ISO 27001 für Medizinprodukte

Die ISO/IEC 27001 beschreibt ein Managementsystem für Informationssicherheit: wie ein Unternehmen Risiken für Vertraulichkeit, Integrität und Verfügbarkeit seiner Informationen erkennt, bewertet und mit Maßnahmen behandelt. Zertifiziert wird durch akkreditierte Stellen, mit einem Überwachungsaudit pro Jahr und einer Rezertifizierung alle drei Jahre. Maßgeblich ist die Fassung von 2022 mit 93 Maßnahmen im Anhang; Zertifikate nach der alten Fassung von 2013 sind seit Ende Oktober 2025 ausgelaufen.

In der Medizintechnik betrifft das zwei Gruppen. Zum einen Software- und IT-Dienstleister, die Entwicklungsdaten, Patientendaten oder vernetzte Produkte ihrer Kunden betreuen — dort ist das Zertifikat oft die Voraussetzung, um überhaupt angefragt zu werden. Zum anderen Hersteller selbst, die unter die NIS-2-Richtlinie fallen oder deren Kunden in Kliniken eine nachweisbar abgesicherte Lieferkette verlangen.

Wichtig ist, was das Zertifikat nicht aussagt: Es bescheinigt das Managementsystem eines Unternehmens, nicht die Sicherheit eines Medizinprodukts. Für die Cybersecurity eines Geräts nach MDR sind die IEC 81001-5-1 und die Leitlinie MDCG 2019-16 maßgeblich. Bei jedem Zertifikat lohnt außerdem der Blick auf den Geltungsbereich — er kann auf einen Standort oder ein Rechenzentrum beschränkt sein.