Inhaltsverzeichnis
Das Wichtigste vorab
Was ändert der aktuelle QMSR-Rahmen für Produktions- und QMS-Software eines Medizinprodukteherstellers?
Prüfen Sie zunächst, ob Ihr Betrieb und der konkrete Softwareeinsatz unter den aktuellen Part 820 fallen. Ordnen Sie die durch QMSR einbezogenen Anforderungen und die FDA-Ergänzungen dem Prozess zu. Aktualisieren Sie veraltete Verweise, ohne bestehende passende Nachweise pauschal zu verwerfen. Die CSA-Guidance vom 3. Februar 2026 unterstützt ein risikobasiertes Vorgehen, ersetzt aber weder verbindliche Anforderungen noch die Beurteilung Ihrer tatsächlichen Konfiguration.
- Alte Paragraphen nicht ungeprüft als aktuelle Pflichtquelle weiterführen.
- ISO-Verweisung, FDA-Ergänzung und CSA-Empfehlung getrennt zuordnen.
- Anforderungslücke und bloßen redaktionellen Altverweis unterscheiden.
1. Bestimmen Sie Betrieb und Softwareeinsatz
Die Quality Management System Regulation betrifft den einschlägigen Medizinproduktebereich nach Part 820. Ein Unternehmen wird nicht allein durch irgendeinen US-Kunden oder eine Softwarebezeichnung erfasst. Prüfen Sie die Rolle des Betriebs, die Produkte und gegebenenfalls relevante Ausnahmen. Erst danach lässt sich die konkrete Produktions- oder QMS-Anwendung einordnen.
Unterscheiden Sie außerdem Software, die selbst Medizinprodukt oder Teil eines Medizinprodukts ist, von Software für Herstellung und Qualitätsmanagement. Die aktuelle CSA-Guidance behandelt den zweiten Bereich. Eine Labor-, Planungs- oder Dokumentenfunktion kann dort relevant sein, abhängig von ihrem vorgesehenen Einsatz. Allgemeine Bürosoftware wird nicht allein durch den Arbeitsplatz beim Hersteller vollständig zur validierungspflichtigen Anwendung.
2. Arbeiten Sie mit dem aktuellen Regelungsaufbau
Die QMSR ist seit dem 2. Februar 2026 wirksam. Der aktuelle Part 820 bindet über §820.7 ISO 13485:2016 ein und enthält zusätzliche FDA-Anforderungen. §820.10 beschreibt den Rahmen für das dokumentierte Qualitätsmanagementsystem. Der frühere §820.70 ist deshalb keine unverändert aktuelle Paragraphengrundlage mehr.
Die FDA-CSA-Guidance vom 3. Februar 2026 berücksichtigt diesen Aufbau. Sie verweist bei Softwarevalidierung auf bestimmte ISO-Unterabschnitte, unter anderem 4.1.6, 7.5.6 und 7.6. Die ISO-Verweise folgen hier der FDA-Erläuterung; vollständige Normanforderungen sind am maßgeblichen Text zu prüfen.
3. Erstellen Sie eine aktuelle Anforderungskette
Die eigene Matrix hilft, Pflichtquelle, Empfehlung und betriebliche Umsetzung auseinanderzuhalten. Eine SOP kann mehrere davon verbinden. Trotzdem muss erkennbar bleiben, ob eine konkrete Vorgabe aus einer Vorschrift, einer einbezogenen Norm, einer Guidance oder einer eigenen Entscheidung stammt.
Übernehmen Sie keine Normdetails allein aus einer Kurzfassung oder Präsentation. Für die vollständige Umsetzung müssen die zuständigen Verantwortlichen Zugang zu den maßgeblichen Anforderungen haben. Ein öffentlicher FDA-Verweis reicht, um die relevante Quelle zu identifizieren; er ersetzt nicht automatisch die Prüfung sämtlicher einschlägiger Norminhalte.
