MDR Risikoklasse I vs. IIa: Unterschiede für Software-Medizinprodukte

Januar 9, 2025
Ansprechpartner:
Malte Bucksch

von | Jan. 9, 2025 | medical-software-whitepaper

MDR Risikoklasse I vs. IIa: Unterschiede für Software-Medizinprodukte

Am Anfang der Entwicklung eines Software-Medizinprodukts steht die zentrale Frage: Welche Risikoklasse trifft auf mein Produkt zu?

Die Risikoklassifizierung hat gravierende Auswirkungen und beeinflusst den Kosten- und Zeitrahmen der Produktentwicklung maßgeblich. Damit entscheidet die Risikoklassifizierung im Extremfall auch über den Erfolg oder Misserfolg eines jungen Unternehmens.

Die Klassifizierung erfolgt nach MDR basierend auf der Zweckbestimmung. Doch gerade bei Software führt diese Regelung oft zu Verwirrung und birgt Interpretationsspielraum – vor allem, wenn es darum geht, ob ein Produkt in die Risikoklasse I oder IIa fällt.

Hersteller stehen daher vor folgenden Fragen:

  • Wie soll ich mit diesem Interpretationsspielraum bei der Klassifizierung von Medizinprodukten umgehen?
  • Was sind die Konsequenzen dieser Entscheidung?
  • Ist Risikoklasse II wirklich so viel schlimmer als Risikoklasse I? Was sind die konkreten Unterschiede für Sie als Hersteller?

In diesem Artikel liefern wir möglichst konkrete Antworten und helfen Ihnen die Konsequenzen der Klassifizierungs-Entscheidung besser zu verstehen.

Inhaltsverzeichnis

1. Die Risikoklassen nach MDR

Die MDR unterscheidet im Kern die folgenden Risikoklassen: I, IIa, IIb und III.

Der Sinn dahinter ist, dass mit steigendem Produktrisiko auch die regulatorischen Anforderungen strenger werden (risikobasierter Ansatz). Sie finden unter dem folgenden Link einen ausführlichen Leitfaden zur Bestimmung der Risikoklasse für Software-Medizinprodukte: Zum Leitfaden: Risikoklassifizierung von Software-Medizinprodukten

Im vorliegenden Artikel geht es vor allem um die Unterschiede zwischen Klasse I und IIa.

Hinweis: Wir verwenden die Schreibweise IIa statt 2a und I statt 1, da diese auch so innerhalb der MDR verwendet wird.

2. Schwammige Klassifizierungsregeln bei Software-Medizinprodukten

Wie oben bereits beschrieben, soll nach MDR vor allem das Risiko, das von einem Produkt ausgeht, über dessen Risikoklasse bestimmen – das lässt sich ja bereits vom Begriff ableiten.

Man könnte nun meinen, dass Software, von der kein nennenswertes Risiko ausgeht, in Risikoklasse I fällt. Aber nein: Diese pauschale Aussage ist leider nicht zulässig.

Bei der Bestimmung der Risikoklasse von (Standalone-)Softwareprodukten ist vor allem die berühmte Regel 11 der MDR relevant – und die führt bei vielen Herstellern zu Kopfzerbrechen.

Kurzzusammenfassung der Regel 11 nach MDR

Da wir die Regel 11 der MDR in einen anderen Artikel bereits umfassend behandelt haben, finden Sie hier nur die kurze Zusammenfassung jener Aspekte, die für diesen Artikel relevant sind.

Nach Regel 11 fallen alle Medizinprodukte, die einen der folgenden Zwecke erfüllen, mindestens in Risikoklasse IIa:

  1. Software, die dazu bestimmt ist, Informationen zu liefern, die für therapeutische oder diagnostische Zwecke herangezogen werden und
  2. Software, die für die Überwachung von physiologischen Prozessen bestimmt ist

Die Unterscheidung zwischen Risikoklasse I und IIa ist nach Regel 11 also nicht wirklich risikobasiert – lediglich der Verwendungszweck ist entscheidend. An dieser Stelle spielt weder der Schweregrad noch die Wahrscheinlichkeit eines möglichen Schadens eine Rolle.

Aber was sind „therapeutische oder diagnostische Zwecke“? Welche Software-Produkte fallen denn noch in Klasse I? Diese Frage haben wir in diesem Artikel umfassend behandelt: Zum Artikel: Welche Produkte fallen aktuell noch in Risikoklasse I?

