Harmonisierte Normen: Beweisführung für Medizinproduktehersteller

Die meisten Medizinproduktehersteller nutzen harmonisierte Normen, um die Konformität ihrer Medizinprodukte mit den grundlegenden Sicherheits- und Leistungsanforderungen nachzuweisen.

1. Normen und harmonisierte Normen

a) Definitionen und mehr

Die EU-Verordnung 1025/2012 definiert den Begriff harmonisierte Norm als „eine europäische Norm, die auf der Grundlage eines Auftrags der Kommission zur Durchführung von Harmonisierungsrechtsvorschriften der Union angenommen wurde„.

Normen sind Dokumente, die von nationalen oder internationalen Standardisierungskommissionen geschrieben werden, um den Stand der Technik zu dokumentieren. Sie beschreiben meist keine Best Practices oder gar den Stand der Forschung, sondern den Minimalkonsens, auf den sich das Normenkomitee einigen konnte.

Der Stand der Technik beschreibt, wie die sehr guten Unternehmen vorgehen. Hingegen beschreibt der Stand der Forschung, was theoretisch möglich ist.

Beispielsweise entsprechen bestimmte Verschlüsselungsverfahren mit einer definierten Schlüssellänge dem Stand der Technik. Der Stand der Forschung kennt hingegen quantenphysikalische Verfahren zur Verschlüsselung und Entschlüsselung. Sie stellen also ein Niveau dar, den man als ein professionell handelndes Unternehmen nicht unterschreiten sollte.

b) Beweisführungskette

Ein Beispiel für diese Beweisführungskette:

• Gesetzliche Forderungen: Grundlegende Anforderung der MDR zu Software-Lebenszyklusprozessen
• Harmonisierte Norm: IEC 62304
• QMS und dokumentierte Verfahren: Verfahrensanweisung Software-Entwicklung bzw. der Software-Entwicklungsplan, die bzw. der u. a. ein Code-Review verlangen
• Dokumente und Aufzeichnungen: Dokumentiertes Code-Review an Tag X, durchgeführt von Person Y mit dem Ergebnis Z

Die harmonisierten Normen sind nicht gesetzlich verpflichtend, weder in der EU noch bei der FDA. Allerdings werden sich Medizinproduktehersteller ohne die harmonisierten Normen schwertun, den Nachweis zu erbringen, dass ihre Produkte die gesetzlichen Anforderungen erfüllen.

c) Beispiele für harmonisierte Normen

Zu diesen harmonisierten Normen zählen oder zählten:

• EN IEC 62304: Software-Lebenszyklus-Prozesse für Medizinprodukte
• EN IEC 62366-1: Anwendung der Gebrauchstauglichkeit auf Medizinprodukte
• EN ISO 14971: Anwendung des Risikomanagements auf Medizinprodukte
• EN IEC 60601-1: Programmierbare elektrische medizinische Systeme: Basissicherheit und wesentliche Leistungsmerkmale
• EN ISO 13485: Medizinprodukte – Qualitätsmanagementsysteme – Anforderungen für regulatorische Zwecke

2. Normen im Kontext von MDR und IVDR: Die Theorie

Die MDR kennt weiterhin das Konzept der harmonisierten Normen, die der „Beweisführung“ dienen dürfen. Sie schreibt im Artikel 8:

„Devices which are in conformity with the relevant harmonised standards, or the relevant parts of those standards, the references of which have been published in the Official Journal of the European Union, shall be presumed to be in conformity with the requirements of this Regulation covered by those standards or parts thereof.“

MDR Artikel 8

Neben den harmonisierten Normen soll es aber auch common specifications geben. In Artikel 9 der MDR steht:

„where no harmonised standards exist or where relevant harmonised standards are not sufficient, or where there is a need to address public health concerns, the Commission […] may […] adopt common specifications (CS) in respect of the general safety and performance requirements set out in Annex I […]“

MDR Artikel 9

Das heißt, dass die Hersteller künftig mehrere Beweisführungsinstrumente nutzen müssen.

Die Anforderungen der IVDR sind analog.

3. Normen im Kontext von MDR und IVDR: Die Praxis

a) Die Probleme mit den Normen

Inzwischen türmen sich so viele Probleme auf, dass sich die Frage nach deren künftigen Relevanz stellt. Beispiele für die Probleme sind:

Problem 1: Heterogene Qualität 

Ich möchte die eben erwähnte KI-Norm nicht als ein Beispiel für schlechte Normen anführen, denn sie enthält viele gute Aspekte. Aber sie macht klar, dass bei vielen Normen präzise Modelle fehlen. Dadurch werden die Anforderungen beliebig. Zudem sind diese Anforderungen zwischen den Normen nicht ausreichend abgestimmt.

Problem 2: Mangelnde Aktualität

Zur Qualität der Normen trägt auch deren Aktualität bei. Die IEC 62304 beispielsweise stammt in wesentlichen Teilen aus dem Jahr 2005. Das ist zwei Jahre vor der Veröffentlichung des ersten iPhones. SmartPhones, Cloud-Computing, KI hatten damals nicht annähernd die Bedeutung wie heute. Der NSA-Skandal lag noch acht Jahre in der Zukunft. Soll so eine Norm den Stand der Technik abbilden?

