Die dritte Ausgabe der ISO 14971 steht seit Dezember 2019 bereit.
Die neue Version der ISO 14971 wurde als ISO 14971:2019 publiziert. Sie ist eine evolutionäre Weiterentwicklung der ISO 14971:2007 und bricht nicht mit den bisherigen Konzepten.
Dennoch sollten sich Hersteller mit den neuen und geänderten Anforderungen dieser Norm vertraut machen. Noch im Dezember 2019 hat die FDA die 3. Ausgabe Norm der ISO 14971 anerkannt. Mehr zu den Übergangsfristen weiter unten.
1. Dritte Ausgabe der ISO 14971
Die dritte Ausgabe („third edition“) der ISO 14971 folgt auf die Vorgängernorm, die ISO 14971:2007 („second edition“). Auf dieser zweiten Ausgabe basiert auch die EN ISO 14971:2012, die Norm, die für die EU-Medizinprodukterichtlinien harmonisiert ist.
Noch ist unklar, ob die EU-Kommission für die Medizinprodukteverordnung (MDR) die neue Version harmonisiert, die dann möglicherweise als EN ISO 14971:2020 geführt wird. Eine Harmonisierung mit in Krafttreten der MDR im Mai 2020 erfolgt nicht.
Parallel hat die ISO auch die ISO 24971 überarbeitet, die ebenfalls als Entwurf vorliegt. Diese „Erläuterungsnorm“ gewinnt an Bedeutung, weil sie nun einige der nicht-normativen Anhänge der alten ISO 14971 enthält.
2. Die Änderungen im Überblick
a) Neue Kapitelstruktur
Als erstes fällt die neue Kapitelstruktur auf. Die ISO 14971:2019 folgt nun dem üblichen Aufbau, der mit den folgenden Kapiteln beginnt:
- Anwendungsbereich („Scope“)
- Normative Verweise („Normative Reference“)
- Begriffsdefinitionen („Terms and definitions“)
Durch das neue Kapitel mit den normativen Verweisen verschiebt sich die Nummerierung: Die ISO 14971:2019 hat nun zehn Kapitel.
Abb. 1: Neue Kapitelstruktur der dritten Ausgabe der ISO 14971 (ISO 14971:2019). (Zum Vergrößern klicken)
Bereits die Kapitelstruktur offenbart einen weiteren
Unterschied: Die Anforderungen an die nachgelagerte Phase sind umfangreicher
und in vier Unterkapitel (10.1 bis 10.4) unterteilt.
b) Höhere Relevanz des Nutzen-Risiko-Verhältnisses?
Die ISO 14971:2019 behauptet, noch deutlicher Wert auf den Nachweis zu legen, dass der Nutzen die Risiken überwiegt. Sie ergänzt die fehlende Definition des Begriffs Nutzen („Benefit“).
Definition: Benefit
„positive impact or desirable outcome of the use of a medical device on the health of an individual, or a positive impact on patient management or public health“
Quelle: ISO 14971, 3rd edition
Beispiele für diesen Nutzen sind:
- Schnellere
Genesung, vollständigere Genesung
- Heilung
mit weniger Nebenwirkungen
- Genauere
Diagnose
- Bessere
öffentliche Gesundheitsversorgung
Damit ist klar, dass mit Nutzen der medizinische Nutzen
gemeint ist und nicht etwa der höhere ökonomische Nutzen für den Betreiber.
Wirklich neue Anforderungen stellt die Norm nicht. Unverändert fordert sie, dass es die Aufgabe des Managements ist, die Risikopolitik festzulegen. Diese muss sich am Stand der Technik orientieren. Zumindest eine Definition des Begriffs „Stand der Technik“ ergänzt die dritte Ausgabe der ISO 14971:2019.