| Ebene | Konkreter Bezug | Bedeutung für die Software | Prüfauftrag |
|---|---|---|---|
| Verordnung | Part 820, insbesondere §§820.7 und 820.10 | Aktueller QMSR-Rahmen | Anwendbarkeit und aktuelle Referenzen bestimmen |
| Einbezogene Norm | ISO 13485:2016 im QMSR-Rahmen | Einschlägige Anforderungen nach konkretem Einsatz | Maßgeblichen Volltext im Unternehmen prüfen |
| FDA-Ergänzung | Etwa §820.35 für bestimmte Aufzeichnungen | Zusätzliche Inhalte für den passenden Prozess | Datensätze und Nachweise konkret zuordnen |
| Nicht bindende Guidance | CSA 2026 | Risikobasierte Assurance-Empfehlungen | Geeignete Methoden begründet auswählen |
| Eigene Regelung | SOP und Arbeitsanweisung | Zuständigkeit und Umsetzung | Keine interne Gewohnheit als Gesetz ausgeben |
4. Unterscheiden Sie drei Arten von Altbestand
Ein veralteter Paragraph kann ein redaktionelles Problem sein, während der fachliche Prozess weiterhin geeignet abgesichert ist. Es kann aber auch eine echte Anforderungslücke vorliegen. Eine dritte Möglichkeit ist ein nicht mehr passender Einsatz: Das System wird heute für zusätzliche Entscheidungen genutzt, die in den alten Unterlagen nicht vorkommen.
Prüfen Sie daher nicht nur Suchtreffer auf §820.70. Lesen Sie, welche fachliche Aussage jeweils daran hängt. Ist es eine allgemeine Begründung der Validierung, eine konkrete Aufzeichnungspflicht oder eine interne Testvorgabe? Ordnen Sie die Aussage neu zu und bewerten Sie die Auswirkung. Ein bloßes globales Ersetzen von Referenzen kann falsche Zusammenhänge verdecken.
5. Illustrativer Fall: drei Unterlagen einer Reklamationsanwendung
Ein fiktiver Hersteller nutzt eine Anwendung zur Erfassung und Bearbeitung von Reklamationen. Drei Dokumente enthalten alte Verweise. Im eigenen Sollfall wurden zusätzlich zwei neue Datenfelder und eine neue automatische Weiterleitung eingeführt. Diese Änderungen werden getrennt von der Quellenkorrektur beurteilt.
Die geplanten Maßnahmen verbinden die aktuelle Quellenzuordnung mit der tatsächlich geänderten Anwendung. Prüfen Sie für jeden Befund, ob eine Dokumentkorrektur genügt oder ob zusätzliche Anforderungen und Nachweise erforderlich sind. Eine reine Referenzaktualisierung darf die neuen Funktionen nicht verdecken.
| Unterlage | Befund | Fachliche Entscheidung | Erwarteter Nachweis |
|---|---|---|---|
| Validierungs-SOP | Allgemeiner Verweis auf alten §820.70 | Anforderungskette aktualisieren; bisherige Methode auf Eignung prüfen | Begründete Quellenzuordnung und Dokumentänderung |
| Anforderungsübersicht | Zwei neue Reklamationsfelder fehlen | Aktuelle Record-Inhalte und tatsächlichen Einsatz abgleichen | Ergänzte Anforderungen und passende Prüfungen |
| Testabschluss | Neue Weiterleitung nicht erfasst | Fehlerfolge und vorhandene Kontrollen beurteilen | Gezielte Assurance mit sichtbaren offenen Punkten |
| Abschluss | Quellenkorrekturen und Funktionsänderungen zusammenführen | Erledigte Maßnahmen und verbleibende Lücken getrennt bewerten | Nachvollziehbare Entscheidung zum aktuellen Einsatz |
6. Nutzen Sie passende vorhandene Evidenz weiter
Eine neue Regelungsfassung macht nicht automatisch jeden früheren Test unbrauchbar. Entscheidend ist, ob dessen Aussage den heutigen Einsatz und die aktuellen Anforderungen trägt. Ein dokumentierter Test zur Erkennung fehlender Pflichtangaben kann weiterhin relevant sein. Er belegt allerdings keine inzwischen neu eingeführte Weiterleitungslogik.
CSA unterstützt die Verwendung geeigneter vorhandener Nachweise, einschließlich Lieferanteninformationen, abhängig von ihrer Qualität und Abdeckung. Prüfen Sie Version, Konfiguration und Grenzen. Dokumentieren Sie die verbleibende Lücke konkret. Eine Aussage wie „bereits validiert“ ist ohne diese Verbindung ebenso schwach wie die pauschale Forderung, wegen QMSR sämtliche Tests erneut auszuführen.
