Regulatorische Beratung für Medizinprodukt-Software (SaMD)

ISO 13485: Die Grundlage für die Compliance von Medizinprodukten

ISO 13485 ist der Eckpfeiler für Organisationen, die Medizinprodukte entwickeln und auf den Markt bringen. Sie legt die Anforderungen an ein Qualitätsmanagementsystem (QMS) fest, um eine konsistente Produktqualität und -sicherheit zu gewährleisten.

ISO 13485 legt nicht fest, wie ein Produkt konstruiert oder entwickelt werden soll; es geht vielmehr um die operativen Maßnahmen Ihres Unternehmens.

IEC 62304: Richtlinien für den Software-Lebenszyklus

IEC 62304 konzentriert sich speziell auf den Software-Lebenszyklus und deckt Folgendes ab:

• Erste Konzeption und Entwicklung.

• Implementierung und Verifizierung.

• Laufende Wartung.

• Außerbetriebnahme und Marktrücknahme.

Dieser Standard stellt sicher, dass jede Phase des Produktlebenszyklus kontrolliert und dokumentiert wird. Er arbeitet Hand in Hand mit anderen Standards, um einen reibungslosen Ablauf zu gewährleisten.

ISO 14971: Effektives Risikomanagement

Kein Medizinprodukt kann ohne ein robustes Risikomanagementsystem auf den Markt kommen, worauf sich ISO 14971 konzentriert. Dieser Standard betont:

• Identifizierung potenzieller Risiken

• Bewertung und Minderung dieser Risiken

• Kontinuierliche Überwachung der Risiken während des gesamten Produktlebenszyklus

ISO 14971 muss eng mit IEC 62304 integriert sein, um das Risikomanagement mit den Design- und Entwicklungsprozessen abzustimmen. Die isolierte Implementierung dieser Standards würde zu Ineffizienzen und Lücken in der Compliance führen.

IEC 81001-5-1: Umgang mit Cybersicherheitsrisiken

Cybersicherheitsrisiken werden immer wichtiger und erfordern einen eigenen Standard: IEC 81001-5-1. Im Gegensatz zum traditionellen Risikomanagement nach ISO 14971 konzentriert sich dieser Standard auf das Management technischer Risiken, wie z. B.:

• Bedrohungsidentifizierung

• Schwachstellenmanagement

• Sicherheitskontrollen speziell für medizinische Software

Cybersicherheit und Risikomanagement müssen zusammenarbeiten, um ein vollständiges Bild potenzieller Bedrohungen zu liefern und sowohl die Patientensicherheit als auch die Datensicherheit zu gewährleisten.

Medizinprodukteverordnung (MDR): Der übergeordnete Rahmen

Die EU-Medizinprodukteverordnung (MDR) dient als übergeordneter regulatorischer Rahmen, der alle Anforderungen aus ISO 13485, IEC 62304, ISO 14971 und anderen Standards zusammenfasst.

Darüber hinaus betont die MDR auch:

• Privatsphäre und Umgang mit medizinischen Daten.

• Datensicherheitsmaßnahmen auf Organisationsebene, wie z. B. Backups und kontrollierter Zugriff.

Hier wird die Verbindung zu IEC 81001-5-1 deutlich, da Cybersicherheit ein kritischer Aspekt der Compliance ist.

ISO 27001: Datensicherheit im Unternehmen

Während sich IEC 81001-5-1 mit der Cybersicherheit auf Produktebene befasst, konzentriert sich ISO 27001 auf die umfassendere Datensicherheit im Unternehmen, einschließlich:

• Datenspeicherung und Zugriffsmanagement

• Backup-Systeme

• Planung der Reaktion auf Vorfälle

Obwohl nicht obligatorisch, bietet ISO 27001 einen umfassenden Rahmen für das Management von Informationssicherheitsrisiken. Für die obligatorische Compliance in Europa müssen Organisationen auch die NIS-2-Anforderungen berücksichtigen.

KI und Medizinproduktesoftware

Künstliche Intelligenz (KI) wird zunehmend in Medizinproduktesoftware integriert. Das EU-KI-Gesetz legt den normativen Rahmen für KI-Systeme fest, der in Übereinstimmung mit anderen Standards wie folgt implementiert werden muss:

• IEC 22989 für KI-Konzepte und -Terminologie

• IEC 23053 für die Erklärbarkeit von KI

• IEC 23894 für das Management von KI-Risiken

Für einen ganzheitlichen Ansatz für Medizinproduktesoftware darf die KI-Compliance nicht übersehen werden.

FDA-Bestimmungen: Angleichung an US-Standards

Für Organisationen, die den US-Markt anvisieren, müssen auch die FDA-Bestimmungen berücksichtigt werden. Diese Bestimmungen ergänzen die ISO- und IEC-Standards, indem sie spezifische Anforderungen für Folgendes definieren:

• Designkontrollen (21 CFR 820.30)

• Elektronische Aufzeichnungen (21 CFR Part 11)

• Einreichungsverfahren wie 510(k) für den Markteintritt