Definition: State of the Art
„developed stage of technical capability at a given time as regards products, processes and services, based on the relevant consolidated findings of science, technology and experience“
Quelle: ISO 14971, 3rd edition
Dieser Stand der Technik ist nicht mit dem Stand der
Wissenschaft zu vergleichen. Er entspricht eher allgemein anerkannten technischen
und medizinischen „Good Practices“.
Neu ist in der dritten Ausgabe der ISO 14971, dass die Hersteller für die Bewertung der Einzelrisiken andere Akzeptanzkriterien festlegen können als für die Bewertung des gesamten Restrisikos. Die Akzeptanzkriterien für die Einzelrisiken können verwendet werden, um über die Notwendigkeit von Maßnahmen zur Risikobeherrschung zu entscheiden. Die Akzeptanzkriterien für das Gesamtrisiko können herangezogen werden um zu entscheiden, ob das Produkt in den Verkehr gebracht werden darf.
Die Norm verpflichtet die Hersteller dazu, die Methoden zu beschreiben, mit denen die Akzeptanz des Gesamtrestrisikos bestimmt wird.
c) IT Security im Scope
Die dritte Ausgabe der ISO 14971 nimmt Risiken durch mangelnde „data and system security“ explizit in den Scope mit auf. Sie stellt dafür aber keine spezifischen Anforderungen.
Besonders im deutschsprachigen Raum besteht die Gefahr, dass
die Hersteller die Schutzziele Safety und Security nicht präzise unterscheiden,
weil beide mit „Sicherheit“ übersetzt werden.
Während die Abwägung von medizinischem Nutzen und „Safety-Risiken“
Sinn ergibt, kann die Abwägung von medizinischem Nutzen und „Security-Risiken“ in
die Irre führen. Eine Erhöhung der Security kann sogar zu Lasten der Safety
gehen.
d) Vernünftigerweise vorhersehbarer Missbrauch ist zu berücksichtigen
Die ISO 14971:2019 ergänzt die explizite Forderung, den vernünftigerweise vorhersehbaren Missbrauch zu analysieren. Sie definiert diesen „reasonably forseeable misuse“ wie folgt:
Definition: reasonably forseeable misuse
„use of a product or system in a way not intended by the manufacturer, but which can result from readily predictable human behaviour “
Quelle: ISO 14971, 3rd edition
Dieser Missbrauch kann absichtlich oder unabsichtlich
erfolgen. Ein Beispiel wäre die Nutzung eines Produkts, ohne vorher die
Gebrauchsanweisung studiert zu haben.
e) Sicherheitsbezogene Charakteristiken sind zu identifizieren
Neu ist nur das Kapitel, aber nicht die Anforderungen an die sicherheitsbezogenen Charakteristiken. Diese Charakteristiken des Produkts müssen die Hersteller qualitativ und quantitativ erfassen – am besten mit Angabe von Grenzwerten, die für die Sicherheit des Produkts wesentlich sind. Alle Kenner der IEC 60601-1 denken sofort an die wesentlichen Leistungsmerkmale. Zu Recht.
Das Johner Institut empfiehlt, insbesondere die Systemanforderungen daraufhin zu untersuchen, ob ein Risiko folgen könnte, wenn diese nicht oder nicht im spezifizierten Maß erfüllt sind.
f) Anforderungen an die Produktion und die nachgelagerte Phase
Die auffälligste Änderung betrifft das Risikomanagement in der Produktion sowie in der der Produktion nachgelagerten Phase – sprich: der Post-Market-Phase. Die Anforderungen erinnern stark an die der MDR.
Sowohl die MDR als auch die dritte Ausgabe der ISO 14971 fordern ein proaktives Sammeln und Bewerten der Daten aus den Phasen nach der Entwicklung. Die MDR spricht von einem Prozess, die ISO 14971 von einem System.
Abb. 2: Die ISO 14971:2019 fordert das aktive Sammeln und Bewerten der Daten sowie ggf. das Handeln.
