Vernetzte Medizinprodukte und IoMT stehen unter mehreren, sich überschneidenden Cybersecurity-Regimen. Wir führen die Compliance und Governance rechtlich: SBOM-Review, Vulnerability-Handling-Prozess, rechtliches Mapping der Hersteller-, Importeur- und Betreiberpflichten, ein prüffähiges Programm für Notified Bodies. Praktische Geräte- und Firmware-Tests übernimmt ein spezialisierter Testpartner, nicht wir.
rechtlich geführt (Dr. iur., CIPP/E)Compliance & Governance, keine Geräte-TestsDE · FR · EN
Konvergierende Cybersecurity-Pflichten für vernetzte Medizinprodukte
Orientierung, kein Rechtsrat. Für vernetzte Medizinprodukte und IoMT greifen heute mehrere Regelwerke gleichzeitig, und sie überschneiden sich. Daten und Geltungsbereiche prüfen wir fallbezogen.
Die Cybersecurity-Anforderungen der EU-Medizinprodukteverordnung (MDR) und der IVDR sind bereits in Kraft: Hersteller müssen schon heute IT-Sicherheit über den gesamten Lebenszyklus nachweisen, einschliesslich Anforderungen an Software, Updates und den sicheren Betrieb in vernetzten Umgebungen. Das ist kein künftiges Thema, sondern eine bestehende Pflicht.
IEC 80001 adressiert das Risikomanagement, wenn Medizinprodukte in IT-Netzwerke eingebunden werden, eine geteilte Verantwortung zwischen Hersteller und betreibender Organisation, etwa dem Spital. Hinzu kommen wachsende Erwartungen an eine Software Bill of Materials (SBOM): Notified Bodies, Betreiber und Beschaffung verlangen zunehmend, dass Hersteller die enthaltenen Software-Komponenten transparent machen und Schwachstellen darin nachverfolgen.
Der EU Cyber Resilience Act (CRA) bringt zusätzliche Schwachstellen- und Meldepflichten für Produkte mit digitalen Elementen, gestaffelt über 2026/2027. Die konkreten Daten und der genaue Anwendungsbereich sind im Einzelfall zu prüfen. Für Medizinprodukte ist dabei zu klären, inwieweit die MDR/IVDR als Lex specialis dem CRA vorgehen und wie sich die Pflichten überlagern. Genau diese Überschneidung sauber aufzulösen, ist der Kern unserer Arbeit.
Was SIDD liefert, und was wir ausdrücklich nicht tun
Wir liefern Compliance und Governance auf Dokumenten- und Prozessebene. Hands-on-Tests am Gerät selbst gehören nicht dazu.
Wir prüfen und strukturieren Ihre Software Bill of Materials (SBOM) und ordnen die enthaltenen Komponenten den regulatorischen Erwartungen zu. Wir entwerfen einen belastbaren Vulnerability-Handling-Prozess: vom Eingang einer gemeldeten Schwachstelle über Bewertung und koordinierte Offenlegung bis zur Update-Auslieferung, als dokumentiertes Verfahren, das Sie gegenüber einem Notified Body vorlegen können.
Wir erstellen ein rechtliches Mapping der Pflichten entlang der Lieferkette: Was schuldet der Hersteller, was der Importeur, was die betreibende Organisation? Wir verbinden MDR/IVDR, IEC 80001 und die CRA-Pflichten zu einem einzigen, prüffähigen Compliance-Programm, statt zu isolierten Einzelnachweisen. Wo ein Gerät KI einbettet, integrieren wir die Anforderungen des EU AI Act, sodass medizinische KI und Geräte-Compliance konsistent bleiben.
Was wir ausdrücklich nicht tun: Wir führen keine praktischen Penetrations- oder Firmware-Tests am Medizinprodukt durch und kein hands-on Geräte- oder IoMT-Testing. Solche Prüfungen vermitteln und koordinieren wir mit einem spezialisierten Testpartner; die Ergebnisse fügen wir anschliessend in Ihr Compliance-Programm und die technische Dokumentation ein. Penetrationstests und Schwachstellenscans bieten wir nur für die zugehörigen Software-Schichten an, etwa Begleit-Apps, Portale, Cloud-Backends, nicht für das Gerät oder die Firmware selbst.
