Qualitätsmanagement-Systeme für Medizinprodukte nach ISO 13485

In diesem Artikel geben wir einen Überblick über die Norm ISO 13485 für Qualitätsmanagementsysteme (QMS) für Medizinprodukte: Wann ist eine Zertifizierung erforderlich, was sind die Anforderungen und wie verhält sich die Norm im Vergleich zum MDSAP.

Ersetzt die Version vom 16.06.2020

Um die Lesbarkeit zu erhöhen, wird in diesem Artikel der Begriff “Medizinprodukte” einheitlich als Sammelbegriff für sowohl Medizinprodukte als auch In-vitro-Diagnostika verwendet.

Wichtigste Erkenntnisse:

• Die Zertifizierung des QMS nach ISO 13485 ist in einigen Ländern eine gesetzliche Anforderung. Und die Einhaltung der harmonisierten Version der EU begründet die Konformitätsvermutung mit den QMS-Anforderungen für die CE-Kennzeichnung.
• Es ist ein weit verbreitetes Missverständnis, dass nur Hersteller von Medizinprodukten eine Zertifizierung ihres QMS nach ISO 13485 benötigen. Unter bestimmten Umständen benötigen auch Händler und Importeure eine Zertifizierung, ebenso wie Sterilisatoren oder Behandlungseinheiten.
• Das Medical Device Single Audit Program (MDSAP) umfasst die Anforderungen der ISO 13485 sowie zusätzliche Anforderungen der teilnehmenden Aufsichtsbehörden. Obwohl es von der EU noch nicht anerkannt ist, reduziert es die Anzahl der QMS-Audits und kann ein effizienter Ansatz für Hersteller sein, die Produktzulassungen in verschiedenen Rechtsordnungen anstreben.

Inhalte:

Was beinhaltet die ISO 13485?

Die ISO 13485, Medizinprodukte – Qualitätsmanagementsysteme – Anforderungen für regulatorische Zwecke, ist eine eigenständige, von der Internationalen Organisation für Normung (ISO) veröffentlichte Norm, die Anforderungen an das Qualitätsmanagementsystem (QMS) von Unternehmen in der Medizintechnikindustrie formuliert.

Sie basiert auf der international anerkannten Norm ISO 9001 (die nicht für eine bestimmte Branche oder Produktart ist) und enthält zusätzliche Elemente, die für spezifische Prozesse in der Medizintechnikindustrie relevant sind.

Obwohl die ISO 13485 nur die Anforderungen an das QMS und keine Definition der Qualität von Medizinprodukten abdeckt, verlangen einige Länder bei der Zulassung von Medizinprodukten eine Zertifizierung nach ISO 13485. ISO 9001 hingegen ist in fast keinem Land für die Zulassung von Medizinprodukten erforderlich.

ISO 13485 soll primär Herstellern von Medizinprodukten helfen, ein QMS zu etablieren, um nachzuweisen, dass die Anforderungen über den ganzen Lebenszyklus eines Medizinprodukts erfüllt werden. Dies beinhaltet Design, Entwicklung, Produktion, Lagerung, Vertrieb, Installation, Instandhaltung, endgültige Ausserbetriebnahme und Entsorgung von Medizinprodukten sowie Design und Entwicklung oder die Bereitstellung damit verbundener Tätigkeiten (z.B. technischer Support).

Die aktuelle Version der Norm ist ISO 13485:2016. Die internationale Version ist auf der ISO-Website erhältlich, die nationalen Versionen können direkt bei nationalen Normungsorganisation (z.B. SNV in der Schweiz) erworben werden, was in der Regel zu etwas angepassten Anforderungen führt.

Was ist ein Qualitätsmanagementsystem?

Ein Qualitätsmanagementsystem (QMS) ist ein formelles internes Regelwerk, um Kundenanforderungen und regulatorische Anforderungen zu erfüllen. Dieses definiert und dokumentiert die Qualitätspolitik, die Prozesse, deren Struktur und Abfolge, Rollen und Verantwortlichkeiten, Arbeitsanweisungen und Formulare/Vorlagen. 

QMS-Normen wie ISO 9001 und ISO 13485 basieren auf einem prozessorientierten Ansatz für das Qualitätsmanagement. Jede Tätigkeit, die angestossen wird (Input) und in einem Ergebnis resultiert (Output), wird als Prozess betrachtet. Die zahlreichen miteinander verknüpften Tätigkeiten müssen identifiziert und verwaltet werden. Für diese Darstellung wird eine Matrix eingesetzt, die miteinander verbundene Prozesse, deren Verwaltung und das gewünschte Ergebnis aufzeigt.