3. Unterschiede: Risikoklasse IIa vs. Risikoklasse I

Wie weiter oben bereits angesprochen, macht es einen enormen Unterschied, ob Sie ein Medizinprodukt der Klasse I oder IIa zulassen. Hier beschreiben wir Aspekte, die für Sie als Hersteller besonders relevant sind:

  • 1. Unterschied: Konformitätsbewertung zur Zulassung
  • 2. Unterschied: Pflichten nach Zulassung
    • a. Anzeigen von Änderungen
    • b. Re-Auditierung
    • c. Meldepflichten nach Markteintritt (PSUR)

3.1. Unterschied: Konformitätsbewertung zur Zulassung

Anforderungen: Risikoklasse I

Sie sind als Hersteller eines Klasse I Medizinprodukts natürlich dazu verpflichtet, die Vorgaben der MDR einzuhalten. Das umfasst beispielsweise den Aufbau eines Qualitätsmanagementsystems und die Erstellung der technischen Dokumentation für das Produkt. Der Vorteil ist aber, dass Sie die Konformität mit der MDR als Hersteller selbst – ohne Einbezug einer externen Partei – erklären können. Diese Option erwächst aus dem geringen Risikoprofil solcher Klasse I-Produkte.

Zusatzanforderungen: Risikoklasse IIa

Als Hersteller von Medizinprodukten der Klasse IIa (oder höher) sieht das Ganze anders aus. Sie sind dann darauf angewiesen, von einer externen und unabhängigen Organisation (benannte Stelle) auditiert zu werden. Erst wenn dieses Audit erfolgreich abgeschlossen ist, wird Ihnen die Konformität bestätigt und Sie können das Medizinprodukt auf den Markt bringen.

Auswirkungen auf den Zeitplan

  • Wartezeit: Viele benannte Stellen sind kontinuierlich gut ausgelastet. Daher ist es ratsam, sich frühzeitig um einen Termin zu bemühen. Dennoch sollten Sie mit einigen Monaten Wartezeit rechnen, bevor die benannte Stelle mit dem Audit beginnt.
  • Dauer des Audits: Es gibt keine gesetzliche Frist, wie lange ein Audit durch eine benannte Stelle dauern darf. Sie sollten mindestens 6 bis 12 Monate für diesen Audit-Prozess einplanen. Der Markteintritt Ihres Medizinprodukts verzögert sich somit maßgeblich, was gerade für Start-ups ein großes Problem darstellen kann.
  • Aufbau des Qualitätsmanagementsystems: Ein Qualitätsmanagementsystem brauchen Sie zwar auch als Hersteller von Klasse I Produkten, allerdings ist der Anhang IX erst relevant, sobald eine benannte Stelle involviert ist. Dieser besagt unter anderem, dass die benannte Stelle ihr Qualitätsmanagement und auch dessen Konformität mit etwaigen harmonisierten Normen prüft (z.B. ISO 13485). Daher erwerben Hersteller i.d.R. an dieser Stelle ein ISO 13485-Zertifikat.

Auswirkungen auf die Kosten

  • Audit-Kosten: Die Kosten für das Audit durch die benannte Stelle sind natürlich von Ihnen als Hersteller zu tragen. Diese belaufen sich unserer Erfahrung nach auf mindestens 50.000 € bis zu 200.000 €.
  • Personalkosten: Das Audit der benannten Stelle muss auch von Ihrer Seite vorbereitet und begleitet werden. Die von der benannten Stelle gefundenen Abweichungen müssen von Ihnen als Hersteller behoben werden, wodurch Sie zusätzliche personelle und zeitliche Ressourcen einplanen müssen.
  • Opportunitätskosten: Durch den Auditprozess mit der benannten Stelle verzögert sich Ihr Markteintritt um viele Monate oder sogar Jahre. Dementsprechend entgehen Ihnen für die Zeit auch Unternehmens-Umsätze. Auch dies kann gerade für Start-ups der ausschlaggebende Grund für eine Insolvenz werden.

3.2. Unterschied: Pflichten nach Zulassung

3.2.1. Unterschied: Anzeigen von Änderungen

Anforderungen an Risikoklasse I

Auch Hersteller von Medizinprodukten der Risikoklasse I müssen einem Change-Prozess folgen und jegliche Produktänderungen prüfen, freigeben und umsetzen. Dabei ist auch zu evaluieren, ob die Änderung Auswirkungen auf die Risikoklassifizierung hat.

Trotzdem sind Änderungen bei Software der Risikoklasse I ohne Involvierung einer externen Stelle möglich. Sie können Änderungen deutlich schneller veröffentlichen, weil Sie nicht auf den Ausgang einer externen Prüfung warten müssen.