Warum SIDD für Geräte-Compliance
Bei vernetzten Medizinprodukten entscheidet die Tiefe der Compliance-Dokumentation, ob ein Notified Body, ein Betreiber oder die Beschaffung überzeugt ist. Genau dort liegt unser Schwerpunkt.
Notified-Body-taugliche Tiefe
Wir erstellen Compliance-Dokumentation in der Tiefe, die einem Notified Body standhält: nachvollziehbares SBOM-Review, dokumentierter Vulnerability-Handling-Prozess und ein klares Pflichten-Mapping als Teil der technischen Dokumentation. Das beschleunigt Konformitätsbewertungen und reduziert Rückfragen.
TTP-Escrow stützt die Geräte-Assurance
Als Trusted Third Party hinterlegen wir Source-Code und kryptografische Schlüssel im Escrow. Das stützt die Geräte-Assurance: Betreiber und Beschaffung erhalten die Sicherheit, dass kritische Software und Schlüssel auch bei Ausfall des Herstellers verfügbar bleiben, ein belastbares Argument in Verhandlungen und Audits.
Rechtlich geführt
Das Pflichten-Mapping zwischen Hersteller, Importeur und Betreiber sowie das Verhältnis von MDR/IVDR zum CRA sind Rechtsfragen. Wir führen sie mit promovierten Juristinnen und Juristen mit CIPP/E, gestützt auf ein eigenes Technik-Team. So bleibt die Auslegung belastbar und nicht nur technisch.
Anbindung an ISO 27001
Wir hängen das Geräte-Compliance-Programm an ein bestehendes oder neu aufzubauendes ISO-27001-ISMS an. So werden Schwachstellen-Management, Lieferantensteuerung und Nachweisführung Teil eines gepflegten Managementsystems statt punktueller Dokumente.
KI-Governance integriert
Bettet ein Gerät KI ein, prüfen wir es zusätzlich gegen den EU AI Act und verbinden es mit unserem AI Governance Check. So entsteht ein konsistentes Bild über Geräte-, Cyber- und KI-Compliance, ein Feld, das rein technische Testanbieter kaum abdecken.
Mehrsprachig & unabhängig
Wir arbeiten in Deutsch, Französisch und Englisch, relevant für Schweizer Hersteller, EU-Mutterhäuser und internationale Lieferketten. Da wir das Geräte-Testing bewusst an Spezialisten abgeben und kein eigenes SOC verkaufen, bleiben unsere Empfehlungen unabhängig.
Einstieg: Device & CRA Gap-Assessment
Device & CRA Gap-Assessment
Festpreis pro Produktlinie
Compliance-only Standortbestimmung je Produktlinie: Wo steht Ihr vernetztes Medizinprodukt gegenüber MDR/IVDR-Cybersecurity, IEC 80001, SBOM-Erwartungen und CRA? Ohne Geräte-Tests.
SBOM-Review und Zuordnung der Komponenten zu regulatorischen Erwartungen
Gap-Analyse gegen MDR/IVDR-Cybersecurity, IEC 80001 und CRA-Schwachstellenpflichten
Pflichten-Mapping zwischen Hersteller, Importeur und Betreiber
Entwurf eines Vulnerability-Handling-Prozesses inklusive koordinierter Offenlegung
Priorisierter Massnahmenplan und board-tauglicher Ergebnisbericht
Bei Bedarf Vermittlung praktischer Geräte-Tests an einen spezialisierten Testpartner
Warum wir mit LexCommand arbeiten, unserer eigenen Schweizer Rechts-KI
LexCommand ist unsere hauseigene, zitatgestützte Rechts-KI für das Recht der Schweiz, Deutschlands, Österreichs und der EU. Entwickelt und souverän in der Schweiz betrieben von der Priverion GmbH, dem Unternehmen hinter SIDD. Datensouveränität und Belegbarkeit predigen wir nicht nur, wir haben sie in unser Werkzeug eingebaut, ergänzend zur Priverion-Plattform.
01
Souverän in der Schweiz
Die KI läuft selbst gehostet auf Schweizer Infrastruktur, ohne externe Cloud-LLMs. Als unabhängiges Schweizer Unternehmen ohne ausländische Muttergesellschaft verarbeiten wir Ihre Unterlagen in einer Umgebung, die wir kontrollieren.
