Risikomanagement für Medizinprodukte: Anforderungen nach ISO 14971

Das Risikomanagement ist eine der zentralen regulatorischen Anforderungen für Medizinprodukte. Die Norm ISO 14971 legt fest, wie Hersteller Risiken über den gesamten Produktlebenszyklus identifizieren, bewerten und beherrschen. Wird dieser Prozess unvollständig oder erst kurz vor der Einreichung aufgesetzt, kann das zu Nichtkonformitäten führen und das Konformitätsbewertungsverfahren verzögern. Dieser Beitrag erläutert Rechtsrahmen, Ablauf und typische Schwachstellen.
 

Bedeutung des Risikomanagements für den Marktzugang

MDR und IVDR verlangen ein dokumentiertes Risikomanagement über den gesamten Lebenszyklus. Risiken sind durch sichere Auslegung und Herstellung zu beseitigen oder soweit wie möglich zu reduzieren. Verbleibende Restrisiken müssen gegenüber dem medizinischen Nutzen akzeptabel sein. Ein positives und nachvollziehbar dokumentiertes Nutzen-Risiko-Verhältnis muss nachgewiesen und fortlaufend überwacht werden. Ein konformes Risikomanagementsystem ist damit Voraussetzung für die CE-Kennzeichnung und nicht nur ein begleitendes Qualitätsinstrument.

Die Benannte Stelle prüft im Rahmen des Konformitätbewertungsverfahrens, ob der Risikomanagementprozess durchgängig belegt ist, von der Zweckbestimmung über die Gefährdungsanalyse bis zur Bewertung des Gesamtrestrisikos. Lücken in dieser Kette führen zu Nichtkonformitäten und damit zu zusätzlichem Zeitaufwand im Verfahren.

Auch reine Softwaremedizinprodukte unterliegen den Anforderungen der ISO 14971. Die Norm gilt ausdrücklich für Medizinprodukte einschließlich Software als Medizinprodukt (SaMD) und In-vitro-Diagnostika (IVD). Da das Risikomanagement in der Praxis eng mit Softwarelebenszyklus, Cybersecurity und Gebrauchstauglichkeit verzahnt ist, sollte es nicht als isoliertes Dokumentationsprojekt betrachtet werden, sondern als durchgängiger Bestandteil der Entwicklung und des gesamten Produktlebenszyklus geplant und umgesetzt werden.

In der Praxis zeigt sich, dass das Risikomanagement oft als reine Formalie wahrgenommen wird. Erst bei Rückfragen der Benannten Stelle wird dann festgestellt, dass Nachweise zu Designentscheidungen, Verifizierung und Restrisikobewertung lückenlos vorliegen müssen. Eine frühzeitige Einbindung von Entwicklung, Qualitätsmanagement und klinischer Bewertung erleichtert es, diese Nachweise durchgängig und ohne nachträgliche Anpassungen zu führen.
 

Rechtsrahmen und Grundbegriffe

Die zentrale Norm ist EN ISO 14971:2019+A11:2021 mit der EU-spezifischen Ergänzung A11. Die Norm beschreibt einen systematischen Risikomanagementprozess für Medizinprodukte und In-vitro-Diagnostika über deren gesamten Lebenszyklus. Für MDR und IVDR wurde die harmonisierte Norm im Amtsblatt der Europäischen Union veröffentlicht, sodass ihre Anwendung eine Konformitätsvermutung für die von ihr abgedeckten Anforderungen begründet. Ergänzend enthält der technische Bericht ISO/TR 24971 Anwendungshinweise zur praktischen Umsetzung, unter anderem eine ausführliche Fragenliste zur Gefährdungsidentifikation, die im Zuge der Überarbeitung 2019 aus der Norm selbst ausgelagert wurde.

