Medizinprodukte zulassen: MDR, CE-Kennzeichnung und Risikoklassen

Für Gründerinnen und Gründer in der Medizintechnik ist die Konformitätsbewertung der zentrale Meilenstein. Erst mit der CE-Kennzeichnung darf ein Medizinprodukt in der EU in Verkehr gebracht werden. Grundlage ist seit Mai 2021 die europäische Medizinprodukteverordnung, kurz MDR. Für In-vitro-Diagnostika, also etwa Labortests, gilt die eigene IVDR. In Deutschland ergänzt das Medizinprodukterecht-Durchführungsgesetz (MPDG) die europäischen Regeln.

Ist mein Produkt ein Medizinprodukt?

Am Anfang steht die Zweckbestimmung. Entscheidend ist, wofür der Hersteller sein Produkt bestimmt, nicht, was es technisch könnte. Ein Produkt ist ein Medizinprodukt, wenn es nach dieser Zweckbestimmung etwa der Diagnose, Verhütung, Überwachung, Behandlung oder Linderung von Krankheiten dient. Das gilt für Geräte und Implantate ebenso wie für Software. Eine Fitness-App, die Schritte zählt, ist in der Regel kein Medizinprodukt. Eine App, die aus Messwerten Therapieempfehlungen ableitet, ist es sehr wahrscheinlich.

Die Zweckbestimmung sollte deshalb früh und bewusst formuliert werden. Sie bestimmt die Risikoklasse, den Aufwand für klinische Daten und letztlich Kosten und Dauer des gesamten Verfahrens.

Die Risikoklassen

Die MDR teilt Medizinprodukte in vier Klassen ein. Die Einordnung erfolgt nach den Klassifizierungsregeln in Anhang VIII der Verordnung. Maßgeblich sind unter anderem die Dauer der Anwendung, ob das Produkt invasiv ist, ob es aktiv ist und welche Körperteile betroffen sind.

Für Software gibt es eine eigene Regel. Software, die Informationen für diagnostische oder therapeutische Entscheidungen liefert, fällt danach mindestens in Klasse IIa und kann je nach möglichen Folgen höher eingestuft werden. Viele digitale Gesundheitsanwendungen, die früher als Klasse I galten, mussten deshalb mit Geltung der MDR neu bewertet werden.

Der Weg zur CE-Kennzeichnung

1. Zweckbestimmung und Klassifizierung festlegen und begründen.
2. Qualitätsmanagementsystem aufbauen, in der Praxis meist nach ISO 13485.
3. Risikomanagement nach ISO 14971 über den gesamten Lebenszyklus betreiben.
4. Technische Dokumentation erstellen: Produktbeschreibung, Verifizierung und Validierung, Gebrauchsanweisung, Kennzeichnung.
5. Klinische Bewertung durchführen, bei Bedarf mit eigener klinischer Prüfung.
6. Konformitätsbewertung durchlaufen, ab Klasse IIa mit einer Benannten Stelle.
7. Konformitätserklärung ausstellen, CE-Kennzeichnung anbringen, Produkt und Hersteller registrieren.
8. Überwachung nach dem Inverkehrbringen sicherstellen: Marktbeobachtung, Vigilanz, regelmäßige Aktualisierung der Bewertung.

Klinische Bewertung

Jeder Hersteller muss mit klinischen Daten belegen, dass sein Produkt sicher ist und die versprochene Leistung erbringt. Das kann über Literatur zu gleichartigen Produkten geschehen, unter der MDR sind die Anforderungen an diesen Nachweis der Gleichartigkeit aber gestiegen. Für Implantate und Produkte der Klasse III sind eigene klinische Prüfungen die Regel. Klinische Prüfungen in Deutschland setzen in der Regel eine Befassung der zuständigen Bundesoberbehörde und eine Bewertung durch eine Ethik-Kommission voraus. Für Gründer bedeutet das: Die Planung klinischer Daten gehört an den Anfang der Entwicklung, nicht an ihr Ende.

Pflichten für Hersteller

Mit der CE-Kennzeichnung beginnen die Pflichten erst. Hersteller müssen eine für die Einhaltung der Regulierungsvorschriften verantwortliche Person benennen, die sogenannte PRRC. Kleinst- und Kleinunternehmen dürfen diese Aufgabe unter bestimmten Bedingungen extern vergeben. Hinzu kommen die eindeutige Produktkennung (UDI), die Registrierung in der europäischen Datenbank EUDAMED, die Meldung schwerwiegender Vorkommnisse und eine Produkthaftpflichtversicherung.

Übergangsfristen und Bestandsprodukte

Für Produkte, die noch nach den alten Richtlinien zertifiziert wurden, hat die EU die Übergangsfristen mehrfach verlängert, abhängig von der Risikoklasse bis Ende 2027 oder Ende 2028 und an Bedingungen geknüpft. Für neue Produkte von Startups spielen diese Fristen kaum eine Rolle: Sie müssen von Anfang an die Anforderungen der MDR erfüllen.

Weiter auf der Startbahn

Wer eine digitale Anwendung entwickelt, findet unter DiGA gründen den Weg ins Verzeichnis erstattungsfähiger Apps. Die Kosten der Zertifizierung gehören in den Businessplan, Fragen zu Haftung und Datenschutz behandelt der Bereich Recht und Datenschutz. Für Gespräche mit Benannten Stellen und die Auswahl von Regulatorik-Dienstleistern lohnt der Kontakt zu Branchenverbänden und regionalen Netzwerken.