Beratung zu Medizinproduktesoftware (SaMD/MDSW)

Die EU-Medizinprodukteverordnung (MDR) definiert den rechtlichen Rahmen für alle Medizinprodukte, die auf den europäischen Markt gebracht werden. Sie gilt für alle Organisationen, die innerhalb der Europäischen Union Medizinprodukte entwickeln, herstellen oder vertreiben.

Die MDR schreibt die Verpflichtung zum Betrieb eines Qualitätsmanagementsystems (QMS) vor, das in der Regel gemäß ISO 13485 implementiert wird. Außerdem definiert sie Anforderungen an die technische Dokumentation, einschließlich einer Risikomanagementdatei und Cybersicherheitsdokumentation, wie in IEC 62304, ISO 14971 und IEC 81001-5-1 beschrieben.

Über die produktspezifischen Anforderungen hinaus regelt die MDR auch:

• Geräteklassifizierung und Konformitätsbewertungsverfahren
• Zertifizierungsverfahren und Interaktionen mit benannten Stellen
• Überwachung nach dem Inverkehrbringen und Vigilanzaktivitäten

Wir helfen Ihnen bei der strategischen Auslegung und Anwendung dieser Anforderungen und begleiten Sie bei der MDR-Klassifizierung, Zertifizierung und Compliance-Planung. Gemeinsam definieren wir den richtigen regulatorischen Weg, der Ihre Produkt- und Geschäftsziele unterstützt.

Was die EU-MDR für den europäischen Markt darstellt, definiert Titel 21 des Code of Federal Regulations (CFR) für Medizinprodukte in den Vereinigten Staaten. Unterkapitel H dieser Vorschriften deckt dieselben Bereiche des Produktlebenszyklus ab, von der Konzeption und Entwicklung bis hin zur Marktzulassung und den Aktivitäten nach dem Inverkehrbringen.

Es umfasst:

• Anforderungen an ein Qualitätsmanagementsystem (QSR – 21 CFR 820.30)
• Kontrollen der Konzeption und Entwicklung
• Verfahren zur Zulassung vor dem Inverkehrbringen und zur Klassifizierung von Produkten
• Überwachung nach dem Inverkehrbringen und eindeutige Produktidentifikation (UDI)

Wir helfen Ihnen beim Aufbau eines konformen und effektiven Qualitätssystems, das vollständig auf die Anforderungen von 21 CFR abgestimmt ist.

Für Unternehmen, die sowohl auf dem US-amerikanischen als auch auf dem europäischen Markt tätig sind, stellen wir sicher, dass Ihre Prozesse gemäß 21 CFR und EU MDR als ein einheitliches Rahmenwerk zusammenwirken, wodurch Doppelarbeit reduziert und ein einziges, effizientes System über alle Regionen hinweg aufrechterhalten wird.

ISO 13485 ist die grundlegende Norm für Unternehmen, die Medizinprodukte entwickeln und auf den Markt bringen. Sie legt die Anforderungen an ein Qualitätsmanagementsystem (QMS) fest, um eine gleichbleibende Produktqualität und -sicherheit zu gewährleisten.

ISO 13485 legt nicht fest, wie ein Produkt entworfen oder entwickelt werden soll, sondern befasst sich eher mit den betrieblichen Maßnahmen Ihres Unternehmens.

Wir helfen Ihnen bei der Umsetzung von ISO 13485, um die Effizienz zu steigern und die operative Exzellenz Ihres Unternehmens zu unterstützen.

21 CFR 820, auch bekannt als Quality System Regulation (QSR), ist das amerikanische Äquivalent zu ISO 13485. Es deckt die gleichen Schlüsselbereiche ab – von allgemeinen Anforderungen an das Qualitätssystem und Designkontrollen bis hin zu Dokumentenmanagement, Rückverfolgbarkeit sowie Korrektur- und Vorbeugungsmaßnahmen (CAPA).

Da die FDA Quality Management System Regulation (QMSR) nun ISO 13485 durch Verweis einbezieht, wird das US-amerikanische Rahmenwerk mit dieser internationalen Norm harmonisiert.

Diese Angleichung vereinfacht die globale Compliance und ermöglicht es Unternehmen, einen einheitlichen Ansatz für das Qualitätsmanagement über alle Märkte hinweg beizubehalten.

