutische Entscheidungen liefert
IIa
… wenn die Entscheidungen eine schwerwiegende Verschlechterung des Gesundheitszustands oder einen chirurgischen Eingriff verursachen können
IIb
… wenn die Entscheidungen den Tod oder eine irreversible Verschlechterung des Gesundheitszustands verursachen können
III
physiologische Prozesse überwacht
IIa
vitale physiologische Parameter kontrolliert, deren Änderung zu einer unmittelbaren Gefahr für den Patienten führen könnte
IIb
alle sonstige Software
I
In der Praxis bleibt Medizinprodukte-Software deshalb selten in Klasse I. Die Leitlinie MDCG 2019-11 wendet den ersten Teil der Regel grundsätzlich auf jede Software mit medizinischem Zweck an (Abschnitt 4.2.1); die Revision vom Juni 2025 hat ihn präzisiert. Software, die ein Gerät steuert oder dessen Anwendung beeinflusst, erhält dessen Klasse; ist sie von anderen Produkten unabhängig, wird sie für sich klassifiziert (Anhang VIII Kapitel II Nr. 3.3).
Software für In-vitro-Diagnostika: Klassen A bis D
Software nach der IVDR wird nach den Regeln des Anhangs VIII IVDR den Klassen A bis D zugeordnet; maßgeblich ist das Risiko der Zweckbestimmung für den Einzelnen und die öffentliche Gesundheit. Ohne Benannte Stelle kommen nur Produkte der Klasse A aus, die nicht steril sind (Art. 48 Abs. 10 IVDR).
Konformitätsbewertung mit und ohne Benannte Stelle
Klasse
Verfahren
Benannte Stelle
I
EU-Konformitätserklärung nach Erstellung der technischen Dokumentation (Anhänge II und III); Ausnahmen für sterile Produkte, Messfunktion und wiederverwendbare chirurgische Instrumente
nein (Art. 52 Abs. 7 MDR)
IIa
Qualitätsmanagementsystem nach Anhang IX Kapitel I und III mit Bewertung der technischen Dokumentation eines repräsentativen Produkts je Produktkategorie, alternativ Anhang XI
ja (Art. 52 Abs. 6 MDR)
IIb
Anhang IX Kapitel I und III mit Bewertung der technischen Dokumentation je generischer Produktgruppe, alternativ Anhang X mit Anhang XI
ja (Art. 52 Abs. 4 MDR)
III
Anhang IX, alternativ Anhang X mit Anhang XI
ja (Art. 52 Abs. 3 MDR)
In-vitro-Diagnostika der Klasse A, nicht steril
EU-Konformitätserklärung nach Erstellung der technischen Dokumentation
nein (Art. 48 Abs. 10 IVDR)
In-vitro-Diagnostika der Klassen B, C, D
Verfahren nach den Anhängen IX bis XI IVDR
ja (Art. 48 IVDR)
03
Welche Pflichten hat der Hersteller?
Der Hersteller gewährleistet, dass das Produkt den Anforderungen der MDR entspricht (Art. 10 Abs. 1 MDR): mit Risikomanagement, klinischer Bewertung, technischer Dokumentation, Konformitätsbewertung, UDI und Registrierung, Qualitätsmanagementsystem, Überwachung nach dem Inverkehrbringen und Vigilanz. Er braucht eine für die Einhaltung der Regulierungsvorschriften verantwortliche Person (PRRC, Art. 15) und eine finanzielle Deckung für seine Haftung (Art. 10 Abs. 16). In Deutschland ergänzt das MPDG die Verordnung.
Herstellerpflichten nach Art. 10 MDR
Pflicht
Norm
Inhalt
Risikomanagement
Art. 10 Abs. 2, Anhang I Abschnitt 3
System über den gesamten Lebenszyklus; bei Software einschließlich Informationssicherheit (Anhang I Nr. 17.2)
Klinische Bewertung
Art. 10 Abs. 3, Art. 61, Anhang XIV
Nachweis von Sicherheit, Leistung und klinischem Nutzen, mit klinischer Nachbeobachtung
Technische Dokumentation
Art. 10 Abs. 4, Anhänge II und III
auf dem neuesten Stand; dazu die Dokumentation über die Überwachung nach dem Inverkehrbringen
Konformitätsbewertung, CE-Kennzeichnung
Art. 10 Abs. 6, Art. 19, 20, 52
EU-Konformitätserklärung und CE-Kennzeichnung nach dem Verfahren der jeweiligen Klasse
UDI und Registrierung
Art. 10 Abs. 7, Art. 27, 29, 31
Produktkennung (UDI), Registrierung von Produkt und Wirtschaftsakteur in EUDAMED
Aufbewahrung
Art. 10 Abs. 8
Unterlagen mindestens zehn Jahre nach dem letzten Inverkehrbringen bereithalten, bei Implantaten 15 Jahre
Qualitätsmanagementsystem
Art. 10 Abs. 9
u. a. Konformitätsbewertung, Änderungsmanagement, Lieferanten, klinische Bewertung, Überwachung, Vigilanz, Korrekturmaßnahmen
Überwachung nach dem Inverkehrbringen
Art. 10 Abs. 10, Art. 83 bis 86
PMS-System und -Plan; Bericht (Klasse I) oder regelmäßiger Sicherheitsbericht (PSUR) ab Klasse IIa
Kennzeichnung und Gebrauchsanweisung
Art. 10 Abs. 11
in einer vom Mitgliedstaat festgelegten Amtssprache; in Deutschland Deutsch (§ 8 Abs. 2 MPDG)
Korrekturmaßnahmen und Vigilanz
Art. 10 Abs. 12, 13, Art. 87 bis 92
nicht konforme Produkte korrigieren, zurücknehmen oder zurückrufen; Vorkommnisse melden
Verantwortliche Person (PRRC)
Art. 15
mindestens eine Person mit Fachwissen in der Organisation; Kleinst- und Kleinunternehmen müssen dauerhaft und ständig auf eine solche Person zurückgreifen können
Finanzielle Deckung
Art. 10 Abs. 16
Deckung der Haftung für fehlerhafte Produkte, der Risikoklasse, Produktart und Unternehmensgröße angemessen
Anzeige von Lieferunterbrechungen
Art. 10a
Unterbrechung oder Einstellung der Lieferung bestimmter Produkte mindestens sechs Monate vorher anzeigen (seit 10.01.2025)
Deutsche Ergänzungen: MPDG und MPAMIV
Das Medizinprodukterecht-Durchführungsgesetz (MPDG) regelt die Zuständigkeiten (§ 85: Länder für die Überwachung, BfArM und Paul-Ehrlich-Institut für die Risikobewertung). Es regelt außerdem die deutsche Sprache der Informationen für Anwender und Patienten (§ 8 Abs. 2) und die Straf- und Bußgeldvorschriften (§§ 92 bis 94).
