ISO 13485 und die MDR: warum das Qualitätssystem die Voraussetzung ist

Stellen Sie sich einen Hersteller vor, der die technische Arbeit gründlich erledigt hat. Das Produkt funktioniert, die technische Dokumentation umfasst Hunderte Seiten, die Prüfberichte sind sauber, und das Audit der Benannten Stelle steht im Kalender. Dann gerät die Begutachtung ins Stocken. Nicht wegen eines Konstruktionsfehlers, sondern weil jüngste Konstruktionsänderungen nie die Änderungslenkung durchlaufen haben, zwei kritische Lieferanten ohne erneute Qualifizierung gewechselt wurden und ein Jahr an Marktrückmeldungen in einem Postfach liegt, statt in die Risikoakte einzufließen. Die technische Akte war eine Momentaufnahme. Das Qualitätsmanagementsystem, das sie aktuell und stimmig halten sollte, war nie wirklich in Betrieb.

Diese Szene wiederholt sich häufig, und sie geht auf ein einziges Missverständnis zurück: ISO 13485 und die EU-Medizinprodukte-Verordnung (Verordnung (EU) 2017/745, kurz MDR) als zwei getrennte Projekte zu behandeln. Das sind sie nicht. Das Qualitätsmanagementsystem ist die Voraussetzung für die MDR-Konformität, und die Produktakte ist nur eines der Ergebnisse, die dieses System hervorbringt. Stimmt die Reihenfolge, bestätigt das Zertifizierungsaudit weitgehend eine bereits beherrschte Arbeit. Stimmt sie nicht, verbringen Sie einen großen Teil des Jahres damit, Korrekturmaßnahmen gegen Feststellungen zu schreiben, die sich hätten vermeiden lassen.

Die MDR macht aus dem Qualitätssystem eine gesetzliche Pflicht

Artikel 10 Absatz 9 der MDR ist in diesem Punkt deutlich. Ein Hersteller muss ein Qualitätsmanagementsystem einrichten, dokumentieren, umsetzen, aufrechterhalten, aktuell halten und laufend verbessern, und der Artikel führt anschließend auf, was dieses System abdecken muss. Dazu gehören eine Strategie zur Einhaltung der Regulierungsvorschriften, die Bestimmung der zutreffenden grundlegenden Sicherheits- und Leistungsanforderungen, die Verantwortung der Leitung, das Ressourcen- und Lieferantenmanagement, das Risikomanagement, die klinische Bewertung, die Überwachung nach dem Inverkehrbringen, das Vigilanz-Meldewesen sowie Korrektur- und Vorbeugemaßnahmen. Nichts davon ist freiwillig, und nichts davon ist ein Dokument, das man einmal einreicht und dann vergisst.

Wenn eine Benannte Stelle Ihr Produkt begutachtet, prüft sie das Qualitätssystem zusammen mit der technischen Dokumentation. Hält das System nicht stand, wird das Zertifikat nicht ausgestellt, so stark die Technik hinter dem Produkt auch sein mag. Genau das macht das QMS zur Voraussetzung und nicht zu einer parallelen Nebensache. ISO 13485 ist der international anerkannte Weg, dieses System aufzubauen und einem Auditor seine Wirksamkeit zu zeigen. Deshalb behandeln die meisten Hersteller, die in den europäischen Markt eintreten, 13485 als ersten Schritt und nicht als späteren Zusatz.

Wo ISO 13485 und die MDR in dieselbe Richtung weisen

Die Revision der ISO 13485 von 2016 wurde mit Blick auf die regulatorischen Erwartungen erstellt, und die Überschneidung mit Artikel 10 ist groß. Verantwortung der Leitung, Dokumenten- und Aufzeichnungslenkung, Entwicklungs- und Konstruktionslenkung, Einkauf und Lieferantenbewertung, Prozessvalidierung, Beschwerdebearbeitung, internes Audit, Managementbewertung sowie Korrektur- und Vorbeugemaßnahmen entsprechen alle den Pflichten, die die MDR festlegt. In der Europäischen Union ist EN ISO 13485:2016 eine harmonisierte Norm, und ihr Anhang ZA benennt die Konformitätsvermutung, die sie für die abgedeckten Anforderungen an das Qualitätssystem trägt.

Vereinfacht gesagt ist ein nach 13485 konformes QMS das Rückgrat, dessen Vorhandensein die Verordnung bei Ihnen voraussetzt; der harmonisierte Anhang nennt sogar, welche Anforderungen es abdeckt. Diese Übereinstimmung erklärt, warum eine solide 13485-Umsetzung so viel Reibung aus der Konformitätsbewertung nimmt. Der Auditor lernt Ihre Prozesse während der MDR-Begutachtung nicht zum ersten Mal kennen. Er bestätigt, dass ein System, das Sie bereits betreiben, das leistet, was die Verordnung verlangt.

Wo ISO 13485 endet und die MDR weitergeht

Übereinstimmung bedeutet nicht Gleichwertigkeit, und der Unterschied ist die Stelle, an der unvorbereitete Hersteller Zeit verlieren. Ein 13485-Zertifikat allein erfüllt nicht jede MDR-Pflicht. Die Verordnung fügt Prozesse hinzu, die die Norm entweder nur am Rande berührt oder gar nicht benennt, und das Qualitätssystem muss so erweitert werden, dass es jeden einzelnen davon trägt.