7. Planen Sie die Mitwirkung nach offenen Entscheidungen
Für ein KMU wird der Aufwand vor allem durch den Zustand der Anforderungszuordnung und den tatsächlichen Änderungsumfang bestimmt. Ein sauber beschriebenes System mit unverändertem Einsatz ist anders zu bearbeiten als eine gewachsene Anwendung mit unbekannten Schnittstellen und nicht dokumentierten Regeln. Eine pauschale Zeit- oder Kostenangabe wäre dafür wenig hilfreich.
Benennen Sie Verantwortliche für regulatorischen Scope, Fachprozess, technische Konfiguration und Nachweisbewertung. Die Rollen können organisatorisch unterschiedlich verteilt sein. Wichtig ist, dass eine offene Normfrage nicht still durch eine technische Annahme ersetzt wird. Beschaffen Sie den benötigten Normzugang und klären Sie interpretationsbedürftige Stellen, bevor daraus konkrete Prüferwartungen entstehen.
8. Checkliste für eine belastbare Umstellung
Schließen Sie die Aktualisierung mit einer nachvollziehbaren Übersicht ab: Welche Quellen wurden korrigiert, welche fachlichen Lücken wurden gefunden und welche Nachweise tragen den aktuellen Einsatz? Eine vollständig überarbeitete SOP allein beantwortet die Frage nach der tatsächlichen Systemkonfiguration nicht.
Die folgende eigene Liste kann in das bestehende Änderungsverfahren integriert werden. Sie ist kein vollständiger QMSR-Compliancekatalog und keine Ersatzfassung der ISO 13485. Ihr Nutzen liegt darin, Quellenpflege und konkrete Softwarewirkung miteinander zu verbinden.
- Betrieb, Produktbereich und Softwareeinsatz eingegrenzt.
- Aktuelle Part-820-Verweise und einschlägige Normanforderungen zugeordnet.
- Historische Referenzen mit ihrer fachlichen Aussage geprüft.
- Reine Textkorrekturen von funktionalen Lücken getrennt.
- Vorhandene Nachweise auf heutige Abdeckung bewertet.
- Zusätzliche Assurance und offene Fragen nachvollziehbar bearbeitet.
- Aktuelle Nutzung, Zuständigkeiten und Änderungsabschluss dokumentiert.
Häufige Fragen zu QMSR: Softwarevalidierung auf aktuelle Anforderungen stützen
Ist §820.70 noch die aktuelle Grundlage für Softwarevalidierung?
Der aktuelle QMSR-Aufbau seit Februar 2026 führt diesen früheren Paragraphen nicht unverändert fort. Prüfen Sie Part 820 einschließlich der einbezogenen ISO-Anforderungen und FDA-Ergänzungen. Historische Unterlagen dürfen ihren damaligen Bezug behalten; aktuelle Arbeitsanweisungen brauchen eine passende heutige Zuordnung.
Gilt QMSR für jede Software eines Medizinprodukteherstellers?
Nicht jede Anwendung hat denselben Bezug. Entscheidend sind der anwendbare Betriebs- und Produktscope sowie die konkrete Nutzung für Produktion oder Qualitätsmanagement. Allgemeine Geschäftsanwendungen und gerätebezogene Software sind gesondert einzuordnen. Eine pauschale Liste nach Produktnamen genügt nicht.
Ersetzt CSA die Softwarevalidierung?
CSA beschreibt einen risikobasierten Ansatz zur Schaffung von Vertrauen in den vorgesehenen Einsatz. Die Guidance hebt verbindliche Validierungsanforderungen nicht auf. Sie unterstützt die Auswahl geeigneter Aktivitäten und Nachweise, statt eine bloße Verringerung der Dokumentmenge zum Ziel zu machen.
Quellen: [2]
Müssen alle alten Validierungen neu durchgeführt werden?
Nicht allein wegen einer geänderten Referenz. Prüfen Sie die fortbestehende Eignung der vorhandenen Evidenz für den aktuellen Einsatz und die einschlägigen Anforderungen. Funktionale Änderungen oder echte Nachweislücken können zusätzliche Aktivitäten verlangen. Die Entscheidung sollte konkret begründet werden.