Wir helfen Ihnen dabei, 21 CFR 820 an ISO 13485 anzupassen und sich auf den Übergang zur QMSR (Quality Management System Regulation) vorzubereiten, die am 2. Februar 2026 in Kraft tritt.

Wir unterstützen Sie dabei, ISO 13485 effizient in Ihr 21 CFR 820-System zu integrieren, Doppelarbeit zu vermeiden und die vollständige Konformität mit beiden Rahmenwerken sicherzustellen.

Die Norm IEC 62304 konzentriert sich speziell auf den Software-Lebenszyklus und umfasst:

• Anfängliche Planung
• Entwurf und Entwicklung
• Implementierung und Verifizierung
• Laufende Wartung
• Stilllegung und Marktrücknahme

Diese Norm stellt sicher, dass jede Phase des Produktlebenszyklus kontrolliert und dokumentiert wird.

Wir wissen, dass Ihr Entwicklungsteam bereits strukturierte Arbeitsabläufe befolgt. Unsere Aufgabe ist es, diese täglichen Praktiken mit den Anforderungen der IEC 62304 in Einklang zu bringen, damit Sie sicher sein können, dass Ihre bestehenden Entwicklungspraktiken den regulatorischen Erwartungen entsprechen.

Und wenn einige Standardanforderungen noch nicht vollständig abgedeckt sind, helfen wir Ihnen, diese auf natürliche Weise mit Ihren übrigen Aktivitäten zu verknüpfen und sie so zu gestalten, dass sie zur Logik und zum Tempo Ihres Unternehmens passen.

Kein Medizinprodukt kann ohne ein ordnungsgemäßes Risikomanagementsystem auf den Markt kommen, das im Mittelpunkt der ISO 14971 steht.

Diese Norm legt den Schwerpunkt auf:

• Identifizierung potenzieller Risiken
• Bewertung und Minderung dieser Risiken
• Kontinuierliche Überwachung der Risiken während des gesamten Produktlebenszyklus

Wir helfen Ihnen zu verstehen, was Risikomanagement für Ihr Produkt und Ihre Entwicklungsprozesse wirklich bedeutet und wie es mit der Software-Sicherheitsklassifizierung, dem Requirements Engineering, dem Software-Design und der Cybersicherheit zusammenhängt.

Das Ergebnis ist eine logische, konsistente Reihe von Aktivitäten, die sicherstellen, dass die von Ihrem Team entwickelten Produkte sicher und zuverlässig sind und Patienten vor Schaden schützen.

In der heutigen Welt miteinander verbundener Softwaresysteme, die mobile Geräte, lokale Netzwerke und Cloud-Plattformen umfassen und mit sensiblen Daten umgehen, Cybersicherheit ist zu einem wesentlichen Bestandteil der Entwicklung medizinischer Software geworden.

Die Norm IEC 81001-5-1 definiert den Rahmen für das Management von Sicherheitsrisiken mit folgenden Schwerpunkten:

• Identifizierung und Bewertung von Bedrohungen und Schwachstellen
• Implementierung und Aufrechterhaltung geeigneter Sicherheitskontrollen
• Kontinuierliche Sicherheitsüberwachung Ihres Produkts

Wir helfen Ihrem Team, diese Cybersicherheitsprinzipien zu verstehen und die richtigen Maßnahmen auszuwählen, um sie logisch und effektiv umzusetzen.

Gemeinsam entwickeln wir sichere Produkte, indem wir Cybersicherheitsaufgaben mit Risikomanagement (ISO 14971) und Software-Lebenszyklusaktivitäten (IEC 62304) verbinden.

Medizinische Gerätesoftware, insbesondere cloudbasierte oder vernetzte Lösungen, verarbeitet große Datenmengen. Diese Daten sind unterschiedlicher Natur, viele enthalten jedoch hochsensible Patienteninformationen. In diesem Kontext, ist die Gewährleistung der Vertraulichkeit, Integrität und Verfügbarkeit von Daten von entscheidender Bedeutung.

ISO 27001 bietet den Rahmen für die Einrichtung eines Informationssicherheits-Managementsystems (ISMS), einem strukturierten Ansatz zum Schutz sensibler Informationen innerhalb Ihres Unternehmens.

