ISO 13485 einführen: QM-System für Medizinprodukte-Startups

ISO 13485 ist die internationale Norm für Qualitätsmanagementsysteme von Medizinprodukteherstellern. Die Medizinprodukteverordnung (MDR) verlangt von jedem Hersteller ein Qualitätsmanagementsystem, und die Norm ist der übliche Weg, um diese Pflicht nachweisbar zu erfüllen. Für Startups lohnt es sich, das System früh aufzubauen und schlank zu halten. Wer erst kurz vor dem Audit beginnt, muss die Entwicklungsgeschichte mühsam rekonstruieren.

Was ISO 13485 regelt

Die aktuelle Fassung der Norm stammt aus dem Jahr 2016 und liegt in Europa als harmonisierte Norm vor. Sie beschreibt, wie ein Hersteller Prozesse so lenkt, dass seine Produkte dauerhaft sicher und wirksam sind und die regulatorischen Anforderungen erfüllen. Anders als die allgemeine Qualitätsnorm ISO 9001 steht nicht die Kundenzufriedenheit im Mittelpunkt, sondern die Einhaltung regulatorischer Anforderungen und die Produktsicherheit.

Verhältnis zur MDR

Die MDR verpflichtet in Art. 10 jeden Hersteller, ein Qualitätsmanagementsystem einzurichten, zu dokumentieren und aufrechtzuerhalten, und zwar angemessen zur Risikoklasse und Art des Produkts. Die Verordnung nennt dabei Inhalte, die über die Norm hinausgehen, etwa die Überwachung nach dem Inverkehrbringen, die Vigilanz, die verantwortliche Person für die Einhaltung der Regulierungsvorschriften, die eindeutige Produktkennung und die Kommunikation mit Behörden und Benannten Stellen.

Ein nach ISO 13485 aufgebautes System muss diese MDR-spezifischen Punkte also ergänzend abdecken. Umgekehrt gilt: Wer die Norm sauber umsetzt, hat einen Großteil der MDR-Anforderungen an das Qualitätsmanagement bereits erfüllt.

Wer zertifiziert?

Ab Klasse IIa prüft die Benannte Stelle das Qualitätsmanagementsystem im Rahmen der Konformitätsbewertung nach Anhang IX der MDR. Daneben gibt es Zertifikate nach ISO 13485 von akkreditierten Zertifizierungsstellen. Beide sind nicht dasselbe: Das MDR-Zertifikat der Benannten Stelle ist für das Inverkehrbringen in der EU entscheidend, ein reines Normzertifikat kann für Kunden, Lieferketten oder außereuropäische Märkte nützlich sein. Viele Benannte Stellen bieten beides in einem kombinierten Audit an. Wie man eine passende Stelle findet, beschreibt der Artikel Benannte Stelle finden.

Für Märkte außerhalb der EU lohnt ein frühzeitiger Blick: Einige Behörden orientieren sich ebenfalls an ISO 13485 oder erkennen Audits im Rahmen gemeinsamer Programme an. Die US-Behörde FDA hat ihre Qualitätsvorschriften für Medizinprodukte an die Norm angeglichen.

Fahrplan: ISO 13485 im Startup einführen

Phase 1: Grundlagen in der frühen Entwicklung

Schon bevor das Produkt feststeht, sollten einige Grundlagen stehen: eine Qualitätspolitik, klare Zuständigkeiten, ein einfaches System zur Lenkung von Dokumenten und Versionen sowie ein Prozess für Entwicklungsplanung und Designentscheidungen. Parallel beginnt das Risikomanagement nach ISO 14971, denn Risiken müssen von Anfang an systematisch erfasst werden.

Phase 2: Entwicklung unter Designlenkung

Mit der eigentlichen Produktentwicklung greift die Designlenkung: Entwicklungseingaben aus Zweckbestimmung und Anforderungen, Entwicklungsergebnisse, Verifizierung, Validierung, Design-Reviews und Änderungsmanagement. Für Software kommt die Norm IEC 62304 für den Software-Lebenszyklus hinzu, für Gebrauchstauglichkeit die IEC 62366. In dieser Phase entsteht ein Großteil der technischen Dokumentation.

Phase 3: Lieferanten, Produktion und Rückverfolgbarkeit

Startups lassen häufig extern fertigen oder entwickeln Teile zu. Lieferanten müssen bewertet, ausgewählt und überwacht werden, und mit wichtigen Zulieferern sind Qualitätsvereinbarungen sinnvoll. Hinzu kommen Prozesse für Wareneingang, Kennzeichnung, Rückverfolgbarkeit und gegebenenfalls Sterilisation oder Reinraumfertigung.

