MDR, IEC 62304, ISO 14971, ISO 13485: Sie erfüllen bereits mehr Sicherheitsanforderungen als die meisten Branchen. Wir bauen darauf auf, statt zu verdoppeln: Wir ordnen ein, wo CRA und AI Act zusätzlich greifen und was ausgenommen ist, und verzahnen Cybersecurity mit Ihrem bestehenden QM- und Risikomanagement.
Erstgespräch buchenFragen, die wir von Regulatory-, Quality- und R&D-Teams immer wieder hören.
Bestimmte sektorspezifisch regulierte Medizinprodukte sind vom CRA ausgenommen, aber nicht jedes Produkt in Ihrem Portfolio fällt unter diese Ausnahme. Begleitsoftware ohne medizinische Zweckbestimmung, Plattformen oder Zubehör können betroffen sein. Die Abgrenzung entscheidet über Ihren Aufwand.
Mehr, als Sie vielleicht denken. Risikomanagement, Entwicklungsprozesse, CAPA und Post-Market Surveillance liefern Bausteine, die sich für Cybersecurity anrechnen lassen. Was fehlt, ist meist die Security-spezifische Ergänzung, kein Neuaufbau.
Drei Rechtsakte, sich überschneidende Anforderungen, unterschiedliche Fristen. Ohne Gesamtbild drohen doppelte Dokumentation und widersprüchliche Prozesse. Sie brauchen eine Landkarte, keine dritte Parallelstruktur.
Cybersecurity ist längst Prüfthema, in MDR-Audits ebenso wie bei der Technischen Dokumentation. Findings kosten Zeit und im schlimmsten Fall den Marktzugang. Sauber verzahnte Security-Nachweise nehmen dem Thema den Schrecken.
Drei Rechtsrahmen, ein Produkt. Entscheidend ist die saubere Abgrenzung: was gilt, was ist ausgenommen und was ab wann.
Die Sicherheitsanforderungen der MDR gelten heute schon, und Ihre Normenwelt deckt bereits viel ab.
Medizinprodukte unter MDR/IVDR sind vom CRA ausgenommen. Die Ausnahme endet aber an der Produktgrenze.
KI/ML in Medizinprodukten fällt als produktregulierte Hochrisiko-KI unter Annex I des AI Act.
Die Abgrenzung ist im Einzelfall nicht trivial und entscheidet über Aufwand und Zeitplan. Genau diese Einordnung klären wir gemeinsam im Erstgespräch.
Wir setzen auf dem auf, was Ihr QM-System schon leistet, und ergänzen gezielt, was für Cybersecurity fehlt.
Wir ordnen Ihr Produktportfolio ein: Was fällt unter die CRA-Ausnahme, was nicht, wo greift der AI Act. Damit Sie Aufwand dort einsetzen, wo er regulatorisch wirklich nötig ist.
Risikomanagement nach ISO 14971, Entwicklungsprozesse nach IEC 62304, CAPA und Post-Market Surveillance: Wir identifizieren, welche Artefakte Sie für Cybersecurity wiederverwenden können, und schließen nur die echten Lücken.
Vulnerability-Management, PSIRT und Meldeprozesse bauen wir als Erweiterung Ihrer bestehenden QM-Prozesse auf, mit klaren Verantwortlichkeiten und auditfester Dokumentation.
Threat Model, Security-Risikoanalyse, SBOM und Testnachweise integrieren wir so in Ihre Technische Dokumentation, dass Benannte Stelle und Auditoren ein konsistentes Bild sehen.
Festpreise, klar abgegrenzter Scope, definierte Ergebnisse. Jedes Paket ist einzeln buchbar und baut auf Ihren vorhandenen QM-Artefakten auf.
