Was verlangt MDSAP von einem eQMS?

Von Vaclav Vlcek, MD

Kurz gefasst:

MDSAP ist ein einziges Audit, das die Anforderungen an das Qualitätsmanagementsystem von fünf Regulierungsbehörden abdeckt. Es zertifiziert kein eQMS als Produkt. Es prüft, wie ein Hersteller ein solches System einsetzt, und drei Kontrollen sind für dieses System besonders relevant: die Lenkung von Dokumenten und Aufzeichnungen, die Kompetenz des Personals und die Validierung der Software selbst für ihre vorgesehene Verwendung. Dieser Artikel legt dar, was der aktuelle MDSAP Audit Approach von einem Auditor bestätigt sehen will und was das für das System bedeutet, mit dem ein Unternehmen seine Qualitätsarbeit betreibt.

Die wenigsten Unternehmen suchen MDSAP von sich aus.

Sie begegnen ihm, weil ein Markt es verlangt, und was sie von diesem Punkt an wollen, ist ein Qualitätsmanagementsystem, das einfach zu bedienen und einfach zu verstehen ist. Etwas, das ein Team innerhalb von Wochen übernehmen kann, ohne Stunden mit einem Werkzeug zu verlieren, das ihm entgegenarbeitet.

Für ein Unternehmen, das bereits ein Qualitätsmanagementsystem nach ISO 13485 betreibt, wirft das eine berechtigte Frage auf. Wie viel von dem, was MDSAP erwartet, steckt bereits im vorhandenen System, und wie viel muss noch aufgebaut werden?

Wir haben unser eQMS so entworfen, dass es das ISO-13485-Qualitätsmanagementsystem einer Organisation unterstützt, und wir erweitern es um die konkreten Anforderungen, die ein Kunde für die von ihm angestrebten Märkte benötigt. Die Organisation selbst bleibt dafür verantwortlich, die Software für ihre vorgesehene Verwendung zu konfigurieren, zu validieren und zu betreiben. Das ist eine Anforderung des Audits und keine Formalie.

Dieser Artikel legt dar, was MDSAP von einem elektronischen QMS verlangt und wo ein funktionierendes Qualitätsmanagementsystem darauf bereits eine Antwort hat.

Was MDSAP ist

MDSAP, das Medical Device Single Audit Program, ermöglicht es, mit einem Audit durch eine anerkannte Auditing Organisation die Anforderungen an das Qualitätsmanagementsystem von fünf Regulierungsbehörden zugleich zu adressieren: der australischen TGA, der brasilianischen ANVISA, Health Canada, dem japanischen MHLW zusammen mit der PMDA sowie der US-amerikanischen FDA.

Ein Audit kann doppelte QMS-Audits über diese fünf Rechtsräume hinweg verringern.

Es gewährt keinen Marktzugang, und es ersetzt nicht jede behördliche Inspektion. Jede Behörde verwendet die Ergebnisse nach ihren eigenen Regeln. Kanada verlangt eine MDSAP-Zertifizierung für Zulassungen von Medizinprodukten der Klassen II, III und IV, nach dem 2019 abgeschlossenen Übergang vom früheren CMDCAS-Programm. Die FDA akzeptiert Auditberichte anstelle bestimmter routinemäßiger Inspektionen, während die Teilnahme an MDSAP in den Vereinigten Staaten freiwillig ist und anlassbezogene Inspektionen, Folgeinspektionen oder zulassungsbezogene Inspektionen nicht ausschließt. TGA, ANVISA und die japanischen Behörden verwenden Berichte und Zertifikate im Rahmen ihrer eigenen Konformitätsbewertungs- und Inspektionsverfahren. Die Marktzulassung bleibt die Entscheidung der jeweiligen Behörde.

Das Programm baut auf ISO 13485 auf. Der Audit Approach führt die Anforderungen auf, die seine Audits abdecken, beginnend mit ISO 13485:2016 und ergänzt um die QMS-Anforderungen jedes Rechtsraums: die australischen Therapeutic Goods (Medical Devices) Regulations 2002, die brasilianische Gute Herstellungspraxis nach RDC ANVISA 665/2022, die kanadischen Medical Devices Regulations, die japanische MHLW Ministerial Ordinance No. 169 und die US-amerikanische Quality Management System Regulation.

