Software & IEC 62304
„Medizingeräte-Software – Software-Lebenszyklus-Prozesse“
Die IEC 62304 ist eine in Europa harmonisierte Norm für „Medizingeräte-Software“. Sie stellt Mindestanforderungen an die wichtigsten Software-Lebenszyklus-Prozesse, konkret an die Software-Entwicklung, die Software-Wartung, an das Software-Risikomanagement (inkl. Verweis auf die ISO 14971), und das Software-Konfigurationsmanagement und die Problemlösung bei Software.
Die Norm ist anwendbar bei embedded und bei standalone Software, d.h. bei
Artikel zu regulatorischen Anforderungen an Software
Artikel zu Konzepten der IEC 62304
Artikel zur Umsetzung der Norm
Die folgenden Artikel sind nach den Kapiteln der Norm gruppiert.
IEC 62304 Kapitel 5.1: Software-Entwicklungsplan
IEC 62304 Kapitel 5.2: Software-Anforderungen
IEC 62304 Kapitel 5.3 und 5.4: Software-Architektur
IEC 62304 Kapitel 5.5 – 5.7: Implementierung und Verifizierung
IEC 62304 Kapitel 5.8: Software-Freigabe
Weitere Forderungen und Prozesse der IEC 62304
Artikel zur Norm im Allgemeinen
Hier finden Sie Artikel, die die Norm im Allgemeinen betreffen:
Wünschen Sie Unterstützung dabei, Ihre Software schnell zu entwicklen und IEC-62304- bzw. FDA-konform zu dokumentieren? Professor Johner und sein Team helfen gerne! Nehmen Sie Kontakt auf!
Forderungen der IEC 62304
Lebenszyklus-Prozesse für Medical Device Software
Diese Norm wiederum schreibt fünf Prozesse vor, nach denen die Medizinprodukte-Hersteller Software (weiter)entwickeln sollen:
- Software-Entwicklungsprozess
- Software-Wartungsprozess
- Software-Risikomanagementprozess (inkl. Verweis auf die ISO 14971)
- Software-Konfigurationsmanagementprozess
- Problemlösungsprozess von Software
Eine besondere Bedeutung kommt dabei dem Software-Entwicklungsprozess vor. Die Norm IEC 62304 schreibt kein(!) konkretes Prozessmodell vor (z.B. Wasserfall-Prozess, V-Modell, agiler Prozess). Sie stellt aber Anforderungen an konkrete Aktivitäten, die innerhalb dieses Prozesses durchzuführen sind, insbesondere die Dokumentation der
Sie erfahren durch klicken auf die jeweiligen Links mehr darüber, auf was Sie bei der Dokumentation der jeweiligen Phasen zu achten haben.
Ebenso finden Sie eine ausführliche Diskussion der agilen Entwicklung im Kontext der IEC 62304.
Der Auditgarant zeigt Ihnen in 60+ Videotrainings, wie Sie Schritt für Schritt eine IEC 62304-konforme Dokumentation ohne unnötigen Aufwand und ohne QM-Bürokratie erstellen können.
Videotrainings zur IEC 62304 ansehen
Wie die Norm hilft, gesetzliche Anforderungen zu erfüllen
Grundlegende Anforderungen der Medizinprodukterichtlinie MDD (93/42/EWG)
Die Medizinprodukterichtlinie (auch MDD oder 93/42/EWG genannt) verlangt in den sogenannten „grundlegenden Anforderungen“ im Anhang I verbindlich, dass
„bei Produkten, die Software enthalten oder bei denen es sich um medizinische Software an sich handelt, die Software entsprechend dem Stand der Technik validiert werden muss, wobei die Grundsätze des Software-Lebenszyklus, des Risikomanagements, der Validierung und Verifizierung zu berücksichtigen sind“.
Diese Forderung ist durch den Verweis des Medizinproduktegesetzes auf die MDD eine gesetzliche. Ein Verstoß dagegen kann mit Geld- und Freiheitsstrafen belegt werden.
Die Rolle der IEC 62304 und anderer harmonisierter Normen
Hersteller von Medizingeräten/Medizinprodukten weisen die Konformität mit diesen grundlegenden Anforderungen meist dadurch nach, dass sie harmonisierte Normen einhalten. Das sind im Kontext der Entwicklung von Medizinprodukten v.a die Norm IEC 60601-1, die Norm IEC 62304 (speziell für die Software-Lebenszyklus-Prozesse) und die Norm ISO 14971 für das Risikomanagement.
Während die Entwicklung von Medizingeräte- bzw. Medizintechnik-Software durch die oben genannten Normen relativ detailliert geregelt ist, gibt es mit Ausnahme der IEC 62366 zur Gebrauchstauglichkeit von Medizinprodukten noch keine Norm, die die Validierung von stand-alone Software ausreichend adressiert: Die Norm IEC 62304 geht nicht auf die Validierung, sondern nur auf die Verifizierung ein. Sie fordert zudem ein Qualitätsmanagement-System und empfiehlt eines nach ISO 13485.
