Use-Case: Betreiberpflichten bei der Einführung einer in das KIS integrierten Medikationssoftware als Medizinprodukt

Während die Digitalisierung vieler medizinprodukterechtlich neutraler Geschäftsprozesse, wie die Einführung der digitalen Fieberkurve, im Rahmen der standardisierten Vorgehensweise bei KIS-Modulen durch den Hersteller geplant und umgesetzt wird, wirkt sich die Einführung des Medikationstools nicht nur regulatorisch auf den Hersteller, sondern auch auf den Betreiber der Gesundheitseinrichtung und vor allem auch den Betrieb des Krankenhaus-IT-Systems aus. Ist das Krankenhaus-IT-System outgesourct, so wird i. d. R. das betroffene Unternehmen einige Betreiberpflichten für die Gesundheitseinrichtung übernehmen. Generell sind jedoch medizinproduktrechtliche Regelungen für solche Dienstleister oft unbekannt, was zu Unsicherheit in der Praxis führt.

1. Berücksichtigung der allgemeinen Anforderungen der MPBetreibV

Die Medizinprodukte-Betreiberverordnung (MPBetreibV) dient der Sicherheit von Patienten und dem Schutz vor Schäden, die durch Fehler und Mängel von Medizinprodukten, aber auch falsche Bedienung hervorgerufen werden können (Vgl. BRDrs. 645/97 v. 29.8.1997). Sie stellt Regelungen für alle natürlichen und juristischen Personen auf, die das Errichten, das Bereithalten, die Instandhaltung, die Aufbereitung oder sicherheits- und messtechnische Kontrollen im Rahmen eines gewerblichen oder wirtschaftlichen Zwecks vornehmen. Wird eine dieser Tätigkeiten durch einen externen Dienstleister übernommen, so müssen nicht nur die sachlichen, sondern oft auch die personellen Anforderungen der Verordnung erfüllt werden.

Bei der Anwendung und dem Betrieb der Medikationssoftware als Medizinprodukt muss vor allem auf Folgendes geachtet werden:

• Beachtung der Zweckbestimmung und der allgemeinen anerkannten Regeln der Technik (DIN-Normen, EN-Normen, StrlSchV etc.) (§ 4 Abs. 1 MPBetreibV)
• Anwendung und Betrieb nur bei sachgerechter Fähigkeit und Fertigkeit des Mitarbeiters und nach einer Einweisung (§ 4 Abs. 2 und 3 MPBetreibV)
• Überprüfung der Eignung der Verbindung und der Kompatibilität – insb. Beachtung der Herstellerangaben zur Arbeitsumgebung der Software zwecks gefährdungsfreier Nutzung (§ 4 Abs. 4 MPBetreibV)
• Aufbewahrung der Gebrauchsanweisung und der dem Medizinprodukt beigefügten Hinweise, so dass sie dem Anwender jederzeit zugänglich sind (§ 4 Abs. 7 MPBetreibV)

2. Anforderungen an die Instandhaltungsmaßnahmen nach MPBetreibV

Die Gesundheitseinrichtung muss als Betreiber nach § 7 MPBetreibV durch geeignete Instandhaltungsmaßnahmen wie Wartungen für einen gefährdungsfreien Zustand des Medizinprodukts im gesamten Nutzungszeitraum sorgen und hat sich vor Beauftragung von Instandhaltungsmaßnahmen oder Prüfungen von der Qualifikation der Person zu überzeugen, die die beauftragten Maßnahmen durchführen soll. So dürfen insbesondere nach § 5 MPBetreibV Medizinprodukte nur von Personen in Stand gehalten werden, die über aktuelle Kenntnisse aufgrund einer geeigneten Ausbildung und einer einschlägigen beruflichen Tätigkeit (Erfahrung) verfügen. Regelmäßig werden die Wartungen durch das Personal des Herstellers durchgeführt, es können aber auch Fremdserviceanbieter beauftragt werden. Der Betreiber haftet allerdings für die ordnungsgemäße Durchführung der Maßnahme, wenn er z. B. mit der Wartung ein vom Hersteller nicht autorisiertes Personal beauftragt. In solchen Konstellationen ist es ratsam, sich von dem Dienstleister schriftlich bestätigen zu lassen, dass die mit der Instandhaltung beauftragte Person die Sachkenntnis und die erforderlichen Mittel zur ordnungsgemäßen Ausführung der Aufgabe besitzt.

Nach der Vornahme der Instandhaltung müssen die Sicherheit und Funktionstüchtigkeit der Medizinprodukte sowie die wesentlichen konstruktiven und funktionellen Merkmale geprüft werden, soweit sie durch die Maßnahmen beeinträchtigt werden können (§ 7 Abs. 3 MPBetreibV). Diese Prüfung kann durch den Instandhalter oder aber durch eine weitere Person, Einrichtung oder einen weiteren Betrieb vorgenommen werden. Die Qualifikationsanforderungen an die Prüfer nach Instandhaltung entsprechen denjenigen des Instandhalters (vgl. § 7 Abs.4 MPBetreibV).

