ISO 13485 Qualitätsmanagementsystem (QMS): Aufbau, Zertifizierung und Pflege

Haben Sie Fragen zu Ihrem Projekt oder Produkt?

Ein ISO 13485 Qualitätsmanagementsystem (QMS) dient den meisten Herstellern von Medizinprodukten und In-vitro-Diagnostika (IVD) als anerkannter Nachweis zur Erfüllung der QMS-bezogenen regulatorischen Anforderungen für den Marktzugang. Die Europäischen Verordnungen über Medizinprodukte, (EU) 2017/745 (MDR), und In-vitro-Diagnostika, (EU) 2017/746 (IVDR), verlangen ein Qualitätsmanagementsystem, referenzieren die Norm aber nicht. Art. 10 Abs. 9 MDR und Art. 10 Abs. 8 IVDR legen fest, welche Aspekte das System abdecken muss. Die EN ISO 13485:2016+A11:2021 ist die zentrale harmonisierte Norm für Qualitätsmanagementsysteme. Ihre Anwendung löst eine Konformitätsvermutung für die QMS-bezogenen Anforderungen aus. Die Norm deckt jedoch nicht alle Pflichten der beiden Verordnungen ab.

Dieser Beitrag beschreibt, wie ein ISO 13485 QMS aufgebaut wird, wie das Zertifizierungsverfahren abläuft und welche Prozesse es dauerhaft tragen. Unterschiede zwischen Medizinprodukten und IVD werden an den relevanten Stellen benannt.
 

Rechtlicher Rahmen

Die Pflicht zum QMS ergibt sich aus MDR und IVDR. Sie gilt für alle Risikoklassen, auch für Klasse I und Klasse A. Art. 10 Abs. 9 MDR nennt die abzudeckenden Aspekte, unter anderem die Strategie zur Einhaltung der Regulierungsvorschriften, Klassifizierung, Risikomanagement, klinische Bewertung, Produktrealisierung, UDI-Vergabe, Post-Market Surveillance und Vigilanz. Art. 10 Abs. 8 IVDR ist inhaltlich parallel aufgebaut. An die Stelle der klinischen Bewertung tritt die Leistungsbewertung.

Die Anwendung harmonisierter Normen ist rechtlich nicht verpflichtend. Ihre praktische Bedeutung ergibt sich jedoch aus Art. 8 MDR / IVDR: Bei Anwendung einer harmonisierten Norm wird die Konformität mit den von ihr abgedeckten Anforderungen vermutet. Die EN ISO 13485:2016+A11:2021 enthält dafür die Anhänge ZA (MDR) und ZB (IVDR). Diese Anhänge sind Korrelationstabellen. Sie zeigen, welche Abschnitte der Norm welche Verordnungsanforderung abdecken. Nicht oder nur teilweise von der Konformitätsvermutung erfasst sind bestimmte Anforderungen der MDR bzw. IVDR, insbesondere zu EUDAMED, zur PRRC nach Art. 15 sowie einzelne Vigilanzpflichten. Diese Anforderungen müssen zusätzlich umgesetzt und dokumentiert werden.

Ein zweiter Punkt betrifft die Praxis: In den Anhängen IX und XI beider Verordnungen ist vorgesehen, dass die Benannte Stelle bei Anwendung einer harmonisierten QMS-Norm die Konformität mit dieser Norm bewertet. Faktisch verlangen Benannte Stellen deshalb regelmäßig ein nach ISO 13485 zertifiziertes System, obwohl die Verordnungen dies nicht ausdrücklich anordnen.
 

Geltungsbereich und Ausschlüsse festlegen

Vor dem Aufbau des QMS steht die Festlegung des Anwendungsbereichs. Er bestimmt, welche Prozesse das System umfassen muss und was das spätere Zertifikat abdeckt.

Zu klären sind:

• Rolle: Hersteller, Auftragsfertiger, Entwicklungsdienstleister, Bevollmächtigte, Importeur oder Händler. Die Norm ist auf alle Stufen des Lebenszyklus anwendbar, die Pflichten unterscheiden sich jedoch.
• Produktart: Medizinprodukt nach MDR oder IVD nach IVDR. Die Unterscheidung wirkt sich auf Entwicklungs-, Bewertungs- und Überwachungsprozesse aus.
• Risikoklasse: Sie bestimmt, ob eine Benannte Stelle beteiligt ist und in welchem Umfang.
• Standorte und Outsourcing: Ausgelagerte Prozesse bleiben in Ihrer Verantwortung und müssen nach ISO 13485 Abschnitt 4.1.5 überwacht und vertraglich geregelt sein.