Obwohl es für Hersteller von Medizinprodukten nicht direkt vorgeschrieben ist, ist es weithin als unterstützender Standard für die Einhaltung der Anforderungen der DSGVO, HIPAA, EU-KI-Richtlinie oder EU-MDR in Bezug auf Datenintegrität, Datenschutz und Vertraulichkeit anerkannt.

Es bestehen auch enge Verbindungen zwischen ISO 27001 und Normen für Qualitätsmanagementsysteme wie ISO 13485 oder 21 CFR 820.

Wir helfen Ihnen, diese Bereiche miteinander zu verbinden und ein integriertes System aufzubauen, das alle Arten von sensiblen Daten abdeckt, von Patienteninformationen über vertrauliche Partnerverträge bis hin zu Mitarbeiterunterlagen und Finanzdaten.

ISO 42001 ist die weltweit erste Norm für Managementsysteme für künstliche Intelligenz (AIMS).

KI ist aus der modernen Technologie nicht mehr wegzudenken, und Software für medizinische Geräte bildet da keine Ausnahme. Unabhängig davon, ob Sie KI in Ihren internen Abläufen als Teil Ihres QMS oder in Ihren Medizinprodukten einsetzen, bietet ISO 42001 einen umfassenden Rahmen für den verantwortungsvollen und effektiven Umgang mit dieser Technologie.

Sie führt zwar neue Konzepte wie ethische KI-Grundsätze ein, knüpft aber auch eng an etablierte Normen an. Es gibt starke Überschneidungen mit Konzepten der Informationssicherheit (ISO 27001), der Norm für den Software-Lebenszyklus (IEC 62304) oder der Norm für das Risikomanagement (ISO 14971).

Durch die Nutzung dieser bestehenden Strukturen kann Ihr Unternehmen das KI-Management auf natürliche Weise integrieren, ohne Silos und unnötigen Aufwand zu schaffen.

Wir unterstützen Unternehmen dabei, ISO 42001 nahtlos in ihre Qualitätsmanagementsysteme und Entwicklungspraktiken zu integrieren und so Konsistenz und Rückverfolgbarkeit über alle damit verbundenen Prozesse hinweg zu gewährleisten.

Für softwarebasierte In-vitro-Diagnostika (IVD) bedeutet Compliance, zwei Welten zu verbinden: die wissenschaftlichen und klinischen Anforderungen der IVDR und die technischen und Software-Standards, die die Zuverlässigkeit und Sicherheit der Produkte gewährleisten.

Wir unterstützen Sie bei der Erstellung IVDR-spezifischer technischer Dokumentationen, darunter:

• Leistungsbewertungspläne und wissenschaftliche Validitätsberichte
• Konformitätserklärungen
• Pläne zur Nachverfolgung der Leistung nach dem Inverkehrbringen (PMPF)
• Zusammenfassungen zu Sicherheit und Leistung (SSP)

Unser Team vereint Experten mit Doktorgrad aus den Bereichen Klinik und Labor mit erfahrenen Fachleuten aus der Entwicklung von Medizinproduktesoftware.

Dadurch sind wir in der Lage, IVDR-spezifische Anforderungen mit den richtigen Softwarestandards zu verknüpfen, wie z. B.:

• IEC 62304 – Software-Lebenszyklusprozesse
• ISO 14971 – Risikomanagement
• IEC 81001-5-1 – Cybersicherheit für vernetzte oder vernetzte IVD-Systeme

Das Ergebnis ist ein ganzheitlicher, integrierter Ansatz, der alle Aspekte der Compliance abdeckt, wie z. B. Klinik, Labor, Regulierung, Software oder Cybersicherheit.

Die Validierung von Computersystemen nimmt in unseren Dienstleistungen einen besonderen Platz ein. Wir sind davon überzeugt, dass Digitalisierung und Automatisierung das Qualitätsmanagement stärken sollten, und wir helfen Ihnen dabei, die Validierung in einen schlanken Prozess zu verwandeln, von dem Ihr Unternehmen profitiert.

