ISO 13485 erklärt

Ein unabhängiger Überblick von der DQS, einer akkreditierten Zertifizierungsstelle.

ISO 13485 ist die internationale Norm für Qualitätsmanagementsysteme im Medizinproduktebereich. Sie legt Anforderungen an ein Qualitätsmanagementsystem fest, die eine Organisation erfüllen muss, um Medizinprodukte und damit verbundene Dienstleistungen bereitzustellen, die stets den Anforderungen der Kunden und den geltenden gesetzlichen Vorschriften entsprechen. Die aktuelle Fassung ist ISO 13485:2016, die in der Europäischen Union durch EN ISO 13485:2016/A11:2021 ergänzt wird. Diese europäische Änderung legt den Zusammenhang zwischen ISO 13485:2016 und den Anforderungen der EU-Medizinprodukteverordnung (MDR 2017/745) sowie der Verordnung über In-vitro-Diagnostika (IVDR 2017/746) fest, und unterstützt Hersteller dabei, die Konformität mit den geltenden regulatorischen Anforderungen nachzuweisen. In den Vereinigten Staaten trat am 2. Februar 2026 die Quality Management System Regulation (QMSR) der FDA in Kraft, mit der die Norm ISO 13485:2016 durch Verweis in 21 CFR Part 820 aufgenommen wurde. Derzeit ist keine formelle Überarbeitung der ISO 13485 geplant, allerdings werden Überprüfungsmaßnahmen erwartet, da sich neue Technologien und regulatorische Anforderungen weiterentwickeln (Stand: Mai 2026). 

Die wichtigsten Fakten auf einen Blick 

Warum ist ISO 13485 im regulatorischen Umfeld so wichtig? 

Regulatorischer Druck in den wichtigsten Märkten 

Die Medizinproduktebranche ist einer der am stärksten regulierten Bereiche der Weltwirtschaft, und die regulatorischen Rahmenbedingungen werden immer strenger. In der Europäischen Union verpflichten die Medizinprodukteverordnung (MDR, Verordnung (EU) 2017/745) und die In-vitro-Diagnostika-Verordnung (IVDR, Verordnung (EU) 2017/746) Hersteller und Bevollmächtigte zum Betrieb eines Qualitätsmanagementsystems; EN ISO 13485:2016/A11:2021 ist die harmonisierte Norm, die von den meisten Herstellern als Grundlage für ihr Qualitätsmanagementsystem im Rahmen der Konformitätsbewertung gemäß MDR und IVDR verwendet wird. In den Vereinigten Staaten trat am 2. Februar 2026 die Verordnung der FDA über Qualitätsmanagementsysteme (QMSR) in Kraft, die die frühere 21 CFR Part 820 (Quality System Regulation) ab, indem sie die Norm ISO 13485:2016 durch Verweis einbezieht, ergänzt um FDA-spezifische Bestimmungen zu Kennzeichnung, Beschwerdebearbeitung und Aufbewahrung von Aufzeichnungen. Health Canada verlangt seit langem eine Zertifizierung nach ISO 13485 im Rahmen des „Medical Device Single Audit Program“ (MDSAP), und andere wichtige Aufsichtsbehörden (die brasilianische ANVISA, die australische TGA, die japanische PMDA, Südafrikas SAHPRA) akzeptieren oder verlangen MDSAP-Audits auf der Grundlage der ISO 13485. 

Anforderungen an die Lieferkette und Prüfung durch benannte Stellen 

Das regulatorische Umfeld hat konkrete Erwartungen entlang der Wertschöpfungskette für Medizinprodukte hervorgebracht. Benannte Stellen in der EU und Zertifizierungsstellen in anderen Ländern prüfen die Lieferantenkontrolle, Konstruktions- und Entwicklungsunterlagen, die Überwachung nach dem Inverkehrbringen sowie das Risikomanagement mit zunehmender Strenge. Von Tier-N-Zulieferern für Komponenten, Sterilisationsdienstleistungen, Verpackungen und Auftragsfertigung wird erwartet, dass sie ISO 13485-konforme Qualitätsmanagementsysteme betreiben – dies ist eine Voraussetzung für die Zusammenarbeit mit Originalgeräteherstellern (OEMs). Entwickler, Vertreiber, Importeure und Dienstleister von Software als Medizinprodukt (SaMD) sehen sich entsprechend ihrer Rolle im Lebenszyklus von Medizinprodukten mit vergleichbaren Anforderungen konfrontiert. 