2.000 €
Wo steht Ihr Produkt gegenüber den Cybersecurity-Anforderungen? Mit Anrechnung dessen, was ISO 13485 und ISO 14971 bereits abdecken.
ab 4.900 €
Der Sicherheitsüberblick über Ihr Produktportfolio: In drei bis fünf Tagen prüfen wir Ihre gesamte externe Angriffsfläche auf die kritischsten und häufigsten Schwachstellen, automatisiert und manuell validiert.
ab 2.200 €
Ihr Team auf Stand bringen: Secure Development, Threat Modeling und regulatorische Einordnung, in der MedTech-Variante mit höherer regulatorischer Tiefe.
Alle Preise zzgl. USt. Passt kein Paket exakt? Im Erstgespräch klären wir, welcher Zuschnitt für Ihr Produkt sinnvoll ist.
Regulatorische Tiefe und Entwicklungspraxis aus einer Hand.
MDR, IEC 62304, ISO 14971 und ISO 13485 kennen wir aus Projekten, nicht aus dem Lehrbuch. Wir sprechen die Sprache Ihrer Benannten Stelle und Ihres QM-Teams.
Über zehn Jahre Softwareentwicklung in Digital Health: Threat Modeling, sichere Architekturen und Security-Testing, das im Entwicklungsalltag funktioniert statt nur auf dem Papier.
Regulatorische Einordnung und technische Umsetzung kommen aus einem Team, ohne Reibungsverluste und ohne den Overhead einer großen Beratung.
Nur teilweise. Die Ausnahme greift für Produkte, die bereits sektorspezifisch reguliert sind, insbesondere unter MDR und IVDR. Sie endet aber an der Produktgrenze: Begleitsoftware ohne medizinische Zweckbestimmung, Plattformen, Zubehör oder Produkte außerhalb der MDR können unter den CRA fallen. Ob und wo das bei Ihnen der Fall ist, klären wir produktweise im Erstgespräch.
Einiges. Ihr Risikomanagement nach ISO 14971 lässt sich um Security-Risiken erweitern, statt ein zweites Risikomanagement aufzubauen. Entwicklungsprozesse nach IEC 62304, CAPA, Post-Market Surveillance und Ihre Dokumentationsstruktur liefern weitere Bausteine. In der Gap-Analyse weisen wir konkret aus, was anrechenbar ist und was security-spezifisch ergänzt werden muss.
Die MDR verlangt in Anhang I bereits IT-Sicherheit nach dem Stand der Technik; MDCG 2019-16 und IEC 81001-5-1 konkretisieren, was das bedeutet. Cybersecurity ist damit kein neues Regelwerk neben der MDR, sondern Teil Ihrer Konformität. Wir verzahnen die Security-Nachweise mit Ihrer Technischen Dokumentation, damit die Benannte Stelle ein konsistentes Bild sieht.
Für CRA-betroffene Produkte gelten die Meldepflichten bereits seit dem 11. September 2026, die vollständigen Anforderungen folgen ab dem 11. Dezember 2027. Für Hochrisiko-KI in produktregulierten Bereichen (Annex I des AI Act, inklusive Medizinprodukte) gelten die Pflichten nach der Verschiebung ab August 2028. Die MDR-Anforderungen an IT-Sicherheit gelten dagegen heute schon.
KI/ML-Funktionen in Medizinprodukten werden in der Regel als Hochrisiko-KI nach Annex I des AI Act eingestuft. Dazu gehören Anforderungen an Risikomanagement, Daten-Governance, Robustheit und Cybersecurity, die sich mit Ihrer MDR-Konformitätsbewertung verzahnen lassen. Unser AI-based Security Scan verschafft Ihnen dazu den Sicherheitsüberblick über Ihre Angriffsfläche und zeigt, wo vertiefte Tests nötig sind.
Nicht, wenn man es richtig aufsetzt. Genau davor haben die meisten unserer Kunden zu Recht Respekt. Unser Ansatz ist, Security-Anforderungen in bestehende Prozesse und Dokumente zu integrieren: ein Risikomanagement, eine Technische Dokumentation, ergänzt statt dupliziert.
Im kostenlosen Erstgespräch klären wir Ihre Betroffenheit, sinnvolle nächste Schritte und welches Paket zu Ihrer Situation passt. Unverbindlich und auf Augenhöhe.
info@actsecure.eu