Das QMS muss kontinuierlich aufrechterhalten und verbessert werden.

Ein QMS baut auf dem simplen Prinzip auf, das besagt, dass nicht dokumentierte Tätigkeiten und Prozesse nicht stattgefunden haben. Der Nachweis der Konformität von nicht dokumentierten Tätigkeiten und Prozessen kann somit nicht erbracht werden und ist für Zertifizier- und Benannte Stellen, Auditoren und zuständige Behörden nicht prüfbar.

Richtig gestaltete, schriftlich festgehaltene Prozesse, Arbeitsanweisungen, Formulare und Vorlagen helfen Unternehmen, einheitlich zu arbeiten und das Prozesswissen unabhängig von Einzelpersonen zu sichern. Das bedeutet nicht, dass Ressourcen für das Schreiben langer Dokumente aufgewendet werden sollten, die niemand liest. Dies würde den Zweck verfehlen. Um wirksam zu sein, muss ein QMS umfassend und dennoch schlank sein. Umfang und Ausmass des QMS sollten in allen Fällen den Tätigkeiten des Unternehmens und den vom Produkt oder der Dienstleistung ausgehenden Risiken entsprechen.

Das QMS muss kontinuierlich aufrechterhalten und verbessert werden. Dabei sind alle Änderungen zu berücksichtigen. Dies können insbesondere Änderungen der geltenden Normen oder gesetzlichen Anforderungen, der Unternehmensorganisation, der Prozesse oder Produkte und erforderliche kontinuierliche Verbesserungen des QMS sein.

Wer braucht eine ISO 13485-Zertifizierung?

ISO 13485 ist für jede Organisation gedacht, die ganz oder teilweise am Lebenszyklus von Medizinprodukten beteiligt ist. Die Anforderungen dieser Norm gelten für Organisationen unabhängig von ihrer Grösse und Art, sofern nicht anders angegeben.

Die ISO 13485 gilt explizit auch für ausgelagerte Prozesse. Wird ein in ISO 13485 beschriebener Prozess (oder ein Prozess, der sich auf die Anforderungen dieser Norm auswirkt wie z.B. Verpackung oder Wartung) an ein Unternehmen ausgelagert, muss der Auftraggeber die Kontrolle über die ausgelagerten Prozesse sicherstellen. Dies gilt auch, wenn der Auftragnehmer über ein konformes QMS gemäss ISO 13485 verfügt. Zu diesem Zweck müssen mit dem Zulieferer (unabhängig davon, ob es sich dabei um ein Unternehmen oder eine Einzelperson handelt) schriftliche Qualitätsvereinbarungen mit detaillierten Rollen und Verantwortlichkeiten für alle relevanten ausgelagerten Tätigkeiten getroffen werden.

Ein Unternehmen kann sich entscheiden, die Anforderungen der ISO 13485 zu erfüllen, ohne eine Zertifizierung durch eine akkreditierte Stelle anzustreben. Angesichts des beträchtlichen Aufwands, ein konformes QMS für Medizinprodukte einzurichten und aufrechtzuerhalten, sollte die Zertifizierung nach ISO 13485 das Endziel sein. Die Anerkennung der Konformität durch die Zertifizierung stellt einen bedeutenden Vorteil dar, um Anforderungen von Kunden und Regulierung zu erfüllen.

Es ist wichtig zu wissen, dass die Zertifizierung nach ISO 13485 in einigen Ländern Pflicht ist, entweder als Voraussetzung für die Zulassung von Medizinprodukten oder für Unternehmen in der Lieferkette. Generell lässt sich sagen, dass eine ISO-13485-Zertifizierung eines Herstellers von Medizinprodukten in den meisten Ländern vorausgesetzt wird.