Zusatzanforderungen an Risikoklasse IIa

Ab Risikoklasse IIa wird es mit Produktänderungen etwas komplizierter, weil auch hier die benannte Stelle  einbezogen werden muss. Sogenannte „signifikante“ Änderungen müssen angezeigt werden und erfordern möglicherweise eine erneute Prüfung. Meldepflichtig sind beispielsweise Änderungen der Zweckbestimmung oder Anpassungen, welche die Leistungsfähigkeit des Produkts beeinflussen.

Auswirkungen der Risikoklasse IIa: Zeitplan

  • Prüfung von Änderungen: kleinere Änderungen sollten auch ohne zusätzliche Prüfung möglich sein. Sobald die Änderungen am Produkt aber größer werden, sind Sie wieder von der Freigabe durch die benannte Stelle abhängig. Eine Prüfung kann in diesem Fall auch wieder einige Zeit in Anspruch nehmen, bevor sie die Änderung veröffentlichen können.

Auswirkungen der Risikoklasse IIa: Kosten

  • Kosten für Prüfung: Die benannte Stelle wird Ihnen jegliche Prüfung in Rechnung stellen – genauso wie beim initialen Audit für die Marktzulassung. Je nachdem, wie umfangreich die Prüfung einer Produktänderung ausfällt, desto höher werden auch die finanziellen Aufwände.
  • Verzögerter Release: Die Veröffentlichung von neuen Features kann auch geschäftlich relevant sein, wenn es sich beispielsweise um Funktionen handelt, die von vielen potenziellen Nutzern gebraucht werden. Auch in diesem Fall entgehen Ihnen womöglich Umsätze, solange die Prüfung der benannten Stelle noch andauert.

3.2.2. Unterschied: Re-Auditierung

Anforderungen an Risikoklasse I

Als Hersteller einer Software der Risikoklasse I werden Sie nicht regelmäßig auditiert. Die einzigen nennenswerten Prüfungen, auf die Sie sich einstellen müssen, sind sogenannte Herstellerüberwachungen durch die Aufsichtsbehörden. Diese können in unregelmäßigen Intervallen stattfinden. Die Aufsichtsbehörde wird dabei gezielt Dokumente von Ihnen anfordern und prüfen (z.B. den Risikomanagementprozess). Der Umfang und die Frequenz dieser Prüfungen sind aber in der Regel deutlich geringer als die Audits der benannten Stelle (bei Risikoklasse IIa und höher).

Zusatzanforderungen an Risikoklasse IIa

Hier verhält es sich etwas anders. Wir haben oben ja bereits von den Prüfungen durch die benannte Stelle (z.B. für die initiale Marktzulassung oder bei Produktänderungen) gesprochen. Doch auch, wenn Sie keinerlei Produktänderungen vornehmen, ist das Zertifikat der benannten Stelle nicht ewig gültig. Üblicherweise müssen Sie nach spätestens 5 Jahren erneut durch ein komplettes Audit und eine Prüfung der technischen Dokumentation der benannten Stelle. Ein Überwachungsaudit und eine stichprobenartige Prüfung der technischen Dokumentation finden zusätzlich jährlich statt.

Zusammengefasst haben Sie also verschiedene Prüfungen, die durchgeführt werden:

  • MDR-Audit und Prüfung der technischen Dokumentation (spätestens alle 5 Jahre)
  • MDR-Überwachungsaudit (jährlich)
  • Herstellerüberwachung durch Aufsichtsbehörde (unregelmäßig)

Auswirkungen der Risikoklasse IIa: Zeitplan

  • Die regelmäßigen Audits bzw. Prüfungen sollten keinen Einfluss auf den Zeitplan der Produktentwicklung haben.

Auswirkungen auf die Kosten

  • Kosten für Prüforganisationen: Jede Prüfung durch die benannte Stelle muss bezahlt werden, wie oben bereits beschrieben. Je häufiger eine Prüfung stattfindet, desto höher werden natürlich auch die Kosten.
  • Personalkosten: Wie oben beschrieben, binden Prüfungen personelle Ressourcen in der Vorbereitung, Durchführung und Nachbereitung. Vor allem, wenn Abweichungen behoben werden müssen, steigen die Kosten für Sie. Sie müssen sowohl die Zeit für die Durchführung als auch entsprechend Zeit für die Vor- und Nachbearbeitung der Audits einplanen.