02
Kein Zitat, kein Anspruch
Jede rechtliche Aussage ist auf eine abrufbare Primärquelle rückführbar, oder sie erscheint nicht. So werden unsere Empfehlungen auditierbar und nachvollziehbar, statt nur plausibel zu klingen.
03
Vom Aufwand zum Urteil
LexCommand übernimmt das Suchen, Abgleichen und Belegen. Das verkürzt Durchlaufzeiten und gibt unseren Senior-Beratenden Zeit für Urteil und Mandantengespräch, bei gleichbleibender Sorgfalt.
04
Drei Disziplinen, ein Bild
Datenschutz, Informationssicherheit und KI-Sicherheit betrachten wir auf einer geteilten Quellenbasis mit Framework-Crosswalk. So sehen Sie überschneidende Pflichten in einem konsolidierten Bild statt in drei isolierten Analysen.
Konkret für Ihr Geräte-Compliance-Programm legt LexCommand die sich überschneidenden Pflichten aus MDR/IVDR, IEC 80001 und CRA als Crosswalk nebeneinander, jede Aussage mit Quelle, und prüft die gestaffelten CRA-Fristen 2026/2027 zum jeweils gültigen Stichtag je Produktlinie.
Zeitlich deterministisch (Stand heute oder zu jedem Stichtag), mit Jurisdiktions-Isolation (CH/DE/AT/EU) und einem Zitat-Verifizierer am Ende jeder Antwort.
Häufige Fragen
Führen Sie Geräte-Penetrationstests durch?
Nein. Wir führen keine praktischen Penetrations- oder Firmware-Tests am Medizinprodukt durch. Solche Prüfungen vermitteln und koordinieren wir mit einem spezialisierten Testpartner und fügen die Ergebnisse in Ihr Compliance-Programm und die technische Dokumentation ein. Unsere Leistung ist Compliance und Governance, SBOM-Review, Vulnerability-Handling-Prozess und rechtliches Pflichten-Mapping.
Testen Sie wenigstens die Software rund um das Gerät?
Ja, für die zugehörigen Software-Schichten. Penetrationstests und Schwachstellenscans bieten wir für Begleit-Apps, Portale und Cloud-Backends an, nicht für das Gerät oder die Firmware selbst. Diese Tests am Gerät bleiben Sache des spezialisierten Testpartners.
Geht für Medizinprodukte die MDR/IVDR dem CRA vor?
Das ist im Einzelfall zu prüfen. Für Medizinprodukte können MDR/IVDR als Lex specialis Vorrang vor dem CRA haben, und die Pflichten können sich überlagern. Wir lösen dieses Verhältnis fallbezogen auf und führen es in ein einziges, prüffähiges Programm zusammen. Die CRA-Daten sind gestaffelt über 2026/2027. Die konkreten Fristen verifizieren wir je Produkt.
Was ist eine SBOM und warum verlangen Notified Bodies sie?
Eine Software Bill of Materials listet die enthaltenen Software-Komponenten eines Produkts auf. Sie macht transparent, welche Bestandteile verbaut sind, sodass Schwachstellen darin nachverfolgt werden können. Notified Bodies, Betreiber und Beschaffung erwarten sie zunehmend als Teil des Cybersecurity-Nachweises. Wir prüfen Ihre SBOM und ordnen sie den regulatorischen Erwartungen zu.
Hilft das auch der betreibenden Organisation, etwa dem Spital?
Ja. IEC 80001 verteilt die Verantwortung zwischen Hersteller und betreibender Organisation, wenn ein Medizinprodukt ins IT-Netz eingebunden wird. Wir unterstützen Biomed-, MedTech-, Regulatory-Affairs- und Beschaffungsteams dabei, die Pflichten klar zuzuordnen und die richtigen Nachweise vom Hersteller einzufordern, etwa SBOM, Schwachstellenprozess und Escrow-Vereinbarungen.
Bereit für ein Device & CRA Gap-Assessment?
Wir nehmen Ihre Geräte-Compliance je Produktlinie auf, SBOM-Review, Pflichten-Mapping und Vulnerability-Handling-Prozess, mit board-tauglichem Ergebnisbericht. Geräte-Tests koordinieren wir mit einem spezialisierten Testpartner.