Die Medizinprodukte-Anwendermelde- und Informationsverordnung (MPAMIV) regelt Meldungen von Anwendern, Betreibern und Patienten über mutmaßliche schwerwiegende Vorkommnisse und das Verfahren dazu (Art. 87 Abs. 11 MDR). Erhält der Hersteller eine solche Meldung und hält er sie nicht für meldepflichtig, begründet er das binnen 15 Tagen (§ 7 Abs. 3 MPAMIV).
Diese Pflichten gelten ebenso für Hersteller außerhalb der EU. Ob sie erfüllt sind, prüfen Bevollmächtigter, Importeur und Benannte Stelle (Abschnitte 09 und 12).
04
Übergangsfristen und Zeitplan
Die MDR gilt seit dem 26.05.2021, die IVDR seit dem 26.05.2022. Für Altprodukte nach den früheren Richtlinien laufen Übergangsfristen bis zum 31.12.2027 oder 31.12.2028 (MDR) und bis spätestens 31.12.2029 (IVDR), aber nur, wenn ihre Bedingungen erfüllt sind. Hinzu kommen die neue Produkthaftung für Produkte, die nach dem 09.12.2026 in Verkehr gebracht werden, und die KI-VO für KI in Medizinprodukten ab dem 02.08.2028.
26.05.2021MDR gilt (Art. 123 Abs. 2 MDR in der Fassung der VO (EU) 2020/561)gilt
26.05.2022IVDR gilt (Art. 113 Abs. 2 IVDR)gilt
26.09.2024Letzter Stichtag für MDR-Altprodukte: schriftliche Vereinbarung mit einer Benannten Stelle; Qualitätsmanagementsystem und Antrag bis 26.05.2024 (Art. 120 Abs. 3c MDR)abgelaufen
10.01.2025Hersteller zeigen Unterbrechungen oder Einstellungen der Lieferung bestimmter Produkte sechs Monate vorher an (Art. 10a MDR, eingefügt durch VO (EU) 2024/1860)gilt
28.05.2026EUDAMED: vier Module verpflichtend, darunter Wirtschaftsakteure und UDI/Produktregistrierung (Beschluss (EU) 2025/2371; Datum nach Angabe der Kommission)gilt
09.12.2026Produkthaftungsrichtlinie (EU) 2024/2853: Software ist ein Produkt; dies gilt für Produkte, die nach diesem Tag in Verkehr gebracht werdenoffen
26.03.2027EHDS-Verordnung (EU) 2025/327 gilt allgemein (Art. 105)offen
31.12.2027Ende der Übergangsfrist für MDR-Altprodukte der Klasse III und implantierbare Produkte der Klasse IIb (mit Ausnahmen) sowie für In-vitro-Diagnostika mit Bescheinigung nach der früheren Richtlinie und neu zertifizierungspflichtige In-vitro-Diagnostika der Klasse Dläuft
02.08.2028KI-VO: Anforderungen an Hochrisiko-KI-Systeme in Produkten nach Anhang I, auch Medizinprodukten (Art. 113 Abs. 3 Buchst. c Ziff. ii in der Fassung der VO (EU) 2026/1744)offen
31.12.2028Ende der Übergangsfrist für die übrigen MDR-Altprodukte (u. a. IIb, IIa, Klasse I mit Benannter Stelle) und für neu zertifizierungspflichtige In-vitro-Diagnostika der Klasse Cläuft
26.03.2029EHDS: Anforderungen an Medizinprodukte und Wellness-Anwendungen, die Interoperabilität mit Systemen für elektronische Patientenakten beanspruchen (Art. 27, 47, 105)offen
31.12.2029Ende der Übergangsfrist für neu zertifizierungspflichtige In-vitro-Diagnostika der Klassen B und A steril (Art. 110 Abs. 3b IVDR)läuft
Die MDR-Fristen gelten nur unter folgenden Bedingungen (Art. 120 Abs. 3c MDR): Das Altprodukt entspricht weiter der alten Richtlinie, wurde nicht wesentlich geändert und stellt keine unannehmbare Gefahr dar. Der Hersteller hat bis zum 26.05.2024 ein Qualitätsmanagementsystem eingerichtet und einen Antrag bei einer Benannten Stelle gestellt. Bis zum 26.09.2024 wurde eine schriftliche Vereinbarung geschlossen. Für In-vitro-Diagnostika gelten entsprechende Stichtage in den Jahren 2025 bis 2027 (Art. 110 Abs. 3c IVDR).