Zu beachten ist, dass die MDR-Anforderungen über die reine Anwendung der ISO 14971 hinausgehen. Nach Anhang I müssen Risiken so weit wie möglich reduziert werden („as far as possible“), ohne dabei das Nutzen-Risiko-Verhältnis oder die Zweckbestimmung des Produkts negativ zu beeinflussen. Das Erreichen eines herstellerintern festgelegten Akzeptanzkriteriums allein genügt daher nicht automatisch als Begründung, auf weitere Risikoreduzierungen zu verzichten. Hersteller sollten vielmehr dokumentieren, welche zusätzlichen Risikokontrollmaßnahmen technisch realisierbar geprüft wurden und aus welchen Gründen diese umgesetzt oder verworfen wurden. Nicht jede theoretisch denkbare Maßnahme muss umgesetzt werden, aber die Entscheidung sollte nachvollziehbar begründet sein.

Bei der Risikoanalyse sind neben dem bestimmungsgemäßen Gebrauch auch vernünftigerweise vorhersehbare Fehlanwendungen („reasonably foreseeable misuse“) zu berücksichtigen. Im Rahmen des Usability Engineering nach IEC 62366-1 werden Anwendungsfehler (Use Errors) und nutzungsbedingte Risiken betrachtet. Davon zu unterscheiden ist der ‚anormale Gebrauch‘ (abnormal use), also die bewusste und vorsätzliche Missachtung des bestimmungsgemäßen Gebrauchs. Diese Abgrenzung beeinflusst, welche Verwendungsszenarien in die Risikoanalyse einzubeziehen sind, und ist besonders bei Software und vernetzten Produkten praxisrelevant, etwa im Zusammenspiel mit Cybersecurity-Anforderungen nach IEC 81001-5-1. Bei Software als Medizinprodukt kommen zudem Fehlfunktionen, Datenintegritätsverlust oder unautorisierte Zugriffe als eigenständige Gefährdungsquellen hinzu, die in einer klassischen, hardwarezentrierten Risikoanalyse leicht übersehen werden können.
 

Ablauf des Risikomanagementprozesses

Der Prozess nach ISO 14971 läuft in aufeinander aufbauenden Schritten ab und wird über den gesamten Lebenszyklus fortgeschrieben:

1. Risikomanagementplan erstellen:
Festlegung von Rollen, Methoden, Akzeptanzkriterien und Zeitpunkten der Überprüfung, produktspezifisch und vor Beginn der eigentlichen Analyse. Der Plan sollte auch festlegen, welche Datenquellen (z. B. klinische Literatur, Reklamationen, Erfahrungen mit vergleichbaren Produkten) systematisch einbezogen werden.

2. Gefährdungen identifizieren:
Systematische Erfassung möglicher Gefährdungen und Gefährdungssituationen unter Einbezug von Erfahrungen mit vergleichbaren Produkten. Methoden wie FMEA oder FTA können hierbei unterstützend eingesetzt werden, ersetzen aber nicht den nach ISO 14971 geforderten Gesamtprozess.

3. Risiken einschätzen und bewerten:
Zuordnung von Eintrittswahrscheinlichkeit und Schweregrad je Gefährdungssituation anhand der zuvor festgelegten Akzeptanzkriterien. Risiken, die als nicht akzeptabel bewertet werden, erfordern zusätzliche Risikokontrollmaßnahmen oder eine dokumentierte Nutzen-Risiko-Abwägung, sofern der erwartete medizinische Nutzen die verbleibenden Risiken rechtfertigt.

4. Risikokontrollmaßnahmen umsetzen:
Priorität hat hierbei die inhärente Sicherheit durch Design, gefolgt von Schutzmaßnahmen und zuletzt Sicherheitsinformationen bzw. Warnhinweisen, die etwa in der Kennzeichnung und Gebrauchsanweisung kenntlich gemacht werden können. Jede Maßnahme ist auf Wirksamkeit zu verifizieren und hinsichtlich neu entstehender Risiken zu bewerten. Dabei müssen insbesondere Risiken einbezogen werden, die durch die Maßnahme selbst entstehen können, beispielsweise durch zusätzliche Bedienkomplexität, Alarmmüdigkeit oder neue Cybersecurity-Risiken. Insgesamt gelten Sicherheitsinformationen allein nicht als gleichwertiger Ersatz für Design- oder Schutzmaßnahmen.

