Die IEC 62304 ist eine in Europa harmonisierte1 Norm für „Medizingeräte-Software“. Sie trägt den Titel „Medizingeräte-Software – Software-Lebenszyklus-Prozesse“ und stellt Mindestanforderungen an Prozesse wie die Entwicklung und Wartung der Software.

Inhalt

Sie finden auf dieser Seite:

  1. Fachartikel zu den Aspekten der IEC 62304
  2. Fachartikel zu den Lebenszyklus-Aktivitäten
  3. Fachartikel zur regulatorischen Bedeutung der IEC 62304
  4. Hinweise, wo und wie Sie Hilfe bei der Umsetzung erhalten

1 Die IEC 62304 war unter der MDD und IVDD harmonisiert und ist unter der MDR und IVDR zur Harmonisierung vorgesehen.

1. Artikel zu Aspekten der IEC 62304

a) Anwendungsbereich

Die IEC 62304 ist anwendbar bei

Weil die IEC 82304-1 die Norm referenziert, ist die IEC 62304 sogar bei  Health Software relevant.

b) Regulatorischer Kontext

Qualifizierung und Klassifizierung

Beachten Sie auch die Fachartikel zu den Lebenszyklus-Aktivitäten unter Punkt 2.

Besondere Anforderungen an Software

c) Konzepte der Norm

2. Artikel zu den Lebenszyklus-Aktivitäten

Die folgenden Artikel sind nach den Kapiteln der IEC 62304 gruppiert.

Kapitel 5.1: Entwicklungsplan

Als Erstes verlangt die Norm, einen Entwicklungsplan zu erstellen. In diesem Zusammenhang sind diese Artikel lesenswert:

Kapitel 5.2: Anforderungen

Aus den Anforderungen des Produkts oder den Stakeholder-Anforderungen muss der Hersteller die Software-Anforderungen ableiten.

Kapitel 5.3 und 5.4: Architektur

In der Architektur legt der Hersteller den „Bauplan“ fest.

Kapitel 5.5 bis 5.7: Implementierung und Verifizierung

Gemäß diesem Bauplan ist dann die Software zu implementieren und zu verifizieren. Die Validierung ist nicht Gegenstand der IEC 62304, sondern der IEC 82304-1.

Kapitel 5.8: Freigabe

Die Entwicklung und Wartung schließt mit der Freigabe, die aber nicht mit der Produktfreigabe verwechselt werden darf:

Weitere Forderungen und Prozesse der Norm

Hinweis

Medizinprodukte, die Software enthalten und über externe Schnittstellen wie USB oder Ethernet verfügen, unterliegen den IT-Sicherheitsanforderungen. Bitte beachten Sie die regulatorischen Anforderungen an die IT-Sicherheit.

3. Regulatorische Bedeutung der IEC 62304

a) Nachweis der GSPR (MDR/IVDR)

Die Medizinprodukte-Verordnungen MDR und IVDR formulieren jeweils in Anhang I die sogenannten „Allgemeinen Sicherheits- und Leistungsanforderungen“ (engl.: General Safety and Performance Requirements, GSPR).

Eine dieser Forderungen lautet, dass „bei Produkten, zu deren Bestandteilen Software gehört, oder bei Produkten in Form einer Software“ die

„Software entsprechend dem Stand der Technik entwickelt und hergestellt [wird], wobei die Grundsätze des Software-Lebenszyklus, des Risikomanagements einschließlich der Informationssicherheit, der Verifizierung und der Validierung zu berücksichtigen sind.“

Das ist eine gesetzliche Anforderung. Ein Verstoß dagegen kann mit Geld- und Freiheitsstrafen belegt werden.

Hersteller von Medizingeräten bzw. Medizinprodukten sollten die Konformität mit diesen Anforderungen nachweisen, indem sie harmonisierte Normen einhalten.

