Dritte Ausgabe der ISO 14971 – Was sich ändert

Die dritte Ausgabe der ISO 14971 steht seit Dezember 2019 bereit.

Dennoch sollten sich Hersteller mit den neuen und geänderten Anforderungen dieser Norm vertraut machen. Noch im Dezember 2019 hat die FDA die 3. Ausgabe Norm der ISO 14971 anerkannt. Mehr zu den Übergangsfristen weiter unten.

1. Dritte Ausgabe der ISO 14971

Die dritte Ausgabe („third edition“) der ISO 14971 folgt auf die Vorgängernorm, die ISO 14971:2007 („second edition“). Auf dieser zweiten Ausgabe basiert auch die EN ISO 14971:2012, die Norm, die für die EU-Medizinprodukterichtlinien harmonisiert ist.

Noch ist unklar, ob die EU-Kommission für die Medizinprodukteverordnung (MDR) die neue Version harmonisiert, die dann möglicherweise als EN ISO 14971:2020 geführt wird. Eine Harmonisierung mit in Krafttreten der MDR im Mai 2020 erfolgt nicht.

Parallel hat die ISO auch die ISO 24971 überarbeitet, die ebenfalls als Entwurf vorliegt. Diese „Erläuterungsnorm“ gewinnt an Bedeutung, weil sie nun einige der nicht-normativen Anhänge der alten ISO 14971 enthält.

2. Die Änderungen im Überblick

a) Neue Kapitelstruktur

Als erstes fällt die neue Kapitelstruktur auf. Die ISO 14971:2019 folgt nun dem üblichen Aufbau, der mit den folgenden Kapiteln beginnt:

1. Anwendungsbereich („Scope“)
2. Normative Verweise („Normative Reference“)
3. Begriffsdefinitionen („Terms and definitions“)

Durch das neue Kapitel mit den normativen Verweisen verschiebt sich die Nummerierung: Die ISO 14971:2019 hat nun zehn Kapitel.

Bereits die Kapitelstruktur offenbart einen weiteren Unterschied: Die Anforderungen an die nachgelagerte Phase sind umfangreicher und in vier Unterkapitel (10.1 bis 10.4) unterteilt.

b) Höhere Relevanz des Nutzen-Risiko-Verhältnisses?

Die ISO 14971:2019 behauptet, noch deutlicher Wert auf den Nachweis zu legen, dass der Nutzen die Risiken überwiegt. Sie ergänzt die fehlende Definition des Begriffs Nutzen („Benefit“).

Beispiele für diesen Nutzen sind:

• Schnellere Genesung, vollständigere Genesung
• Heilung mit weniger Nebenwirkungen
• Genauere Diagnose
• Bessere öffentliche Gesundheitsversorgung

Damit ist klar, dass mit Nutzen der medizinische Nutzen gemeint ist und nicht etwa der höhere ökonomische Nutzen für den Betreiber.

Wirklich neue Anforderungen stellt die Norm nicht. Unverändert fordert sie, dass es die Aufgabe des Managements ist, die Risikopolitik festzulegen. Diese muss sich am Stand der Technik orientieren. Zumindest eine Definition des Begriffs „Stand der Technik“ ergänzt die dritte Ausgabe der ISO 14971:2019.

Dieser Stand der Technik ist nicht mit dem Stand der Wissenschaft zu vergleichen. Er entspricht eher allgemein anerkannten technischen und medizinischen „Good Practices“.

Neu ist in der dritten Ausgabe der ISO 14971, dass die Hersteller für die Bewertung der Einzelrisiken andere Akzeptanzkriterien festlegen können als für die Bewertung des gesamten Restrisikos. Die Akzeptanzkriterien für die Einzelrisiken können verwendet werden, um über die Notwendigkeit von Maßnahmen zur Risikobeherrschung zu entscheiden. Die Akzeptanzkriterien für das Gesamtrisiko können herangezogen werden um zu entscheiden, ob das Produkt in den Verkehr gebracht werden darf.

Die Norm verpflichtet die Hersteller dazu, die Methoden zu beschreiben, mit denen die Akzeptanz des Gesamtrestrisikos bestimmt wird.

c) IT Security im Scope

Die dritte Ausgabe der ISO 14971 nimmt Risiken durch mangelnde „data and system security“ explizit in den Scope mit auf. Sie stellt dafür aber keine spezifischen Anforderungen.

Besonders im deutschsprachigen Raum besteht die Gefahr, dass die Hersteller die Schutzziele Safety und Security nicht präzise unterscheiden, weil beide mit „Sicherheit“ übersetzt werden.

Während die Abwägung von medizinischem Nutzen und „Safety-Risiken“ Sinn ergibt, kann die Abwägung von medizinischem Nutzen und „Security-Risiken“ in die Irre führen. Eine Erhöhung der Security kann sogar zu Lasten der Safety gehen.

d) Vernünftigerweise vorhersehbarer Missbrauch ist zu berücksichtigen

Die ISO 14971:2019 ergänzt die explizite Forderung, den vernünftigerweise vorhersehbaren Missbrauch zu analysieren. Sie definiert diesen „reasonably forseeable misuse“ wie folgt:

Dieser Missbrauch kann absichtlich oder unabsichtlich erfolgen. Ein Beispiel wäre die Nutzung eines Produkts, ohne vorher die Gebrauchsanweisung studiert zu haben.

e) Sicherheitsbezogene Charakteristiken sind zu identifizieren

Neu ist nur das Kapitel, aber nicht die Anforderungen an die sicherheitsbezogenen Charakteristiken. Diese Charakteristiken des Produkts müssen die Hersteller qualitativ und quantitativ erfassen – am besten mit Angabe von Grenzwerten, die für die Sicherheit des Produkts wesentlich sind. Alle Kenner der IEC 60601-1 denken sofort an die wesentlichen Leistungsmerkmale. Zu Recht.