Unternehmen, die auf den Märkten der Mitgliedsstaaten der Europäischen Union (EU) oder der Staaten des Europäischen Freihandelsabkommens (EFTA) tätig sind, sollten für die folgenden Aktivitäten ein nach der europäischen Version der ISO 13485:2016 zertifiziertes QMS vorweisen können (dies gilt unabhängig davon, ob sie ihren Sitz in der EU/EFTA haben oder nicht):

• Hersteller von Medizinprodukten im Sinne der Verordnung EU-MDR bzw. IVDR, einschliesslich Hersteller von Produkten ohne medizinischen Verwendungszweck, die in Anhang XVI der EU-MDR aufgeführt sind.
• Entwickler von Medizinprodukten (inkl. Software als Medizinprodukt).
• Auftragsfertiger (Contract Manufacturers) von Medizinprodukten.
• Hersteller von Teilen oder Komponenten, welche die Leistung, Sicherheit oder Zweckbestimmung eines Medizinprodukts wesentlich verändern (d.h. die selber als Medizinprodukte angesehen werden können, gemäss Art. 23 EU-MDR und Art. 20 IVDR).
• Dienstleister für die Installation, Wartung oder Instandhaltung von Medizinprodukten.
• Händler oder Importeure mit Sitz in der EU/EFTA, die gemäss Art. 16 Abs 1 EU-MDR/IVDR Tätigkeiten ausüben, die ihnen die Pflichten des Herstellers auferlegen. D.h. ein Produkt unter ihrem eigenen Namen/Markenzeichen zur Verfügung stellen, den Verwendungszweck eines CE-gekennzeichneten Produktes ändern oder das Produkt modifizieren.

Weitere Beispiele sind:

• EU/EFTA-Händler und Importeure von Medizinprodukten oder, die unter bestimmten Bedingungen Übersetzungen von Gebrauchsanweisungen oder Umverpackungen vornehmen, sollten sich durch eine Benannte Stelle zertifizieren lassen. Diese muss bescheinigen, dass das QMS den Anforderungen von Art. 16 Abs. 3 EU-MDR entspricht. Gemäss Leitfaden MDCG 2021-23 ist ISO 13485 keine Voraussetzung, auch wenn es logisch erscheint, diese Norm zu befolgen.
  Für weitere Informationen lesen Sie unseren Artikel über Händler von Medizinprodukten.

Unternehmen oder Einzelpersonen, die CE-zertifizierte Produkte mit weiteren Produkten in Systemen oder Behandlungseinheiten kombinieren. Diese müssen laut Art. 22 Abs. 1 EU-MDR sicherstellen, dass ihre Tätigkeiten geeigneten Methoden der internen Überwachung, Verifizierung und Validierung unterliegen. Auch diesbezüglich gibt es keine ausdrückliche Verpflichtung für ein ISO-13485-Zertifikat. Dagegen unterliegen Unternehmen oder Einzelpersonen, die Systeme oder Behandlungseinheiten sterilisieren, einer Zertifizierungspflicht hinsichtlich des Sterilisationsverfahrens.

Die Zertifizierung nach ISO 13485 ist in einigen Ländern Pflicht, entweder als Voraussetzung für die Zulassung von Medizinprodukten oder oder für Unternehmen in der Lieferkette solcher Produkte.

In welchen Ländern ist ein ISO-13485-Zertifikat erforderlich?

Länder, die ihre Regulierungssysteme für Medizinprodukte auf der Grundlage der Empfehlungen des International Medical Device Regulatory Forum (IMDRF) entwickeln, verlassen sich beim Nachweis der Konformität des QMS auf das ISO 13485 Zertifikat. Einige haben die Zertifizierung nach ISO 13485 als Mittel zum Konformitätsnachweis sogar zwingend vorgeschrieben.

Zum Beispiel:

EU & EFTA (CE-Kennzeichnung)

Die Zertifizierung nach ISO 13485 ist für die CE-Kennzeichnung von Medizinprodukten nicht zwingend erforderlich, aber die Europäische Kommission hat diese Norm im Rahmen der EU-MDR und der IVDR als Harmonisierte Norm anerkannt. Die Liste der harmonisierten Normen für eine bestimmte Verordnung ist auf der Webseite der EU-Kommission zu Harmonisierte Normen verfügbar.

Die Einhaltung der EN ISO 13485 als harmonisierte Norm begründet die Konformitätsvermutung mit den grundlegenden QMS-Anforderungen für die CE-Kennzeichnung. Nach den europäischen Normungsvorschriften sind die folgenden Länder verpflichtet, die europäische Version der Norm EN ISO 13485 in ihrer aktuellen Fassung umzusetzen:

Kanada

Die kanadischen Medical Device Regulations (SOR 98-282) verlangen eine QMS-Zertifizierung gemäss der kanadischen Version CAN/CSA-ISO 13485:2016, Medical devices – Quality management systems – Requirements for regulatory purposes. Zudem sind seit Januar 2019 alle Hersteller von Medizinprodukten der Klassen II, III und IV, die in Kanada verkaufen, verpflichtet, auf das Medical Device Single Audit Program (MDSAP) umzustellen (für weitere Infos zu MDSAP s. unten).

