Welche Pharma- und Medizinprodukteregeln gelten für Sie?

Die Regeln, unter denen ein Pharma- oder Medizinprodukteunternehmen arbeitet

Zwei regulierte Welten stehen auf dieser Seite, Arzneimittel und Medizinprodukte, und sie teilen eine Form. Ein Gesetz bindet den Hersteller: Sie dürfen ohne seine Erfüllung weder herstellen noch verkaufen, und eine Behörde oder eine benannte Stelle prüft, dass Sie es tun. Leitlinien sagen, wie die Inspektoren die Erfüllung des Gesetzes erwarten. Und Normen, meist von ISO und IEC, sind der Weg, auf dem die Branche das System baut, das beides erfüllt. Diese Seite erklärt die drei Ebenen für jede Welt, die computergestützten Systeme und die Daten, die durch beide laufen, und woher die Dokumente stammen. Der Explorer weiter unten findet dann die, die zu dem passen, was Sie herstellen.

Arzneimittel: die gute Herstellungspraxis

Eine Herstellungserlaubnis für ein Arzneimittel in der EU ist an die gute Herstellungspraxis gebunden, und EudraLex Band 4 ist der Leitfaden, den jeder Inspektor verwendet. Teil I behandelt Fertigarzneimittel in neun Kapiteln: das pharmazeutische Qualitätssystem, Personal, Räumlichkeiten und Ausrüstung, Dokumentation, Produktion, Qualitätskontrolle, ausgelagerte Tätigkeiten, Beanstandungen und Rückrufe sowie Selbstinspektion. Teil II behandelt Wirkstoffe und ist die Übernahme von ICH Q7 durch die EU. Die Anhänge tragen die Einzelheiten: Anhang 1, 2022 überarbeitet, für sterile Produkte und die Kontaminationskontrollstrategie dahinter; Anhang 11 für computergestützte Systeme; Anhang 15 für Qualifizierung und Validierung; Anhang 16 für das, was die sachkundige Person vor der Chargenfreigabe zertifiziert. Der PIC/S-Leitfaden ist derselbe Text, harmonisiert für die über fünfzig Behörden des Systems, und der, mit dem ein Inspektor von außerhalb der EU arbeitet.

In den Vereinigten Staaten sind 21 CFR Parts 210 und 211 die Vorschriften zur geltenden guten Herstellungspraxis, und 21 CFR Part 11 setzt die Regeln für elektronische Aufzeichnungen und elektronische Signaturen. Die FDA nimmt an PIC/S teil, und die Erwartungen sind auf beiden Seiten dieselben; was sich unterscheidet, ist der Wortlaut der Vorschrift, die ein Inspektor zitiert.

ICH: die Leitlinien hinter dem Qualitätssystem

Der International Council for Harmonisation bringt Behörden und Industrie aus Europa, den Vereinigten Staaten, Japan und einer wachsenden Zahl weiterer Regionen zusammen, um eine Leitlinie zu schreiben, die jede Region dann übernimmt. Q7 ist GMP für Wirkstoffe. Q8 ist die pharmazeutische Entwicklung, der Ursprung von Quality by Design, des Design Space und der Kontrollstrategie. Q9, 2023 überarbeitet, ist das Qualitätsrisikomanagement: der Prozess, seine Werkzeuge und der angemessene Grad an Formalismus. Q10 ist das pharmazeutische Qualitätssystem: Verantwortung der Leitung, Überwachung der Prozessleistung, Korrektur- und Vorbeugemaßnahmen, Änderungsmanagement und Managementbewertung, aufgebaut auf ISO-Qualitätskonzepten und auf GMP. Q12 behandelt Änderungen nach der Zulassung über festgelegte Bedingungen. E6, 2025 überarbeitet, ist die gute klinische Praxis für Studien. Q8, Q9 und Q10 zusammen sind der Entwurf eines modernen Qualitätssystems, und an Q10 misst Sie ein Audit des pharmazeutischen Qualitätssystems. ISO 9001 ist die Form darunter; siehe ISO 9001 und, für den Risikoprozess, den Q9 verlangt, die Seite zum Risikomanagement.

Computergestützte Systeme und Datenintegrität

Jedes System, das eine GMP-Aufzeichnung erzeugt, speichert oder signiert, fällt in den Anwendungsbereich, vom Laborinformationssystem und dem Manufacturing Execution System bis zur Qualitätssoftware selbst und einer validierten Tabellenkalkulation. Anhang 11 und 21 CFR Part 11 sagen, was ein solches System leisten muss: für seinen vorgesehenen Zweck validiert sein, einen Audit-Trail führen, den Zugang steuern und eine elektronische Signatur ebenso verbindlich machen wie eine handschriftliche. GAMP 5 in der zweiten Ausgabe von 2022 ist der Leitfaden der Branche dafür, mit risikobasiertem Vorgehen und ohne zu validieren, was es nicht braucht. PIC/S PI 041 ist die Leitlinie der Inspektoren zur Datenintegrität, die ALCOA+-Grundsätze, nach denen eine Aufzeichnung zuordenbar, lesbar, zeitnah, im Original und richtig sowie vollständig, konsistent, dauerhaft und verfügbar sein muss. Bei der Datenintegrität wurden die meisten GMP-Beanstandungen des vergangenen Jahrzehnts geschrieben.