Vom Prototyp zur CE-Kennzeichnung
Zweckbestimmung festlegen
Schreiben Sie auf, was die Software für wen leistet. Davon hängen Qualifizierung, Klasse, klinische Bewertung und Werbung ab.
Qualifizieren und klassifizieren
MDCG 2019-11 und Regel 11 anwenden, bei KI zusätzlich Art. 6 KI-VO; das Ergebnis mit Begründung dokumentieren.
Qualitätsmanagement und Lebenszyklus
Qualitätsmanagementsystem (Art. 10 Abs. 9 MDR), Software-Lebenszyklus, Risikomanagement und Informationssicherheit (Anhang I Nr. 17).
Technische Dokumentation und klinische Bewertung
Anhänge II und III MDR, klinische Bewertung nach Art. 61 MDR, Plan für die Überwachung nach dem Inverkehrbringen.
Konformitätsbewertung
Ab Klasse IIa mit einer Benannten Stelle; deren Vorlaufzeiten früh einplanen.
Marktzugang
Bevollmächtigter bei Sitz außerhalb der EU, UDI, Registrierung in EUDAMED, EU-Konformitätserklärung, CE-Kennzeichnung. Danach laufen Überwachung und Vigilanz.
05
KI im Medizinprodukt – KI-VO und MDR zusammen
Ein KI-System ist unter zwei Voraussetzungen ein Hochrisiko-KI-System (Art. 6 Abs. 1 mit Anhang I Abschnitt A Nr. 11 und 12 KI-VO): Es ist selbst ein Medizinprodukt oder dessen Sicherheitsbauteil. Zudem muss das Produkt von einer Benannten Stelle bewertet werden. Die Anforderungen gelten ab dem 02.08.2028 und werden im Konformitätsbewertungsverfahren der MDR mitgeprüft (Art. 43 Abs. 3 KI-VO). Für KI-Software ab Klasse IIa heißt das: eine Akte, ein Verfahren, zwei Verordnungen.
Wo KI-VO und MDR zusammenlaufen
Thema
KI-VO
MDR
Einstufung
Hochrisiko, wenn eine Bewertung durch Dritte erforderlich ist (Art. 6 Abs. 1)
Klasse nach Anhang VIII; ab Klasse IIa Benannte Stelle
Anforderungen
Risikomanagement, Daten-Governance, Dokumentation, Aufzeichnung, Transparenz, menschliche Aufsicht, Genauigkeit, Robustheit und Cybersicherheit (Art. 9 bis 15)
grundlegende Sicherheits- und Leistungsanforderungen (Anhang I)
Technische Dokumentation
eine einzige Dokumentation für das Produkt (Art. 11 Abs. 2)
Anhänge II und III
Qualitätsmanagement
Integration in das Qualitätsmanagementsystem nach Sektorrecht möglich (Art. 17 Abs. 3)
Art. 10 Abs. 9
Konformitätsbewertung
im Verfahren der MDR durch die Benannte Stelle (Art. 43 Abs. 3)
Art. 52
Vorfälle
nach der KI-VO nur Verstöße gegen Pflichten zum Schutz der Grundrechte (Art. 73 Abs. 10 mit Art. 3 Nr. 49 Buchst. c)
Vigilanz nach Art. 87
Sitz außerhalb der EU
Bevollmächtigter nach Art. 22, für Anhang-I-Systeme ab 02.08.2028
Bevollmächtigter nach Art. 11
Die Änderungsverordnung (EU) 2026/1744 hat Medizinprodukte und In-vitro-Diagnostika in Anhang I Abschnitt A belassen und die Anwendung auf den 02.08.2028 verschoben. Die Kommission erlässt bis zum 02.08.2027 delegierte Rechtsakte (Art. 2 Abs. 13 KI-VO). Damit kann sie die Anforderungen der Art. 9 bis 15 und 17 bis 25 für solche Produkte beschränken, soweit das Sektorrecht ein gleichwertiges oder höheres Schutzniveau bietet. Benannte Stellen nach MDR und IVDR müssen ihre Benennung nach der KI-VO bis zum 28.01.2028 beantragen (Art. 43 Abs. 3). Die Kommission hat im Dezember 2025 außerdem eine Überarbeitung von MDR und IVDR vorgeschlagen (COM(2025) 1023); in Kraft ist sie nicht.
“
Eine gemeinsame technische Dokumentation heißt nicht, dass Angaben wegfallen: Bei Hochrisiko-KI im Medizinprodukt muss sie alle Angaben nach MDR und KI-VO enthalten.
Theo Funk, Rechtsanwalt
Was in die Akte gehört
Einstufung nach Art. 6 Abs. 1 KI-VO mit Begründung, ob die KI selbst das Produkt oder dessen Sicherheitsbauteil ist
Daten-Governance: Herkunft, Eignung und Prüfung der Trainings-, Validierungs- und Testdaten (Art. 10 KI-VO)
Aufzeichnungsfunktionen und Betriebsanleitung für Betreiber (Art. 12, 13 KI-VO)
Konzept für die menschliche Aufsicht (Art. 14 KI-VO)
Genauigkeit, Robustheit und Cybersicherheit; bei lernenden Systemen der Umgang mit Änderungen nach dem Inverkehrbringen (Art. 15 KI-VO)
Überwachung nach dem Inverkehrbringen, eingebunden in das PMS der MDR (Art. 72 KI-VO)
Leitlinie
Die Koordinierungsgruppe Medizinprodukte und das KI-Gremium haben im Juni 2025 gemeinsame Fragen und Antworten zum Zusammenspiel veröffentlicht (MDCG 2025-6 / AIB 2025-1). Sie stammen aus der Zeit vor der Änderungsverordnung (EU) 2026/1744.