Allzu oft zögern Unternehmen, digitale Tools in ihre Qualitätsmanagementsysteme oder Betriebsumgebungen zu integrieren, weil sie befürchten, dass die Validierung zu komplex, zeitaufwändig und kostspielig sein könnte. Infolgedessen bleiben viele Computersysteme ungenutzt oder, schlimmer noch, werden nicht validiert und bleiben im Verborgenen.

Wir kombinieren unseren risikobasierten Ansatz mit unserer klinischen Expertise, unserem tiefen Verständnis von Software-Lebenszyklen, Informationssicherheit und unserer Leidenschaft für digitale Abläufe, wodurch die CSV effizient, logisch und wertorientiert wird.

Wir haben zahlreiche eigene Softwarelösungen entwickelt und validiert und komplexe Validierungsprojekte für große Medizinproduktehersteller unterstützt, deren Validierungsergebnisse schließlich von den Aufsichtsbehörden erfolgreich genehmigt wurden.

Eine ordnungsgemäße Validierung muss keine Belastung sein. Wenn sie richtig durchgeführt wird, gibt sie Ihrem Unternehmen die Gewissheit, dass jedes Softwaresystem, auf das Sie sich verlassen, zuverlässig funktioniert, ohne die Geschäftskontinuität, die Produktqualität oder die Patientensicherheit zu gefährden.

Wir wissen, dass CAPA einer der anspruchsvollsten Teile eines Qualitätsmanagementsystems sein kann. Viele Teams empfinden es als kompliziert, langsam und sogar frustrierend, insbesondere wenn sie wissen, dass es sich um einen Bereich handelt, den benannte Stellen immer genau unter die Lupe nehmen.

Deshalb kommen wir ins Spiel. Unsere CAPA-Beratung kombiniert unser fundiertes Wissen über Vorschriften mit praktischer Erfahrung aus der Umgestaltung realer Qualitätssysteme. Wir haben bereits an Hunderten von CAPAs gearbeitet und scheuen uns nicht, den tatsächlichen Ursachen auf den Grund zu gehen. Nicht nur, um eine CAPA „abzuschließen”, sondern um zu beheben, was in Ihrem Unternehmen nicht funktioniert.

Wir begleiten Sie bei jedem Schritt, von der Identifizierung des Problems bis zur Bewertung der Wirksamkeit Ihrer Maßnahmen.

Am Ende erhalten Sie CAPAs, die klar, fokussiert und sinnvoll sind und nicht nur den Vorschriften entsprechen.

Ihr Unternehmen wird sehen, was das Problem verursacht hat, was zu seiner Behebung unternommen wurde und wie gut die Lösung tatsächlich funktioniert hat.

Für uns ist jede CAPA eine Gelegenheit, Ihr System stärker und effizienter zu machen. Und wir zeigen Ihnen auch, wie Sie zukünftige Nichtkonformitäten selbstständig, mit Zuversicht und Struktur bewältigen können.

Wir kennen Audits von beiden Seiten. Im Laufe der Jahre haben wir viele Unternehmen auditiert und dabei ihre Bereitschaft für die EU-MDR-Zertifizierung, die Wirksamkeit ihrer Qualitätsmanagementsysteme und die Vollständigkeit ihrer technischen Dokumentation, einschließlich Risikomanagement- und Cybersicherheitsdateien, bewertet.

Gleichzeitig standen wir auch auf der anderen Seite und wurden als Prozessverantwortliche, Qualitätsmanagementbeauftragte und Spezialisten für regulatorische Angelegenheiten in verschiedenen Organisationen auditiert.

Deshalb bringen unsere Audit-Dienstleistungen immer beide Perspektiven ein. Wir verstehen, was Auditoren sehen müssen, und wissen, wie es ist, die Komplexität der Compliance innerhalb einer Organisation zu managen.

Wenn wir Ihre Prozesse oder technische Dokumentation auditieren, gehen wir über eine einfache Checkliste hinaus. Wir helfen Ihnen zu verstehen, was in Zukunft Probleme verursachen könnte, identifizieren Bereiche, in denen Ihr System nicht mehr nachhaltig sein könnte, und erkennen, worauf sich externe Auditoren in der Regel konzentrieren.