Die Norm IEC 62304 ist die speziell für die Lebenszyklus-Prozesse harmonisierte1 Norm. Eine weitere Norm ist die IEC 82304-1.

b) „Consensus Standard“ der FDA

Die FDA erkennt die IEC 62304 als „Consensus Standard“ an. Sie erwartet aber keine Konformität mit dieser Norm. Allerdings stellt die Behörde z. B. in ihren Leitlinien zur Software Validation vergleichbare Anforderungen.

c) IEC 62304 Zertifizierung

Einige Prüfstellen bieten eine „Zertifizierung nach IEC 62304“ an. Hersteller sollten sich der Grenzen dieser Zertifizierungen bewusst sein:

  1. Eine Zertifizierung hat keinen so hohen Wert, v. a. nicht, wenn die Prüfinstitute für diese Zertifizierung nicht akkreditiert sind. Denn solch ein Zertifikat könnte jeder ausstellen.
  2. Die IEC 62304 ist eine Prozessnorm, keine Produktnorm. Daher muss eine Prüfung die Prozesskonformität beurteilen und nicht das Produkt. Das Zertifikat sagt also nicht direkt etwas über die Produktgüte aus.
  3. Die Behauptung einiger Prüfstellen, dass die Zertifizierung dabei helfe, beim Testen Zeit zu sparen, ist nicht nachvollziehbar. Hersteller können durch Testautomatisierung sowie durch den Einsatz von geeigneten Werkzeugen und Verfahren Zeit sparen. Die Zertifizierung senkt den Testaufwand aber nicht.
  4. Im Rahmen einer Zertifizierung nach ISO 13485, die von akkreditierten Stellen vorgenommen wird, müssen Auditoren ohnehin indirekt die Konformität mit IEC 62304 prüfen, zumindest exemplarisch.

Das Johner Institut rät nicht generell von einer Zertifizierung nach IEC 62304 ab. Aber jeder sollte die „Beweiskraft“ dieser Zertifikate kennen.

4. Unterstützung bei der IEC 62304

Nutzen Sie die Unterstützung des Johner Instituts:

  • Der Auditgarant zeigt Ihnen anhand von Videotrainings, wie Sie Schritt für Schritt eine schlanke und IEC-62304-konforme Dokumentation erstellen. Ein vollständiger Satz an Templates nimmt Ihnen viel Arbeit ab.

Melden Sie sich gleich, damit wir gemeinsam die nächsten Schritte besprechen können. So stellen Sie sicher, dass die „Zulassung“ sicher gelingt und Ihre Produkte schnell in den Markt kommen.


ISO/IEC/IEEE 15289: Endlich Klarheit bei der Software-Dokumentation?

Die ISO/IEC/IEEE 15289 trägt den Titel „Systems and software engineering — Content of life-cycle information items (documentation)“. Wie der Titel vermuten lässt, gibt sie Vorgaben zum Inhalt von Software-Dokumentationen. Damit eignet sich die Norm, um bei der Umsetzung anderer Normen wie der ISO/IEC/IEEE 12207:2017 und der IEC 62304 zu helfen, die Konformität mit diesen Normen…

Weiterlesen

Sollten Sie die ISO/IEC TR 29119-11 zum Testen von KI-/ML-Software kennen?

Ende 2020 veröffentlichte die ISO den Technical Report ISO/IEC TR 29119-11. Er trägt den Titel „Guidelines on the testing of AI-based systems“. Viele Firmen möchten wissen, wie sie ihre Produkte, die auf Verfahren der künstlichen Intelligenz (KI) basieren, nach dem Stand der Technik testen sollen. Daher hat sich die ISO/IEC TR 29119-11 auf den Weg…

Weiterlesen

Weshalb Sie das kombinatorische Testen nicht nur bei Software anwenden sollten

Testverfahren wie das kombinatorische Testen (z.B. das paarweise Testen) sind bei Software seit Jahrzehnten bekannt und in Normen wie der ISO 29119 beschrieben. Viele Hersteller wenden diese Verfahren jedoch nicht einmal bei Produkten, die Software enthalten, angemessen an. Damit erhöhen sie zum einen die Risiken für Anwender und Patienten und zum anderen die Risiken für…