06
Cybersecurity und Daten
Für Software verlangt die MDR Entwicklung und Herstellung nach dem Stand der Technik, mit Risikomanagement einschließlich Informationssicherheit (Anhang I Nr. 17.2), und Mindestanforderungen an IT-Sicherheit einschließlich Schutz vor unbefugtem Zugriff (Nr. 17.4). Die Cyberresilienz-Verordnung gilt für Medizinprodukte nicht (Art. 2 Abs. 2 VO (EU) 2024/2847). Gesundheitsdaten gehören zu den besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO).
Welche Regeln für Sicherheit und Daten greifen
Regelwerk
Anwendungsbereich
Kern
MDR, Anhang I Nr. 17.2 und 17.4; Leitlinie MDCG 2019-16
jede Medizinprodukte-Software
Lebenszyklus, Risikomanagement mit Informationssicherheit, Verifizierung und Validierung, IT-Mindestanforderungen
NIS2 in Deutschland (BSIG)
Hersteller von Medizinprodukten und In-vitro-Diagnostika mit mindestens 50 Beschäftigten oder Umsatz und Bilanzsumme von jeweils über 10 Mio. € (Anlage 2 Nr. 5.1, § 28 Abs. 2 Nr. 3 BSIG)
Registrierung beim BSI, Risikomanagement, Meldung erheblicher Sicherheitsvorfälle binnen 24 Stunden
Cyberresilienz-Verordnung (EU) 2024/2847
gilt nicht für Produkte unter MDR und IVDR (Art. 2 Abs. 2)
Sicherheitsanforderungen ergeben sich aus der MDR
DSGVO
Verarbeitung personenbezogener Daten in der EU oder von Personen in der EU (Art. 3)
Ausnahme nach Art. 9 Abs. 2 für Gesundheitsdaten, Datenschutz-Folgenabschätzung (Art. 35 Abs. 3 Buchst. b), Meldung von Datenpannen (Art. 33)
EHDS-Verordnung (EU) 2025/327
Medizinprodukte und Wellness-Anwendungen, die Interoperabilität mit Systemen für elektronische Patientenakten beanspruchen
Anforderungen ab 26.03.2029 (Art. 27, 47, 105)
Hersteller von Medizinprodukten, die während einer Notlage im Bereich der öffentlichen Gesundheit als kritisch eingestuft sind, fallen unter Anlage 1 Nr. 4.1.5 BSIG. Hersteller ohne Niederlassung in der EU erfasst NIS2 nicht; eine Vertreterpflicht kennt die Richtlinie nur für bestimmte digitale Dienste (Art. 26 Abs. 3 Richtlinie (EU) 2022/2555). Einzelheiten für deutsche Unternehmen: NIS2-Compliance für den Mittelstand.
Ohne Niederlassung in der EU gilt die DSGVO, wenn Sie Personen in der EU Waren oder Dienstleistungen anbieten oder ihr Verhalten beobachten (Art. 3 Abs. 2). Dann ist ein Vertreter in der EU zu benennen (Art. 27). Die Ausnahme für gelegentliche Verarbeitung (Art. 27 Abs. 2) greift nicht, wenn umfangreich Gesundheitsdaten verarbeitet werden.
07
Welche Meldefristen gelten bei Vorkommnissen?
Schwerwiegende Vorkommnisse melden Hersteller unverzüglich, spätestens 15 Tage nach Kenntnis (Art. 87 Abs. 3 MDR). Bei Tod oder unvorhergesehener schwerwiegender Verschlechterung des Gesundheitszustands gelten 10 Tage (Abs. 5), bei schwerwiegender Gefahr für die öffentliche Gesundheit 2 Tage (Abs. 4). Sicherheitskorrekturmaßnahmen im Feld melden sie, bevor sie sie ergreifen (Abs. 8). Für In-vitro-Diagnostika gilt Art. 82 IVDR mit denselben Fristen.
2 Tage
Schwerwiegende Gefahr für die öffentliche Gesundheit: Meldung unverzüglich, spätestens 2 Tage nach Kenntnis (Art. 87 Abs. 4 MDR).
10 Tage
Tod oder unvorhergesehene schwerwiegende Verschlechterung des Gesundheitszustands: unverzüglich, spätestens 10 Tage nach Kenntnis (Art. 87 Abs. 5 MDR).
15 Tage
Sonstiges schwerwiegendes Vorkommnis: unverzüglich, spätestens 15 Tage nach Kenntnis (Art. 87 Abs. 3 MDR).
parallel 72 Stunden
Meldung an die Datenschutzaufsicht, wenn personenbezogene Daten betroffen sind: unverzüglich und möglichst binnen 72 Stunden (Art. 33 Abs. 1 DSGVO). Eigene Pflicht, eigener Meldeweg.
vor der Maßnahme
Sicherheitskorrekturmaßnahme im Feld: Meldung ohne ungebührliche Verzögerung, bevor die Maßnahme ergriffen wird, außer in dringenden Fällen (Art. 87 Abs. 8 MDR).
