Poradenství v oblasti softwaru pro zdravotnické prostředky (SaMD/MDSW)

Nařízení EU o zdravotnických prostředcích (MDR) definuje právní rámec pro všechny zdravotnické prostředky uváděné na evropský trh. Vztahuje se na všechny organizace, které vyvíjejí, vyrábějí nebo distribuují zdravotnické prostředky v Evropské unii.

MDR stanoví povinnost provozovat systém řízení kvality (QMS) – obvykle implementovaný v souladu s normou ISO 13485. Definuje také požadavky na technickou dokumentaci, včetně souboru pro řízení rizik a dokumentace kybernetické bezpečnosti, jak je uvedeno v normách IEC 62304, ISO 14971 a IEC 81001-5-1.

Kromě požadavků specifických pro jednotlivé produkty upravuje MDR také:

• Klasifikaci zdravotnických prostředků a postupy posuzování shody
• Certifikační postupy a interakce s oznámenými subjekty
• Dohled po uvedení na trh a činnosti v oblasti vigilance

Pomůžeme vám strategicky interpretovat a aplikovat tyto požadavky a provedeme vás klasifikací, certifikací a plánováním shody podle MDR. Společně definujeme správnou regulační cestu, která podpoří vaše produktové a obchodní cíle.

To, co EU MDR představuje pro evropský trh, definuje hlava 21 Federálního zákoníku (CFR) pro zdravotnické prostředky ve Spojených státech. Podkapitola H těchto předpisů pokrývá stejné oblasti životního cyklu produktu, od návrhu a vývoje po schválení pro uvedení na trh a činnosti po uvedení na trh.

Zahrnuje:

• Požadavky na systém řízení kvality (QSR – 21 CFR 820.30)
• Kontroly návrhu a vývoje
• Schvalování před uvedením na trh a postupy klasifikace zařízení
• Dohled po uvedení na trh a jedinečná identifikace zařízení (UDI)

Pomůžeme vám vybudovat systém kvality, který bude plně v souladu s požadavky 21 CFR.

Pro organizace působící na trzích v USA i v Evropě zajistíme, aby vaše procesy podle 21 CFR a EU MDR fungovaly jako jeden soudržný rámec, čímž se sníží duplicita a zachová se jednotný a efektivní systém napříč regiony.

ISO 13485 je základní norma pro organizace, které vyvíjejí a uvádějí na trh zdravotnické prostředky. Stanoví požadavky na systém managementu kvality (QMS), aby byla zajištěna konzistentní kvalita a bezpečnost produktů.

ISO 13485 nespecifikuje, jak by měl být produkt navržen nebo vyvinut; týká se spíše provozních opatření vaší společnosti.

Pomůžeme vám implementovat ISO 13485 způsobem, který posílí efektivitu a podpoří provozní dokonalost vaší společnosti.

21 CFR 820, známý také jako Quality System Regulation (QSR), je americkým ekvivalentem normy ISO 13485. Pokrývá stejné klíčové oblasti – od obecných požadavků na systém kvality a kontroly návrhu až po správu dokumentů, sledovatelnost a nápravná a preventivní opatření (CAPA).

Vzhledem k tomu, že nařízení FDA o systému řízení kvality (QMSR) nyní zahrnuje normu ISO 13485 formou odkazu, dochází k harmonizaci amerického rámce s touto mezinárodní normou.

Toto sjednocení zjednodušuje globální dodržování předpisů a umožňuje organizacím udržovat jednotný přístup k řízení kvality na všech trzích.

Pomůžeme vám sladit normu 21 CFR 820 s normou ISO 13485 a připravit se na přechod na QMSR (nařízení o systému řízení kvality), které vstoupí v platnost 2. února 2026.

Pomůžeme vám efektivně integrovat normu ISO 13485 do vašeho systému 21 CFR 820, čímž se vyhnete duplicitě a zajistíte plnou shodu s oběma rámci.

IEC 62304 se zaměřuje konkrétně na životní cyklus softwaru a zahrnuje:

• Počáteční plánování
• Návrh a vývoj
• Implementace a ověření
• Průběžná údržba
• Vyřazení z provozu a stažení z trhu

Tato norma zajišťuje, že každá fáze životního cyklu produktu je kontrolována a dokumentována.