Eine künftige Norm IEC 82304 wird auch Forderungen an die Validierung benennen, so dass der wichtige Lebenszyklus-Prozess, der Entwicklungsprozess, vollständig beschrieben sein wird. Allerdings wird die IEC 82304 nicht nur Forderungen an die Entwicklung von Medizinprodukte bzw. Medizingeräte-Software stellen, sondern sogar auch an die Lebenszyklus-Prozesse von Health-Software.
IEC 62304: Zweite Ausgabe
Eine neue Version der IEC 62304 wird nicht vor 2018 erwartet, da im Oktober 2014 die Überarbeitung der Norm nochmals komplett neu begonnen wurde. Die nächste Version der IEC 62304 wird einen erweiterten Scope haben, der sich nicht auf Medizinprodukte und nicht auf die Software-Entwicklung beschränkt. Ein Artikel zur zweiten Version der IEC 62304 und zum Ammendment I informiert Sie über weitere Details.
Medizingeräte-, Medizinprodukte- und Health Software
Unter dem Begriff Medizingeräte-Software versteht man meist Software, die Teil eines medizintechnischen Geräts ist z.B. die embedded Software eines Defibrillators. Damit ist Medizingeräte-Software eine Untergruppe der Medizinprodukte-Software, die alle Software umfasst, die entweder als standalone Software oder als Teil eines Medizinprodukts unter das Medizinproduktegesetz fällt. Der noch allgemeinere Begriff ist Health-Software, der alle Software im medizinischen Kontext umfasst.
Unterstützung bei der praxisnahen Umsetzung der IEC 62304
Haben Sie weitere Fragen zur normenkonformen Entwickung Ihrer Software bzw. Ihres Medizinprodukts? Benötigen Sie Hilfe? Dann nutzen Sie gerne…
Kostenlose Hilfe bekommen! Auditgarant: Videotrainings ansehen!
IEC 62304 Zertifizierung
Zunehmend bieten Prüfstellen eine IEC 62304 Zertifizierung an. Sie kommunizieren dies teilweise als ein Zwischending zwischen vollständigem QM-System und Baumusterprüfung. Einige werben sogar damit, dass man damit den Testaufwand reduzieren könne.
Zuerst möchte ich Sie ermutigen, IEC 62304 konform zu arbeiten – nicht nur um den gesetzlichen Forderungen an medizinische Software nachzukommen. Ich möchte Sie aber auch vor falschen Rückschlüssen warnen:
- Eine IEC 62304 Zertifizierung ist für sich wenig wert – v.a. wenn die Prüfinstitute selbst für diese Zertifizierung nicht akkreditiert sind. So ein Zertifikat könnte nämlich jeder ausstellen, ich auch :-).
- Eine IEC 62304 Zertifizierung ersetzt weder ein QM-System noch eine Baumusterprüfung. Wenn diese Zertifizierung das einzige ist, was Sie haben, und dennoch ein Medizinprodukt in Verkehr bringen, machen Sie sich strafbar.
- Dass die Zertifizierung dabei hilft, Zeit beim Testen zu sparen, halte ich für absurd. Sie können durch Testautomatisierung, durch den Einsatz von geeigneten Werkzeugen und Verfahren Zeit sparen. Die Zertifizierung senkt den Testaufwand aber überhaupt nicht.
Im Rahmen einer ISO 13485 (!) Zertifizierung, die von akkreditierten Stellen vorgenommen wird, wird der Auditor indirekt sowieso die Konformität mit IEC 62304 prüfen, zumindest exemplarisch.
Vor einer IEC 62304 Zertifizierung möchte ich nicht generell abraten, aber Sie sollten genau wissen, was Sie sich davon erwarten.
Dienstag 16. April 2019 von Prof. Dr. Christian Johner
Immer mehr Medizinprodukte nutzen künstliche Intelligenz, um Patienten präziser zu diagnostizieren und wirksamer zu behandeln.
Obwohl viele Produkte bereits zugelassen wurden (z.B. durch die FDA), sind viele regulatorische Fragen noch ungeklärt.
Dieser Artikel beschreibt, worauf Hersteller achten sollen, deren Produkte auf Verfahren der künstlichen Intelligenz basieren.
Update: Anforderungen der FDA an das Machine Learning ergänzt (mehr »).
Künstliche Intelligenz in der Medizin | Beitrag lesen »
Dienstag 5. März 2019 von Prof. Dr. Christian Johner
Der Begriff IVD-Software ist nicht klar definiert, obwohl Software als IVD (In-vitro-Diagnostikum) oder als Zubehör zu einem IVD immer häufiger zum Einsatz kommt.
Wann Software als IVD zu klassifizieren ist, in welche Liste bzw. Klasse die Software fällt und was man bei der Sicherheitsklassifizierung nach IEC 62304 beachten sollte, beschreibt dieser Beitrag.
IVD-Software richtig klassifizieren | Beitrag lesen »
Dienstag 12. Februar 2019 von Prof. Dr. Christian Johner
Die Parametrisierung von Software – man spricht in dem Kontext auch von Parametrierung, Customizing oder Konfiguration – führt regelmäßig zu Diskussionen z.B. über die Verantwortlichkeit und über die Abgrenzung zur Eigenherstellung.
