Sind wir Medizinproduktehersteller nach NIS 2?
Hersteller von Produkten auf der EMA-Liste kritischer Medizinprodukte sind wesentliche Einrichtungen nach Anhang I Unterkategorie 5. Alle übrigen Hersteller von Medizinprodukten oder In-vitro-Diagnostika sind wichtige Einrichtungen nach Anhang II Sektor 5, sofern die Schwelle aus Artikel 2(1) erreicht ist. MDR und IVDR laufen parallel. Keine Lex-specialis-Ausnahme.
Die Kurzfassung
Hersteller von Medizinprodukten stehen gleichzeitig in zwei Anhängen der NIS 2. Anhang I Sektor 5 erfasst sie über den fünften Gedankenstrich als Hersteller von Medizinprodukten, die während einer Notlage im Bereich der öffentlichen Gesundheit als kritisch im Sinne des Artikels 22 der Verordnung (EU) 2022/123 eingestuft sind. Das ist die EMA-Liste kritischer Medizinprodukte. Unternehmen auf dieser Liste sind wesentliche Einrichtungen und stehen im höheren Bußgeldrahmen.
Anhang II Sektor 5 erfasst den Rest der Branche. Die Unterkategorien sind Hersteller von Medizinprodukten im Sinne des Artikels 2 Nummer 1 der Verordnung (EU) 2017/745 (MDR) und Hersteller von In-vitro-Diagnostika im Sinne des Artikels 2 Nummer 2 der Verordnung (EU) 2017/746 (IVDR). Das sind wichtige Einrichtungen. Gleiche Größenschwelle wie alle anderen: 50 Beschäftigte, oder Jahresumsatz und Jahresbilanzsumme von jeweils über 10 Millionen Euro.
MDR und IVDR laufen parallel, sie ersetzen NIS 2 nicht. MDR betrifft das Produkt, NIS 2 betrifft das Unternehmen. Die Cybersicherheitsanforderung aus Anhang I Nummer 17.2 MDR liegt auf Produktebene. Die Pflichten aus Artikel 21 NIS 2 liegen auf Unternehmensebene. Beides gilt. Es gibt keine Lex-specialis-Ausnahme im Stil von DORA für Medizinproduktehersteller.
Anhang I Sektor 5, fünfter Gedankenstrich NIS 2 Richtlinie (2022/2555)
Einrichtungen, die Medizinprodukte herstellen, die während einer Notlage im Bereich der öffentlichen Gesundheit als kritisch im Sinne des Artikels 22 der Verordnung (EU) 2022/123 eingestuft werden.
Wortlaut aus ABl. L 333/145, Anhang I Sektor 5, fünfter Gedankenstrich. Bezugspunkt ist die EMA-Liste kritischer Medizinprodukte nach Verordnung (EU) 2022/123. Steht Ihr Produkt auf dieser Liste, sind Sie wesentliche Einrichtung. Bußgeldrahmen: bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.
Anhang II Sektor 5 NIS 2 Richtlinie (2022/2555)
Herstellung von Medizinprodukten und In-vitro-Diagnostika: Einrichtungen, die Medizinprodukte im Sinne von Artikel 2 Nummer 1 der Verordnung (EU) 2017/745 herstellen, mit Ausnahme der in Anhang I Nummer 5 fünfter Gedankenstrich dieser Richtlinie genannten Einrichtungen; Einrichtungen, die In-vitro-Diagnostika im Sinne von Artikel 2 Nummer 2 der Verordnung (EU) 2017/746 herstellen.
Wortlaut aus ABl. L 333/146, Anhang II Sektor 5. Zwei Unterkategorien: MDR-Hersteller (ohne die EMA-Liste, die in Anhang I sitzt) und IVDR-Hersteller. Die NACE-Klassifikation ist C32.5. Wichtige Einrichtung, Bußgeldrahmen bis zu 7 Millionen Euro oder 1,4 Prozent des weltweiten Jahresumsatzes.
§28 BSIG und Artikel 2(1) NIS 2 (Größenschwelle)
§28 BSIG setzt den Anwendungsbereich nach Anhang I und Anhang II in deutsches Recht um. Artikel 2(1) NIS 2 und Empfehlung 2003/361/EG legen die Größenschwelle fest: 50 Beschäftigte oder mehr, oder Jahresumsatz und Jahresbilanzsumme von jeweils über 10 Millionen Euro.
Zwei Schwellen, eine reicht. Die Größenregel ist für Anhang I und Anhang II identisch. Was sich zwischen beiden ändert, ist der Bußgeldrahmen und das Aufsichtsregime. Das BfArM bleibt zuständig für MDR und IVDR; das BSI ist zuständig für NIS 2. Zwei Behörden, ein Unternehmen.