Problem 3: Mangelnde Abdeckung der regulatorischen Anforderungen

Selbst aktuelle harmonisierten Normen adressieren meist nicht alle Forderungen der EU-Verordnungen.

Die „Z-Anhänge“ verschaffen Ihnen einen Überblick darüber, welche regulatorischen Anforderungen Hersteller bei Einhaltung der jeweiligen harmonisierten Norm als erfüllt vermuten lassen können und welche nicht.

Problem 4: Zu hohe Preise

Normen kosten teilweise mehrere Hundert Euro. Wir monitoren über 4000 regulatorische Dokumente für unsere Kunden. Ein nennenswerter Teil sind Normen. Auch wenn der typische Hersteller nur eine Teilmenge benötigt, ist die finanzielle Belastung dennoch nennenswert.

Problem 5: Zögerliche / unvollständige Harmonisierung

2017 trat die MDR in Kraft. Über sechs Jahre später ist nur ein Bruchteil der Normen harmonisiert, die unter der MDD und AIMD harmonisiert waren. Analog sieht es bei der IVDR aus.

b) Die Ursachen

Es gibt viele Ursachen, die zu diesen Problemen beitragen:

• Bürokratie 
  Es gibt Normengremien, die sich selbst mit Bürokratie stilllegen. Man ist mehr mit Regularien, internen Vorschriften, internationalen Abstimmungen und manchmal auch Streit beschäftigt als mit der eigentlichen Normenarbeit.
• Mangelnde Ressourcen / Kompetenz
  Auch aus diesem Grund ist es nicht leicht, die Besten eines Fachs für die Normenarbeit zu begeistern. Dabei ist höchste Kompetenz gefragt: Die Domänenexpertise, die wissenschaftliche Methodik, die Fähigkeit abstrakte Modelle zu entwickeln und gleichzeitig die Praxisrelevanz und Umsetzbarkeit in der Praxis sicherzustellen.
• Konkurrierende Präferenzen
  Die EU-Kommission erweckt nicht den Eindruck, als würde sie den Normen die gleiche Bedeutung schenken wie in der Vergangenheit. Millionen gibt sie für HAS-Consultants aus, welche bei mir den Eindruck erwecken, das Prozedere eher zu verschleppen. Zudem hat sich die EU mit den Common Specifications eine Alternative zu den Normen geschaffen, die sie in den eigenen Händen hält.

c) Die Folgen für Hersteller und Benannte Stellen

Die Probleme mit den Normen führen dazu, dass sich Behörden und Benannte Stellen mal auf die Gesetze beziehen, mal auf die neusten Versionen der Normen, mal auf die harmonisierten Versionen der Normen, mal auf andere Best-Practices und Leitlinien.

Für die Hersteller bedeutet dies:

• Rechtsunsicherheit in Audits und bei Zulassungen
• Mehr Aufwände für Nachbesserungen
• Damit verbundenene höhere Kosten
• Und somit eine längere Time to Market

All dies geschieht in einem Wettbewerbsumfeld, das die Hersteller bis an oder über die Grenzen fordert.

d) Die Lösungsansätze

Wir sind daher in Europa gut beraten, diese Probleme zu lösen. Dafür gibt es mehrere Ansätze, die wir alle(!) verfolgen sollten.

Zur ursprünglichen Idee zurückkehren

Sehr hilfreich wäre es, wieder Gas zu geben, die Normen zu verbessern, zu aktualisieren, aufeinander abzustimmen und zu bezahlbaren Preisen anzubieten. Wir Mitglieder der Normengremien arbeiten bereits unentgeltlich.

Die Wahrscheinlichkeit eines solchen Neustarts ist aber begrenzt, solange der Wille fehlt und eine korrekt gelebte Bürokratie wichtiger erscheint als der Beitrag zum Patientenwohl.

Effizienz auf Herstellerseite optimieren

Die Aufgaben der Hersteller bestehen aus mehr als „nur“ aus dem Nachweis der Konformität ihrer Produkte und Prozesse. Hier gibt es Optimierungsmöglichkeiten:

• Das Rad muss nicht jedes Mal neu erfunden werden: Bei Software lassen sich nicht nur Komponenten und Frameworks wiederverwenden, sondern auch ganze Backend-Services. Mehr darüber erfahren Sie in der neusten Podcast-Episode.
• Bei der klinischen Bewertung lässt sich die Literatursuche substanziell beschleunigen. Eine unsere Kundin konnte mit Hilfe des Medical Writer Kurses die Anzahl der zu bewertenden Literaturstellen von 1000 unspezifischen auf 60 spezifische reduzieren und entsprechend Aufwände sparen.
• Viele Aufgaben lassen sich durch Automatisierung komplett vermeiden. Dazu gleich mehr.

De-facto Standards schaffen

Die Entscheidung über die Konformität von Produkten und Prozessen ist eine binäre. Konform oder nicht konform. Diese Entscheidung ergibt sich aus vielen Mikro-Entscheidungen. Liegt beispielsweise die geforderte Liste an SOUPs vor? Ja oder nein.