Víme, že váš vývojový tým již dodržuje strukturované pracovní postupy. Naší úlohou je propojit tyto každodenní postupy s požadavky normy IEC 62304, abyste si mohli být jisti, že vaše stávající vývojové postupy splňují regulační očekávání.

A pokud existují některé standardní požadavky, které ještě nejsou plně pokryty, pomůžeme vám je přirozeně propojit s ostatními vašimi aktivitami a přizpůsobit je tak, aby odpovídaly logice a tempu vaší organizace.

Žádný zdravotnický prostředek se nemůže dostat na trh bez řádného systému řízení rizik, který je předmětem normy ISO 14971.

Tato norma klade důraz na:

• Identifikaci potenciálních rizik
• Hodnocení a zmírňování těchto rizik
• Průběžné sledování rizik po celou dobu životního cyklu produktu

Pomůžeme vám pochopit, co řízení rizik skutečně znamená pro váš produkt a vývojové procesy, jak souvisí s klasifikací bezpečnosti softwaru, inženýrstvím požadavků, návrhem softwaru a kybernetickou bezpečností.

Výsledkem je logický a konzistentní soubor činností, které zajišťují, že produkty vyvinuté vaším týmem jsou bezpečné, spolehlivé a chrání pacienty před újmou.

V dnešním světě propojených softwarových systémů, které zahrnují mobilní zařízení, lokální sítě a cloudové platformy zpracovávající citlivá data, se kybernetická bezpečnost stala nezbytnou součástí vývoje lékařského softwaru.

Norma IEC 81001-5-1 definuje rámec pro řízení bezpečnostních rizik se zaměřením na:

• Identifikaci a hodnocení hrozeb a zranitelností
• Implementaci a udržování vhodných bezpečnostních kontrol
• Kontinuální monitorování bezpečnosti vašeho produktu

Pomáháme vašemu týmu porozumět těmto principům kybernetické bezpečnosti a vybrat správné aktivity, aby je bylo možné logicky a efektivně řešit.

Společně vytváříme bezpečné produkty již od fáze návrhu, propojujeme úkoly kybernetické bezpečnosti s řízením rizik (ISO 14971) a aktivitami v rámci životního cyklu softwaru (IEC 62304).

Software pro zdravotnické prostředky, zejména cloudová nebo propojená řešení, zpracovává obrovské množství dat. Tato data mají různou povahu, ale mnohá z nich obsahují vysoce citlivé informace o pacientech. V této souvislosti je zajištění důvěrnosti, integrity a dostupnosti dat zásadní.

ISO 27001 poskytuje rámec pro zavedení systému řízení bezpečnosti informací (ISMS), strukturovaného přístupu k ochraně citlivých informací ve vaší organizaci.

Ačkoli není přímo povinný pro výrobce zdravotnických prostředků, je široce uznáván jako podpůrná norma pro dodržování požadavků GDPR, HIPAA, EU AI Act nebo EU MDR týkajících se integrity dat, ochrany soukromí a důvěrnosti.

Existují také silné souvislosti mezi normou ISO 27001 a normami pro systémy řízení kvality, jako jsou ISO 13485 nebo 21 CFR 820.

Pomůžeme vám propojit tyto oblasti a vybudovat jeden integrovaný systém, který řeší všechny typy citlivých dat, od informací o pacientech po důvěrné smlouvy s partnery, záznamy o zaměstnancích a finanční data.

ISO 42001 je první normou na světě pro systémy řízení umělé inteligence (AIMS).

Umělá inteligence se stává neoddělitelnou součástí moderních technologií a software pro zdravotnické prostředky není výjimkou. Ať už používáte AI ve svých interních operacích jako součást svého systému řízení kvality nebo ve svých zdravotnických zařízeních, norma ISO 42001 nabízí komplexní rámec pro odpovědné a efektivní řízení této technologie.

Zavádí nové koncepty, jako jsou etické zásady AI, ale zároveň úzce navazuje na zavedené normy. Existují silné překryvy s koncepty informační bezpečnosti (ISO 27001), normou životního cyklu softwaru (IEC 62304) nebo normou řízení rizik (ISO 14971).

Využití těchto stávajících struktur umožňuje vaší organizaci přirozeně integrovat řízení AI, aniž by docházelo k vytváření sil a zbytečných režijních nákladů.

