Vier Nachweise. Vier Wirkungen. Eine Plattform.

Der deutsche DTx-Markt ist voll von Zertifikats-Aussagen, die bei genauem Hinsehen wenig tragen: “DSGVO-konform” ist keine Zertifizierung, “BSI-konform” ohne TR-Verweis ist keine Aussage, “ISO-ähnliches QMS” ist gar nichts. Diese Seite beschreibt, welche Nachweise DUX führt, welchen jede DiGA selbst braucht (TR-03161), was jeder davon für eine Digitale Gesundheitsanwendung (DiGA) bedeutet – und wo der eine Nachweis aufhört und der nächste beginnt.

Jeder der vier Nachweise wirkt auf einer anderen Ebene: Drei setzen gesetzliche Anforderungen um (MDR, § 139e SGB V), TR-03185 ist ein freiwilliges Prozesszertifikat. Das TR-03161-Zertifikat und die Datenschutz-Nachweise sind Antragsvoraussetzungen. ISO 13485 und TR-03185 wirken davor: im QMS und im Entwicklungsprozess. Unvollständige Unterlagen fordert das BfArM mit einer Frist von bis zu drei Monaten nach (DiGAV § 16 Abs. 2↗).

Was es ist. Die BSI TR-03185 ist eine Technische Richtlinie des Bundesamts für Sicherheit in der Informationstechnik, die den gesamten Software-Entwicklungsprozess eines Herstellers bewertet – von Anforderungsanalyse und Architekturentscheidung über Implementierung, Test, Release und Wartung bis zur Post-Market-Pflege. Geprüft wird, wie Software entsteht, nicht wie sie am Ende aussieht.

Was Sie davon haben. Für Ihre DiGA bedeutet das: Der Entwicklungsprozess, in dem Ihr Produkt entsteht, ist BSI-zertifiziert. Seit Februar 2026 bietet das BSI für TR-03161 ein Verfahren an: Hersteller mit gültigem TR-03185-Zertifikat brauchen für Produkt-Updates unter definierten Voraussetzungen keine erneute Produktprüfung (BSI, 04.02.2026). Neue Produkte werden weiterhin einzeln nach TR-03161 geprüft.

Unser Status. DUX Healthcare war das erste Unternehmen mit einem BSI-Prozesszertifikat auf Grundlage der TR-03185 – das BSI führt es unter TR-03161, TR-03185 ist die Prüfgrundlage. Das BSI hat es am 17.07.2026 unter der Kennung BSI-K-TR-0900-2026 erteilt; es gilt bis zum 16.07.2029. Zertifizierungsgegenstand ist der Software-Entwicklungsprozess für digitale Gesundheitsanwendungen (DiGA). Geprüft hat die vom BSI anerkannte Prüfstelle secuvera GmbH. Nachprüfbar in der BSI-Liste zertifizierter Produkte nach Technischer Richtlinie.

Warum das für DiGA zählt. TR-03185 ist heute nicht formal im DiGA-Antrag vorgeschrieben, aber sie ist das strukturelle Fundament, auf dem TR-03161 pro DiGA tragbar wird. Wer den Software-Lebenszyklus nicht auf einer nachweisbaren Prozess-Ebene betreibt, baut die TR-03161-Evidenz pro Produkt neu – und zahlt drei Mal bei drei DiGAs. Medizinprodukte sind vom Cyber Resilience Act (VO (EU) 2024/2847) ausgenommen (MDCG 2025-6); für DiGA bleiben MDR und TR-03161 maßgeblich.

Was es ist. Die BSI TR-03161 ist die produktbezogene Datensicherheits-Prüfung für DiGAs – ein technisches Zertifikat für eine konkrete Produktversion, gegliedert in Teil 1 (Mobile Clients), Teil 2 (Web-Anwendungen) und Teil 3 (Backend/Cloud). Bewertet wird gegen rund 366 Prüfanforderungen in drei Teilen (Teil 1 Mobile 138, Teil 2 Web 115, Teil 3 Backend 113), je Teil in zehn bzw. elf Prüfaspekten – von Architektur über Kryptografie, Authentifizierung, Datenspeicherung bis zur Netzwerk-Kommunikation.