Patientensicherheit, Risikomanagement und Disziplin nach dem Inverkehrbringen 

Die der Norm zugrunde liegende Logik ist die Patientensicherheit. ISO 13485 verlangt, dass das Risikomanagement gemäß ISO 14971 (der gängigsten Norm für das Risikomanagement bei Medizinprodukten) über die gesamte Produktrealisierung hinweg angewendet wird und dass Organisationen Prozesse für die Bearbeitung von Beschwerden, die Überwachung nach dem Inverkehrbringen, die Vigilanz sowie Korrektur- und Vorbeugungsmaßnahmen betreiben, mit denen Sicherheitsprobleme im Einsatz identifiziert und behoben werden können. Die Kombination aus Disziplin bei der Produktentwicklung vor der Markteinführung und Rückkopplungsschleifen nach der Markteinführung unterscheidet das Qualitätsmanagementsystem für Medizinprodukte vom allgemeinen Qualitätsmanagement. 

Akkreditierte vs. nicht akkreditierte Zertifizierung: Warum dies wichtig ist 

Bei der Auswahl eines Zertifizierungspartners ist es wichtig, zwischen akkreditierter und nicht akkreditierter Zertifizierung zu unterscheiden. Eine akkreditierte Zertifizierung bedeutet, dass die Zertifizierungsstelle selbst von einer unabhängigen Akkreditierungsstelle formell bewertet, zugelassen und kontinuierlich überwacht wird. Dies bietet zusätzliche Sicherheit hinsichtlich Kompetenz, Unparteilichkeit, Auditmethodik und internationaler Akzeptanz. Nicht akkreditierte Zertifikate bestätigen zwar, dass eine Bewertung stattgefunden hat, bieten jedoch in der Regel nicht das gleiche Maß an externer Aufsicht, regulatorischer Glaubwürdigkeit oder Marktanerkennung. 

Die Zusammenarbeit mit einer akkreditierten Zertifizierungsstelle bietet daher klare Vorteile: Zertifikate genießen bei Aufsichtsbehörden, Kunden, Beschaffungsorganisationen und Geschäftspartnern ein größeres Vertrauen; sie eignen sich besser für regulierte Märkte und Lieferantenqualifizierungsprozesse; und sie liefern einen stärkeren Nachweis dafür, dass das Audit nach anerkannten Regeln und kontrollierten Akkreditierungsanforderungen durchgeführt wurde. Die DQS verfügt über ISO 13485-Akkreditierungen durch international anerkannte Akkreditierungsstellen, darunter die DAkkS in Deutschland, die ANAB in den Vereinigten Staaten und den Standards Council of Canada, was die internationale Akzeptanz und Glaubwürdigkeit ihrer Zertifikate untermauert. 

Kernanforderungen der ISO 13485

Die Norm ISO 13485:2016 ist in acht Abschnitte gegliedert. Die Abschnitte 1 bis 3 behandeln den Geltungsbereich, normative Verweise sowie Begriffe und Definitionen. Die Anforderungsabschnitte – anhand derer eine Organisation auditiert wird – sind die Abschnitte 4 bis 8. 

Abschnitt 4 – Qualitätsmanagementsystem 

Die Organisation dokumentiert, führt ein und hält ein Qualitätsmanagementsystem aufrecht. Die Anforderungen umfassen allgemeine Anforderungen an das QMS (einschließlich der Kontrolle ausgelagerter Prozesse und der im QMS verwendeten Software), das Qualitätshandbuch, die Dokumentenkontrolle und die Kontrolle von Aufzeichnungen. Die Dokumentationsanforderungen sind bewusst explizit und detailliert gehalten und spiegeln den regulatorischen Zweck der Norm wider. 

Abschnitt 5 – Verantwortung der Leitung 

Die oberste Leitung legt die Qualitätspolitik und die Qualitätsziele fest, führt Managementbewertungen durch und stellt die Verfügbarkeit von Ressourcen sicher. Die Klausel legt die Rolle des Qualitätsbeauftragten, die interne Kommunikation sowie die für den Betrieb des Qualitätsmanagementsystems erforderlichen Verantwortlichkeiten und Befugnisse fest. 