Die klinische Bewertung ist das klarste Beispiel. ISO 13485 verlangt eine Konstruktionsvalidierung; die MDR verlangt einen klinischen Bewertungsplan samt Bericht, klinische Nachweise passend zur Risikoklasse des Produkts und ein Programm zur klinischen Nachbeobachtung nach dem Inverkehrbringen gemäß Artikel 61 und Anhang XIV. Die Überwachung nach dem Inverkehrbringen ist ein weiteres Beispiel: Abschnitt 8.2.1 der Norm erwartet Rückmeldung und Überwachung, während die Artikel 83 bis 86 ein geplantes Überwachungssystem, regelmäßig aktualisierte Sicherheitsberichte und eine Trendberichterstattung fordern. Die Vigilanz bringt feste Meldefristen für schwerwiegende Vorkommnisse und Sicherheitskorrekturmaßnahmen im Feld nach den Artikeln 87 bis 92.

Darauf sitzen Pflichten ohne jede ISO-Entsprechung. Die MDR verlangt eine benannte verantwortliche Person für die Einhaltung der Regulierungsvorschriften nach Artikel 15, die eindeutige Produktkennung (UDI) und die EUDAMED-Registrierung nach den Artikeln 27 bis 31 sowie eine Kurzdarstellung der Sicherheit und der klinischen Leistung für implantierbare Produkte und Produkte der Klasse III. Unter allem liegen die grundlegenden Sicherheits- und Leistungsanforderungen in Anhang I. Wo die alten Richtlinien von grundlegenden Anforderungen sprachen, erwartet die MDR einen dokumentierten Nachweis, dass jede zutreffende Anforderung erfüllt ist; und das Qualitätssystem ist es, das diesen Nachweis erzeugt und aktuell hält, während sich die Konstruktion und ihr klinisches Bild verändern.

Der entscheidende Punkt der Integration ist einfach. Keine dieser Pflichten ist eine Alternative zum Qualitätssystem. Es sind Module, die von Beginn an in das System hineingeplant werden müssen, damit eine Aktualisierung der klinischen Bewertung, ein regelmäßig aktualisierter Sicherheitsbericht oder ein UDI-Datensatz durch ein gelenktes Verfahren entsteht und nicht eine Woche vor dem Audit von Hand zusammengestellt wird.

Warum die Reihenfolge mit dem Qualitätssystem beginnen muss

Jedes MDR-Ergebnis ist das Resultat eines Prozesses. Eine klinische Bewertung ist ein Verfahren mit festgelegten Eingaben, Verfassern und Prüfung. Die technische Dokumentation ist eine Sammlung von Aufzeichnungen unter Dokumentenlenkung. Marktdaten speisen Korrekturmaßnahmen und Konstruktionsänderungen. Das Risikomanagement nach ISO 14971 ist keine Akte, die Sie einmal schließen; die MDR möchte, dass die Nutzen-Risiko-Abwägung mit Daten aus der Praxis aktuell bleibt. Ist das System, das diese Prozesse betreibt, nicht vorhanden, wird die Produktakte zu einem einmaligen Schriftstück, das veraltet, sobald sich irgendetwas ändert.

Auditoren erkennen diese Abweichung schnell. Aufzeichnungen, die nicht zusammenpassen, eine Konstruktionsänderung ohne Auswirkungsbewertung, ein ohne Bewertung gewechselter Lieferant, eine Beschwerde, die nie die Risikoakte erreicht hat: jedes dieser Zeichen verweist auf ein System, das für das Zertifikat gebaut wurde und nicht für die Arbeit. Zuerst das QMS aufzubauen hält die Konformität dauerhaft, sodass die Akte, die ein Auditor im dritten Jahr öffnet, noch zum Produkt am Band passt.

Die Fehlermuster, die in Audits auftauchen

Einige wiederkehrende Muster trennen die Unternehmen, die die MDR sauber bestehen, von denen, die ins Stocken geraten:

• Zwei Projekte, die sich nie treffen. Ein Berater stellt die technische Akte zusammen, während jemand anderes die Verfahren schreibt, und keines passt zu dem, was tatsächlich im Betrieb geschieht.
• Ein zertifiziertes, aber nicht gelebtes System. Die Verfahren beschreiben einen Idealprozess, den das Team nicht befolgt, was ein erfahrener Auditor innerhalb weniger Stunden bemerkt.
• Statisches Risikomanagement. Die Risikoakte wird einmal fertiggestellt und abgelegt, statt einer lebendigen Nutzen-Risiko-Abwägung, die Marktdaten laufend aktualisieren.
• Reaktive Überwachung nach dem Inverkehrbringen. Die PMS läuft als nachträgliche Beschwerdebearbeitung statt als das geplante, vorausschauende System, das die MDR beschreibt.
• Schwache Lieferantenkontrolle. Einkaufskontrollen, die für ein leichteres Regime ausgelegt sind, erfüllen die Erwartungen der MDR an kritische Lieferanten und ausgelagerte Prozesse nicht.

Was eine Haltung mit dem Qualitätssystem zuerst wert ist

Das System zuerst zu stellen zahlt sich dort aus, wo es zählt: in einer kürzeren Begutachtung durch die Benannte Stelle, in weniger Abweichungen beim Zertifizierungsaudit und in einer CE-Kennzeichnung für Medizinprodukte, die durch die Überwachungsaudits und über den gesamten Produktlebenszyklus Bestand hat. Dasselbe Rückgrat lässt sich zudem gut übertragen. Ein für einen Markt erweitertes 13485-System hat den Weg zu anderen Märkten größtenteils zurückgelegt; deshalb kann ein einziges MDSAP-Audit mehrere Behörden zugleich bedienen. Die Mühe, das Qualitätssystem für die MDR wirklich wirksam zu machen, ist selten vergeblich. Sie ist das Fundament, auf dem jeder weitere Markt aufbaut.