Bei der Wartung von Software wie dem Medikationstool bieten die Hersteller oft die Möglichkeit einer Fernwartung an. In solchen Konstellationen muss sichergestellt werden, dass die Krankenhausinfrastruktur mit den herstellerspezifischen Anforderungen an die Arbeitsumgebung des implementierten Medizinproduktes übereinstimmt.

Zu berücksichtigen ist, dass derjenige, der eine Test- oder Produktivumgebung (z. B. hier ein IT-Netzwerk) zur Nutzung bereitstellt – sei es eine interne Krankenhaus-IT-Abteilung oder auch ein externer IT-Dienstanbieter –, in welcher ein Medizinprodukt getestet/betrieben wird, die Rolle der verantwortlichen Organisation i. S. d. Norm IEC 80001-1 übernimmt und demnach dafür verantwortlich ist, dass das Risikomanagement für dieses medizinische IT-Netzwerk umgesetzt wird. Die IEC 80001-1 ist zwar rechtlich nicht bindend, sie beschreibt allerdings den Stand der Technik mit Bezug auf das Risikomanagement von IT-Netzwerken, was bei der Einhaltung der Regelungen der MPBetreibV hilfreich sein kann.

3. Auswirkungen in der Praxis

In der Regel sieht sich die hausinterne bzw. z. T. auch extern beauftragte Medizintechnikabteilung eines Krankenhauses nicht in der Lage, das IT-System der integrierten Medikationssoftware entsprechend zu warten und zu betreiben. Hier wird klassisch auf die hausinterne IT bzw. den Hersteller zurückverwiesen. Daraus folgt:

• Die Einführung des Herstellers erfolgt in der Regel als „IT-Projekt“ in der Zusammenarbeit zwischen IT und ggf. fachlichen Betreuern im Rahmen der Projektarbeit. Hierbei werden die entsprechenden Einweisungen gem. § 4 Abs. 3 MPBetreibV der hauseigenen Mitarbeiter durchgeführt.
• Die Nutzung des Medizinprodukte-Beobachtungs- und -Meldesystems i. S. d. § 86 MPDG und § 6 MPAMIV durch die IT ist im Prozess fraglich, da Vigilanz im Sinne der MDR, Kapitel VII für den reinen IT-Betrieb nicht relevant erscheint. Die bewährten Kommunikationswege über die verantwortliche Person zur Einhaltung der Regulierungsvorschriften nach Art. 15 MDR (vormals den Sicherheitsbeauftragten für Medizinproduktesicherheit) und die Medizinproduktebeauftragten der Fachabteilungen sowie die gesetzlich geregelten Meldefristen, welche sich aus den Art. 87 und 89 MDR ergeben, sind der IT nicht bekannt. Als Konsequenz könnte hieraus ein Organisationsversagen erfolgen.
• Die klassische Weiterentwicklung des KIS durch hauseigene Parametrierungen in kundenindividuellen Formularen kann u. U. ungewollt zu einer Kombination von Medizinprodukten gem. § 4 Abs. 4 MPBetreibV oder auch i. S. d. Art. 22 MDR führen. Dies gilt ebenso für die Integration von Medizinprodukten in ein bestehendes Netzwerk, wenn dieses außerhalb der Zweckbestimmung des Herstellers erfolgt und u. U. einem anderen Zweck innerhalb der klinischen Prozesse dient und ggf. sogar mehrere Medizinprodukte miteinander vernetzt bzw. kombiniert.
• Änderungen an der IT-Infrastruktur müssen explizit mit dem Hersteller in Bezug auf das betriebene Medizinprodukt abgestimmt werden – auch in Bezug auf das Thema Informationssicherheit.
• Änderungen im Rahmen der üblichen KIS-Updates müssen nun unter dem besonderen Blickwinkel der MPBetreibV und des MPG betrachtet und geplant werden. Die entsprechenden Normen und Prozesse sind in der Regel in der IT nicht bekannt.

Haben Sie Fragen oder weiteren Informationsbedarf?

Sprechen Sie uns an

Autor*innen:

Sonia Seubert, LL. M.
sonia.seubert@mazars.de

Stefan Xhonneux, M.A., CHCIO
xhonneux@promedtheus.de

Dies ist ein Beitrag aus unserem Health-Care-Newsletter 2-2021. Die gesamte Ausgabe finden Sie hier. Sie können diesen Newsletter auch abonnieren und erhalten die aktuelle Ausgabe direkt zum Erscheinungstermin.