Abschnitt 6 – Ressourcenmanagement 

Die Anforderungen beziehen sich auf die Bereitstellung von Ressourcen, einschließlich Personal (Kompetenz, Schulung, Sensibilisierung), Infrastruktur und Arbeitsumfeld. Für sterile Medizinprodukte und aktive implantierbare Medizinprodukte werden Anforderungen an die Kontaminationskontrolle und das Arbeitsumfeld ausdrücklich genannt. 

Abschnitt 7 – Produktverwirklichung 

Der umfangreichste Abschnitt deckt den Lebenszyklus von Medizinprodukten ab: Planung der Produktrealisierung, kundenbezogene Prozesse, Konstruktion und Entwicklung, Beschaffung (einschließlich Lieferantenbewertung und -neubewertung), Produktion und Dienstleistungserbringung, Identifizierung und Rückverfolgbarkeit, Kontrolle von Überwachungs- und Messgeräten sowie durchgängig anzuwendende Risikomanagementmaßnahmen. Für sterile Produkte, implantierbare Produkte und Produkte, die eine Installation oder Wartung erfordern, gelten spezifische Anforderungen. 

Abschnitt 8 – Messung, Analyse und Verbesserung 

Die Organisation plant und implementiert Überwachungs-, Mess-, Analyse- und Verbesserungsprozesse, einschließlich Rückmeldungen (Überwachung nach dem Inverkehrbringen), Beschwerdebearbeitung, Berichterstattung an die Aufsichtsbehörden, interner Audits, Überwachung und Messung von Prozessen und Produkten, Kontrolle nicht konformer Produkte, Datenanalyse sowie Korrektur- und Vorbeugungsmaßnahmen (CAPA). In diesem Abschnitt wird der Zusammenhang der Norm mit der Marktüberwachung am deutlichsten.

Zielgruppen und Anwendungsbereiche der ISO 13485

ISO 13485 ist die de facto weltweite Referenz für Organisationen, die in irgendeinem Bereich des Lebenszyklus von Medizinprodukten tätig sind. Zu den typischen Anwendergruppen gehören: 

• Medizinproduktehersteller, von kleinen SaMD-Entwicklern und Start-ups bis hin zu großen multinationalen OEMs. 
• Hersteller von In-vitro-Diagnostika (IVD), bei denen die parallele Umstellung auf die EU-IVDR zu einer erheblichen Zunahme der Implementierung von QMS auf Basis der ISO 13485 geführt hat. 
• Auftragsfertiger und Konstruktionsbüros, die sich nahtlos in die QMS-Audits ihrer Kunden integrieren können müssen. 
• Zulieferer von Komponenten, Sterilisationsdienstleister, Verpackungsanbieter und Softwareentwicklungsdienstleister, für die eine Zertifizierung oder eine Konformitätsbewertung zunehmend eine Voraussetzung für die Lieferung ist. 
• Vertriebshändler, Importeure und Bevollmächtigte mit regulatorischen Verpflichtungen gemäß der MDR, der IVDR oder vergleichbaren nationalen Regelungen. 
• Installateure und Dienstleister für Medizinprodukte, die eine fachgerechte Installation oder Wartung erfordern. 

Ein gut konzipiertes Qualitätsmanagementsystem für Medizinprodukte unterstützt fundierte Entscheidungen, indem es Führungskräften und operativen Managern strukturierte, rückverfolgbare Informationen über Design, Produktion, Lieferantenleistung und das Verhalten nach dem Inverkehrbringen liefert. Es bildet die Grundlage für ein evidenzbasiertes Management der Patientensicherheit und der Einhaltung gesetzlicher Vorschriften; das System selbst handelt nicht, sondern ermöglicht es den Mitarbeitern der Organisation, besser fundierte Entscheidungen zu treffen