Reicht die FDA-Guidance als Ersatz für ISO 13485?
Nein. Die Guidance erläutert und zitiert ausgewählte Zusammenhänge. Für die vollständige Anwendung der einbezogenen Norm benötigen Sie deren maßgeblichen Text. Die öffentlichen FDA-Verweise helfen bei der Zuordnung, ersetzen aber keine vollständige Prüfung der für Ihren Prozess einschlägigen Normanforderungen.
Wie behandeln wir historische §820.70-Verweise in abgeschlossenen Akten?
Erhalten Sie den historischen Zusammenhang und vermeiden Sie eine rückwirkende Verfälschung. Für die heutige Nutzung kann eine aktuelle Zuordnung ergänzend dokumentiert werden. Ob eine kontrollierte Aktualisierung nötig ist, hängt davon ab, ob die Unterlage historischer Nachweis oder aktive Arbeitsgrundlage ist.
Ist ein ISO-Zertifikat des Lieferanten ausreichend?
Ein Zertifikat kann Informationen über das Qualitätsmanagement liefern. Es belegt nicht automatisch jede Funktion Ihrer Konfiguration. Prüfen Sie die tatsächlichen Lieferantennachweise und deren Abdeckung. Geeignete vorhandene Evidenz kann genutzt werden; verbleibende einsatzbezogene Fragen müssen geklärt werden.
Quellen: [2]
Braucht jede neue Reklamationsfunktion denselben Testumfang?
Nein. Beurteilen Sie den vorgesehenen Einsatz und mögliche Fehlerfolgen. Eine Anzeige, ein Pflichtfeld und eine sicherheitsrelevante Weiterleitung können unterschiedliche Auswirkungen haben. Die konkrete Funktion und vorhandene Kontrollen sind aussagekräftiger als die pauschale Bezeichnung Reklamationssystem.
Gilt Part 11 durch QMSR nicht mehr?
Doch, seine Anwendbarkeit ist weiterhin gesondert zu prüfen. Erforderliche elektronische Aufzeichnungen unter Part 820 können zusätzlich Part-11-Kontrollen auslösen. CSA verweist ausdrücklich auf diese Verbindung und unterscheidet erforderliche Nachweise von technischen Logs ohne entsprechenden Record-Zweck.
Quellen: [2]
Was sollte zuerst aktualisiert werden?
Beginnen Sie mit Anwendbarkeit und Anforderungskette. Danach lassen sich aktive SOPs, Systemanforderungen und Nachweislücken gezielt bearbeiten. Ein rein redaktioneller Austausch aller alten Nummern kann die eigentliche Frage verdecken, ob der heutige Softwareeinsatz ausreichend abgesichert ist.
Quellen & fachlicher Stand
Quellenstand 7. Oktober 2026. Behördenvorschriften, Leitlinien und Branchenmethodik sind getrennt einzuordnen. Tabellen, Zahlen und Fälle sind eigene illustrative Arbeitshilfen; keine ausgeführten Produktprüfungen oder Kundenergebnisse.
- 21 CFR Part 820 – Quality Management System RegulationAktueller QMSR-Text; seit 02.02.2026 wirksam. §§820.1,820.7,820.10,820.35,820.45.
- FDA: Computer Software Assurance for Production and Quality Management System SoftwareFinal Guidance 03.02.2026; nicht bindende Empfehlungen für Produktions-/QMS-Software im Medizinproduktebereich.
Zuletzt fachlich geprüft am 07.10.2026.
Daniel Herrmann Consulting
Den konkreten Nachweisprozess gemeinsam bearbeiten
Wir unterstützen Sie dabei, die aktuelle Anforderungskette und den vorhandenen Software-Nachweisbestand auf Ihren Medizinprodukteprozess zu beziehen.
- IT-GxP-Audit →
Anforderungen, vorhandene Nachweise und relevante Lücken beurteilen.
- IT-GxP-Consulting →
Vereinbarte Bewertungs-, Dokumentations- und Testarbeit im Projekt bearbeiten.
- IT-GxP-Coaching →
Ihr Team bei konkreten Entscheidungen und der Anwendung eigener Verfahren begleiten.
- IT-GxP-Compliance-Programm →
Passende interne Verfahren, Vorlagen und Schulung aufbauen.