Muss mein Software-Dienstleister nach ISO 13485 & ISO 27001 zertifiziert sein?

September 23, 2026Ansprechpartner: Malte Bucksch

Eine regulierte, medizinische Software oder App erfolgreich zu entwickeln (z.B. eine digitale Gesundheitsanwendung nach §33a SGB V), ist ein komplexes Unterfangen.

Neben der MDR, ISO 13485 und ISO 27001 gibt es noch zahlreiche weitere Normen und Gesetze, die Sie dabei einhalten müssen (z.B. IEC 62304, IEC 62366, IEC 82304, ISO 14971, DiGAV, DSGVO, …)

Viele Hersteller lagern die Produktentwicklung daher an einen Software-Dienstleister mit entsprechender Fachkompetenz aus, um schnell und sicher auf den Markt zu kommen.

Dabei stellt sich eine zentrale Frage:

Sollten Sie einen zertifizierten Software-Dienstleister wählen? (nach ISO 13485 und ISO 27001)

… oder klappt das Ganze auch mit einem nicht-zertifizierten Software-Dienstleister?

Die Antwort ist nicht immer eindeutig und hängt von verschiedenen Faktoren ab. Dieser Leitfaden soll Ihnen bei der Entscheidung weiterhelfen.

Kurz gesagt:

Eine gesetzliche Pflicht, dass der Software-Dienstleister selbst nach ISO 13485 zertifiziert ist, gibt es nicht. Die MDR verpflichtet aber den Hersteller zu einem Qualitätsmanagementsystem (Artikel 10 Absatz 9 MDR). Dazu gehört, dass er seine Zulieferer auswählt, bewertet und überwacht (ISO 13485, Abschnitt 7.4 Beschaffung). Ein nach ISO 13485 und ISO 27001 zertifizierter Dienstleister erfüllt diese Anforderungen bereits nachweisbar. Für ein Medizinprodukt nach MDR oder eine DiGA ist er deshalb die sicherere Wahl. Für Software ohne medizinischen Zweck ist kein Zertifikat nötig.

Inhaltsverzeichnis

• 1. Relevante Zertifikate für Software-Dienstleister
  • 1.1 ISO 13485-Zertifikat für Qualitätsmanagement bei Medizinprodukten
  • 1.2 ISO 27001-Zertifikat für Informationssicherheit
• 2. Nicht-zertifizierter vs. Zertifizierter Software-Dienstleister
  • 2.1 Wann klappt es auch mit einem nicht-zertifizierten Dienstleister?
  • 2.2 Wann sollten Sie einen zertifizierten Dienstleister wählen?
  • 2.3 Fazit: Zertifiziert vs. Nicht-zertifiziert
• 3. Risiken: Zertifizierter Dienstleister vs. Nicht-zertifizierter Dienstleister

1. Relevante Zertifikate für Software-Dienstleister

Grundsätzlich sind im Kontext von digitalen Gesundheitsanwendungen (DiGA), medizinischen Apps und Software als Medizinprodukt (Software as a Medical Device, SaMD) genau zwei Zertifikate für die Wahl des Dienstleisters besonders relevant:

Abbildung 1: Die relevanten Zertifikate für die Entwicklung von medizinischer Software/Apps: ISO 13485 (Qualitätsmanagementsystem) und ISO 27001 (Informationssicherheitsmanagementsystem)

1.1 ISO 13485-Zertifikat für Qualitätsmanagement bei Medizinprodukten

Die ISO 13485 ist ein international anerkannter Standard, der die Anforderungen für ein umfassendes Qualitätsmanagementsystem für das Design und die Herstellung von Medizinprodukten festlegt. Es gewährleistet, dass der Dienstleister Prozesse implementiert hat, die die Sicherheit und Wirksamkeit der Medizinprodukt-Software garantieren.

Ein ISO 13485-zertifizierter Software-Dienstleister bringt nicht nur das notwendige Fachwissen im Bereich Medizinprodukt-Entwicklung mit, sondern hat auch ein regulatorisch-konformes Qualitätsmanagementsystem für die Entwicklung medizinischer Software etabliert.

Benannte Stellen setzen ein ISO 13485-Zertifikat für die erfolgreiche Medizinprodukt-Zulassung sogar voraus.

1.2 ISO 27001-Zertifikat für Informationssicherheit

Die ISO 27001 ist ein globaler Standard für Informationssicherheitsmanagementsysteme (ISMS).

Ein ISO 27001-zertifizierter Dienstleister demonstriert die Fähigkeit, vertrauliche Daten zu schützen, einschließlich der sensiblen Gesundheitsdaten, die in digitalen Gesundheitsanwendungen und medizinischer Software verarbeitet werden. Die Zertifizierung bedeutet, dass der Dienstleister ein vollumfängliches Informationssicherheitsmanagementsystem bei sich etabliert hat. Das zertifizierte Unternehmen hat somit nachweislich geeignete Sicherheitskontrollen und Prozesse implementiert, um Risiken wie Datenverlust, -diebstahl oder -veränderung zu minimieren.

