§ 17Besondere Pflichten bei bestimmter Software

(1) Der Betreiber darf Software als Medizinprodukt der Klassen IIb und III nach Artikel 51 Absatz 1 in Verbindung mit Anhang VIII der Verordnung (EU) 2017/745 und Software als In-vitro-Diagnostikum der Klassen C und D nach Artikel 47 Absatz 1 in Verbindung mit Anhang VIII der Verordnung (EU) 2017/746 nur betreiben lassen und benutzen lassen, wenn zuvor der Hersteller oder eine dazu befugte Person, die im Einvernehmen mit dem Hersteller handelt,

1.

die ordnungsgemäße Installation der Software geprüft hat und

2.

eine vom Betreiber beauftragte Person anhand der Gebrauchsanweisung sowie der beigefügten sicherheitsbezogenen Informationen und Instandhaltungshinweise in die sachgerechte Benutzung und den Betrieb der Software sowie in die zulässige Verbindung mit anderen Produkten eingewiesen hat.

Die Prüfung der ordnungsmäßen Installation nach Satz 1 Nummer 1 kann bei Vorliegen entsprechender technischer Voraussetzungen auch mittels Fernzugriff erfolgen. Satz 1 gilt nicht für digitale Gesundheitsanwendungen nach § 33a des Fünften Buches Sozialgesetzbuch und digitale Pflegeanwendungen nach § 78a des Elften Buches Sozialgesetzbuch.

(2) Software nach Absatz 1 darf nur von Personen betrieben oder benutzt werden, die nach Absatz 1 Satz 1 Nummer 2 eingewiesen worden sind.

(3) Wird Software nach Absatz 1 in einer Gesundheitseinrichtung betrieben und benutzt, hat der Betreiber nach Maßgabe des Satzes 2 angemessene IT-Sicherheitsüberprüfungen nach den allgemein anerkannten Regeln der Technik durchzuführen oder durchführen zu lassen, die dazu geeignet sind, Risiken und Leistungsbeeinträchtigungen frühzeitig zu erkennen und soweit wie möglich zu verringern. Die IT-Sicherheitsüberprüfungen sind spätestens alle zwei Jahre mit Ablauf des Monats durchzuführen, in dem die Installation der Software erfolgte oder die letzte IT-Sicherheitsüberprüfung durchgeführt wurde. Ist aufgrund der konkreten Benutzungs- und Umgebungsbedingungen der Software zu einem früheren Zeitpunkt mit Mängeln zu rechnen, ist der Betreiber verpflichtet, rechtzeitig vor Ablauf der zwei Jahre IT-Sicherheitsüberprüfungen durchzuführen oder durchführen zu lassen. Über die IT-Sicherheitsüberprüfungen ist ein Protokoll anzufertigen, das das Datum der Durchführung und ihre Ergebnisse enthält.

(4) Der Betreiber darf mit der Durchführung der IT-Sicherheitsüberprüfungen nach Absatz 3 nur Personen, Betriebe oder Einrichtungen beauftragen, die selbst oder deren Beschäftige, die die IT-Sicherheitsüberprüfungen durchführen, die Voraussetzungen nach § 5 hinsichtlich der IT-Sicherheitsüberprüfungen des jeweiligen Produktes erfüllen.