Medizintechnik
Entwicklung von Medizinprodukten, Gerätesoftware und Systemen, vom Konzept bis zur Zulassung
Medizinprodukte verbinden Mechanik, Elektronik und Software, vom Infusionsgerät über das Diagnosesystem bis zur Software, die selbst ein Medizinprodukt ist. Die Entwicklung läuft unter besonderen Bedingungen: Fehler können Patienten und Anwender gefährden, und der Hersteller muss sein Produkt über den gesamten Lebenszyklus beherrschen.
Dafür gelten feste Vorgaben. ISO 14971 regelt das Risikomanagement, IEC 62304 den Software-Lebenszyklus, ISO 13485 das Qualitätsmanagementsystem und IEC 62366 die Gebrauchstauglichkeit. Zusammen bilden sie die Grundlage für die Zulassung nach der Medizinprodukteverordnung (MDR).
Welche Vorgaben in der Medizintechnik gelten
Normen und Vorschriften, die bei Medizinprodukten und ihrer Software einzuhalten sind.
Risikomanagement
ISO 14971 verlangt, Gefährdungen eines Produkts zu erkennen, Risiken zu bewerten, Maßnahmen festzulegen und ihre Wirkung zu belegen. Die Risikoakte begleitet das Produkt über seine gesamte Lebensdauer.
Mehr zur Funktionalen Sicherheit →Software
IEC 62304 teilt Software in die Sicherheitsklassen A, B und C ein. Mit der Klasse wachsen Umfang und Tiefe von Anforderungen, Architektur, Test und Dokumentation.
Mehr zur Funktionalen Sicherheit →Qualität und Gebrauchstauglichkeit
ISO 13485 verlangt ein Qualitätsmanagementsystem für Entwicklung und Produktion, IEC 62366 die Bewertung der Gebrauchstauglichkeit. Beides fließt in die technische Dokumentation für die MDR ein.
Mehr zu Prozessreife und Schnittstellen →Cybersecurity
Vernetzte Medizinprodukte müssen gegen Angriffe geschützt sein. Die MDR und die Leitlinie MDCG 2019-16 verlangen, Cybersecurity im Entwicklungsprozess zu berücksichtigen.
Mehr zur Cybersecurity →Wann Unterstützung sinnvoll ist
Typische Anlässe in der Medizintechnik.
Zulassung nach MDR
Ein Produkt soll nach der MDR zugelassen werden, und die technische Dokumentation zu Risiko, Software und Test ist nicht vollständig.
Software-Klasse offen
Die Einstufung der Software nach IEC 62304 ist offen oder umstritten, und davon hängt ab, wie tief Entwicklung und Dokumentation gehen müssen.
Audit angekündigt
Ein Audit der benannten Stelle oder eines Kunden steht an, und Entwicklungsunterlagen und gelebte Praxis passen nicht zusammen.
Produkt wird geändert
Ein bestehendes Produkt wird geändert oder um Software erweitert, und die Folgen für Risikoanalyse und Zulassung sind nicht bewertet.
Was wir in der Medizintechnik übernehmen
Drei Leistungsbereiche, die sich je nach Aufgabe kombinieren lassen.
Engineering
Produktanforderungen und Systemarchitektur für Medizinprodukte, dazu Risikomanagementplan und Risikoanalyse nach ISO 14971 und eine Machbarkeitsprüfung vor der Entscheidung.
Mehr →Management
Projekt- und Qualitätsmanagement mit Blick auf ISO 13485, Planung der Entwicklung und Abstimmung mit Regulatory Affairs und Zulieferern.
Mehr →Entwicklung und Test
Software-Entwicklung nach IEC 62304, Verifikation und Validierung, Prüfung der Gebrauchstauglichkeit und die Entwicklungsdokumentation für die technische Akte.
Mehr →Vorgehen und Arbeitsprodukte
Die Arbeit folgt vier Schritten.
Produkt und Zweckbestimmung klären
Zweckbestimmung, Produktklasse und geltende Vorgaben werden festgelegt, ebenso die Rolle als Hersteller oder Zulieferer.
Risiken bewerten
Gefährdungen werden ermittelt, Risiken bewertet und die Software-Sicherheitsklasse nach IEC 62304 begründet.
Anforderungen und Architektur ableiten
Aus der Risikoanalyse entstehen Anforderungen, Architektur und Maßnahmen zur Risikokontrolle, die bis zum Test nachverfolgt werden.
Nachweisen
Verifikation, Validierung und technische Dokumentation werden so aufbereitet, dass Auditoren und die benannte Stelle sie nachvollziehen können.
Dabei entstehen unter anderem der Risikomanagementplan, die Risikoanalyse, die Software-Entwicklungsplanung mit Klassifizierung, die Software-Anforderungen und -Architektur, die Rückverfolgbarkeit bis zum Test sowie Verifikations- und Validierungsberichte. Die Zulassung selbst, die Bewertung durch die benannte Stelle und die Funktion der verantwortlichen Person nach MDR gehören nicht dazu.
Häufige Fragen
Was ist der Unterschied zwischen ISO 14971 und IEC 62304?
ISO 14971 regelt das Risikomanagement für das gesamte Produkt, IEC 62304 den Lebenszyklus der Software. IEC 62304 setzt die Risikoanalyse nach ISO 14971 voraus und ergänzt sie um softwarespezifische Risiken.
Was bedeuten die Software-Sicherheitsklassen A, B und C?
Die Klasse richtet sich nach der möglichen Schwere einer Verletzung: In Klasse A ist keine Verletzung möglich, in Klasse B keine schwere, in Klasse C sind Tod oder schwere Verletzung möglich. Mit der Klasse steigt der Aufwand für Architektur, Test und Dokumentation.
Wann ist Software ein Medizinprodukt?
Wenn sie nach ihrer Zweckbestimmung selbst einen medizinischen Zweck erfüllt, etwa bei Diagnose oder Therapie, ist sie ein Medizinprodukt oder Teil eines solchen. Entscheidend ist die Zweckbestimmung des Herstellers.
Brauche ich ISO 13485?
Die MDR verlangt von Herstellern ein Qualitätsmanagementsystem, ISO 13485 ist dafür die übliche Grundlage. Für Zulieferer legen die Auftraggeber fest, was sie verlangen.
Gilt IEC 62304 auch für Zulieferer?
Die Norm richtet sich an den Hersteller. Zulieferer, die Software für Medizinprodukte entwickeln, müssen sie in der Praxis erfüllen, weil der Hersteller die Anforderungen weitergibt.
Welche Rolle spielt Cybersecurity bei Medizinprodukten?
Vernetzte Produkte müssen gegen Angriffe geschützt sein. Die MDR verlangt, die Risiken eines Produkts zu beherrschen, wozu auch die IT-Sicherheit zählt, und die Leitlinie MDCG 2019-16 beschreibt die Erwartungen.
Ihr Vorhaben im Gespräch klären
Im Gespräch wird geklärt, welcher Anlass vorliegt, welche Norm gilt und welcher Termin einzuhalten ist.