Fristenrechner · nur im Browser
Meldestufen nach Art. 87 MDR und Art. 33 DSGVO
Ereignis
Frist
Norm
schwerwiegende Gefahr für die öffentliche Gesundheit
unverzüglich, spätestens 2 Tage nach Kenntnis
Art. 87 Abs. 4 MDR, Art. 82 Abs. 4 IVDR
Tod oder unvorhergesehene schwerwiegende Verschlechterung des Gesundheitszustands
unverzüglich, spätestens 10 Tage nach Kenntnis
Art. 87 Abs. 5 MDR, Art. 82 Abs. 5 IVDR
sonstiges schwerwiegendes Vorkommnis
unverzüglich, spätestens 15 Tage nach Kenntnis
Art. 87 Abs. 3 MDR, Art. 82 Abs. 3 IVDR
Sicherheitskorrekturmaßnahme im Feld
ohne ungebührliche Verzögerung, bevor die Maßnahme ergriffen wird; Ausnahme: dringende Fälle
Art. 87 Abs. 1 Buchst. b, Abs. 8 MDR
Trend bei nicht schwerwiegenden Vorkommnissen und erwarteten Nebenwirkungen
bei statistisch signifikantem Anstieg
Art. 88 MDR
Verletzung des Schutzes personenbezogener Daten
unverzüglich und möglichst binnen 72 Stunden
Art. 33 Abs. 1 DSGVO
Die 15-Tage-Frist knüpft an die Kenntnis vom Vorkommnis an; gemeldet wird, sobald ein Kausalzusammenhang oder ein durchaus möglicher Kausalzusammenhang mit dem Produkt festgestellt ist (Art. 87 Abs. 3). Ist unklar, ob ein Vorkommnis meldepflichtig ist, meldet der Hersteller trotzdem fristgerecht (Abs. 7); eine vorläufige Meldung ist zulässig (Abs. 6).
Fällt der Hersteller in Deutschland unter das BSIG, meldet er einen erheblichen Sicherheitsvorfall zusätzlich binnen 24 Stunden an das BSI (§ 32 BSIG). Die Meldung nach Art. 33 DSGVO ist eine eigene Pflicht; die Vigilanzmeldung ersetzt sie nicht.
08
Welche Sanktionen drohen?
Die Behörden können Produkte vom Markt nehmen, zurückrufen oder ihre Bereitstellung untersagen (Art. 95, 97 MDR). In Deutschland ist es eine Straftat, ein Produkt ohne die erforderliche Konformitätsbewertung in Verkehr zu bringen (§ 93 MPDG); fehlende CE-Kennzeichnung oder eine nicht sichergestellte verantwortliche Person (PRRC) sind Ordnungswidrigkeiten mit Geldbuße bis 30.000 € (§ 94 MPDG). Hinzu kommen Produkthaftung und wettbewerbsrechtliche Abmahnungen.
Sanktionen im Überblick
Folge
Grundlage
Beispiele
Marktüberwachung
Art. 93 bis 100 MDR, § 77 MPDG
Rücknahme, Rückruf, Untersagung oder Beschränkung der Bereitstellung
Straftat
§ 93 MPDG: Freiheitsstrafe bis zu einem Jahr oder Geldstrafe
Inverkehrbringen oder CE-Kennzeichnung ohne Konformitätsbewertung; irreführende Angaben entgegen Art. 7 MDR; fehlende Registrierung nach Art. 29, 31 MDR
Schwerere Straftat
§ 92 MPDG: Freiheitsstrafe bis zu drei Jahren oder Geldstrafe
Inverkehrbringen trotz begründeten Verdachts einer Gefährdung; gefälschte Produkte
Ordnungswidrigkeit
§ 94 MPDG: Geldbuße bis 30.000 €
fahrlässige Taten nach § 93; Bereitstellung ohne CE-Kennzeichnung; verantwortliche Person (PRRC) nach Art. 15 nicht sichergestellt
Produkthaftung
Produkthaftungsgesetz; für Produkte nach dem 09.12.2026 Richtlinie (EU) 2024/2853
Schadensersatz bei Produktfehlern; bei Herstellern außerhalb der EU haften auch Importeur und Bevollmächtigter (Art. 8 Abs. 1 Buchst. c der Richtlinie)
Abmahnung
§ 3 HWG, § 3a UWG
Werbung mit nicht belegter Wirkung, irreführende Zweckangaben, Angebot ohne erforderliche CE-Kennzeichnung
Eine unterlassene Vigilanzmeldung ist in den §§ 92 bis 94 MPDG nicht eigens mit Strafe oder Geldbuße bedroht. Nach unserer Einschätzung wiegt sie trotzdem schwer: Sie zieht behördliche Maßnahmen nach sich und belastet den Hersteller in Haftungsprozessen.
Werbung für Medizinprodukte unterliegt dem Heilmittelwerbegesetz (§ 1 Abs. 1 Nr. 1a HWG). Irreführende Wirkungsversprechen sind verboten (§ 3 HWG); Wettbewerber und Verbände setzen das per Abmahnung durch, gestützt auf § 3a UWG.
09
Wir sind Importeur, Händler oder Marktplatz – was müssen wir prüfen?
Importeure prüfen vor dem Inverkehrbringen CE-Kennzeichnung und EU-Konformitätserklärung, die Benennung eines Bevollmächtigten, Kennzeichnung und Gebrauchsanweisung sowie die UDI (Art. 13 Abs. 2 MDR) und die Registrierung in EUDAMED (Abs. 4). Händler prüfen vor der Bereitstellung CE-Kennzeichnung, Konformitätserklärung, Herstellerinformationen, Importeurangaben und UDI (Art. 14 Abs. 2). Für den Fernabsatz gilt die MDR ebenso (Art. 6); Online-Plattformen müssen Angaben zu den Anbietern erheben (Art. 30 DSA).