Das Audit folgt einer festgelegten Methode, die im MDSAP Audit Approach, Dokument AU P0002, beschrieben ist. Die Auditing Organisations wenden sie einheitlich an, und genau das macht ein einzelnes Audit für mehrere Behörden verwendbar.

Für Hersteller mit Sitz in der EU kommt eine weitere Verwendung hinzu. Nach der europäischen Leitlinie MDCG 2020-14 können Benannte Stellen vollständige MDSAP-Auditberichte bei der Planung regulärer Überwachungsaudits berücksichtigen. Diese Berichte ersetzen weder Erstaudits noch unangekündigte Audits noch die jährliche Überwachung.

Warum MDSAP prozessorientiert auditiert

MDSAP auditiert das Qualitätsmanagementsystem als eine Reihe miteinander verbundener Prozesse und verfolgt, wie die Arbeit von einem Prozess in den nächsten übergeht. Es geht damit über ein Abarbeiten der Norm Abschnitt für Abschnitt hinaus.

Deshalb definiert der Audit Approach vier Hauptprozesse:

• Management

• Messung, Analyse und Verbesserung (Measurement, Analysis and Improvement)

• Entwicklung (Design and Development)

• Produktions- und Dienstleistungslenkung (Production and Service Controls).

Die Beschaffung (Purchasing) wird daneben als unterstützender Prozess auditiert.

Zwei weitere unterstützende Prozesse bestehen, um Anforderungen der beteiligten Behörden zu erfüllen:

• Marktzulassung von Produkten und Registrierung von Betriebsstätten (Device Marketing Authorization and Facility Registration)

• Meldung von Vorkommnissen und Sicherheitsanweisungen (Medical Device Adverse Events and Advisory Notices Reporting).

Innerhalb jedes Prozesses arbeitet das Audit nummerierte Aufgaben ab, und jede Aufgabe benennt die geprüfte Anforderung zusammen mit den dahinterstehenden Normabschnitten und Rechtsvorschriften.

Das ist entscheidend dafür, wie ein elektronisches QMS beurteilt wird.

Das System wird über die Prozesse geprüft, die es unterstützt, und über den Umgang des Herstellers damit. Ein Auditor, der sich den Managementprozess ansieht, prüft, wie das Qualitätsmanagementhandbuch, die Qualitätspolitik und gelenkte Verfahrensanweisungen genehmigt, aktuell gehalten und verfügbar gemacht werden. Ein Auditor, der sich irgendeinen Prozess ansieht, erwartet, dass die damit befassten Personen für die Arbeit kompetent sind.

Das eQMS rechtfertigt seinen Platz dadurch, dass es diese Prozesse lenkbar und nachweisbar macht, und das ist der Maßstab, dem es genügen muss.

Was MDSAP vom eQMS verlangt

Drei Kontrollen im aktuellen Audit Approach sind für ein elektronisches QMS besonders relevant. Es lohnt sich, sie genau zu lesen, denn sie sind konkreter, als das Programm als Ganzes vermuten lässt.

Tabelle 1: Direkt das eQMS betreffende Kontrollen im MDSAP Audit Approach

Zusammengenommen beschreiben diese Kontrollen ein bestimmtes Verhalten.

Zu jedem Zeitpunkt ist eine Version eines Dokuments in Kraft. Die Personen, die sich auf dieses Dokument stützen, finden es und arbeiten mit dieser Version. Ändert sich das Dokument, wird die vorherige Version außer Kraft gesetzt und die aktuelle tritt an ihre Stelle, während eine Kopie der ersetzten Version so lange aufbewahrt wird, wie es die Aufbewahrungsregel verlangt.

Die Personen, die die Arbeit ausführen, sind dafür kompetent, und die Organisation kann darlegen, wie sie das festgestellt hat, was sie gegen etwaige Lücken unternommen hat und wie sie die Wirksamkeit dieser Maßnahmen überprüft hat.

Und das System, das all dies vorhält, ist selbst für den von der Organisation vorgesehenen Einsatz validiert.

