Die europäische NIS-2-Richtlinie Neue Anforderungen an die Cyber- und Informationssicherheit für Medizinprodukte-Hersteller

Anbieter zum Thema

SKW Schwarz Rechtsanwaltskanzlei

Aptean Germany GmbH

Prosmap · Medical Product Platform

Metecon GmbH

Die europäische NIS-2-Richtlinie verpflichtet auch Medizinprodukte-Hersteller zu IT-Sicherheitsmaßnahmen. Das deutsche Umsetzungsgesetz wird voraussichtlich 2025 in Kraft treten. Jetzt ist der richtige Zeitpunkt, sich auf NIS-2 vorzubereiten.

Die Stärkung der Cyber-Resilienz ist eines der regulatorischen Fokusthemen der Europäischen Kommission. Bereits Ende 2022 wurde die europäische NIS-2-Richtlinie verabschiedet, die auch Medizinprodukte-Hersteller bei Überschreitung definierter Schwellenwerte dazu verpflichtet, angemessene technische und organisatorische Maßnahmen zum Schutz ihrer IT-Systeme zu ergreifen. Die NIS-2-Richtlinie schreibt den EU-Mitgliedsstaaten eine Umsetzung in nationales Recht bis zum 17. Oktober 2024 vor. Das deutsche Umsetzungsgesetz wird nach derzeitigem Stand voraussichtlich erst im März 2025 in Kraft treten. Spätestens jetzt ist deswegen der richtige Zeitpunkt, um sich mit den neuen Anforderungen von NIS-2 auseinanderzusetzen.

Medizinprodukte-Herstellern kommt dabei zugute, dass ihnen Anforderungen an die Stärkung einer Cyber-Resilienz grundsätzlich nicht gänzlich neu sind. Aus der EU Medizinprodukte-Verordnung (kurz MDR) ergibt sich bereits die Anforderung an eine hinreichende Cyber-Resilienz von Medizinprodukten. NIS-2 unterscheidet sich insoweit von der MDR, als es bei NIS-2 um die Cybersicherheit der IT-Systeme des Unternehmens insgesamt geht, nicht die eines einzelnen Produktes.