ISO 13485 erlaubt in begrenztem Umfang den Ausschluss einzelner Anforderungen, insbesondere des Entwicklungsprozesses nach Abschnitt 7.3, sofern dies regulatorisch zulässig ist. Jeder Ausschluss muss nachvollziehbar begründet und dokumentiert werden. Wird die Entwicklung ausgeschlossen, kann das QMS nicht ohne Weiteres für Produkte genutzt werden, bei denen eine Bewertung der Entwicklung erforderlich ist.
 

Aufbau des ISO 13485 Qualitätsmanagementsystems

Der Aufbau folgt einem Prozessmodell. Der Hersteller beschreibt, welche Prozesse es gibt, wie sie zusammenwirken und mit welchen Aufzeichnungen ihre Wirksamkeit belegt wird. Eine übliche Dokumentenhierarchie umfasst QM-Handbuch, Verfahrensanweisungen, Arbeitsanweisungen und Formblätter mit den zugehörigen Aufzeichnungen.

Die Norm verlangt zusätzlich eine Medizinprodukteakte (Medical Device File) nach Abschnitt 4.2.3. Diese bündelt produktbezogene Angaben und ist von der technischen Dokumentation nach Anhang II und III MDR beziehungsweise Anhang II und III IVDR zu unterscheiden, überschneidet sich mit dieser aber inhaltlich.

Bei IVD-Herstellern tritt die Leistungsbewertung nach Anhang XIII IVDR an die Stelle der klinischen Bewertung. Der Prozess muss wissenschaftliche Validität, analytische und klinische Leistung getrennt abbilden. Bei IVD der Klasse D muss der Umgang mit Stichprobenprüfungen bei hergestellten Produkten oder Produktchargen sowie die Beteiligung von EU-Referenzlaboratorien nach Art. 48 IVDR im QMS entsprechend abgebildet werden.

Ein wichtiger Aspekt ist die Abbildung der Post-Market Surveillance (PMS)-Pflichten im QMS. MDR und IVDR verlangen, dass PMS-Daten ins Risikomanagement, in die klinische Bewertung bzw. Leistungsbewertung sowie in die technische Dokumentation einbezogen werden. Dies umfasst auch die systematische Trendbewertung relevanter Daten.
 

Risikobasierter Ansatz und Verknüpfung mit der ISO 14971

ISO 13485 fordert in Abschnitt 4.1.2 b) einen risikobasierten Ansatz für sämtliche QMS-Prozesse. Dieser beschränkt sich nicht auf Produktrisiken. Auch die Steuerung von Lieferanten, der Umfang von Prozessvalidierungen und die Planung interner Audits müssen risikoorientiert festgelegt und nachvollziehbar begründet werden.

Das Risikomanagement in Bezug auf das Produkt orientiert sich in der Regel an ISO 14971. Die Norm beschreibt den Prozess der Risikoanalyse, Risikobewertung, Risikobeherrschung und Bewertung des Restrisikos. Die ISO 13485 bildet diesen Prozess im QMS ab und stellt eine Verknüpfung mit Entwicklung, Beschaffung, Produktion und Marktüberwachung her.
 

Ablauf des Zertifizierungsverfahrens

Hersteller von Produkten der Klasse I sowie von IVD der Klasse A benötigen keine Benannte Stelle. Ein Qualitätsmanagementsystem ist dennoch erforderlich. Zudem erwarten Kunden und Geschäftspartner häufig eine freiwillige Zertifizierung nach ISO 13485. Für höhere Klassen ist eine Benannte Stelle in das Konformitätsbewertungsverfahren eingebunden.