Was Sie davon haben. Seit dem 01.07.2025 ist ein TR-03161-Zertifikat Voraussetzung für die formale Vollständigkeit des BfArM-Antrags (DiGA-Leitfaden v3.6 Kap. 3.4↗). Ohne dieses Zertifikat gibt es keine Eintragung ins DiGA-Verzeichnis – und nach § 139e Abs. 10 SGB V↗ wird es produktbezogen ausgestellt, nicht unternehmensbezogen.

Unser Status. BSI TR-03161 wird pro DiGA geprüft; unsere bisher geprüften DiGAs haben ohne Auflagen bestanden.

Warum das für DiGA zählt. Für Ihr Produkt heißt das: Wenn es auf der mHealth Suite aufbaut, startet das TR-03161-Audit auf einer Plattform, deren bisher geprüfte DiGAs ohne Auflagen bestanden haben. Die Cybersicherheits-Hürde ist damit nicht mehr Projektrisiko, sondern Plattform-Eigenschaft. Der produktspezifische Nachweis bleibt trotzdem erforderlich; er wird aber kalkulierbar in Zeit und Kosten.

Was es ist. ISO 13485 ist die internationale Norm für Qualitätsmanagement-Systeme in der Medizinprodukt-Entwicklung. Sie deckt Design-Controls, Änderungsmanagement, Lieferantenbewertung, Produktion, Post-Market-Surveillance und Dokumentation ab – die Kernprozesse eines QMS; MDR-eigene Elemente nach Art. 10 Abs. 9 wie klinische Bewertung und Vigilanz kommen hinzu.

Was Sie davon haben. Die MDR verlangt vom Hersteller ein QMS (Art. 10 Abs. 9); ISO 13485 ist der etablierte Weg, es nachzuweisen. Für Ihre DiGA bedeutet das: Technische Dokumentation nach Anhang II und III MDR, Risikomanagement nach ISO 14971, klinische Bewertung, Post-Market-Clinical-Follow-up und der Konformitätsnachweis (Klasse I: Konformitätserklärung des Herstellers; Klasse IIa: zusätzlich mit Zertifikat der Benannten Stelle) sind nicht projektbezogen improvisiert, sondern auf einem seit Jahren auditierten QMS aufgesetzt.

Unser Status. DUX ist ISO 13485 zertifiziert – durch TÜV Hessen auditiert, mit laufender Überwachung und Re-Zertifizierung im normalen Drei-Jahres-Rhythmus. Das QMS ist die Grundlage, auf der alle anderen Nachweise aufsetzen.

Warum das für DiGA zählt. In der europäischen Medical-Software-Welt ist ISO 13485 Voraussetzung, nicht Differenzierung. Fehlt sie, ist der Anbieter nicht ernst zu nehmen. Der Mehrwert für Ihre DiGA liegt darin, dass die Schnittstelle zwischen Therapiekonzept und CE-Dokumentation nach MDR nicht individuell aufgebaut wird – sondern aus einem bestehenden, auditierten QMS-Prozess entsteht.

Was es ist. ISO 27001 ist die Norm für Informationssicherheits-Management-Systeme. Sie bewertet, wie eine Organisation mit Informations-Assets umgeht: Zugriffskontrollen, Incident-Response, Vendor-Management, physische Sicherheit, Business Continuity. Ein ISMS ist organisatorisch-prozessual, nicht produktbezogen.

Unser Status. DUX strebt die Zertifizierung nach ISO 27001 an. Ein Zertifikat liegt noch nicht vor. Einen Termin nennen wir, sobald er feststeht.

Warum das für DiGA zählt. Für DiGA-Hersteller ist ein zertifiziertes ISMS nach ISO 27001 – auch auf Basis von IT-Grundschutz – seit dem 01.04.2022 Pflicht (Anlage 1 DiGAV). Die Pflicht trifft den Hersteller der DiGA. Unabhängig davon fragen Lieferanten-Audits nach dem ISMS des Plattformanbieters; deshalb arbeiten wir auf die Zertifizierung hin.