Prüfpflichten in der Lieferkette
Rolle
prüft
Norm
Importeur
CE-Kennzeichnung und EU-Konformitätserklärung; Hersteller bekannt und Bevollmächtigter benannt; Kennzeichnung und Gebrauchsanweisung; UDI; Registrierung des Produkts, ergänzt um eigene Daten
Art. 13 Abs. 2 und 4 MDR
Händler
CE-Kennzeichnung und EU-Konformitätserklärung; Informationen nach Art. 10 Abs. 11; Angaben des Importeurs; UDI
Art. 14 Abs. 2 MDR
Anbieter im Fernabsatz
auch ein online angebotenes Produkt muss der MDR entsprechen
Art. 6 MDR
Online-Plattform für Fernabsatzverträge
Name, Anschrift, Kontakt, Identitätsnachweis, Registereintrag und Selbstbescheinigung des Unternehmers, nur unionsrechtskonforme Produkte anzubieten; Oberfläche für Pflichtangaben wie Etikettierung und Kennzeichnung
Art. 30, 31 DSA
Wer zum Hersteller wird
wer ein Produkt unter eigenem Namen anbietet, die Zweckbestimmung ändert oder das Produkt so ändert, dass die Konformität betroffen sein kann
Art. 16 MDR
Hat ein Importeur Grund zu der Annahme, dass ein Produkt nicht konform ist, darf er es nicht in Verkehr bringen (Art. 13 Abs. 2 MDR). Fehlt der Bevollmächtigte eines Herstellers außerhalb der EU, ist das der Fall. Lassen Sie sich Mandat, Registrierungsnummer (SRN) und gegebenenfalls die Bescheinigung der Benannten Stelle vor der ersten Lieferung zeigen.
Leitlinie für Plattformen
Für Medizinprodukte-Software auf Online-Plattformen hat die Koordinierungsgruppe Medizinprodukte im Juni 2025 die Leitlinie MDCG 2025-4 veröffentlicht.
10
Wo stehen wir? Der 15-Punkte-Check
Der Check fragt 15 Punkte aus MDR, KI-VO und DSGVO ab: Zweckbestimmung und Klasse, Qualitätsmanagement, Akte, klinische Bewertung, Benannte Stelle, verantwortliche Person (PRRC), Bevollmächtigter, UDI und Registrierung, Überwachung, Vigilanz, Haftungsdeckung, KI und Datenschutz. Die Auswertung läuft nur in Ihrem Browser, ohne Datenübertragung.
Readiness-Check · 15 Punkte
Priorisieren Sie, was den Marktzugang sperrt: zuerst Zweckbestimmung und Klasse, bei Sitz außerhalb der EU dann den Bevollmächtigten (Art. 11 Abs. 1 MDR), danach Akte, Benannte Stelle und Vigilanzprozess.
11
Anwalt, Regulatory-Berater oder Benannte Stelle – wer macht was?
Drei Rollen, die sich ergänzen. Die Kanzlei klärt die Rechtsfragen: Qualifizierung und Klasse, Verträge in der Lieferkette, Verfahren mit Behörden und das Zusammenspiel mit KI-VO, DSGVO und Data Act. Regulatory-Berater erstellen technische Dokumentation, klinische Bewertung und Qualitätsmanagementsystem. Die Benannte Stelle bewertet die Konformität; Beratung zu den Produkten, die sie bewertet, ist ihr untersagt (Anhang VII Nr. 1.2.3 Buchst. d MDR).
Rollenverteilung
Aufgabe
Kanzlei
Regulatory-Berater
Benannte Stelle
Qualifizierung und Klassifizierung
prüft rechtlich, erstellt den Vermerk
liefert Produkt- und Technikwissen
prüft im Verfahren
Technische Dokumentation, klinische Bewertung
prüft Zweckbestimmung, Kennzeichnung und Werbeaussagen
erstellt
bewertet
Qualitätsmanagementsystem
Verträge mit Lieferanten, Vereinbarung zur verantwortlichen Person (PRRC)
bewertet KI-Anforderungen mit (Art. 43 Abs. 3 KI-VO)
Konformitätsbewertung
begleitet bei Streit über Feststellungen und Klassifizierung
bereitet vor
entscheidet, stellt die Bescheinigung aus
12
Sitz außerhalb der EU – was gilt dann?
Ist der Hersteller nicht in der EU niedergelassen, darf er sein Produkt nur in Verkehr bringen, wenn er einen einzigen Bevollmächtigten benannt hat (Art. 11 Abs. 1 und 2 MDR). Das Mandat wird erst mit dessen schriftlicher Annahme wirksam. Der Bevollmächtigte haftet für fehlerhafte Produkte gesamtschuldnerisch mit dem Hersteller, wenn dieser seine Pflichten nach Art. 10 nicht erfüllt hat (Art. 11 Abs. 5). Er muss selbst auf eine verantwortliche Person (PRRC) zurückgreifen können (Art. 15 Abs. 6). Die Kanzlei stellt keinen Bevollmächtigten nach der MDR.
Was der Bevollmächtigte nach Art. 11 Abs. 3 MDR tut
prüft, ob EU-Konformitätserklärung und technische Dokumentation erstellt sind und das Konformitätsbewertungsverfahren durchgeführt wurde
hält Dokumentation, Konformitätserklärung und Bescheinigungen für die Behörden bereit
registriert sich in EUDAMED und prüft die Registrierungen des Herstellers
arbeitet mit den Behörden bei Präventiv- und Korrekturmaßnahmen zusammen und leitet Vorkommnisberichte unverzüglich an den Hersteller weiter
beendet das Mandat, wenn der Hersteller seine Pflichten verletzt, und unterrichtet dann die Behörde (Abs. 6)
Wird das Produkt über ein Unternehmen in der EU eingeführt, trifft dieses als Importeur die Prüfpflichten des Art. 13 MDR. Bevollmächtigter und Importeur können verschiedene Unternehmen sein. Für Produkte, die nach dem 09.12.2026 in Verkehr gebracht werden, haften beide auch nach der neuen Produkthaftungsrichtlinie (Art. 8 Abs. 1 Buchst. c Richtlinie (EU) 2024/2853).
