QMSR: Was sich für ein ISO-13485-QMS wirklich ändert

Der Satz, der seit Februar in vielen QM-Abteilungen fällt, lautet: „Wir sind nach ISO 13485 zertifiziert, dann sind wir QMSR-konform." Er ist verständlich und trotzdem falsch. Seit dem 2. Februar 2026 heißt 21 CFR Part 820 nicht mehr Quality System Regulation, sondern Quality Management System Regulation, und die FDA übernimmt darin die ISO 13485:2016 per Verweis. Das Zertifikat wird damit zur Grundlage. Der Nachweis gegenüber der FDA ist es nicht, und an drei Stellen verlangt die Behörde mehr als die Norm.

Was die Verweisübernahme technisch bedeutet

Die FDA hat den Normtext nicht abgeschrieben, sondern nach § 820.7 eingebunden. Dort sind zwei Dokumente benannt: die ISO 9000:2015(E) für die Begriffe in § 820.3 und die ISO 13485:2016(E) für §§ 820.1, 820.3, 820.10, 820.35 und 820.45. Praktische Folge, die regelmäßig übersehen wird: die Norm ist Teil der Rechtslage, aber sie ist nicht frei zugänglich. Wer sie im Haus nicht lizenziert vorhält, hat den verbindlichen Text nicht.

Die Begriffe wechseln damit ebenfalls. § 820.3 erklärt die Definitionen der ISO 13485 und der Clause 3 der ISO 9000 für maßgeblich, mit den Ausnahmen, die dort genannt sind. Und die alte Struktur ist leer: die Abschnitte §§ 820.20 bis 820.30 sind als „Reserved" gekennzeichnet. Wer in einer SOP auf Subpart-Nummern der früheren Fassung verweist, verweist ins Leere.

Die FDA-Zusätze stehen an drei Stellen

Das ist der Teil, den ein Zertifikat nicht abdeckt.

§ 820.10, Anforderungen an das Qualitätsmanagementsystem. Verlangt wird ein dokumentiertes QMS, das die anwendbaren Anforderungen der ISO 13485 erfüllt. Die Design-and-Development-Anforderungen gelten für Hersteller von Produkten der Klasse II und III sowie für die Produkte der Klasse I, die in § 820.10(c)(1) und in Tabelle 1 des § 820.10(c)(2) ausdrücklich aufgeführt sind. Das ist die Stelle, an der die Klassifizierung über den Umfang des Systems entscheidet, nicht die Norm.

§ 820.35, Control of Records. Zusätzlich zu Clause 4.2.5 der ISO 13485 gilt:

• Beschwerdeakten müssen die Aufzeichnungen zu Prüfung, Bewertung und Untersuchung enthalten, wenn eine Beschwerde das mögliche Versagen eines Produkts, seiner Kennzeichnung oder seiner Verpackung gegenüber den Spezifikationen betrifft.
• Die UDI ist je Produkt oder je Charge aufzuzeichnen, zusätzlich zu den Anforderungen der Clauses 7.5.1, 7.5.8 und 7.5.9.
• Aufzeichnungen, die der Hersteller als vertraulich ansieht, dürfen entsprechend gekennzeichnet werden. Das hilft der FDA bei der Beurteilung, was nach den Offenlegungsregeln herausgegeben werden darf.

§ 820.45, Device Labeling and Packaging Controls. Die ISO 13485 verlangt definierte Abläufe für Kennzeichnung und Verpackung, regelt aber die Prüfung der Kennzeichnung durch den Hersteller nicht ausdrücklich. Die FDA hat die entsprechenden Anforderungen aus der alten Fassung deshalb behalten: Kennzeichnung und Verpackung sind vor der Verwendung auf Richtigkeit zu prüfen, und Prüfung wie Freigabe sind zu dokumentieren.

Drei Zusätze, drei Prozesse, die im Audit gegen die Norm unauffällig bleiben und in einer FDA-Inspektion auffallen.

Die Inspektion läuft seit demselben Tag anders

Am 2. Februar 2026 hat die FDA die Quality System Inspection Technique (QSIT) für Produktinspektionen eingestellt und arbeitet nach dem aktualisierten Compliance Program 7382.850 (Inspection of Medical Device Manufacturers). Ebenfalls außer Gebrauch: das frühere Programm 7382.845 und 7383.001 für PMA-Inspektionen vor und nach der Zulassung.

Für die Vorbereitung heißt das: eine Mock-Inspektion nach dem Vier-Subsystem-Modell von QSIT trainiert ein Verfahren, das es nicht mehr gibt. Der Unterschied ist kein kosmetischer, weil sich mit dem Verfahren die Reihenfolge ändert, in der ein Inspektor durch das System geht.