5. Gesamtrestrisiko bewerten und dokumentieren:
Nach Umsetzung aller Risikokontrollmaßnahmen wird bewertet, ob die verbleibenden Restrisiken akzeptabel sind. Dies geschieht anhand einer abschließenden Nutzen-Risiko-Abwägung, gestützt auf klinische Daten, Ergebnissen der Gebrauchstauglichkeitsanalyse und ggf. Erkenntnissen basierend auf der Anwendung vergleichbarer Produkte, die im Risikomanagementbericht zusammengefasst werden.

6. Produktions- und Post-Production-Informationen auswerten:
Informationen aus Produktion, Reklamationen, Vigilanzmeldungen, CAPAs, Literaturrecherchen, Anwenderfeedback und Post-Market Surveillance müssen systematisch ausgewertet und in die Risikomanagementakte aufgenommen werden. Neue Erkenntnisse können eine Aktualisierung der Risikobewertung oder zusätzliche Risikokontrollmaßnahmen erforderlich machen.

Die Informationen aus Post-Market Surveillance, Vigilanzmeldungen und Reklamationen fließen fortlaufend in die Risikomanagementakte zurück. Änderungen an Normen oder am Stand der Technik können ebenfalls eine erneute Bewertung erforderlich machen. Für Software als Medizinprodukt gilt dies zusätzlich für jede funktionale Änderung oder jedes Update, das Auswirkungen auf bereits bewertete Gefährdungssituationen haben kann.
 

Die Risikomanagementakte als zentrales Nachweisdokument

Die ISO 14971 fordert eine Risikomanagementakte (Risk Management File). Dabei handelt es sich nicht um ein einzelnes Dokument, sondern um die Gesamtheit aller Aufzeichnungen und Nachweise, die den Risikomanagementprozess dokumentieren.

Typische Bestandteile sind der Risikomanagementplan, die Risikoanalyse, die Bewertungen von Risiken und Restrisiken, Nachweise zur Umsetzung und Verifizierung von Risikokontrollmaßnahmen, Nutzen-Risiko-Bewertungen sowie der abschließende Risikomanagementbericht. Benannte Stellen prüfen im Rahmen des Konformitätsbewertungsverfahrens, ob zwischen diesen Dokumenten und den übrigen Teilen der technischen Dokumentation, etwa Entwicklungsunterlagen, klinische Bewertung oder PMS-Daten, eine konsistente Nachverfolgbarkeit besteht. Fehlende Verknüpfungen zählen zu den häufigsten Ursachen für Nichtkonformitäten im Konformitätsbewertungsverfahren.
 

Herausforderungen und Risiken

• Nachträgliche Dokumentation:
  Wird die Risikomanagementakte erst kurz vor der Einreichung der technischen Dokumentation zusammengestellt, fehlt häufig die Verknüpfung mit Entwicklungsentscheidungen. Nachweise lassen sich dann nur mit erheblichem Aufwand rekonstruieren.
• Unvollständige Verwendungsszenarien:
  Vernünftigerweise vorhersehbare Fehlanwendungen und anormaler Gebrauch werden gerade bei Software-Produkten zum Teil unzureichend betrachtet, etwa im Hinblick auf fehlerhafte Dateneingaben oder unautorisierte Konfigurationsänderungen.
• Fehlende Verknüpfung zu Nachbarprozessen:
  Das Risikomanagement steht in engem Zusammenhang mit klinischer Bewertung, Gebrauchstauglichkeit, Softwarelebenszyklus und Cybersecurity. Eine isolierte Bearbeitung kann zu Inkonsistenzen zwischen den jeweiligen Dokumenten und zu Beanstandungen durch die Benannte Stelle führen.
• Unklare Akzeptanzkriterien:
  Werden Schweregrad- und Wahrscheinlichkeiten nicht produktspezifisch und nachvollziehbar festgelegt, lässt sich die Risikobewertung im Konformitätbewertungsverfahren schwer begründen.
• Verwechslung von Risikoakzeptanz und MDR/IVDR-Anforderungen zur Risikoreduzierung:
  Ein nach ISO 14971 als akzeptabel eingestuftes Risiko muss nach MDR/IVDR dennoch so weit wie möglich verringert werden, soweit dies ohne negative Auswirkung auf das Nutzen-Risiko-Verhältnis möglich ist. Diese Zusatzanforderung wird in der Praxis teils übersehen.
• Fehlende Aktualisierung:
  Post-Market-Daten werden teils nicht systematisch in die Risikomanagementakte aufgenommen, wodurch neue Erkenntnisse nicht in die Bewertung einfließen.