Prüfablauf für benannte Stellen bei Medizinprodukten

Medizinprodukte: Prüfungen und Audits durch die benannte Stelle

3.2.3. Unterschied: Meldepflichten nach Markteintritt

Anforderungen an Risikoklasse I

Die Meldepflichten für Hersteller von Risikoklasse I Medizinprodukten beschränken sich im Kern auf die Anmeldung des Medizinprodukts sowie die Meldung schwerwiegender Vorkommnisse und Trends.

Zusatzanforderungen an Risikoklasse IIa

Über die Anforderungen für Risikoklasse I hinaus sind Hersteller von Produkten der Risikoklasse IIa dazu verpflichtet, einen sogenannten Periodic Safety Update Report (PSUR) zu verfassen und selbstständig an die benannte Stelle zu übermitteln. Es bietet sich an, diesen PSUR im Zuge der Post-Market-Surveillance (PMS) und Post-Market Clinical Follow-up (PMCF) zu erstellen. Auch bei Klasse I sind Sie zu PMS- und PMCF-Aktivitäten verpflichtet, allerdings entfällt in der Regel jegliche Meldepflicht.

Dieser PSUR ist für Klasse IIa Produkte mindestens alle 2 Jahre zu aktualisieren – bei höherklassigen Produkten sogar jährlich.

Auswirkungen der Risikoklasse IIa: Zeitplan

  • Der Zeitplan für die Produktentwicklung wird durch die Erstellung des PSUR nicht beeinflusst.

Auswirkungen der Risikoklasse IIa: Kosten

  • Personelle Ressourcen: Die Erstellung des PSUR bindet ebenfalls wieder personelle Ressourcen. Die Aufwände hängen vor allem von den zu analysierenden Daten, und etwaigen neuen Erkenntnissen ab.

4. Unternehmerische Risiken: Risikoklasse I im Vergleich zur Risikoklasse IIa

Sie wissen nun, dass eine Medizinprodukt-Zulassung unter Risikoklasse IIa erhebliche Zusatzkosten und eine starke Verzögerung bis zum Markteintritt mit sich bringt.
Wir haben aber auch schon erwähnt, dass die Bestimmung der Risikoklasse unter MDR für Software-Produkte nicht eindeutig ist und es (leider) Interpretationsspielraum gibt. Deswegen haben Hersteller von Produkten der Risikoklasse I wenig Gewissheit, dass diese Klasse auch korrekt bestimmt wurde.
Sollten Sie Ihr Produkt in die Risikoklasse I einordnen, entstehen einige Risiken aufgrund der vorhandenen Ungewissheit:

  1. Risiko: Aufsichtsbehörde widerspricht der Klassifizierung
  2. Risiko: Gerichtsverfahren nach Klage von Mitbewerbern oder Nutzern
  3. Risiko: Änderungen von Regularien und deren Interpretation

Auf jede dieser Risiken gehen wir in den folgenden Abschnitten kurz ein.

4.1. Risiko: Aufsichtsbehörde widerspricht der Klassifizierung

Als Hersteller eines Risikoklasse I-Produkts ist Ihre zuständige Aufsichtsbehörde dazu befugt, Sie in unregelmäßigen Abständen zu überwachen. Sie werden unangekündigten Prüfungen unterzogen.

Dabei besteht auch das Risiko, dass die Aufsichtsbehörde Ihrer Risikoklassifizierung widerspricht. Ein mögliches Szenario wäre dann Folgendes:

  1. Aufsichtsbehörde fragt Produktinformationen und Dokumente bei Ihnen an
  2. Aufsichtsbehörde prüft alle Unterlagen und kommt zum Schluss, dass das Produkt eigentlich in Risikoklasse IIa fällt
  3. Aufsichtsbehörde konfrontiert Sie mit der Einschätzung
  4. Sie diskutieren und argumentieren dagegen
  5. Aufsichtsbehörde lässt sich nicht überzeugen
  6. Aufsichtsbehörde stellt Sie vor die Wahl, die Risikoklasse zu erhöhen, oder das Produkt vom Markt zu nehmen

In diesem Fall können Sie die nachträgliche Klassifizierung nach Risikoklasse IIa angehen und sich eine benannte Stelle suchen. Dennoch sollten Sie auf diesen Fall gedanklich vorbereitet sein.

4.2. Risiko: Gerichtsverfahren nach Klage

Nicht nur Aufsichtsbehörden, sondern auch Gerichte können Einfluss auf die Risikoklasse Ihrer Produkte nehmen.