DHF, DMR und DHR: aus der Vorschrift verschwunden, aus den Akten nicht

Die QMSR benutzt die Begriffe Design History File, Device Master Record und Device History Record nicht mehr; die ISO 13485 arbeitet stattdessen mit der Medizinprodukteakte und der Entwicklungsdokumentation. Zwei Missverständnisse dazu sind verbreitet:

• Aus dem Wegfall der Begriffe folgt keine Erleichterung im Inhalt. Was dokumentiert sein muss, ergibt sich jetzt aus der Norm plus den Zusätzen, nicht aus der alten Aktenlogik.
• Bestandsakten müssen nicht umbenannt werden. Die FDA hält in ihren FAQ fest, dass Aufzeichnungen aus der Zeit vor dem 2. Februar 2026 die Begriffe der Fassung von 1996 behalten dürfen.

Wer beides zusammen liest, kommt zur richtigen Reihenfolge: nicht die Akten umschreiben, sondern die Prozessbeschreibungen und die Verweise darin.

Was sich ausdrücklich nicht geändert hat

Am 4. Dezember 2025 hat die FDA technische Anpassungen veröffentlicht (Docket FDA-2025-N-4635). Sie betreffen 179 Abschnitte in 18 Teilen des Titels 21, darunter die Teile 801, 803, 812, 860 und die produktspezifischen Teile 862 bis 892. Der Zweck ist redaktionell: Verweise, die noch auf die alte Quality System Regulation zeigten, werden auf die QMSR umgestellt, Fehler korrigiert, Bezüge angeglichen.

Für Kombinationsprodukte wurden die Verweise in 21 CFR Part 4 angepasst, um die Anforderungen an das Geräte-QMS klarzustellen. Die CGMP-Anforderungen für Kombinationsprodukte ändern sich dadurch nicht.

Das ist eine gute Nachricht mit einem Haken: wer seine SOPs nach Verweisen durchsucht, findet nach dem 4. Dezember 2025 an vielen Stellen neue Fundstellen, ohne dass sich inhaltlich etwas geändert hat. Diese Arbeit ist unvermeidlich und sie ist reine Textpflege. Sie mit der eigentlichen Gap-Analyse zu vermischen, kostet Zeit und verdeckt die drei Punkte, auf die es ankommt.

Was jetzt zu tun ist

• Die Gap-Analyse gegen die Zusätze fahren, nicht gegen die Norm. Wer zertifiziert ist, braucht keinen zweiten ISO-13485-Abgleich. Gefragt sind § 820.10, § 820.35 und § 820.45, und zwar als Nachweis im Prozess, nicht als Verweis in einem Handbuch.
• Beschwerdeakten öffnen und gegenlesen. Enthalten sie Prüfung, Bewertung und Untersuchung auch dann, wenn es um das mögliche Versagen von Kennzeichnung oder Verpackung geht, nicht nur des Produkts? Das ist der häufigste Befund an dieser Stelle.
• UDI in den Aufzeichnungen prüfen. Je Produkt oder Charge, und konsistent mit der Kennzeichnung. Wer die UDI nur in der Datenbank führt, erfüllt § 820.35 nicht.
• Freigabe von Kennzeichnung und Verpackung dokumentieren. Prüfung auf Richtigkeit vor der Verwendung, mit Nachweis. Ein Vier-Augen-Prinzip ohne Aufzeichnung ist hier kein Nachweis.
• Design-and-Development-Pflicht je Klasse bestimmen. Klasse II und III immer, bei Klasse I nur die ausdrücklich aufgeführten Produkte. Diese Zuordnung gehört dokumentiert, weil sie den Umfang begründet.
• Inspektionsvorbereitung auf 7382.850 umstellen. Vorhandene QSIT-Unterlagen sind als Wissensbasis brauchbar, als Ablaufplan nicht.
• Die Norm im Haus verfügbar halten. Verweisübernahme heißt, dass der verbindliche Text hinter einer Lizenz liegt. Ohne aktuelle Fassung im Zugriff ist keine belastbare Prüfung möglich.

Entourage begleitet Hersteller aus MedTech und IVD durch genau diesen Abgleich: eine Gap-Analyse, die vom Zertifikat ausgeht und die drei FDA-Zusätze als Prüfpunkte behandelt, die Bestimmung des Design-and-Development-Umfangs je Produktklasse, die Umstellung der Inspektionsvorbereitung auf das aktuelle Programm und die Textpflege in den Prozessbeschreibungen, damit Verweise dorthin zeigen, wo die Anforderung heute steht. Der Ausgangspunkt ist meist die unangenehme Frage, ob die Beschwerdeakten der letzten zwölf Monate die Anforderungen des § 820.35 tragen würden.