Medizinprodukte: MDR, IVDR und die Normen darunter

Die Verordnung (EU) 2017/745, die MDR, gilt seit Mai 2021 und die Verordnung (EU) 2017/746, die IVDR, seit Mai 2022, mit Übergangsfristen für Produkte, die nach den alten Richtlinien zertifiziert wurden. Beide arbeiten gleich: Die Zweckbestimmung und die Klassifizierungsregeln ordnen ein Produkt einer Klasse zu, alles oberhalb Klasse I wird von einer benannten Stelle bewertet, die grundlegenden Sicherheits- und Leistungsanforderungen in Anhang I müssen erfüllt und in der technischen Dokumentation der Anhänge II und III nachgewiesen werden, eine klinische Bewertung muss jede Aussage stützen, und die Überwachung nach dem Inverkehrbringen, die Vigilanz und die eindeutige Produktkennung laufen über die Lebensdauer des Produkts. In den Vereinigten Staaten ist 21 CFR Part 820 die Qualitätssystemvorschrift, und ab Februar 2026 übernimmt sie ISO 13485, sodass ein Medizinprodukte-Qualitätssystem nun beide Märkte bedient.

Harmonisierte Normen begründen eine Konformitätsvermutung mit der Verordnung, und sie sind die Normen, die eine benannte Stelle auditiert. ISO 13485 ist das Qualitätsmanagementsystem, in der Form ISO 9001 mit dem, was eine Behörde zusätzlich erwartet. ISO 14971 ist das Risikomanagement für Medizinprodukte, die Akte, auf die jede Konstruktionsentscheidung zurückgeht, mit ISO/TR 24971 als ausgearbeiteter Anleitung. IEC 60601-1 behandelt die elektrische Sicherheit, IEC 62366-1 die Gebrauchstauglichkeit, ISO 10993 die biologische Beurteilung von allem, was mit dem Körper in Berührung kommt, ISO 14155 klinische Prüfungen, ISO 15223-1 und ISO 20417 die Symbole und die mit einem Produkt gelieferten Informationen, und ISO 11607 die Sterilbarriere.

Software als Medizinprodukt

Software ist ein Medizinprodukt, wenn ihre Zweckbestimmung medizinisch ist, und seit der MDR umfasst das sehr viel Entscheidungsunterstützungs- und Überwachungssoftware, die unter den Richtlinien Klasse I war und heute Klasse IIa oder höher ist. MDCG 2019-11 ist die Leitlinie dazu, wann Software qualifiziert und wie sie klassifiziert wird; die IMDRF-Dokumente zu Software als Medizinprodukt definieren den Begriff, ordnen das Risiko ein und beschreiben die klinische Bewertung, die Behörden in jedem großen Markt verwenden. Die Normen folgen dann dem Lebenszyklus. IEC 62304 legt die Software-Lebenszyklusprozesse nach Sicherheitsklasse fest, von Planung und Anforderungen über Architektur, Verifizierung, Freigabe bis zur Wartung. IEC 82304-1 behandelt Gesundheitssoftware, die als Produkt auf allgemeiner Hardware verkauft wird. IEC 62366-1 behandelt die Gebrauchstauglichkeit, die die Benutzerschnittstelle braucht, ISO 14971 die Risikoakte, und IEC 81001-5-1 mit MDCG 2019-16 die Cybersicherheit, die ein vernetztes Produkt einplanen muss. Software in einem Produkt, eingebettete Firmware, folgt ebenfalls IEC 62304.

Woher die Dokumente stammen

EudraLex, die MDCG-Leitlinien und die EU-Verordnungen sind bei der Europäischen Kommission und auf EUR-Lex kostenfrei; PIC/S und ICH veröffentlichen ihre Leitlinien kostenfrei; der Code of Federal Regulations ist auf eCFR kostenfrei. Die ISO- und IEC-Normen kaufen Sie bei ISO, IEC oder Ihrem nationalen Normungsinstitut, GAMP 5 bei der ISPE, und die IMDRF-Dokumente sind kostenfrei. Jeder Eintrag im Explorer weiter unten verweist auf seine Quelle.

Wer entscheidet, was für Sie gilt

Nicht diese Seite und nicht wir. Bei einem Arzneimittel sind es die Zulassung und Ihre Herstellungserlaubnis; bei einem Medizinprodukt die Zweckbestimmung, die Sie erklären, und die Klasse, in die sie Sie einordnet; und in beiden Welten entscheiden der Inspektor, die benannte Stelle und die Lieferantenaudits Ihrer Kunden, welche Nachweise sie zu sehen erwarten. Was der Explorer leisten kann, ist, Ihnen die ganze Landkarte zu zeigen: Durchsuchen Sie sie nach Namen, blättern Sie nach Familie, oder beantworten Sie fünf Fragen dazu, was Sie herstellen, und sehen Sie, nach welchen Bereichen Hersteller wie Sie üblicherweise gefragt werden. Jeder Eintrag verweist auf seine Quelle, auf seine ComplyTrain-Seite, wo es eine gibt, und andernfalls auf eine Anfrage. ComplyTrain hält eine Norm als Anforderungsbaum mit den Nachweisen zu jeder Anforderung. Die Erlaubnis und das Zertifikat müssen Sie selbst erlangen.