Phase 4: Überwachung und Verbesserung

Vor dem Audit müssen auch die Prozesse für die Zeit nach dem Markteintritt stehen: Beschwerdemanagement, Vigilanz, Überwachung nach dem Inverkehrbringen, Korrektur- und Vorbeugemaßnahmen, interne Audits und Managementbewertung. Die klinische Nachbeobachtung ist mit der klinischen Bewertung verknüpft und braucht ebenfalls ein festgelegtes Verfahren.

Phase 5: Audit vorbereiten

Vor dem Zertifizierungsaudit sollte das System eine Zeit lang gelebt worden sein, mit mindestens einem internen Audit und einer Managementbewertung. Auditoren prüfen nicht nur, ob Verfahren beschrieben sind, sondern ob sie angewendet werden und Aufzeichnungen vorliegen.

Die Dokumentation: was mindestens vorhanden sein muss

Die Norm fordert eine Reihe dokumentierter Verfahren und Aufzeichnungen. Für ein Startup lässt sich das auf eine überschaubare Struktur bringen:

Gerade die Aufzeichnungen entscheiden im Audit. Ein gut beschriebenes Verfahren ohne Nachweise seiner Anwendung überzeugt keinen Auditor.

Welche Verfahren zuerst?

Nicht jedes Verfahren wird am ersten Tag gebraucht. Sinnvoll ist eine Reihenfolge, die dem Projektfortschritt folgt. So entstehen Nachweise genau dann, wenn die zugehörige Arbeit tatsächlich passiert, und müssen nicht später rekonstruiert werden.

1. Dokumenten- und Aufzeichnungslenkung: Ohne Versionierung und Freigaben ist jedes weitere Dokument angreifbar. Dieses Verfahren kommt deshalb zuerst.
2. Schulung und Qualifikation: Wer welche Aufgabe übernimmt und wie die Einarbeitung belegt wird, sollte festgelegt sein, bevor das Team wächst.
3. Designlenkung und Risikomanagement: Beide begleiten die gesamte Entwicklung und liefern den Kern der technischen Dokumentation.
4. Lieferantenbewertung und Beschaffung: Spätestens, wenn externe Entwickler, Fertiger oder Cloud-Dienste eingebunden werden.
5. Änderungsmanagement: Sobald es einen freigegebenen Entwicklungsstand gibt, müssen Änderungen bewertet und dokumentiert werden.
6. Beschwerden, Vigilanz und Marktüberwachung: Vor dem ersten Einsatz beim Anwender, auch bei klinischen Prüfungen und Pilotprojekten.
7. Interne Audits, Korrekturmaßnahmen und Managementbewertung: Sie schließen den Regelkreis und müssen vor dem Zertifizierungsaudit mindestens einmal durchlaufen sein.

Diese Reihenfolge ist ein Vorschlag, keine Normvorgabe. Wer etwa früh mit einem Fertigungspartner arbeitet, zieht die Lieferantenbewertung nach vorn. Entscheidend ist, dass für jede Tätigkeit, die bereits stattfindet, ein passendes Verfahren gilt.

Schlank statt bürokratisch

Ein häufiger Fehler ist es, ein QM-Handbuch aus einem großen Konzern zu übernehmen. Ein Startup mit fünf Personen braucht keine Verfahren für Abteilungen, die es nicht gibt. Die Norm lässt Spielraum, Prozesse an Größe und Risiko anzupassen. Nicht anwendbare Anforderungen können begründet ausgeschlossen werden, etwa wenn keine sterilen Produkte hergestellt werden.

Intern aufbauen oder Hilfe holen?

Viele Startups kombinieren beides: Eine Person im Team übernimmt die Verantwortung für Qualität und Regulatorik, externe Berater unterstützen bei Struktur, Vorlagen und Audit-Vorbereitung. Wichtig ist, dass das Wissen im Unternehmen bleibt. Ein QM-System, das nur der Berater versteht, scheitert spätestens im Audit oder beim ersten Vorkommnis. Die nach der MDR verantwortliche Person für die Einhaltung der Regulierungsvorschriften kann bei Kleinst- und Kleinunternehmen unter Bedingungen auch extern gestellt werden, sie muss aber dauerhaft verfügbar sein.

Die Kosten für Aufbau, Software, Schulungen und Audits gehören in den Finanzplan. Investoren erwarten, dass das Team diese Aufgaben kennt und realistisch einplant.

Fazit

ISO 13485 ist für Medizinprodukte-Startups kein Selbstzweck, sondern die Grundlage für CE-Kennzeichnung, Zusammenarbeit mit Kliniken und Vertrauen bei Investoren. Wer früh beginnt, schlank bleibt und das System tatsächlich lebt, spart später viel Zeit. Welche Risikoklasse den Umfang bestimmt, klärt der Artikel MDR-Klassifizierung. Den Gesamtweg zur Marktreife zeigt der Bereich Medizinprodukte zulassen.