Unsere Rolle
Die Kanzlei Theo Funk übernimmt die Funktion des Bevollmächtigten nach Art. 11 MDR nicht. Wir vermitteln Partner, die diese Funktion mit verantwortlicher Person (PRRC) übernehmen, prüfen deren Angebot und gestalten den Vertretungsvertrag: Mandatsumfang nach Art. 11 Abs. 3, Haftung im Innenverhältnis zu Art. 11 Abs. 5, Versicherung, Informationspflichten, Beendigung und Wechsel (Art. 12 MDR).
Den Bevollmächtigten nach Art. 11 MDR brauchen Sie vor dem ersten Inverkehrbringen. Der Bevollmächtigte nach Art. 22 KI-VO wird für KI in Medizinprodukten ab dem 02.08.2028 Pflicht.
13
So läuft die Zusammenarbeit
Am Anfang steht eine kostenfreie Ersteinschätzung von bis zu 20 Minuten. Danach erhalten Sie ein Angebot: zum Festpreis für abgrenzbare Bausteine oder nach Zeitaufwand; tätig wird die Kanzlei erst nach Ihrer ausdrücklichen Beauftragung. Wir arbeiten auf Deutsch und Englisch, mit Ihrem Regulatory-Team und Ihrer Benannten Stelle.
Kostenfreie Ersteinschätzungbis 20 Minuten
Sie nennen Produkt, Zweckbestimmung, Zielmärkte und Stand. Wir klären, ob eine vertiefte Prüfung sinnvoll ist und was sie umfasst.
Qualifizierungs- und Klassifizierungsvermerkin der Regel ein bis zwei Wochen nach Eingang der Unterlagen
Wir prüfen Zweckbestimmung, Kennzeichnung und Werbung nach MDR, IVDR und MDCG 2019-11. Qualifizierung und Klasse dokumentieren wir mit Begründung und Datum, bei KI-Komponenten auch die Einstufung nach Art. 6 KI-VO.
Regulatory Roadmapje nach Umfang zwei bis sechs Wochen
Wir bestimmen Reihenfolge, Verantwortliche und Fristen bis zum Marktstart: Konformitätsbewertung und Benannte Stelle, Bevollmächtigter und Importeur, Registrierung, KI-VO und Datenschutz.
Umsetzung und Verträgefortlaufend, meist über mehrere Monate
Wir gestalten Lieferkettenverträge, begleiten die Abstimmung mit Benannter Stelle und Behörden und aktualisieren die Roadmap.
Leistungsbausteine
Software-Qualifizierung und Klassifizierung
ErgebnisSie erhalten einen datierten Vermerk, ob Ihre Software ein Medizinprodukt oder In-vitro-Diagnostikum ist und welche Klasse gilt, begründet nach MDR, IVDR und MDCG 2019-11.
Regulatory Roadmap für Hersteller außerhalb der EU
ErgebnisSie erhalten einen Plan bis zum Marktstart in der EU: Rollen, Konformitätsbewertung, Registrierung und Fristen, mit Zuständigkeiten und Reihenfolge.
KI-Medizinprodukte: KI-VO und MDR
ErgebnisSie erhalten die Einstufung nach Art. 6 KI-VO und eine Gliederung der gemeinsamen Akte für das Verfahren Ihrer Benannten Stelle.
Vertragspaket Lieferkette
ErgebnisSie erhalten Verträge mit Bevollmächtigtem, Importeur, Händlern, OEM-Partnern und dem Dienstleister für die verantwortliche Person (PRRC), mit klaren Pflichten nach Art. 11, 13, 14 und 15 MDR und Haftungsregeln.
Daten und Cybersecurity
ErgebnisSie erhalten die Prüfung nach DSGVO und Data Act, die Einordnung nach NIS2 und die rechtliche Prüfung Ihrer Angaben zu Anhang I Nr. 17 MDR.
Behördenverfahren und Abwehr
ErgebnisSie erhalten die Vertretung gegenüber Marktüberwachung und Benannter Stelle und bei Abmahnungen, einschließlich der Begleitung von Vorkommnissen und Korrekturmaßnahmen.
Rechtsanwalt, Bamberg — Medizinprodukte-Software und KI
Theo Funk ist Rechtsanwalt in Bamberg und berät im EU-Digitalrecht: Digital Services Act, KI-Verordnung, Datenschutz, NIS2 und Medizinprodukterecht für Software. Er berät Hersteller aus der EU und aus Drittstaaten zur Qualifizierung und Klassifizierung von Software, zu Verträgen in der Lieferkette und zum Zusammenspiel von MDR und KI-VO. Die Ersteinschätzung von bis zu 20 Minuten ist kostenfrei.
Drei Fachbeiträge zu Medizinprodukte-Software mit Normzitaten: Qualifizierung nach MDCG 2019-11, gemeinsames Verfahren nach KI-VO und MDR und Bevollmächtigter nach Art. 11 MDR.
Wann KI im Medizinprodukt als Hochrisiko-KI-System gilt, wie die Benannte Stelle beide Verordnungen in einem Verfahren prüft und welche Fristen bis zum 02.08.2028 laufen.
Aufgaben, Haftung und Vertrag des Bevollmächtigten, die neue Produkthaftung für Produkte, die nach dem 09.12.2026 in Verkehr gebracht werden, und der Wechsel nach Art. 12 MDR.