Podporujeme společnosti v hladkém začlenění normy ISO 42001 do jejich systémů řízení kvality a vývojových postupů, čímž zajišťujeme konzistentnost a sledovatelnost ve všech souvisejících procesech.

U softwarových diagnostických prostředků in vitro (IVD) znamená shoda propojení dvou světů: vědeckých a klinických požadavků IVDR a technických a softwarových standardů, které zajišťují spolehlivost a bezpečnost produktu.

Podpoříme vás při vytváření technické dokumentace specifické pro IVDR, včetně:

• Plánů hodnocení výkonu a zpráv o vědecké platnosti
• Prohlášení o shodě
• Plánů sledování výkonu po uvedení na trh (PMPF)
• Shrnutí bezpečnosti a výkonu (SSP)

Náš tým sdružuje odborníky s doktorským titulem v klinických a laboratorních oborech se zkušenými profesionály v oblasti vývoje softwaru pro zdravotnické prostředky.

To nám umožňuje propojit požadavky specifické pro IVDR se správnými softwarovými standardy, jako jsou:

• IEC 62304 – procesy životního cyklu softwaru
• ISO 14971 – řízení rizik
• IEC 81001-5-1 – kybernetická bezpečnost pro připojené nebo síťové systémy IVD

Výsledkem je holistický, integrovaný přístup pokrývající všechny aspekty shody, jako jsou klinické, laboratorní, regulační, softwarové nebo kybernetické bezpečnosti.

Validace počítačových systémů má v našich službách zvláštní místo. Věříme, že digitalizace a automatizace by měly posílit řízení kvality, a pomůžeme vám transformovat validaci na štíhlý proces, který bude pro vaši organizaci přínosem.

Organizace často váhají s integrací digitálních nástrojů do svých systémů řízení kvality nebo provozních prostředí z obavy, že validace bude příliš složitá, časově náročná a nákladná. Výsledkem je, že mnoho počítačových systémů zůstává nevyužito nebo, co hůře, zůstává nevalidováno v pozadí.

Kombinujeme náš přístup založený na rizicích s naší klinickou odborností, hlubokým porozuměním životním cyklům softwaru, informační bezpečností a vášní pro digitální operace, díky čemuž je CSV efektivní, logické a orientované na hodnotu.

Vytvořili jsme a validovali řadu vlastních softwarových řešení a také jsme podporovali komplexní validační projekty pro významné výrobce zdravotnických zařízení, kde byly výsledky validace nakonec úspěšně schváleny regulačními orgány.

Správná validace nemusí být zátěží. Pokud je provedena správně, dává vaší organizaci jistotu, že každý softwarový systém, na který se spoléháte, funguje spolehlivě, aniž by ohrožoval kontinuitu podnikání, kvalitu produktů nebo bezpečnost pacientů.

Víme, že CAPA může být jednou z nejnáročnějších částí systému řízení kvality. Mnoho týmů ji považuje za komplikovanou, pomalou a dokonce frustrující, zejména když vědí, že se jedná o oblast, kterou notifikované orgány vždy pečlivě sledují.

Proto přicházíme na řadu my. Naše poradenství v oblasti CAPA kombinuje naše hluboké znalosti předpisů s praktickými zkušenostmi z transformace skutečných systémů kvality. Pracovali jsme na stovkách CAPA a nebojíme se jít do hloubky, abychom odhalili skutečné příčiny. Nejen proto, abychom CAPA „uzavřeli“, ale abychom opravili to, co ve vaší společnosti nefunguje.

Provedeme vás každým krokem, od identifikace problému až po vyhodnocení účinnosti vašich opatření.

Výsledkem budou CAPA, které jsou jasné, zaměřené a smysluplné, nejenom v souladu s předpisy.

Vaše organizace uvidí, co způsobilo problém, co bylo učiněno pro jeho řešení a jak dobře řešení skutečně fungovalo.

Pro nás je každý CAPA příležitostí k posílení a zefektivnění vašeho systému. Ukážeme vám také, jak zvládat budoucí neshody sami, s důvěrou a strukturou.

Známe audity z obou stran. V průběhu let jsme auditovali mnoho společností a hodnotili jejich připravenost na certifikaci EU MDR, účinnost jejich systémů řízení kvality a úplnost jejich technické dokumentace, včetně souborů týkajících se řízení rizik a kybernetické bezpečnosti.