Die Aufbewahrungsregel wird leicht unterschätzt

Mindestens ein veraltetes Exemplar jedes gelenkten Dokuments über die Lebensdauer des Produkts und nie weniger als zwei Jahre ab Produktfreigabe aufzubewahren bedeutet, dass ein Dokumentenlenkungssystem Historie vorhalten muss und nicht nur den aktuellen Stand. Ein System, das frühere Versionen überschreibt, kann das nicht erfüllen.

Kompetenz ist nicht dasselbe wie Schulung

Das hat sich mit der aktuellen Revision geändert. Der Audit Approach hat die Personalaufgabe von der Schulung auf die Kompetenz verlagert, und die Anleitung ist in dieser Unterscheidung deutlich: Die Bewertung soll belegen, dass das Personal die erforderliche Kompetenz erreicht hat, und nicht lediglich, dass es an einer Schulung teilgenommen hat.

Die Schulung bleibt eine Maßnahme, die eine Organisation ergreifen kann. Das Audit endet nicht bei der Teilnahme, sondern prüft, ob die Maßnahme dazu geführt hat, dass die erforderliche Kompetenz erreicht wurde. Ein Auditor prüft, wie die Kompetenzanforderungen festgelegt wurden, welche Maßnahmen etwaige Lücken geschlossen haben und ob die Überprüfung dieser Maßnahmen dem Risiko der Arbeit angemessen war.

Bei einer Dokumentenänderung bedeutet das eine Bewertung der Auswirkung auf die Kompetenz. Diese Bewertung kann zu einer Schulung führen, zu einer anderen Maßnahme oder zu keiner Maßnahme, sofern das begründet ist.

Die Softwarevalidierung betrifft das eQMS selbst

Das Audit erwartet, dass die im Qualitätsmanagementsystem eingesetzte Software für ihre vorgesehene Verwendung validiert ist. Das gilt auch für handelsübliche Standardsoftware.

Eine Organisation muss dafür nicht zwingend den Quellcode oder die Testfälle eines Anbieters prüfen. Sie muss dennoch anhand eines Protokolls mit vorab festgelegten Akzeptanzkriterien validieren, dass die Software entsprechend ihren eigenen Anforderungen funktioniert. Das ist Computersystemvalidierung, und sie obliegt der Organisation.

Die Konsequenz lässt sich klar benennen. Kein Anbieter kann Konformität mit MDSAP oder ISO 13485 mit einem Produkt mitliefern. Konformität liegt bei der Organisation und darin, wie sie das System konfiguriert, validiert und betreibt.

Das ist die Anforderung, und sie ist dieselbe, ob sich ein Unternehmen auf MDSAP, auf eine FDA-Inspektion oder auf eine Rezertifizierung nach ISO 13485 vorbereitet.

Die Auditkriterien zu erfüllen ist die Ausgangslage. Die größere Herausforderung besteht darin, diese Kontrollen in der täglichen Arbeit aufrechtzuerhalten, ohne das System zur Last werden zu lassen.

Wo die fünf Behörden eigene Anforderungen ergänzen

Auf der gemeinsamen Grundlage ergänzt jede Behörde nationale Anforderungen. Mehrere davon betreffen unmittelbar das eQMS, und zwar bei Aufbewahrung, Inhalt von Aufzeichnungen und Integrität von Aufzeichnungen.

Brasilien ergänzt drei Kontrollen zur Lenkung von Dokumenten und Aufzeichnungen, die ein eQMS unmittelbar betreffen. Änderungsaufzeichnungen müssen eine Beschreibung der Änderung, die Kennzeichnung der betroffenen Dokumente, die Unterschrift der genehmigenden Personen, das Genehmigungsdatum und den Zeitpunkt des Inkrafttretens enthalten. Der Hersteller muss eine Stammliste der genehmigten und in Kraft befindlichen Dokumente führen. Elektronische Aufzeichnungen und Dokumente müssen gesichert werden.