Nicht, solange sie nur der Fitness, dem Lebensstil oder dem Wohlbefinden dient; solche Apps sind keine Medizinprodukte-Software (MDCG 2019-11, Abschnitt 3.1). Das ändert sich, sobald Sie mit einem medizinischen Zweck werben, etwa Krankheiten zu erkennen oder zu verhüten (Art. 2 Nr. 1 MDR). Prüfen Sie App-Store-Text, Website und Werbung, nicht nur die Gebrauchsanweisung. Beansprucht die App Interoperabilität mit elektronischen Patientenakten, gelten ab 26.03.2029 die Pflichten für Wellness-Anwendungen nach Art. 47 EHDS-Verordnung.
Brauche ich eine Benannte Stelle?
Ab Klasse IIa (Art. 52 MDR), bei In-vitro-Diagnostika ab Klasse B und für sterile Produkte der Klasse A. Liefert Software Informationen für diagnostische oder therapeutische Entscheidungen, gilt nach Regel 11 mindestens Klasse IIa. Ohne Benannte Stelle bleiben nur Klasse-I-Software und nicht sterile In-vitro-Diagnostika der Klasse A (Art. 48 Abs. 10 IVDR); die übrigen Herstellerpflichten gelten weiter.
Was kostet die Einstiegsberatung?
Die Ersteinschätzung von bis zu 20 Minuten ist kostenfrei. Danach erhalten Sie ein Angebot: zum Festpreis, wenn sich der Umfang vorab abgrenzen lässt, sonst nach Zeitaufwand. Alle Beträge: Honorare für Digital Health.
Stellen Sie den EC-REP?
Nein. Die Kanzlei übernimmt die Funktion des Bevollmächtigten nach Art. 11 MDR nicht. Wir vermitteln Partner, die sie mit verantwortlicher Person (PRRC) übernehmen, und gestalten den Vertretungsvertrag. Bevollmächtigte und Vertreter nach Art. 22 und 54 KI-VO, Art. 27 DSGVO und Art. 37 Data Act stellt die Regingada UG (haftungsbeschränkt), eine eigenständige Gesellschaft des Kanzleiinhabers, mit gesondertem Vertrag.
Gilt die KI-VO zusätzlich?
Ja, wenn das KI-System selbst Medizinprodukt oder dessen Sicherheitsbauteil ist und eine Benannte Stelle das Produkt bewerten muss. Dann gilt es als Hochrisiko-KI-System (Art. 6 Abs. 1 KI-VO). Die Anforderungen gelten ab dem 02.08.2028 und werden im MDR-Verfahren mitgeprüft (Art. 43 Abs. 3). Klasse-I-Software mit KI, bei der keine Benannte Stelle mitwirkt, ist nicht nach Art. 6 Abs. 1 hochriskant; andere KI-VO-Pflichten, etwa nach Art. 50, können dennoch gelten.
Was passiert bei einem Vorkommnis?
Melden Sie schwerwiegende Vorkommnisse der zuständigen Behörde, in Deutschland in der Regel dem BfArM: unverzüglich, spätestens nach 15 Tagen (Art. 87 MDR). Bei Tod oder unvorhergesehener schwerwiegender Verschlechterung des Gesundheitszustands beträgt die Frist 10 Tage, bei schwerwiegender Gefahr für die öffentliche Gesundheit 2 Tage. Sicherheitskorrekturmaßnahmen im Feld melden Sie vor ihrer Durchführung. Eine Anfrage bei uns wahrt keine Frist.
Gilt NIS2 für Hersteller?
Ja, für Hersteller von Medizinprodukten und In-vitro-Diagnostika mit Sitz in Deutschland ab 50 Beschäftigten oder bei Umsatz und Bilanzsumme von jeweils über 10 Mio. €. Sie gelten als wichtige Einrichtungen (Anlage 2 Nr. 5.1, § 28 Abs. 2 Nr. 3 BSIG). Ohne EU-Niederlassung erfasst NIS2 Hersteller nicht. Die Cyberresilienz-Verordnung gilt nicht für Medizinprodukte (Art. 2 Abs. 2 VO (EU) 2024/2847).
Was ändert sich am 09.12.2026?
Die neue Produkthaftungsrichtlinie (EU) 2024/2853 gilt für Produkte, die nach dem 09.12.2026 in Verkehr gebracht werden. Software zählt ausdrücklich als Produkt (Art. 4 Nr. 1). Hat der Hersteller seinen Sitz außerhalb der EU, haften neben ihm Importeur und Bevollmächtigter (Art. 8 Abs. 1 Buchst. c). Prüfen Sie Versicherung und Haftungsregeln Ihrer Verträge. Umsetzungsfrist für die Mitgliedstaaten ist dieser Tag (Art. 22 Abs. 1).
29.10.2026 Erstfassung; Rechtsstand MDR (konsolidiert 19.07.2026), IVDR, KI-VO in der Fassung der VO (EU) 2026/1744, MPDG, MPAMIV und MDCG-Leitlinien am 29.10.2026
Anfrage
Ersteinschätzung anfragen
Rechtsanwalt Theo Funk · Rechtsanwaltskammer Bamberg
Beschreiben Sie kurz Ihr Produkt und Ihre Frage. Die Antwort kommt vom Anwalt selbst, in der Regel innerhalb weniger Werktage. Ein Mandat entsteht erst durch Ihre ausdrückliche Beauftragung.
Ersteinschätzung von bis zu 20 Minuten, schriftlich oder per Video
Kanzlei Theo Funk, Bamberg — Medizinprodukte-Software und KI