Der übliche Ablauf:

1. Auswahl der Stelle: Geltungsbereich, Kapazität und Terminlage prüfen. Der Notifizierungsumfang ist über die NANDO-Datenbank nachvollziehbar.
2. Antrag und Vertrag: Angaben zu Produkten, Standorten, Klassen und Verfahren.
3. Dokumentenprüfung: Prüfung der QMS-Dokumente  auf Vollständigkeit und Auditreife.
4. Audit vor Ort (Stufe 1 + Stufe 2): Prüfung der Wirksamkeit anhand von Aufzeichnungen.
5. Abweichungen und Nachweise: Korrekturen mit Ursachenanalyse und Wirksamkeitsbeleg.
6. Überprüfung der technischen Dokumentation: Bewertung der technischen Dokumentation hinsichtlich der Erfüllung der regulatorischen Anforderungen gemäß MDR/IVDR, einschließlich der produktspezifischen Anforderungen und erforderlichen Nachweise.
7. Bescheinigung der Benannten Stelle: grundsätzlich mit einer Gültigkeit von höchstens fünf Jahren nach Art. 56 MDR bzw. Art. 51 IVDR. ISO 13485-Zertifikate folgen zumeist einem separaten dreijährigen Zertifizierungszyklus.
8. Überwachung: regelmäßige Überwachungsaudits. Zusätzlich können unangekündigte Audits nach den regulatorischen Vorgaben erfolgen.

Der Zeitbedarf von der Systemeinführung bis zum Zertifikat liegt erfahrungsgemäß bei 12 bis 24 Monaten. Die Spanne hängt von Reifegrad, Produktkomplexität und der Auslastung der Benannten Stelle ab. Verzögerungen entstehen häufig, weil ein System zwar dokumentiert, aber noch nicht über einen ausreichenden Zeitraum angewendet wurde. Ohne Aufzeichnungen aus dem laufenden Betrieb ist die Wirksamkeit nicht belegbar.
 

Pflege des QM-Systems im laufenden Betrieb

Ein Qualitätsmanagementsystem wird nicht einmalig aufgebaut, sondern dauerhaft betrieben. Diese Prozesse sind für den QMS-Betrieb von besonderer Bedeutung:

• Interne Audits (8.2.4): vollständiger Systemdurchlauf über einen definierten Zyklus, risikobasiert gewichtet.
• Managementbewertung (5.6): in festgelegten Abständen, mit den in der Norm genannten Eingaben und dokumentierten Entscheidungen.
• CAPA (8.5.2, 8.5.3): mit belastbarer Ursachenanalyse. Wiederkehrende Abweichungen deuten auf eine unzureichende Ursachenermittlung hin.
• Änderungsmanagement: Produkt-, Prozess- und Lieferantenänderungen müssen bewertet und wesentliche Änderungen der Benannten Stelle angezeigt werden.
• Schulung und Kompetenz (6.2): Nachweis, dass die Wirksamkeit der Schulungen bewertet wurde, nicht nur ihre Durchführung. Dokumentenlenkung und Aufzeichnungslenkung müssen dauerhaft aufrechterhalten werden.

Hinzu kommen die Berichtspflichten aus der Post-Market-Phase. Für Produkte der Klassen IIa, IIb und III ist ein Periodic Safety Update Report (PSUR) nach Art. 86 MDR zu erstellen, für IVD der Klassen C und D nach Art. 81 IVDR. Für Klasse I sowie IVD der Klassen A und B genügt ein PMS-Bericht nach Art. 85 MDR bzw. Art. 80 IVDR.
 

Schnittstellen und Sonderfälle

USA: Die FDA hat ihre Quality System Regulation durch die Quality Management System Regulation (QMSR) ersetzt, die ISO 13485:2016 durch Verweis einbezieht und seit dem 2. Februar 2026 gilt. Ein bestehendes ISO 13485-System deckt damit einen großen Teil der US-Anforderungen ab. FDA-spezifische Anforderungen, etwa zu Kennzeichnung, UDI und regulatorischen Meldepflichten, bleiben bestehen. Das Medical Device Single Audit Program (MDSAP) ermöglicht die gebündelte Auditierung für mehrere Märkte und kann den Auditaufwand durch Überschneidungen mit MDR/IVDR-Audits verringern.

Software und SaMD: Der Entwicklungsprozess nach Abschnitt 7.3 muss mit dem Software-Lebenszyklusprozess nach IEC 62304 verknüpft werden. Hinzu kommen Cybersecurity-Anforderungen über den gesamten Lebenszyklus sowie die Pflichten aus dem AI Act, (EU) 2024/1689, im Falle von KI-Medizinprodukten bzw. IVD.