Sie erhalten nicht nur einen Auditbericht, sondern eine praktische Bewertung mit klaren Leitlinien, Verbesserungsvorschlägen und einer detaillierten Bewertung Ihres aktuellen Status vor einer bevorstehenden Inspektion oder der Einreichung technischer Dokumentationen.

Die Umsetzung der NIS2-Richtlinie ist ein weiterer Bereich, in dem wir unsere Kunden unterstützen, indem wir ihnen helfen, diese neue europäische Verordnung in ihre bestehenden Betriebs- und Governance-Strukturen zu integrieren.

Wir bauen auf den Standards und Rahmenwerken auf, die vielen Organisationen bereits gut bekannt sind, wie z. B. ISO 27001, ISO 27002 und IEC 81001-5-1. Diese dienen als solide Grundlage für die Umsetzung von NIS2, insbesondere in Bereichen wie Datenschutz, Geschäftskontinuität und Notfallwiederherstellung.

Mit unserer Unterstützung richten Sie ein umfassendes Managementsystem ein, das die NIS2-Anforderungen vollständig in Ihr Qualitäts- und Informationsmanagement integriert. Dazu gehört die Definition und Implementierung von Prozessen wie Incident Handling, Meldeverfahren und risikobasierten Kontrollen.

Das Ergebnis ist eine integrierte Umgebung, in der NIS2 zu einem natürlichen Bestandteil Ihres bestehenden QMS wird, nicht als separates System, sondern als ein kohärentes Rahmenwerk, das einem GRC (Governance, Risk und Compliance)-Ansatz folgt.

Mit unseren Dienstleistungen zur Umsetzung von Vorschriften und Standards helfen wir unseren Kunden auch dabei, die Anforderungen des neuen EU-KI-Gesetzes zu erfüllen, einer umfassenden europäischen Verordnung, die die sichere und verantwortungsvolle Nutzung künstlicher Intelligenz regelt.

Wie bei anderen regulatorischen Rahmenwerken ist es auch hier am effektivsten, die erforderlichen Prozesse auf Ihrem bestehenden Managementsystem aufzubauen, anstatt überlappende oder redundante Verfahren zu schaffen.

Für KI-basierte Medizinproduktesoftware gilt fast immer das EU-KI-Gesetz, da diese Systeme in der Regel als risikoreich eingestuft werden.

Die Compliance kann jedoch effizient mithilfe von Standards erreicht werden, die Sie möglicherweise bereits anwenden, darunter:

• IEC 62304 für Software-Lebenszyklusprozesse
• ISO 14971 für das Risikomanagement
• IEC 81001-5-1 für Cybersicherheit
• ISO/IEC 23894 für die Identifizierung von KI-spezifischen Gefahren und Risiken

Wir helfen Ihnen dabei, Ihre aktuelle Konfiguration zu überprüfen, Prozesslücken im Zusammenhang mit dem EU-KI-Gesetz zu identifizieren und die erforderlichen Kontrollen und Dokumentationen nahtlos in Ihr bestehendes QMS und Ihr Entwicklungsframework zu integrieren.

Wir unterstützen Unternehmen in allen Aspekten der 510(k)- und PMA-Einreichungen, von der Festlegung des richtigen Regulierungsweges bis zur Vorbereitung und Verwaltung kompletter Einreichungspakete.

Alles beginnt mit der Regulierungsstrategie und -planung, indem der geeignete Weg festgelegt, Referenzprodukte identifiziert und die erforderlichen Unterlagen zusammengestellt werden.

Von dort aus unterstützen wir Sie bei der Vorbereitung von:

• Technischer Dokumentation gemäß IEC 62304 und 21 CFR 820.30, die zur Einreichung bereit ist
• Risikomanagement-Dateien gemäß ISO 14971
• Cybersicherheitsdokumentation und zugehörigen Aufzeichnungen

Wir unterstützen Sie auch bei der Kommunikation mit der FDA, einschließlich Vorabgesprächen, Antworten auf Fragen der FDA und Folgemaßnahmen nach der Einreichung.

Mit unserer Erfahrung gewinnen Sie einen vertrauenswürdigen Partner für den gesamten Prozess, der sicherstellt, dass Ihre Einreichung vollständig und konform ist und strategisch für den Erfolg auf dem US-Markt positioniert ist.