Weiterlesen

Software-Risikomanagement für medizinische Software

Unter Software-Risikomanagement verstehen Hersteller von Medizinprodukten entweder das Risikomanagement, das sie für die Standalone-Software betreiben müssen, oder den Teil des Risikomanagements, den eine embedded Software nach sich zieht. Regelmäßig werden Hersteller den regulatorischen Anforderungen an das Software-Risikomanagement nicht gerecht. Dieser Beitrag gibt Tipps für ein schlankes Software-Risikomanagement, mit dem Sie unnötige Aufwände vermeiden und Konformität…

Weiterlesen

CVSS Common Vulnerability Scoring System

Das Common Vulnerability Scoring System CVSS dient in der IT Security nicht nur der Klassifizierung des Schweregrads von Software-Schwachstellen. Dieses CVSS-Framework wird auch genutzt, um diese Schwachstellen zu charakterisieren und einheitlich zu einzuschätzen. Lernen Sie dieses Common Vulnerability Scoring System CVSS verstehen und damit die Meldungen der NIST. Diese Meldungen sollten Sie als Hersteller (z.B.…

Weiterlesen

Transfer Learning bei Medizinprodukten: Regulatorischer Leichtsinn oder eine ethische Notwendigkeit?

Das Transfer Learning ist ein spezieller Ansatz beim Machine Learning. Damit bezeichnet man die Wiederverwendung eines vortrainierten Modells (pre-trained model) für ein neues Problem. Diese Wiederverwendung kann mehr als nur redundante Trainingsarbeit ersparen. Sie bedingt aber, dass Hersteller sich auf neue Fragen von Auditoren und Prüfern einstellen müssen.

Weiterlesen

ISO 27034 zur Sicherheit von Anwendungen: Lesen = Zeitverschwendung?

Die ISO 27034 trägt den Titel Informationstechnik – IT Sicherheitsverfahren – Sicherheit von Anwendungen. Sie wird u.a. im Leitfaden des BSI referenziert. Doch mancher Hersteller fragt sich: Muss ich auch noch diese Norm lesen? Muss ich damit rechnen, dass mein Auditor diese Norm (mit Verweis auf den Stand der Technik) einfordert? Lesen Sie diesen Artikel, bevor Sie…

Weiterlesen
Problemlösungsprozess

Problemlösungsprozess für Software

Die IEC 62304 fordert in Kapitel 9 einen Problemlösungsprozess. Doch vieles, was da beschrieben steht, findet sich auch im Kapitel 6 zum Wartungsprozess. Benötigen Sie als Hersteller jetzt einen oder zwei Prozesse? Lesen Sie hier, wie Sie redundante Arbeit und QM-Bürokratie vermeiden und dennoch die Forderungen der Norm erfüllen.

Code Coverage: Vollständigkeit von Software-Tests bestimmen

Code Coverage dient den meisten Software-Entwicklern als die wichtigste Metrik für die Vollständigkeit von Software-Tests. Dieser Artikel verschafft Ihnen einen Überblick über die Abdeckungsgrade und gibt Tipps zum deren Bestimmung.  Inhaltsübersicht 1. Varianten des Code Coverage » 2. Regulatorische Anforderungen » 3. Bewertung der Code Coverage » 4. Bestimmen der Code Coverage »  

Weiterlesen

Machine Learning bei Banken: 5 Learnings

Seit vielen Jahren nutzen Banken das Machine Learning. Von diesen Erfahrungen können andere Branchen profitieren: die Medizinproduktehersteller, aber auch prüfende Organisationen wie Behörden und Benannte Stellen. Aus den Parallelen beider Branchen lassen sich fünf Best Practices sowie Empfehlungen ableiten und damit Kosten und unnötiger Ärger mit Prüfern vermeiden. Ein Beitrag von Prof. Dr. Christian Johner…

Weiterlesen