EMA-Liste kritischer Medizinprodukte
Steht Ihr Produkt auf der EMA-Liste kritischer Medizinprodukte nach Artikel 22 der Verordnung (EU) 2022/123? Diese Liste benennt Produkte, die während einer ausgerufenen Notlage im Bereich der öffentlichen Gesundheit als kritisch gelten. Beatmungsgeräte, Sauerstoffkonzentratoren, bestimmte Diagnostika, bestimmte Infusionsgeräte. Wenn ja, gilt Anhang I Unterkategorie 5 und Sie sind wesentliche Einrichtung.
Hersteller von Medizinprodukten oder IVD
Stellen Sie ein Medizinprodukt (Artikel 2 Nummer 1 MDR) oder ein In-vitro-Diagnostikum (Artikel 2 Nummer 2 IVDR) her? Den Hersteller definieren Artikel 2 Nummer 30 MDR und Artikel 2 Nummer 23 IVDR. Das erfasst die gesamte Branche: jede Partei, die ein Medizinprodukt oder ein In-vitro-Diagnostikum entwickelt, herstellt, aufbereitet oder unter eigenem Namen in Verkehr bringt. NACE-Klassifikation C32.5. Wenn ja und Prüfung 1 nicht bestanden, gilt Anhang II Sektor 5 und Sie sind wichtige Einrichtung.
Größenprüfung (Art. 2(1))
Haben Sie 50 Beschäftigte oder mehr, oder liegen Jahresumsatz und Jahresbilanzsumme jeweils über 10 Millionen Euro? Eine der beiden Schwellen reicht. Darunter sind Sie draußen, mit den engen Ausnahmen aus Art. 2(2) und (3) (Anwendung unabhängig von der Größe für Alleinanbieter, öffentliche Verwaltung, Vertrauensdiensteanbieter und einige weitere).
Anhang I Unterkategorie 5 und Anhang II Sektor 5 schließen sich aus
Anhang II Sektor 5 lesen: dort werden MDR-Hersteller erfasst, mit Ausnahme der bereits in Anhang I Nummer 5 fünfter Gedankenstrich genannten Hersteller. Ein Unternehmen ist entweder wesentlich (auf der EMA-Liste) oder wichtig (alle übrigen). Gleicher Sektor, zwei Anhänge, unterschiedlicher Bußgeldrahmen. Sie sitzen nicht in beiden gleichzeitig.
MDR und IVDR betreffen das Produkt, NIS 2 das Unternehmen
Anhang I Nummer 17.2 MDR fordert bereits IT-Sicherheit auf Produktebene: das Produkt muss so konstruiert und hergestellt sein, dass es gegen vernünftigerweise vorhersehbare Cybersicherheitsrisiken eine wiederholbare, zuverlässige und leistungsfähige Funktion erbringt. Artikel 21 NIS 2 sitzt eine Ebene höher: Governance, Risikomanagement, Lieferkette, Vorfallbehandlung auf Unternehmensebene. Beides gilt. Keines absorbiert das andere.
BSI / §28 BSIG (NIS 2 Cybersicherheitsbehörde)
Das BSI ist die Cybersicherheitsbehörde nach NIS 2. §28 BSIG operationalisiert den Anwendungsbereich aus Anhang I und Anhang II. §30 BSIG legt die Risikomanagementmaßnahmen fest, §32 BSIG die Meldepflichten. Das BSI reguliert nicht das Produkt, sondern die Cybersicherheitslage des Unternehmens.
BfArM / MPDG (Medizinprodukte und IVD)
Das BfArM ist die zuständige deutsche Behörde für MDR und IVDR nach dem Medizinprodukte-Durchführungsgesetz (MPDG). Es beaufsichtigt das Produkt selbst: Konformitätsbewertung, Marktüberwachung, Vigilanz. Die MDR-Cybersicherheitspflicht aus Anhang I Nummer 17.2 sitzt hier, getrennt von den NIS 2 Pflichten beim BSI.
ENISA NIS 2 Transpositionsübersicht
ENISA veröffentlicht eine NIS 2 Transpositionsseite mit den nationalen Gesetzen und zuständigen Behörden pro Mitgliedstaat. Für Medizinproduktehersteller, die EU-weit vertreiben, ist das die sauberste Einzelquelle für die Cybersicherheitsbehörde in jedem Land. Die Landschaft der Benannten Stellen nach MDR ist separat und wird über die EUDAMED-Datenbank geführt.
Anhang I Nummer 17.2 MDR deckt Cybersicherheit bereits ab, NIS 2 gilt also nicht zusätzlich.
Anhang I Nummer 17.2 MDR betrifft Produkt-Cybersicherheit für das Produkt. Artikel 21 NIS 2 betrifft Unternehmens-Cybersicherheit für den Hersteller: Governance, Risikomanagement, Lieferkette, Vorfallbehandlung, Geschäftsfortführung. Zwei Ebenen. NIS 2 kennt keine Lex-specialis-Ausnahme für Medizinproduktehersteller. Beides gilt vollumfänglich.