DiGA-Hersteller sind z.B. dazu verpflichtet, nach ISO 27001 zertifiziert zu sein. Die Pflicht für Informationssicherheitsmanagement überträgt sich damit auch auf kritische Dienstleister.

Hinweis:

Wussten Sie, dass ein zertifizierter Dienstleister jedes Jahr mehrere Tage lang auditiert wird?

Ein akkreditierter Auditor stellt sicher, dass das Unternehmen Normen-konform arbeitet. Sie können sich somit auf die Kompetenz Ihres Dienstleisters verlassen.

2. Nicht-zertifizierter vs. Zertifizierter Software-Dienstleister

2.1 Wann klappt es auch mit einem nicht-zertifizierten Dienstleister?

Wenn Sie eine Gesundheitssoftware entwickeln, die kein Medizinprodukt nach MDR und keine DiGA werden soll, kann auch ein nicht-zertifizierter Dienstleister eine gute Option sein.

Gesundheitliche Lifestyle-Software, die keinen medizinischen Zweck hat, ist nicht als Medizinprodukt durch die MDR reguliert. Ein gutes Beispiel wäre z.B. eine klassische Fitness-App.

Hierbei benötigt Ihr Software-Dienstleister keinerlei Kenntnisse in Bezug auf die Umsetzung von Medizinprodukten und somit auch kein zertifiziertes Qualitätsmanagementsystem nach ISO 13485.

Hinweis:

Eventuell verarbeitet Ihr Software-Produkt personenbezogene Gesundheitsdaten.

Dann erwarten Sie erhöhte Datenschutz-Anforderungen im Rahmen der Datenschutz-Grundverordnung (DSGVO). Halten Sie Ausschau nach Software-Dienstleistern mit einem ISO 27001-Zertifikat, um das Risiko von Datensicherheitsvorfällen zu verringern.

2.2 Wann sollten Sie einen zertifizierten Dienstleister wählen?

Anders verhält es sich, wenn Sie eine Software/App entwickeln möchten, die sich als Medizinprodukt nach MDR qualifiziert. Dazu gehören insbesondere auch digitale Gesundheitsanwendungen (DiGA). Die rechtliche Verantwortung bleibt dabei immer beim Hersteller. Er muss nachweisen, dass er seine Zulieferer, also auch den Software-Dienstleister, nach seinem Qualitätsmanagementsystem ausgewählt hat und überwacht.

Die Erfolgswahrscheinlichkeit der Marktzulassung, des Produkt- und Firmenerfolgs erhöht sich erheblich, wenn Sie für Medizinprodukte-Software und DiGA mit einem zertifizierten Software-Dienstleister zusammenarbeiten.

Die Zertifizierung des Software-Dienstleisters stellt sicher, dass alle regulatorischen Anforderungen erfüllt sind, und reduziert das Risiko von Compliance-Problemen maßgeblich. Bei medizinischen, regulierten Anwendungen kann ein zertifizierter Partner den entscheidenden Unterschied zwischen Erfolg und Scheitern des Projekts machen.

Detaillierte Informationen hierzu finden Sie in Kapitel 3 „Risiken: Zertifizierter vs. Nicht-zertifizierter Dienstleister“.

2.3 Fazit: Zertifiziert vs. Nicht-zertifiziert

Unsere Empfehlung:

Arbeiten Sie mit einem zertifizierten Dienstleister, wenn Sie …

• … eine Software/App als reguliertes Medizinprodukt entwickeln möchten.
• … schnell und sicher in das DiGA-Verzeichnis kommen wollen.

Zertifizierte Software-Dienstleister müssen Qualitätsmanagement- und Informationssicherheits-Prozesse nicht erst mühsam aufbauen und bringen viel Praxis-Erfahrung im Bereich der Medizinprodukt-Entwicklung mit.

Falls Ihre Software kein Medizinprodukt und keine DiGA ist, können Sie auch ohne Probleme mit einem nicht-zertifizierten Dienstleister arbeiten.

Wenn Sie ein Medizinprodukt oder eine DiGA mit einem nicht-zertifizierten Dienstleister entwickeln möchten, behalten Sie die untenstehenden Risiken und Probleme mit höchster Priorität auf dem Schirm (siehe Kapitel 3).

3. Risiken: Zertifizierter Dienstleister vs. Nicht-zertifizierter Dienstleister

Die folgende Tabelle gibt einen Überblick über die wichtigsten Risiken und Probleme, die durch nicht-zertifizierte Dienstleister entstehen können.

Falls Sie planen, eine medizinische Software mit einem nicht-zertifizierten Dienstleister umzusetzen, behalten Sie diese Risiken während des Projekts zu jeder Zeit auf dem Schirm.