Leverandør til producenter af medicinsk udstyr

En producent af medicinsk udstyr kan bede sine leverandører om dokumentation for sikkerhedstest af to forskellige grunde. Den ene handler om producentens egne systemer og følger af NIS2. Den anden handler om selve produktet og følger af reglerne for medicinsk udstyr. For en leverandør er det afgørende at vide, hvilken af dem kravet gælder. Grundlaget er bilag 2, punkt 5, litra a, i NIS 2-loven, bekendtgørelse nr. 620 af 2. juni 2025, § 4, og forordning (EU) 2017/745 om medicinsk udstyr, bilag I, punkt 17.

Kort sagt dækker NIS2 virksomhedens net- og informationssystemer, mens produktkravene dækker den software, der er en del af udstyret. En test kan bidrage til begge, men den skal tilrettelægges efter, hvad kunden skal bruge den til. Teksten er ikke juridisk rådgivning.

Hvem kunden er efter loven

Bilag 2, punkt 5, litra a, omfatter enheder, der fremstiller medicinsk udstyr efter forordning (EU) 2017/745 og udstyr til in vitro-diagnostik efter forordning (EU) 2017/746. Producenter af udstyr, der står på listen over kritisk medicinsk udstyr i folkesundhedsmæssige krisesituationer, er undtaget dér, fordi de i stedet står under sundhed i bilag 1, punkt 5.

Efter bekendtgørelsens § 4 er Sundhedsdatastyrelsen kompetent myndighed i begge tilfælde. Placeringen i bilagene har dog betydning for status. Lovens § 4, stk. 1, knytter den størrelsesbaserede status som væsentlig enhed til bilag 1, så en producent under bilag 2 vil som udgangspunkt være vigtig enhed, med reaktivt tilsyn efter § 24. Sundhedsdatastyrelsen beskriver på sin side de samme grupper og pligterne til registrering, underretning om hændelser og foranstaltninger. → Væsentlige og vigtige enheder

To spor: virksomheden og produktet

NIS 2-lovens § 6 handler om de net- og informationssystemer, en enhed bruger til sine operationer eller til at levere sine tjenester. Hos en producent kan det være udviklingsmiljøet, produktionen, kvalitetssystemet og den almindelige IT. Et NIS2-krav til jer handler om, hvordan jeres leverance påvirker de systemer.

Forordningen om medicinsk udstyr stiller krav til produktet. Bilag I, punkt 17.2, kræver, at software udvikles og fremstilles efter det aktuelle tekniske niveau under hensyn til bl.a. risikostyring, herunder informationssikkerhed, verifikation og validering. Punkt 17.4 kræver, at fabrikanten fastlægger mindstekrav til bl.a. IT-sikkerhedsforanstaltninger, herunder beskyttelse mod uautoriseret adgang, der er nødvendige for at køre softwaren som tilsigtet.

Leverer I en softwarekomponent, der indgår i udstyret, kan kravet derfor være et produktkrav. Leverer I drift af producentens servere, er det et NIS2-krav. Leverer I begge dele, kan I få to krav, der ligner hinanden, men skal besvares hver for sig. → Krav om sikker udvikling i kontrakten

Forordningen om cyberrobusthed gælder ikke for udstyret

Forordning (EU) 2024/2847 om horisontale cybersikkerhedskrav til produkter med digitale elementer gælder efter artikel 2, stk. 2, ikke for produkter, som forordning 2017/745 eller 2017/746 finder anvendelse på. Et krav fra en producent om sikkerhed i selve det medicinske udstyr hviler derfor på reglerne for medicinsk udstyr og ikke på den forordning. Om andre produkter, I leverer, er omfattet af den, er en særskilt vurdering.

Hvilke leverancer kunden spørger til

En producent af medicinsk udstyr kan være afhængig af jer på flere måder:

Komponenter i udstyret · software eller elektronik, der bliver en del af produktet. → Leverede produkter
Udvikling og test · værktøjer, miljøer og tjenester, producenten bruger til at udvikle og verificere sit produkt.
Tjenester omkring udstyret · fx en cloudløsning, der modtager data fra udstyret eller leverer opdateringer til det. → Opdateringer fra jer til kunden
Drift og IT · servere, netværk og brugere i producentens almindelige drift.

Kunden kan spørge forskelligt til hver gruppe. Komponenter og tjenester omkring udstyret kan indgå i producentens tekniske dokumentation, mens drift og IT hører til producentens leverandørstyring efter NIS2.

Dokumentation, der skal kunne bruges to steder

En test af en cloudtjeneste, der modtager data fra udstyret, kan være relevant både for producentens produktdokumentation og for producentens NIS2-arbejde. Det er derfor værd at aftale på forhånd, hvem der skal bruge resultatet, og hvad det skal kunne vise. Produktsiden har brug for at kunne knytte resultatet til en bestemt version af software og opsætning. NIS2-siden har brug for omfang, tidspunkt, resultat og status på rettelser.

Kan én test dække begge behov, så skriv det ind i testplanen, og lav to korte udtræk frem for én rapport til alle formål.

Producenten kan også selv ville teste den komponent, I leverer, som led i sin egen verifikation af produktet. Så er spørgsmålet ikke, om I har en rapport, men om I kan stille et testmiljø og en version til rådighed, og hvordan fund i jeres del bliver meldt tilbage til jer. Aftal det, før producentens test begynder. → Type, omfang, tidspunkt og resultat

Et tænkt eksempel

Et softwarehus leverer både et modul, der indgår i en producents udstyr, og en webportal, hvor hospitaler henter rapporter fra udstyret. Producenten beder om dokumentation for test med henvisning til NIS2. Softwarehuset spørger, om kravet gælder portalen, modulet eller begge, og får at vide, at NIS2-kravet gælder portalen, mens modulet følges op i producentens produktdokumentation. Portalen testes og dokumenteres efter NIS2-ønskerne. Modulets test aftales særskilt og knyttes til den version, der indgår i udstyret.

Det skal I lade være med

At svare på et produktkrav med en NIS2-rapport · de to spor har forskellige formål.
At gå ud fra, at alle producenter er væsentlige enheder · placeringen i bilagene har betydning.
At henvise til forordningen om cyberrobusthed for selve udstyret · den gælder ikke for medicinsk udstyr.
At teste uden at angive version · produktsiden skal kunne knytte resultatet til en bestemt udgave.
At love, at testen opfylder kravene i forordningen om medicinsk udstyr · det er producentens og myndighedernes vurdering.

Hvad kan og ikke kan konkluderes

Lov og bekendtgørelse viser, at en producent af medicinsk udstyr kan være omfattet af NIS2 med Sundhedsdatastyrelsen som myndighed, og forordningen om medicinsk udstyr viser, at produktets software har sine egne krav til sikkerhed. En test kan vise, hvad der kunne lade sig gøre i en bestemt version og opsætning på testtidspunktet. Den afgør ikke, om producenten overholder nogen af regelsættene.

Tjekliste til en producent af medicinsk udstyr

☐ Gælder kravet producentens systemer, selve udstyret eller begge?
☐ Ved I, om producenten står i bilag 1 eller bilag 2?
☐ Er de dele, der indgår i udstyret, adskilt fra de øvrige leverancer?
☐ Er version og opsætning angivet i testplanen?
☐ Er det aftalt, hvilke udtræk kunden skal have?
☐ Kan I stille et testmiljø til rådighed, hvis producenten selv vil teste jeres komponent?