§ 17 - Medizinprodukte-Betreiberverordnung (MPBetreibV)

(1) 1Der Betreiber darf Software als Medizinprodukt der Klassen IIb und III nach Artikel 51 Absatz 1 in Verbindung mit Anhang VIII der Verordnung (EU) 2017/745 und Software als In-vitro-Diagnostikum der Klassen C und D nach Artikel 47 Absatz 1 in Verbindung mit Anhang VIII der Verordnung (EU) 2017/746 nur betreiben lassen und benutzen lassen, wenn zuvor der Hersteller oder eine dazu befugte Person, die im Einvernehmen mit dem Hersteller handelt,

(2) Software nach Absatz 1 darf nur von Personen betrieben oder benutzt werden, die nach Absatz 1 Satz 1 Nummer 2 eingewiesen worden sind.

(3) 1Wird Software nach Absatz 1 in einer Gesundheitseinrichtung betrieben und benutzt, hat der Betreiber nach Maßgabe des Satzes 2 angemessene IT-Sicherheitsüberprüfungen nach den allgemein anerkannten Regeln der Technik durchzuführen oder durchführen zu lassen, die dazu geeignet sind, Risiken und Leistungsbeeinträchtigungen frühzeitig zu erkennen und soweit wie möglich zu verringern. 2Die IT-Sicherheitsüberprüfungen sind spätestens alle zwei Jahre mit Ablauf des Monats durchzuführen, in dem die Installation der Software erfolgte oder die letzte IT-Sicherheitsüberprüfung durchgeführt wurde. 3Ist aufgrund der konkreten Benutzungs- und Umgebungsbedingungen der Software zu einem früheren Zeitpunkt mit Mängeln zu rechnen, ist der Betreiber verpflichtet, rechtzeitig vor Ablauf der zwei Jahre IT-Sicherheitsüberprüfungen durchzuführen oder durchführen zu lassen. 4Über die IT-Sicherheitsüberprüfungen ist ein Protokoll anzufertigen, das das Datum der Durchführung und ihre Ergebnisse enthält.

(4) Der Betreiber darf mit der Durchführung der IT-Sicherheitsüberprüfungen nach Absatz 3 nur Personen, Betriebe oder Einrichtungen beauftragen, die selbst oder deren Beschäftige, die die IT-Sicherheitsüberprüfungen durchführen, die Voraussetzungen nach § 5 hinsichtlich der IT-Sicherheitsüberprüfungen des jeweiligen Produktes erfüllen.