Dieser Artikel gibt Herstellern und deren Kunden wichtige Hinweise, auf was sie bei der Parametrisierung achten sollten und wie sie die üblichen Fallen vermeiden können.
Parametrisierung von Software | Beitrag lesen »
Donnerstag 31. Januar 2019 von Prof. Dr. Christian Johner
Unter einem Regressionstest verstehen Software-Tester meist die Wiederholung eines bestehenden Tests. Damit möchten sie prüfen, ob dieser Test nach einer Software-Änderung noch immer erfolgreich durchläuft.
Lesen Sie in diesem Beitrag, was Sie bei einem Regressionstest bei medizinscher Software beachten sollten.
Regressionstest: Ihre Software-Versicherung | Beitrag lesen »
Dienstag 29. Januar 2019 von Sonia Gabrielczyk
Krankenhaus-Informationssysteme als Systeme und Behandlungseinheiten unter Berücksichtigung der
EuGH-Entscheidung vom 07.12.2017 (C-329/16)
Software-Systeme in Krankenhäusern beinhalten neben der Funktion der reinen Datenspeicherung, Archivierung oder Suchfunktion auch Funktionalitäten, die zur Behandlung oder Therapiebestimmung dienen und daher als Medizinprodukt zu qualifizieren sind. Diese Software-Systeme werden oft zusammen als ein Krankenhaus-Informationssystem (KIS) betrieben.
Krankenhaus-Informationssysteme als Systeme und Behandlungseinheiten | Beitrag lesen »
Montag 28. Januar 2019 von Prof. Dr. Christian Johner
Viele Medizinproduktehersteller schwören auf die agile Softwareentwicklung. Der nicht nur rechtlichen Implikationen ist man sich aber häufig nicht bewusst.
Agile Softwareentwicklung für Medizinprodukte | Beitrag lesen »
Mittwoch 23. Januar 2019 von Prof. Dr. Christian Johner
Ein sicherer Zustand wird von der IEC 60601-1 als eine mögliche Maßnahme gefordert. Was ein sicherer Zustand ist, definiert die Norm allerdings nicht. Was ist also ein sicherer Zustand?
Antworten auf diese Frage und Tipps, wie Sie einen sicheren Zustand Ihres Medizinprodukts erreichen, finden Sie in diesem Artikel.
Sicherer Zustand | Beitrag lesen »
Mittwoch 9. Januar 2019 von Prof. Dr. Christian Johner
Unter Software als Medizinprodukt (Software as Medical Device SaMD) versteht man standalone (eigenständige) Software, die ein Medizinprodukt ist, aber nicht Teil eines solchen.
Besonders bei standalone Software fällt die Klassifizierung oft schwer, ob sie als Medizinprodukt einzuordnen ist (in diesem Falle auch SaMD — Software as Medical Device genannt).
Update: Der EuGH hat ein wichtiges Urteil zur Zertifizierbarkeit von Software-Modulen als Medizinprodukt gesprochen (mehr…)
Update: Die Health Canda hat ein Draft Guidance herausgegeben, das Hilfestellung bei der Klassifizierung von Software as Medical Device geben soll (mehr…).
Software als Medizinprodukt – Software as Medical Device | Beitrag lesen »
Dienstag 6. November 2018 von Prof. Dr. Christian Johner
Die IEC 62443-4-1 ist Teil einer Normenfamilie zur „IT-Sicherheit für industrielle Automatisierungssysteme“.
Dieser Artikel stellt Ihnen den Teil 4-1 vor, der Anforderungen an den Lebenszyklus (Entwicklung, Wartung) von sicheren Produkten stellt. Er untersucht auch, ob diese Norm für Hersteller von Medizinprodukten sinnvoll anwendbar ist.
IEC 62443-4-1: IT-Sicherheit als Teil das Produktlebenszyklus | Beitrag lesen »
Dienstag 23. Oktober 2018 von Prof. Dr. Christian Johner
Das Thema Cybersecurity steht zur Zeit sehr im Fokus der FDA. Die US-Gesundheitsbehörde hat dazu drei Guidance Dokumente veröffentlich, die sich an Hersteller von Medizinprodukten wenden, allerdings mit unterschiedlichem Fokus.
- Das FDA Guidance Dokument „Cybersecurity in Medical Devices“ wendet sich an alle Medizinproduktehersteller, der Produkte Software enthalten oder eigenständige Software sind. Der Fokus liegt auf der Entwicklungsphase (Pre-Market).
- Das Dokument „Postmarket Management of Cybersecurity in Medical Device“ schildert die Ansichten der FDA bezüglich der Phase nach der Entwicklung.
- Das Dokument „Cybersecurity for Networked Medical Devices Containing Off-the-Shelf (OTS) Software“ ist lediglich ein FAQ.
Update: Die FDA hat einen Entwurf für ein Update des Pre-Market Cybersecurity Guidance Documents verfasst. Was die FDA darin fordert, finden Sie hier zusammengefasst.
Cybersecurity in Medical Devices: FDA Guidance Dokumente | Beitrag lesen »