FAQ

Ist die Anwendung der ISO 14971 verpflichtend?

Die Anwendung der Norm ist nicht unmittelbar verpflichtend. Da die ISO 14971 aber unter MDR und IVDR harmonisiert ist, kann sich der Hersteller auf die Konformitätsvermutung nach Art. 8 MDR / IVDR stützen.

Gilt die ISO 14971 auch für Software als Medizinprodukt?

Ja. Die Norm erfasst ausdrücklich Medizinprodukte einschließlich Software als Medizinprodukt und  In-vitro-Diagnostika. Softwarespezifische Anforderungen, etwa aus der IEC 62304, setzen die Anwendung der ISO 14971 voraus.

Was ist der Unterschied zwischen Restrisiko und Gesamtrestrisiko?

Ein Restrisiko bezieht sich auf eine einzelne Gefährdungssituation nach Umsetzung von Risikokontrollmaßnahmen. Das Gesamtrestrisiko bewertet alle verbleibenden Risiken eines Produkts im Zusammenhang und bildet die Grundlage der abschließenden Nutzen-Risiko-Abwägung.

Muss ein akzeptables Risiko trotzdem weiter reduziert werden?

Grundsätzlich ja. Die Verordnungen verlangen eine Minimierung so weit wie möglich, solange das Nutzen-Risiko-Verhältnis dadurch nicht negativ beeinflusst wird, auch wenn das Risiko nach den ISO-14971-Akzeptanzkriterien bereits als akzeptabel gilt.

Wann sollte das Risikomanagement beginnen?

Idealerweise mit der Festlegung der Zweckbestimmung zu Beginn der Entwicklung So lassen sich Designentscheidungen von Anfang an mit Nachweisen hinterlegen.

Endet das Risikomanagement mit dem Inverkehrbringen?

Nein. Der Prozess ist über den gesamten Produktlebenszyklus fortzuführen. Post-Market-Daten, Vigilanzmeldungen, Änderungen am Produkt oder am Stand der Technik müssen laufend in die Risikomanagementakte eingepflegt werden.
 

Fazit

Risikomanagement nach ISO 14971 ist kein einmalig zu erstellendes Dokument, sondern ein durchgängiger Prozess über den gesamten Produktlebenszyklus,. Zusätzlich zur Norm sind die Anforderungen der Verordnungen zu beachten, die über reine Akzeptanzkriterien hinausgehen. Eine frühzeitig angelegte, konsistent geführte Risikomanagementakte reduziert Rückfragen im Konformitätsbewertungsverfahren und schafft die Grundlage für die Nutzen-Risiko-Bewertung.

Fragen zu Ihrem Risikomanagementprozess? Wir prüfen Ihre Risikomanagementakte auf Vollständigkeit und Konsistenz.

Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung dar. Sämtliche Inhalte wurden vor Veröffentlichung fachlich geprüft und werden regelmäßig auf Aktualität, Vollständigkeit und Richtigkeit überprüft. Trotz sorgfältiger Erstellung und Qualitätskontrolle können Fehler, Unvollständigkeiten oder zwischenzeitlich eingetretene Änderungen der Rechtslage nicht ausgeschlossen werden.