Australien verlangt, dass QMS-Dokumentation und Aufzeichnungen zu einem Produkt mindestens fünf Jahre aufbewahrt werden. Bestimmte Aufzeichnungen des Sponsors werden bis zu zehn Jahre aufbewahrt; sie betreffen den Vertrieb sowie Angaben zu Fehlfunktionen, Verschlechterungen oder Unzulänglichkeiten, die zu einer Beschwerde oder einem Problem geführt haben, bei Produkten der Klasse III, implantierbaren Produkten der Klasse IIb und IVD der Klasse 4.

Japan wendet unterschiedliche Fristen an: fünfzehn Jahre für Medizinprodukte mit besonders festgelegtem Wartungs- und Instandhaltungsbedarf, fünf Jahre für andere Produkte und fünf Jahre für Schulungsaufzeichnungen und zugehörige Dokumentation. Für beide produktbezogenen Fristen gelten zusätzliche Vorgaben in Abhängigkeit von der Haltbarkeitsdauer, durch die sich die jeweilige Frist verlängern kann.

Die Pflicht besteht darin, jede zutreffende Anforderung zu erfüllen, und nicht eine einzelne strengste Regel. Eine einheitlich längere Aufbewahrungsfrist ist eine Möglichkeit, das umzusetzen, und damit eine Wahl und keine Verpflichtung. Ein eQMS muss ein Aufbewahrungs- und Lenkungskonzept unterstützen, das jedem zutreffenden Rechtsraum genügt.

Für die Vereinigten Staaten verweist die Lenkung von Dokumenten und Aufzeichnungen auf die Quality Management System Regulation unter 21 CFR 820.35, die FDA-spezifische Anforderungen an bestimmte Beschwerde- und Instandhaltungsaufzeichnungen sowie Aufzeichnungen zur Identifizierung von Medizinprodukten ergänzt.

21 CFR Part 11 ist davon getrennt zu betrachten. Für Hersteller, die FDA-Anforderungen unterliegen, kann Part 11 für bestimmte elektronische Aufzeichnungen und Signaturen im eQMS gelten. Die Anwendbarkeit hängt von der zugrunde liegenden FDA-Aufzeichnungspflicht ab und davon, wie die Organisation sich auf die elektronische Aufzeichnung stützt. Part 11 bleibt in Kraft. Allein der Einsatz eines eQMS führt nicht dazu, dass jede Aufzeichnung in den Anwendungsbereich von Part 11 fällt. Der Audit Approach führt Part 11 nicht als Kriterium für die Lenkung von Dokumenten und Aufzeichnungen an, weshalb es sich am besten als eigenständige FDA-Frage behandeln lässt und nicht als etwas, das MDSAP schafft.

Was sich 2026 geändert hat

Zwei Änderungen traten im Februar in Kraft, eine dritte folgte im August.

1. Die Quality Management System Regulation der FDA trat am 2. Februar 2026 in Kraft. Sie ändert 21 CFR Part 820 und bezieht ISO 13485:2016 durch Verweis ein, wodurch die US-amerikanische QMS-Anforderung an dieselbe Norm angeglichen wird, auf der das übrige MDSAP aufbaut.

2. Der MDSAP Audit Approach wurde im Februar auf die Version P0002.010 aktualisiert, um dem zu entsprechen, und Verweise und Zitate auf die frühere FDA Quality System Regulation wurden durchgängig entfernt. Im August wurde er erneut auf P0002.011 überarbeitet. Diese Fassung trägt das Revisionsdatum 3. August 2026 und ist die geltende Fassung. Diese Revision verlagerte die Personalaufgabe von der Schulung auf die Kompetenz, verschob die risikobasierte Lenkung von QMS-Prozessen in die erste Managementaufgabe und ergänzte an mehreren Stellen Bestimmungen zur Cybersicherheit von Medizinprodukten.

Eine Änderung im Zuge der QMSR ist für ein eQMS besonders relevant. Die Ausnahme, die in 21 CFR 820.180(c) bestand, wurde nicht übernommen, sodass die FDA nun befugt ist, Berichte über Managementbewertungen, Qualitätsaudits und Lieferantenaudits einzusehen. Aufzeichnungen, die zuvor der routinemäßigen Einsicht entzogen waren, müssen nun ohne Weiteres verfügbar sein.