Wir stellen nur Klasse-I-Produkte her, also sind wir unter der NIS 2 Schwelle.
Die MDR-Risikoklasse ist nicht der NIS 2 Maßstab. Der NIS 2 Maßstab ist Anhang I oder Anhang II Sektor plus Größenschwelle aus Artikel 2(1). Ein Hersteller von Klasse-I-Verbandmaterial mit 80 Beschäftigten ist in Anhang II Sektor 5 als wichtige Einrichtung. Die klinische Risikoklasse des Produkts spielt für den NIS 2 Anwendungsbereich keine Rolle.
Wir machen Software als Medizinprodukt, das ist reine MDR-Sache.
SaMD ist ein Medizinprodukt im Sinne des Artikels 2 Nummer 1 MDR, und wer es herstellt, ist Hersteller nach Artikel 2 Nummer 30 MDR. Anhang II Sektor 5 erfasst sie. Wer die Größenschwelle erreicht, fällt unter NIS 2. Software ändert den Anhang nicht; das Unternehmen stellt weiterhin ein Medizinprodukt nach MDR her. Dieselbe Unterkategorie greift.
Typischer Fall: Hersteller orthopädischer Implantate mit 90 Beschäftigten und 25 Millionen Euro Jahresumsatz. Prüfung 1 nicht bestanden (nicht auf der EMA-Liste). Prüfung 2 bestanden (Hersteller nach Artikel 2 Nummer 30 MDR eines Produkts nach Artikel 2 Nummer 1). Prüfung 3 bestanden (deutlich über der Schwelle für mittlere Unternehmen). Ergebnis: Anhang II Sektor 5, wichtige Einrichtung. §30 BSIG Maßnahmen gelten. §32 BSIG Meldepflichten gelten. Die MDR-Konformitätsbewertung bei der Benannten Stelle läuft unverändert weiter.
Was Praktiker tatsächlich tun: NIS 2 Akte und MDR-Technische-Dokumentation getrennt führen. Zwei Behörden, zwei Vorgänge. Die Nachweise zu Anhang I Nummer 17.2 MDR (Threat Modeling, sichere Entwicklungsphase, Post-Market-Security) speisen die Anforderungen aus Artikel 21 Absatz 2 Buchstabe e NIS 2 (Sicherheit bei Erwerb, Entwicklung und Wartung), ersetzen sie aber nicht. Die Anwendbarkeitsprüfung wird vom Leitungsorgan unterzeichnet und beide Akten laufen in derselben Prüfspur.
- Richtlinie (EU) 2022/2555 (NIS 2), Anhang I Sektor 5 fünfter Gedankenstrich und Anhang II Sektor 5: eur-lex.europa.eu/eli/dir/2022/2555/oj
- Verordnung (EU) 2022/123 über eine verstärkte Rolle der EMA, Artikel 22 (Liste kritischer Arzneimittel und Medizinprodukte): eur-lex.europa.eu/eli/reg/2022/123/oj
- Verordnung (EU) 2017/745 (MDR), Artikel 2 Nummer 1 (Medizinprodukt), Artikel 2 Nummer 30 (Hersteller) und Anhang I Nummer 17.2 (Cybersicherheit): eur-lex.europa.eu/eli/reg/2017/745/oj
- Verordnung (EU) 2017/746 (IVDR), Artikel 2 Nummer 2 (In-vitro-Diagnostikum) und Artikel 2 Nummer 23 (Hersteller): eur-lex.europa.eu/eli/reg/2017/746/oj
- Empfehlung 2003/361/EG, Anhang Artikel 2 (Definition mittleres Unternehmen)
- BSI-Gesetz (BSIG), §28 in der Fassung des NIS2-Umsetzungsgesetzes
- Medizinprodukte-Durchführungsgesetz (MPDG): gesetze-im-internet.de/mpdg
- ENISA NIS 2 Transpositionsübersicht: enisa.europa.eu/topics/nis-directive
In der Praxis
Wo das im Durchgang vorkommt
Im Durchgang werden daraus Schritte, die Sie ausfüllen, mit dem Gesetz jeweils daneben erklärt. Öffnen Sie einen Schritt, um ihn ausgefüllt am Beispiel einer erfundenen Firma zu sehen.
Registrierung & Meldung
Beim BSI registrieren
Ihr Unternehmen meldet sich einmal beim BSI an.
Sie sollen sich um NIS2 kümmern?
Am Ende haben Sie alles in einem Dokument: was getan ist, was noch offen ist, und die Freigabe Ihrer Geschäftsführung mit Namen und Datum. Die Texte schreibt die App.