Japan

Die japanische Ministerial Ordinance zu Normen für die Fertigungskontrolle und Qualitätskontrolle von Medizinprodukten (MHLW MO 169) passte die Anforderungen an das QMS des Herstellers an ISO 13485 an, mit einigen länderspezifischen Varianten.

USA

Die US Food & Drug Administration (FDA) hat ein Quality Management System Regulations (QMSR) Final Rule zur Angleichung an die Anforderungen der ISO 13485:2016 erlassen. Es wird am 2. Februar 2026 in Kraft treten. Das bedeutet nicht, dass die Einhaltung der ISO 13485:2016 die Anforderungen der QMSR vollständig erfüllt, aber diese endgültige Vorschrift führt eine harmonisierte Terminologie in gemeinsamen Bereichen beider Systeme ein, was die Angleichung erleichtert, insbesondere für Hersteller, die bereits mit der ISO 13485 vertraut sind oder nach ihr arbeiten.

ISO 13485 und MDSAP – was muss ich wissen?

Das Medical Device Single Audit Program (MDSAP) sieht vor, dass ein einziges Audit des QMS eines Herstellers von Medizinprodukten von Behörden verschiedener Länder akzeptiert wird. Damit es akzeptiert wird, muss die Inspektion von einer akkreditierten Auditorganisation (AO) durchgeführt werden.

Das Programm reduziert die Anzahl der behördlichen Audits und Inspektionen, da der MDSAP-Auditbericht wie folgt anerkannt wird:

Australien

Die Therapeutics Goods Administration (TGA) verwendet MDSAP-Berichte als Nachweis bei der Bewertung der Einhaltung des australischen Konformitätsbewertungsverfahrens, mit Ausnahme von Medizinprodukten, die Arzneimittel oder Materialien menschlichen/tierischen Ursprungs enthalten.

Brasilien

ANVISA verwendet MDSAP-Berichte/Zertifikate als Input für ihre Bewertung bei Marktzulassungen.

Kanada

Seit Januar 2019 akzeptiert Health Canada nur noch MDSAP-Zertifikate für Hersteller von Medizinprodukten der Klassen II, III und IV. Dieses Datum wurde gewählt, um dem Übergang von ISO 13485:2003 zu ISO 13485:2016 Rechnung zu tragen.

Japan

Japans Pharmaceuticals and Medical Devices Agency (PMDA) verwendet MDSAP-Auditberichte, um ausländische Hersteller von Inspektionen auszunehmen, mit Ausnahme von Medizinprodukten, die Materialien menschlichen/tierischen Ursprungs enthalten.

USA

Die FDA akzeptiert MDSAP-Auditberichte als Ersatz für FDA-Routineinspektionen bei Herstellern (d.h. nicht für Erstinspektionen oder Inspektionen, die sich aus einem Vorfall ergeben).

Weitere Behörden (z.B. Argentinien, Südkorea) sind dem Programm als Partner beigetreten, d.h. sie sind zwar keine Vollmitglieder, können aber die MDSAP-Berichte/Zertifikate in ihren nationalen Regulierungsprozessen verwenden. Die Europäische Union, die sich bisher auf die Beobachterrolle im MDSAP beschränkt, hat ihr Interesse an einer Teilnahme am Programm für QMS-Überwachungsaudits bekundet.

Die Kriterien für ein MDSAP-Audit umfassen die Anforderungen der ISO 13485 sowie zusätzliche länderspezifische Anforderungen der teilnehmenden Regulierungsbehörden.

Welche Anforderungen beinhaltet ISO 13485?

QMS-Standards basieren auf einem sogenannten Plan-Do-Check-Act-Zyklus, d.h. der iterativen Abfolge der Planung der QMS-Tätigkeiten, ihrer Umsetzung, der Überprüfung ihrer Wirksamkeit und der Ergreifung von Korrekturmassnahmen bei Bedarf. Dadurch wird eine kontinuierliche Verbesserung innerhalb der Prozesse gewährleistet.