Die Auswirkung auf ein elektronisches QMS ist klar. ISO 13485 war ohnehin die gemeinsame Grundlage des Programms. Mit der Angleichung der Vereinigten Staaten beruht die MDSAP-Bereitschaft nun in noch größerem Umfang auf dieser Grundlage. Zugleich steht nun ein größerer Bestand an Aufzeichnungen zur Einsicht offen, was den Wert eines Systems erhöht, in dem Nachweise aus der Arbeit heraus entstehen statt im Nachhinein zusammengetragen zu werden.

Worauf MDSAP-Bereitschaft hinausläuft

Für das elektronische System selbst verdienen drei Kontrollen besondere Aufmerksamkeit.

Die Lenkung von Dokumenten und Aufzeichnungen, damit die aktuelle Version die in Kraft befindliche ist, ersetzte Versionen außer Kraft gesetzt und aufbewahrt werden und Nachweise so lange abrufbar bleiben, wie es die jeweils zutreffenden Aufbewahrungsregeln verlangen. Die Kompetenz des Personals, damit die Organisation darlegen kann, wie Kompetenz festgestellt wurde, was etwaige Lücken geschlossen hat und wie diese Maßnahmen überprüft wurden. Und die Validierung der Software selbst für den von der Organisation vorgesehenen Einsatz.

Nichts davon wird durch ein Produkt verliehen. Die Verantwortung liegt bei der Organisation. Ein gut aufgebautes System unterstützt sie dabei, die Anforderungen zu erfüllen; es stellt die Konformität jedoch nicht selbst her.

Unsere eigene QMS-Software ist darauf ausgelegt, Organisationen bei der Umsetzung dieser Anforderungen zu unterstützen. Das ist auch der Grund, warum ein großer Teil der MDSAP-Bereitschaft darin besteht, ISO 13485 gut umzusetzen, statt etwas Neues zu bauen.

Die Auditkriterien zu erfüllen ist die Ausgangslage. Ein System zu betreiben, das ein Team täglich nutzen kann, ohne das Team auszubremsen oder eine monatelange Einführung zu erfordern, ist der Teil, der darüber entscheidet, ob ein Qualitätsmanagementsystem trägt oder zur Last wird.

In Teil 2 prüfen wir unser eigenes eQMS anhand der hier dargelegten Anforderungen: wie es ein Dokument von Draft bis Effective lenkt, wie es die vorherige Version außer Kraft setzt und aufbewahrt, wie es eine Überarbeitung des Dokuments anders behandelt als die Änderung eines gemeinsam genutzten Werts und wie es die Aufzeichnung all dessen erzeugt.

Wir werden zeigen, wie das System die Organisation dabei unterstützt, die Anforderung zu erfüllen, und wie es für den täglichen Gebrauch gebaut ist und nicht allein für die Inspektion.

Häufig gestellte Fragen

1. Was ist MDSAP?

   • MDSAP ist das Medical Device Single Audit Program. Es ermöglicht, mit einem einzigen Audit durch eine anerkannte Auditing Organisation die Anforderungen an das Qualitätsmanagementsystem für Medizinprodukte von fünf Regulierungsbehörden zu adressieren. Es baut auf der Norm ISO 13485 auf, wobei jede Behörde eigene nationale Anforderungen ergänzt.

2. Welche Behörden sind Mitglieder von MDSAP?

   • Die fünf Mitglieder des Regulatory Authority Council sind Australien (TGA), Brasilien (ANVISA), Kanada (Health Canada), Japan (MHLW und PMDA) und die Vereinigten Staaten (FDA). Das Programm hat außerdem offizielle Beobachter und assoziierte Mitglieder, und weitere Behörden akzeptieren seine Ergebnisse, sodass die Beteiligung über diese fünf hinausreicht.

3. Ersetzt MDSAP die ISO 13485?

   • Nein. MDSAP baut auf ISO 13485 auf und nutzt sie als Grundlage. Jede beteiligte Behörde ergänzt eigene nationale Anforderungen, und das Audit wird prozessorientiert durchgeführt und nicht Abschnitt für Abschnitt.