Das Johner Institut empfiehlt, insbesondere die Systemanforderungen daraufhin zu untersuchen, ob ein Risiko folgen könnte, wenn diese nicht oder nicht im spezifizierten Maß erfüllt sind.

f) Anforderungen an die Produktion und die nachgelagerte Phase

Die auffälligste Änderung betrifft das Risikomanagement in der Produktion sowie in der der Produktion nachgelagerten Phase – sprich: der Post-Market-Phase. Die Anforderungen erinnern stark an die der MDR.

Sowohl die MDR als auch die dritte Ausgabe der ISO 14971 fordern ein proaktives Sammeln und Bewerten der Daten aus den Phasen nach der Entwicklung. Die MDR spricht von einem Prozess, die ISO 14971 von einem System.

Ähnlich wie die MDR legt die Norm auch die Informationsquellen fest, die auf jeden Fall betrachtet werden müssen, z.B. öffentliche Informationen, Informationen zum Stand der Technik und Informationen, die bei der Installation, Anwendung und Wartung des Produkts entstehen.

Die Informationen müssen daraufhin bewertet werden, ob

• neue, bisher nicht betrachtete Gefährdungen zu beachten sind,
• die Risiken (Wahrscheinlichkeiten und Schweregrade von Schäden) richtig bewertet sind und
• die Risiken weiterhin akzeptabel sind, z.B. weil sich der Stand der Technik geändert hat.

Abhängig von den Ergebnissen dieser Bewertung muss der Hersteller handeln. Konkret nennt die dritte Ausgabe der ISO 14971 Handlungen, die das Medizinprodukt betreffen (z.B. neue risikominimierende Maßnahmen implementieren) und Handlungen, die das Risikomanagement (z.B. den Risikomanagementprozess) betreffen.

3. Rechtliche Verbindlichkeit

a) Europa

Die ISO 14971:2019 ist unter den EU-Verordnungen (MDR, IVDR) bisher nicht harmonisiert. Eine Harmonisierung unter den EU-Richtlinien (MDD, AIMD, IVDD) ist nicht mehr vorgesehen.

Weil es keine harmonisierte EN ISO 14971 gibt, dürften und sollten die benannten Stellen und Behörden den Stand der Technik einfordern und damit die aktuelle Version. Übergangfristen sind nicht definiert.

b) USA / FDA

Die FDA wird die zweite Ausgabe der Norm aus dem Jahr 2007 noch bis Ende 2022 gestatten. Spätestens danach besteht die FDA auf der Anwendung der dritten Ausgabe der ISO 14971.

4. Fazit

Die dritte Ausgabe der ISO 14971 ist noch besser als die bereits gute zweite Ausgabe. Viele Änderungen sind redaktioneller Art und sorgen für mehr Klarheit und Stringenz.

Besonders erwähnenswert sind die präziseren Anforderungen an die nachgelagerte Phase. Dennoch bleibt der Umfang der Änderungen beschränkt, sodass „Version 2.1“ der Sache eher gerecht geworden wäre. Bedauerlich ist insbesondere:

1. Viele hilfreiche Anhänge sind in die ISO 24971 verschoben worden. Das macht zwar die ISO 14971 schlanker, zwingt aber die Hersteller, eine zweite Norm zu kaufen.
2. Einige Erläuterungen sind ganz verschwunden. So hatte die alte ISO 14971 noch klargestellt, dass sich das Risiko eben nicht aus der Multiplikation von Schweregrad und Wahrscheinlichkeit von Schäden berechnet. Wie kann eine so zentrale und berechtigte Feststellung verschwinden angesichts der Tatsache, dass 95 % der Hersteller genau dies tun?
3. Es ist anzunehmen, dass die EU nur teilweise die Forderungen der MDR zum Risikomanagement durch die dritte Ausgabe abgedeckt sieht. Dadurch drohen wieder zusätzliche Anforderungen und normative Interpretationen in den Z-Anhängen.
4. Das Zusammenspiel des Risikomanagements mit der klinischen Bewertung beschreibt die dritte Ausgabe der ISO 14971 gar nicht, die überarbeitete ISO 24971 nur rudimentär.
5. Es ist nachvollziehbar, dass das Normengremium die Norm an die sonst übliche Kapitelstruktur angleichen wollte. Diese redaktionelle Änderung wird dazu führen, dass die meisten Hersteller ihre Vorgabedokumente (Verfahrensanweisungen, Arbeitsanweisungen, Templates) usw. daraufhin untersuchen müssen, ob die Referenzen auf die Kapitelstruktur noch stimmen. Viel Arbeit, die der Patientensicherheit nicht zugute kommt.

Trotz dieser Wehmutstropfen dürften die Hersteller mit dieser dritten Ausgabe der ISO 14971 gut leben können. Weniger ist eben manchmal mehr.