Zároveň jsme také stáli na druhé straně a byli auditováni jako vlastníci procesů, zástupci řízení kvality a specialisté na regulační záležitosti v různých organizacích.

Proto naše auditorské služby vždy přinášejí obě perspektivy. Rozumíme tomu, co auditoři potřebují vidět, a také tomu, jaké to je řídit složitost dodržování předpisů zevnitř organizace.

Když auditujeme vaše procesy nebo technickou dokumentaci, nejde nám jen o jednoduchý kontrolní seznam. Pomáháme vám pochopit, co by mohlo v budoucnu způsobit problémy, identifikovat oblasti, kde by váš systém mohl být neudržitelný, a rozpoznat, na co se externí auditoři obvykle zaměřují.

Získáte nejen auditní zprávu, ale také praktické posouzení s jasnými pokyny, návrhy na zlepšení a podrobným hodnocením vašeho aktuálního stavu před nadcházející inspekcí nebo předložením technické dokumentace.

Implementace směrnice NIS2 je další oblastí, ve které podporujeme naše klienty tím, že jim pomáháme integrovat tuto novou evropskou regulaci do jejich stávajících provozních a správních struktur.

Vycházíme ze standardů a rámců, které mnoho organizací již dobře zná, jako jsou ISO 27001, ISO 27002 a IEC 81001-5-1. Tyto standardy slouží jako pevný základ pro implementaci NIS2, zejména v oblastech, jako je ochrana osobních údajů, kontinuita podnikání a zotavení po havárii.

S naší podporou zavedete komplexní systém řízení, který plně začlení požadavky NIS2 do vašeho řízení kvality a informací. To zahrnuje definování a implementaci procesů, jako je řešení incidentů, postupy hlášení a kontroly založené na rizicích.

Výsledkem je integrované prostředí, kde se NIS2 stává přirozenou součástí vašeho stávajícího systému řízení kvality, nikoli samostatným systémem, ale soudržným rámcem v souladu s přístupem GRC (Governance, Risk, and Compliance).

Díky našim službám v oblasti implementace předpisů a norem také pomáháme našim klientům dosáhnout souladu s novým zákonem EU o umělé inteligenci, komplexním evropským předpisem upravujícím bezpečné a odpovědné používání umělé inteligence.

Stejně jako u jiných regulačních rámců je nejúčinnějším přístupem vybudovat požadované procesy na základě vašeho stávajícího systému řízení, spíše než vytvářet překrývající se nebo redundantní postupy.

Pro software zdravotnických zařízení založený na umělé inteligenci se téměř vždy vztahuje zákon EU o umělé inteligenci, protože tyto systémy jsou obvykle klasifikovány jako vysoce rizikové.

Soulad s předpisy však lze efektivně zajistit pomocí norem, které již možná používáte, včetně:

• IEC 62304 pro procesy životního cyklu softwaru
• ISO 14971 pro řízení rizik
• IEC 81001-5-1 pro kybernetickou bezpečnost
• ISO/IEC 23894 pro identifikaci specifických nebezpečí a rizik umělé inteligence

Pomůžeme vám zkontrolovat vaše současné nastavení, identifikovat mezery v procesech v kontextu zákona EU o umělé inteligenci a hladce integrovat požadované kontroly a dokumentaci do vašeho stávajícího systému řízení kvality a vývojového rámce.

Pomáháme společnostem se všemi aspekty podání 510(k) a PMA, od definování správné regulační cesty až po přípravu a správu kompletních podkladů pro podání.

Vše začíná regulační strategií a plánováním, při kterém se určí vhodná cesta, identifikují se predikativní zařízení a zmapuje se požadovaná dokumentace.

Od tohoto okamžiku vám pomáháme s přípravou:

• Technické dokumentace v souladu s normami IEC 62304 a 21 CFR 820.30, připravené k podání
• Souborů pro řízení rizik v souladu s normou ISO 14971
• Dokumentace o kybernetické bezpečnosti a souvisejících záznamů

Pomáháme také s komunikací s FDA, včetně schůzek před podáním žádosti, odpovědí na dotazy FDA a následných opatření po podání žádosti.

Díky našim zkušenostem získáte důvěryhodného partnera pro celý proces, který zajistí, že vaše podání bude kompletní, v souladu s předpisy a strategicky připravené pro úspěch na americkém trhu.