Startups: Ein schlankes QMS ist zulässig, solange alle geforderten Prozesse vorhanden und wirksam sind. Der Umfang der Dokumentation orientiert sich an Größe und Komplexität der Organisation, solange die vollständige Erfüllung aller normativen Anforderungen gewährleistet ist. Ein verbreiteter Fehler ist die Übernahme vorgefertigter Sets von QMS-Templates, die im Alltag nicht gelebt werden. In Audits fällt die Abweichung zwischen theoretischer Beschreibung und gelebter Praxis auf.
 

Praktische Vorgehensweise

• Geltungsbereich, Rolle, Produktart und Klasse zuerst festlegen, da die weiteren Entscheidungen davon abhängen.
• Lücken gegen die Anhänge ZA und ZB systematisch erfassen und die dort nicht abgedeckten Verordnungspflichten ergänzend im QMS verankern.
• Prozesse in der Reihenfolge einführen, in der sie Aufzeichnungen erzeugen. Ohne Nachweise aus dem Betrieb ist ein Audit wenig erfolgversprechend.
• Risikomanagement, klinische Bewertung bzw. Leistungsbewertung und PMS von Beginn an miteinander verbinden.
• Termin bei der Benannten Stelle früh sichern und die interne Planung an deren Kapazität ausrichten.
   

FAQ

Ist die Anwendung von ISO 13485 gesetzlich vorgeschrieben?

Nein. MDR und IVDR verlangen ein wirksames QMS. ISO 13485 gilt als allgemein anerkannter und harmonisierter Standard zum Nachweis dieser Anforderungen. Benannte Stellen setzen die Norm im Regelfall daher voraus.

Benötigen Hersteller der Klasse I ein QMS?

Ja. Die Pflicht aus Art. 10 Abs. 9 MDR gilt unabhängig von der Klasse. Ohne Sonderaspekte wie Sterilität, Messfunktion oder Wiederverwendbarkeit ist dafür keine Benannte Stelle einzubinden.

Worin unterscheidet sich das QMS gemäß IVD von dem gemäß MDR?

Der Rahmen ist derselbe. Abweichungen betreffen vor allem die Leistungsbewertung nach Anhang XIII IVDR sowie bei Klasse D die Chargenprüfung und die Einbindung der EU-Referenzlaboratorien.

Deckt ISO 13485 alle Anforderungen von MDR und IVDR ab?

Nein. Die Anhänge ZA und ZB zeigen die Abdeckung und die verbleibenden Lücken, etwa bei EUDAMED-Registrierung, PRRC und Teilen der Vigilanz.

Wie lange dauert der QMS-Aufbau bis zum Zertifikat?

Üblich sind 12 bis 24 Monate. Maßgeblich sind der Ausgangsreifegrad, die Produkt- und Organisationskomplexität und die Terminlage der Benannten Stelle.
 

Fazit

Ein Qualitätsmanagementsystem nach ISO 13485 ist für die meisten Hersteller der etablierte Weg zur Erfüllung der QMS-Anforderungen aus MDR und IVDR. Entscheidend sind ein klar definierter Anwendungsbereich, der festlegt, für welche Tätigkeiten, Produkte, Standorte und Unternehmensrollen das QMS gilt, die Ergänzung nicht durch die Norm abgedeckter Verordnungsvorgaben sowie ein wirksam betriebenes System mit aussagekräftigen Aufzeichnungen. Der überwiegende Aufwand liegt dabei vor allem in der kontinuierlichen Pflege und Weiterentwicklung des QMS.

Wenn Sie prüfen möchten, wie belastbar Ihr System aufgestellt ist oder wie ein Aufbau realistisch zu planen ist, vereinbaren Sie ein unverbindliches Erstgespräch.

Haben Sie Fragen zu Ihrem Projekt oder Produkt?

Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung dar. Sämtliche Inhalte wurden vor Veröffentlichung fachlich geprüft und werden regelmäßig auf Aktualität, Vollständigkeit und Richtigkeit überprüft. Trotz sorgfältiger Erstellung und Qualitätskontrolle können Fehler, Unvollständigkeiten oder zwischenzeitlich eingetretene Änderungen der Rechtslage nicht ausgeschlossen werden.