Normen im Zusammenhang mit ISO 13485

Harmonisierte Struktur und typische Kombinationen

Im Gegensatz zu den meisten anderen ISO-Managementsystemnormen ist die ISO 13485 nicht an die High Level Structure (Anhang SL) angepasst. Dies ist eine bewusste Entscheidung des ISO/TC 210, die darauf abzielt, die Norm für Regulierungsbehörden im Bereich Medizinprodukte stabil zu halten, die sie durch Verweis übernommen haben. Organisationen, die ISO 13485 parallel zu ISO 9001 anwenden, betreiben in der Regel ein einziges integriertes Qualitätsmanagementsystem (QMS), in dem die Elemente der ISO 9001 auf die Basis der ISO 13485 aufgesetzt werden, wobei anerkannt wird, dass beide Normen zwar einen gemeinsamen intellektuellen Hintergrund haben, sich jedoch in ihrer Klauselstruktur unterscheiden. Viele Hersteller von Medizinprodukten betreiben parallel dazu auch Systeme nach ISO 14001 (Umwelt) und ISO 45001 (Arbeitsschutz), doch die Integration mit ISO 13485 fällt aufgrund der strukturellen Unterschiede zwangsläufig weniger tiefgreifend aus.

Der Zusammenhang mit ISO 9001

ISO 13485 leitet sich ursprünglich von ISO 9001 ab und teilt seit Jahrzehnten deren konzeptionellen Ansatz. Die Ausgabe 2016 der ISO 13485 wurde jedoch bewusst nicht an die Überarbeitung der ISO 9001 aus dem Jahr 2015 angepasst, und es gibt derzeit keine Anzeichen dafür, dass ISO/TC 210 eine Angleichung an die ISO 9001:2026 plant. Organisationen sollten daher nicht davon ausgehen, dass die Konformität mit einer Norm auch die Konformität mit der anderen impliziert; die Anforderungen unterscheiden sich in wichtigen Bereichen, insbesondere in Bezug auf Dokumentation, Risikomanagement, behördliche Berichterstattung, Konstruktion und Entwicklung sowie Aktivitäten nach dem Inverkehrbringen.

MDSAP und regulatorische Rahmenbedingungen

Das Medical Device Single Audit Program (MDSAP) ist ein Auditprogramm, das ISO 13485:2016 als Kernnorm verwendet und um länderspezifische Anforderungen der teilnehmenden Aufsichtsbehörden (die australische TGA, die brasilianische ANVISA, Health Canada, die US-amerikanische FDA sowie Japans PMDA/MHLW). Ein erfolgreiches MDSAP-Audit wird von den teilnehmenden Aufsichtsbehörden auf unterschiedliche Weise anerkannt – in einigen Fällen ist es verpflichtend, in anderen wird es als Nachweis akzeptiert. EN ISO 13485:2016/A11:2021 ist die europäische harmonisierte Fassung der Norm, wobei die Anhänge ZA und ZB verdeutlichen, wie die Norm mit der EU-MDR und der IVDR in Einklang steht. Die FDA-Verordnung zum Qualitätsmanagementsystem (QMSR), die am 2. Februar 2026 in Kraft tritt, bezieht ISO 13485:2016 durch Verweis ein und fügt FDA-spezifische Bestimmungen zu Kennzeichnung, Beschwerdebearbeitung und Aufbewahrung von Aufzeichnungen hinzu; Die QMSR wird ohne gesonderte Regelungsmaßnahmen der FDA ausdrücklich nicht automatisch an künftige Überarbeitungen der ISO 13485 angepasst.

Risikomanagement und damit verbundene technische Normen

Die ISO 13485 ist eng mit einer Reihe von Risiko- und Produktsicherheitsnormen verknüpft, bei denen es sich nicht um zertifizierbare Managementsystemnormen handelt, auf die jedoch in der ISO 13485 Bezug genommen wird oder die von den Aufsichtsbehörden vorgeschrieben sind. Die ISO 14971 (Anwendung des Risikomanagements auf Medizinprodukte) ist die anerkannte Referenz für das Risikomanagement. IEC 62304 (Lebenszyklusprozesse für Medizinproduktesoftware), IEC 62366-1 (Usability-Engineering) und die IEC-60601-Reihe (elektrische Sicherheit medizinischer elektrischer Geräte) sind technische Produktnormen, die mit dem Managementsystem nach ISO 13485 interagieren, selbst jedoch keine Managementsystem-Zertifizierungen darstellen. Diese sollten nicht als gleichwertig mit der ISO 13485 beschrieben werden.