Diese Entscheidungen gilt es, in Algorithmen abzubilden – was wir tun. Wenn es eine Verständigung über diese Algorithmen gibt, ist ein de-facto Standard, damit Rechtssicherheit und schließlich die Basis für die Automatisierung geschaffen.

4. Zertifizierung?

Hersteller fragen sich, ob sie sich bzw. ihre Produkte nach einer Norm zertifizieren müssen. Die kurze Antwort lautet:

Wenn ein Konformitätsbewertungsverfahren (z. B. gemäß Anhang II der MDR bzw. Anhang IX der MDR) ein Qualitätsmanagementsystem verlangt, müssen Hersteller dieses QM-System von einer Benannten Stelle zertifizieren lassen. Im Erfolgsfall erhalten sie ein Zertifikat, das die Konformität mit dem entsprechenden Anhang (und meist auch der ISO 13485) bestätigt.

Bei der Überprüfung des QM-Systems prüfen die Benannten Stellen auch,

• ob die Hersteller konform mit den harmonisierten Normen wie der ISO 14971 oder IEC 62304 arbeiten bzw.
• ob die Vorgaben des QM-Systems ein Arbeiten verlangt, das mit diesen Normen konform ist.

Ein Zertifikat, das die Konformität mit den Anforderungen der ISO 14971, IEC 62304, IEC 62366-1 usw. bestätigt, ist weder verlangt noch üblich.

Zu den Ausnahmen gehören Normen wie die IEC 60601-1. Aber auch hier muss sich nicht der Hersteller zertifizieren lassen. Vielmehr ist es zielführend, ein Testlabor auszuwählen, dass die Prüfungen konform mit dieser Norm bzw. Normenfamilie durchführt.

5. Welche Norm nutzen?

a) DIN oder EN oder ISO/IEC?

Eine häufig gestellte Frage lautet: Welche Varianten der Normen soll ich nutzen? Die DIN, die EN oder die ISO bzw. die IEC?

Harmonisierte Normen können genutzt werden, um den Nachweis zu führen, dass Produkte oder Systeme den Anforderungen der europäischen Richtlinien bzw. Verordnungen genügen. Daher sind die europäischen Normen zu nutzen, also die EN-Normen. Die nationalen Normen, d. h. die Normen mit einem Präfix wie „DIN EN“, sind inhaltlich identisch und daher ebenfalls nutzbar.

Die internationalen Normen (ISO, IEC) verfügen im Gegensatz zu den „EU-Varianten“ nicht über die Z-Anhänge. Diese Z-Anhänge enthalten das „Mapping“ der regulatorischen Anforderungen (EU-Richtlinien, EU-Verordnungen) auf die normativen Anforderungen. Das heißt: Die Z-Anhänge beschreiben, welche regulatorischen Anforderungen vollständig, teilweise oder gar nicht durch die Norm abgedeckt sind.

b) Welche Version der Norm?

Diskussion gibt es immer wieder zu den Übergangsfristen. Leider gibt es keine eindeutigen Regeln. Aber die folgenden Daumenregeln können helfen:

• Falls eine Norm harmonisiert ist, dann nutzen Sie diese Version.
• Wenn die Norm selbst eine Übergangsfrist nennt, dann beachten Sie diese.
• Andernfalls gehen Sie von einer Übergangsfrist von drei Jahren aus.
• Arbeiten Sie bei neuen Produkten mit den neusten Versionen.
• Machen Sie bei Produkten, die sich bereits im Markt befinden, spätestens drei Jahre, nachdem eine neue Version veröffentlicht wurde, eine Gap-Analyse.

6. Fazit und Zusammenfassung

Harmonisierte Normen sollten Herstellern und Benannten Stellen helfen, ein gemeinsames Verständnis davon zu verschaffen, wie die Anforderungen der MDR und IVDR erfüllt werden sollten.

Leider stockt die Harmonisierung der Normen, sodass dieses Ziel nur teilweise erfüllt wird. Dennoch sollten Hersteller einschlägige Normen nutzen. Denn diese beschreiben den Stand der Technik und helfen, den Nachweis zu führen, dass regulatorische Anforderungen erfüllt sind.

---

Änderungshistorie

• 2023-09-06: Kapitel 2 zerlegt. Kapitel 3 neu eingefügt.
• 2023-04-03: Beitrag komplett überarbeitet und aktualisiert. Die Abschnitte „Aktuelles“ und „Probleme“ entfernt und, wo notwendig, in den Text integriert
• 2022-06-09: In der Sektion „Aktuelles“ den Abschnitt „Juni 2022“ eingefügt.
• 2022-03-16: In der Sektion „Aktuelles“ den Abschnitt „Januar 2022“ eingefügt.
• 2021-07-27: In der Sektion „Aktuelles“ den Abschnitt „Juli 2021“ eingefügt.
• 2021-04-26: In der Sektion „Aktuelles“ den Abschnitt „April 2021“ eingefügt.
• 2020-11-08: Neuen Entwurf für einen Standardization Request ergänzt. Text diesbezüglich angepasst.