4. Bedeutet ein MDSAP-Zertifikat, dass unser eQMS konform ist?

   • Nein. MDSAP zertifiziert keine Software als Produkt. Es prüft, wie ein Hersteller sein Qualitätsmanagementsystem einsetzt, einschließlich der Frage, ob die Software für ihre vorgesehene Verwendung validiert wurde. Konformität liegt bei der Organisation und nicht beim Produkt eines Anbieters.

5. Was verlangt MDSAP für die Dokumentenlenkung?

   • Der Audit Approach verlangt, dass ein Auditor bestätigt, dass Verfahren für die Lenkung von Dokumenten und Aufzeichnungen sowohl interner als auch externer Herkunft festgelegt, dokumentiert und umgesetzt sind und dass die Organisation Aufzeichnungen sowie mindestens ein veraltetes Exemplar gelenkter Dokumente über einen Zeitraum aufbewahrt, der mindestens der Lebensdauer des Produkts entspricht und zwei Jahre ab dem Datum der Produktfreigabe nicht unterschreitet.

6. Wie lange müssen gelenkte Dokumente für MDSAP aufbewahrt werden?

   • Mindestens ein veraltetes Exemplar jedes gelenkten Dokuments muss über einen Zeitraum aufbewahrt werden, der mindestens der Lebensdauer des Produkts entspricht und zwei Jahre ab dem Datum der Produktfreigabe nicht unterschreitet. Einzelne Rechtsräume ergänzen eigene Fristen: Australien mindestens fünf Jahre, bei bestimmten Aufzeichnungen des Sponsors bis zu zehn; Japan fünfzehn Jahre für Medizinprodukte mit besonders festgelegtem Wartungs- und Instandhaltungsbedarf und sonst fünf Jahre, mit Einschränkungen bezogen auf die Haltbarkeitsdauer.

7. Verlangt MDSAP, dass QMS-Software validiert wird?

   • Ja. Der Audit Approach verlangt, dass die im Qualitätsmanagementsystem eingesetzte Software nach einem festgelegten Protokoll für ihre vorgesehene Verwendung validiert ist. Das gilt auch für handelsübliche Standardsoftware: Die Organisation muss bestätigen, dass die Software entsprechend ihren eigenen Anforderungen funktioniert, gemessen an vorab festgelegten Akzeptanzkriterien.

8. Verlangt MDSAP eine erneute Schulung bei jeder Dokumentenänderung?

   • Nein. Der aktuelle Audit Approach stellt die Kompetenz in den Mittelpunkt und nicht die Schulungsverwaltung. Eine Dokumentenänderung sollte eine Bewertung ihrer Auswirkung auf die Kompetenz auslösen, die zu einer Schulung, zu einer anderen Maßnahme oder, sofern begründet, zu keiner Maßnahme führen kann. Das Audit prüft, ob Kompetenz erreicht wurde, und nicht, ob eine Schulung besucht wurde.

9. Gilt 21 CFR Part 11 für ein eQMS?

   • Es kann für bestimmte elektronische Aufzeichnungen und Signaturen gelten, abhängig von der zugrunde liegenden FDA-Aufzeichnungspflicht und davon, wie die Organisation sich auf die elektronische Aufzeichnung stützt. Part 11 bleibt nach der Quality Management System Regulation in Kraft. Allein der Einsatz eines eQMS führt nicht dazu, dass jede Aufzeichnung in den Anwendungsbereich von Part 11 fällt. Der MDSAP Audit Approach führt Part 11 nicht als Kriterium für die Lenkung von Dokumenten und Aufzeichnungen an.

10. Was hat sich 2026 bei MDSAP geändert?

    • Die Quality Management System Regulation der FDA trat am 2. Februar 2026 in Kraft und glich die US-amerikanische QMS-Anforderung an ISO 13485:2016 an. Der Audit Approach wurde im Februar auf P0002.010 aktualisiert, um Verweise auf die frühere FDA Quality System Regulation zu entfernen, und am 3. August 2026 erneut auf P0002.011 überarbeitet, womit die Personalaufgabe von der Schulung auf die Kompetenz verlagert wurde.