Ähnlich wie die MDR legt die Norm auch die Informationsquellen fest, die auf jeden Fall betrachtet werden müssen, z.B. öffentliche Informationen, Informationen zum Stand der Technik und Informationen, die bei der Installation, Anwendung und Wartung des Produkts entstehen.
Die Informationen müssen daraufhin bewertet werden, ob
- neue, bisher nicht betrachtete Gefährdungen zu beachten sind,
- die Risiken (Wahrscheinlichkeiten und Schweregrade von Schäden) richtig bewertet sind und
- die Risiken weiterhin akzeptabel sind, z.B. weil sich der Stand der Technik geändert hat.
Abhängig von den Ergebnissen dieser Bewertung muss der Hersteller handeln. Konkret nennt die dritte Ausgabe der ISO 14971 Handlungen, die das Medizinprodukt betreffen (z.B. neue risikominimierende Maßnahmen implementieren) und Handlungen, die das Risikomanagement (z.B. den Risikomanagementprozess) betreffen.
3. Rechtliche Verbindlichkeit
a) Europa
Die ISO 14971:2019 ist unter den EU-Verordnungen (MDR, IVDR) bisher nicht harmonisiert. Eine Harmonisierung unter den EU-Richtlinien (MDD, AIMD, IVDD) ist nicht mehr vorgesehen.
Weil es keine harmonisierte EN ISO 14971 gibt, dürften und sollten die benannten Stellen und Behörden den Stand der Technik einfordern und damit die aktuelle Version. Übergangfristen sind nicht definiert.
b) USA / FDA
Die FDA wird die zweite Ausgabe der Norm aus dem Jahr 2007 noch bis Ende 2022 gestatten. Spätestens danach besteht die FDA auf der Anwendung der dritten Ausgabe der ISO 14971.
4. Fazit
Die dritte Ausgabe der ISO 14971 ist noch besser als die bereits gute zweite Ausgabe. Viele Änderungen sind redaktioneller Art und sorgen für mehr Klarheit und Stringenz.
Besonders erwähnenswert sind die präziseren Anforderungen an die nachgelagerte Phase. Dennoch bleibt der Umfang der Änderungen beschränkt, sodass „Version 2.1“ der Sache eher gerecht geworden wäre. Bedauerlich ist insbesondere:
- Viele hilfreiche Anhänge sind in die ISO 24971 verschoben worden. Das macht zwar die ISO 14971 schlanker, zwingt aber die Hersteller, eine zweite Norm zu kaufen.
- Einige Erläuterungen sind ganz verschwunden. So hatte die alte ISO 14971 noch klargestellt, dass sich das Risiko eben nicht aus der Multiplikation von Schweregrad und Wahrscheinlichkeit von Schäden berechnet. Wie kann eine so zentrale und berechtigte Feststellung verschwinden angesichts der Tatsache, dass 95 % der Hersteller genau dies tun?
- Es ist anzunehmen, dass die EU nur teilweise die Forderungen der MDR zum Risikomanagement durch die dritte Ausgabe abgedeckt sieht. Dadurch drohen wieder zusätzliche Anforderungen und normative Interpretationen in den Z-Anhängen.
- Das Zusammenspiel des Risikomanagements mit der klinischen Bewertung beschreibt die dritte Ausgabe der ISO 14971 gar nicht, die überarbeitete ISO 24971 nur rudimentär.
- Es ist nachvollziehbar, dass das Normengremium die Norm an die sonst übliche Kapitelstruktur angleichen wollte. Diese redaktionelle Änderung wird dazu führen, dass die meisten Hersteller ihre Vorgabedokumente (Verfahrensanweisungen, Arbeitsanweisungen, Templates) usw. daraufhin untersuchen müssen, ob die Referenzen auf die Kapitelstruktur noch stimmen. Viel Arbeit, die der Patientensicherheit nicht zugute kommt.
Trotz dieser Wehmutstropfen dürften die Hersteller mit dieser dritten Ausgabe der ISO 14971 gut leben können. Weniger ist eben manchmal mehr.