Was es ist. Die BfArM-Datenschutzprüfkriterien sind ein Katalog von Prüfkriterien nach § 139e Abs. 11 SGB V, die das BfArM als konkrete Auslegung der DSGVO-Anforderungen an DiGA veröffentlicht hat. Sie sind in RFC-2119-Grammatik formuliert (MUSS, DARF NICHT, SOLL, KANN) und auf zwölf Themenblöcke verteilt – von Verantwortlichkeit und Rechtsgrundlagen über technisch-organisatorische Maßnahmen bis zu Löschung und Protokollierung. Seit dem 01.08.2024 sind sie formal bindend. Nachzuweisen ist ihre Umsetzung durch ein Zertifikat nach Art. 42 DSGVO (§ 139e Abs. 11 SGB V). Akkreditierte Stellen gibt es noch nicht (BfArM, Stand Oktober 2026); bis dahin gelten laut BfArM die Anforderungen aus § 4 und Anlage 1 DiGAV, die Prüfkriterien dienen als Interpretationshilfe.

Was Sie davon haben. Für internationale DTx-Teams ist das die Prüfebene, die DSGVO-Anforderungen operationalisiert und testbar macht. “Wir sind DSGVO-konform” ist keine Antwort; “wir haben DMN_4 (Benutzer-Account und Grace-Periode), TOM_3.1 (Push-Benachrichtigungen) und ACC_1–3 (Protokollierung) im Sinne von GLSR_2.4 etabliert” ist eine prüfbare Aussage.

Unser Status. Nachweise für die BfArM-Datenschutzprüfkriterien sind Teil unseres QMS. Im Antrag legt der Hersteller die Erklärung nach Anlage 1 DiGAV vor.

Warum das für DiGA zählt. Weil die BfArM-Prüfkriterien konsequent zwischen “dokumentiert” und “etabliert” unterscheiden: Dokumentation allein reicht nicht, die Kriterien müssen in der gelebten Praxis betrieben werden. Wer auf unserer Plattform baut, übernimmt die technischen Nachweise der Plattform; die Prozesse als Verantwortlicher etabliert der Hersteller selbst.

Die vier Nachweise sind nicht redundant – sie arbeiten auf unterschiedlichen Ebenen und lösen unterschiedliche regulatorische Probleme. ISO 13485 bildet die Basis, auf der alles andere aufsetzt: ohne QMS kein Medizinprodukt. BSI TR-03185 zertifiziert, wie Software in diesem QMS sicher entsteht – auf Prozess-Ebene, organisationsweit, wiederverwendbar. BSI TR-03161 zertifiziert das Produkt selbst auf Cybersicherheit – pro DiGA, für die geprüfte Version. Die BfArM-Datenschutzprüfkriterien schließlich übersetzen DSGVO und DiGAV in ein testbares Set von Einzelanforderungen, die pro DiGA im Antrag belegt werden.

Der Effekt ist kumulativ: Jede Ebene reduziert den Aufwand der darüberliegenden. Ein Team, das auf der mHealth Suite baut, entwickelt in einem TR-03185-zertifizierten Prozess, mit ISO-13485-QMS und bestehender TR-03161-Evidenz pro DiGA. Es spart nicht nur Zeit im einzelnen Projekt – es vermeidet das wiederholte Aufbauen derselben Strukturen für jede Folge-DiGA. Das ist der ökonomische Unterschied zwischen Plattform und Einzelanfertigung.

Diese Seite erklärt, was die vier Nachweise für ein Kundenprojekt bedeuten. Die technische Tiefe – Anforderungs-IDs, RFC-2119-Grammatik, Prüfaspekte pro BSI-Teil, OWASP-Top-10-Mapping – steht im Knowledge-Bereich:

• BSI TR-03161 Zertifizierung – Praxis-Guide für DiGA
• BfArM-Datenschutzprüfkriterien im Detail
• DiGA – Praxis-Wissen zu digitalen Gesundheitsanwendungen