Validierung auch für Software

Michael StöckerFachjournalist in Darmstadt

Gleich in drei Kapiteln aktualisiert die im Frühjahr 2016 veröffentlichte ISO 13485:2016 die Anforderungen an Computersoftware, die im Umfeld der Fertigung von Medizinprodukten verwendet wird: Sie muss validiert sein.

Zwar klang das Thema Software-Validierung auch schon in der vorhergehenden Ausführung der Norm an. Die meisten Branchenexperten sind sich jedoch einig in der Bewertung, dass die neue ISO 13485:2016 dieser Forderungen eine wesentlich höhere Bedeutung beimisst. So wird im novellierten Kapitel 4 beschrieben, dass Medizinprodukte-Hersteller all jene Software-Anwendungen, die sie in ihrem Qualitätsmanagement nutzen, nach einem dokumentierten Verfahren validieren müssen. Und im Kapitel 6.3 der Norm heißt es, dass die Unternehmen alle IT-Infrastruktur-Anforderungen zu dokumentieren haben, die nötig sind,

„Zur IT-Infrastruktur zählt die Norm eben auch Hard- und Software“, betont Dominic Konrad, CEO des international tätigen Beratungsunternehmens IQC AG mit Sitz in Reinheim. Indirekt bedeute diese Novellierung eine Annäherung an internationale Standards, wie sie etwa die US-amerikanische FDA (Food and Drug Administration) in ihren Qualitätsrichtlinien der Verordnung 21 CFR Part 820 QSR oder auch die brasilianische Anvisa fordern.

Laut Konrad ist jetzt der richtige Zeitpunkt, die Validierung der computergestützten Systeme anzugehen – mit dem Ziel, sie rechtzeitig bis zum Ende der ISO-Übergangsfrist im November 2018 rezertifiziert zu haben. Für viele Hersteller dürfte das eine Herausforderung sein. Konrad sieht darin aber auch eine Chance. Denn ein Medizinprodukte-Hersteller, der zukünftig die Validierung seiner Software-Systeme nachweisen kann, erhöhe die Erfolgsaussichten bei der internationalen Vermarktung seiner Erzeugnisse. Außerdem könne er „dem nächsten Re-Audit gelassen entgegen sehen“.

Laut Rechtsanwalt Dr. Tilman Schierig von der international tätigen Kanzlei Schrade & Partner sind die Änderungen der ISO 13485:2016 letztlich die Antwort des Normgebers auf den unaufhaltsamen Wandel der Branche hin zu durchgehend IT-gestützten Beschaffungs-, Produktions-, Überwachungs- und Vertriebsprozessen. „Diesen Wandel gilt es auch aus haftungsrechtlicher Sicht zu beherrschen“, sagt der Jurist. Die Systemvalidierung schaffe das notwendige Instrumentarium für die Dokumentation. Sie sei kein Selbstzweck, sondern könne auch zeigen, wo im Unternehmen noch Handlungsbedarf besteht.

Bei näherer Betrachtung wirken sich einzelne Punkte des Kapitels 7 der ISO 13485:2016, in dem es um Fragen der Entwicklung geht, ebenfalls auf die Gesamtproblematik der IT-Validierung aus. Denn im Abschnitt 7.4 heißt es, dass im Rahmen des Beschaffungswesens auch die „Verifizierung von beschafften Produkten“ abgedeckt werden muss. Diese Formulierung erstreckt sich logischerweise auch auf sämtliche Prozesssoftware und Hardwarekomponenten, die sich ein Medizinprodukte-Hersteller zuliefern lässt, und IT-Dienstleistungen wie Hosting oder Cloud Services, die er in Anspruch nimmt. Insofern müssen Unternehmen das Thema IT-Validierung auch im Rahmen ihres Lieferantenmanagements einfließen lassen beziehungsweise dokumentieren. Laut Dominic Konrad ist die Qualifizierung der Hersteller validierungspflichtiger Prozesssoftware und der IT-Dienstleister „ein kritischer Erfolgsfaktor“. Eine risikobasierte Lieferantenqualifizierung gebe hier Sicherheit. Dazu gehöre zunächst eine Grundbewertung. „In der Praxis wird es aber oft nicht ohne ein Lieferantenaudit des Softwareherstellers oder IT- Dienstleisters gehen.“ ■