ISO 13485:2016 verfolgt einen risikobasierten Ansatz zur Steuerung von Prozessen. Der Umfang bestimmter QMS-Tätigkeiten soll im Verhältnis zu den damit verbundenen Risiken stehen. Das Risikomanagement ist eine grundlegende Anforderung für Medizinprodukte und wird in ISO 13485:2016 verstärkt. Unternehmen können sich dabei auch auf die Methoden und Prozesse stützen, die in der verwandten Norm ISO 14971 zum Risikomanagement für Medizinprodukte beschrieben sind. ISO 14971 enthält die Anforderungen zur Implementierung von Risikomanagementsystemen während des gesamten Lebenszyklus von Medizinprodukten.

ISO 13485:2016 besteht aus acht Kapiteln, wobei die ersten drei Kapitel allgemein gehalten sind (Anwendungsbereich, normative Verweise und Begriffe) und die Kapitel 4 bis 8 die eigentlichen QMS-Anforderungen enthalten:

Kapitel 4 – Qualitätsmanagementsystem

Kapitel 4 beinhaltet die allgemeinen Erwartungen und Anforderungen an das QMS. Dazu gehören die Anforderungen an das Qualitätsmanagement-Handbuch, die Medizinproduktakte und die Kontrolle und Lenkung von Dokumenten und Aufzeichnungen.

Kapitel 5 – Verantwortung der Leitung

Die Verpflichtung bezüglich der Entwicklung und Implementierung sowie der Aufrechterhaltung der Wirksamkeit des QMS liegt bei der obersten Führungsebene. Sie muss sicherstellen, dass das QMS auf regulatorische Anforderungen sowie Kundenanforderungen ausgerichtet ist. Dieses Kapitel erörtert zudem die Qualitätspolitik, Planung der Qualitätsziele und des QMS, die regelmässigen Managementbewertungen sowie die Verteilung der Verantwortung und Befugnisse (inkl. der Rolle des Beauftragten der Leitung) und die interne Kommunikation.

Kapitel 6 – Management von Ressourcen

Das Management von Ressourcen umfasst die Bereitstellung und Kontrolle angemessener Ressourcen für die geplanten Tätigkeiten, einschliesslich Personal, Infrastruktur und Arbeitsumgebung.

Kapitel 7 – Produktrealisierung

Die Produktrealisierung betrifft alle Aspekte der Lieferkette eines Medizinprodukts oder einer damit zusammenhängenden Dienstleistung. Alle Unterkapitel, die nicht zutreffende Tätigkeiten beschreiben, können aus dem QMS ausgeschlossen werden. Dieser umfangreiche Abschnitt umfasst Anforderungen an die Planung der Produktrealisierung, die Produktanforderungen, Design und Entwicklung, die Beschaffung, die Produktion, die Dienstleistungserbringung und die Lenkung von Überwachungs- und Messmitteln.

Kapitel 8 – Messung, Analyse und Verbesserung

Überwachungs-, Mess-, Analyse- und Verbesserungsprozesse sind erforderlich, um die Wirksamkeit des QMS aufrechtzuerhalten. Dieses Kapitel umfasst Rückmeldung in und nach der Produktion, die Bearbeitung von Beschwerden (einschl. einer Meldepflicht an die Aufsichtsbehörden), interne Audits, die Überwachung und Messung von Produkten und Prozessen, die Kontrolle fehlerhafter Produkte, die Analyse von Daten, die mit geeigneten Methoden gesammelt wurden, und die Verbesserung des QMS durch Korrektur- und Vorbeugungsmassnahmen (CAPA).

Wie Decomplix helfen kann

Decomplix bietet Beratungsdienstleistungen in allen regulatorischen und qualitätssichernden Fragen im Zusammenhang mit Medizinprodukten und IVD. Kontaktieren Sie uns bei Fragen zu einem wirksamen QMS. Wir verfügen über interne Experten und ein Netzwerk erstklassiger Partner.

Hier können Sie sich über die Dienstleistungen von Decomplix informieren.
Falls Sie weitere Informationen benötigen, zögern Sie nicht, uns zu kontaktieren.

Weiter lesen

• Anhang XVI und EU-MDR — Leitfaden zur Regulierung von Produkten ohne medizinische Zweckbestimmung
• Welche Bedeutung hat die Zweckbestimmung bei Medizinprodukten?
• Welche Anforderungen der EU-MDR gelten für Händler von Medizinprodukten?
• Regulatorischer Leitfaden für Behandlungseinheiten, Systeme, IVD-Kits und konfigurierbare Produkte
• https://decomplix.com/harmonisierte-normen-fuer-medizinprodukte-und-ivds-verstehen/?lang=de
• Risikomanagement für Medizinprodukte unter EU-MDR und ISO 14971