Diese sind erst dann involviert, wenn es zu einem Gerichtsverfahren kommt. Sowohl Wettbewerber als auch Nutzer Ihrer Produkte könnten potenziell in Rechtsstreit mit Ihnen treten. Dann müssen Sie sich ggf. bezüglich Ihrer Risikoklassifizierung rechtfertigen.

Szenario einer Klage eines Wettbewerbers:

Stellen Sie sich vor, Sie haben ein Software-Medizinprodukt der Risikoklasse IIa entwickelt. Nach zwei Jahren, einer klinischen Prüfung und der finalen Freigabe der benannten Stelle haben Sie es endlich auf den Markt geschafft und können nun hoffentlich mit den ersten Umsätzen die Investitionen der letzten Jahre wettmachen.

Am nächsten Tag kommt ein Mitbewerber mit einem Produkt auf den Markt, das sich von Ihrem kaum unterscheidet – außer, dass er es als Klasse I Produkt selbst zertifiziert hat. Der Mitbewerber auf das Audit einer benannten Stelle somit verzichtet und kann nun all seine Ressourcen in Marketing und Vertrieb stecken.

Was löst das bei Ihnen aus? Die natürliche Reaktion wäre ein Gefühl von Ungerechtigkeit. Und dieses Gefühl mündet manchmal in einem Gerichtsverfahren.

Fälle wie der von Dermanostic zeigen, dass die Entscheidung von Gerichten auch dazu führen können, dass Hersteller (z.B. von Klasse I Produkten) ihre Produkte vom Markt nehmen und/oder eine Hochklassifizierung durchführen müssen. Auch wenn solche Fälle eher selten sind, sollten sie als potenzielles Geschäftsrisiko berücksichtigt werden.

4.3. Risiko: Änderungen von Regularien und deren Interpretation

Die aktuelle Fassung der MDR, sowie die MDCG Guidance Dokumente (besonders das MDCG 2019-11) werden meist als Grundlage zur Bestimmung der Risikoklasse herangezogen. Doch auch die individuellen Erfahrungen von Herstellern sind eine wertvolle Quelle für die korrekte Klassifizierung.

Da aber die meisten dieser Quellen keine rechtliche Gültigkeit haben und keine Vorgabe in Stein gemeißelt ist, gibt es immer eine Chance, dass sich die Spielregeln ändern. Beispielsweise werden die folgenden Themen in der Industrie aktuell stark diskutiert:

  1. Eine neue Version der MDCG 2019-11 ist in Arbeit: Dieses Dokument unterstützt insbesondere Software-Hersteller bei der Bestimmung der Risikoklasse Ihres Produkts. Es enthält weitaus konkretere Informationen als die MDR und gilt somit als eine der wichtigsten Grundlagen. Auch wenn MDCG Guidance Dokumente keine rechtliche Gültigkeit haben, haben Sie dennoch sehr starken Einfluss auf die Meinungen von Prüfstellen, da diese z.T. sogar in deren Erstellung eingebunden sind.
  2. Etwaige Anpassungen der MDR: Aktuell gibt es zwar keine konkreten Informationen dazu, allerdings gibt es immer wieder Bestrebungen, Teile der MDR zu ändern. Darunter könnten auch die Klassifizierungsregeln fallen, welche von Herstellern immer wieder beklagt werden.
  3. Höhere Instanzen nehmen Einfluss auf die einzelnen Landesaufsichtsbehörden: Das BfArM oder sogar das Bundesgesundheitsministerium (BGM) könnten Einfluss auf Ihre Aufsichtsbehörde nehmen. Eine strengere Auslegung der Regel 11 von höheren Instanzen kann also durchaus zu einer erhöhten Aufmerksamkeit oder sogar verschärfenden Maßnahmen Ihrer zuständigen Aufsichtsbehörde führen. Darunter kann auch die höhere Klassifizierung Ihrer Produkte zählen.

5. Fazit

Die Kosten und die Zeit bis zum Markteintritt eines neuen Produkts unterscheiden sich zwischen Risikoklasse I und Risikoklasse IIa sehr stark.

  • Zeitrahmen bis Markteintritt: Die Zulassung einer Software der Klasse IIa kann mehr als ein Jahr länger dauern als bei einem Medizinprodukt der Klasse I.
  • Kosten: Durch die Kosten für die benannte Stelle und die Bindung interner Ressourcen muss mit Zusatzkosten von 100.000 € und mehr bei Risikoklasse IIa gerechnet werden. Hinzu kommen Opportunitätskosten für ausbleibende Umsätze durch die Verzögerung beim Markteintritt.

Was für Großkonzerne erstmal kein Problem darstellt, wird hier für Start-ups zu einer existenziellen Bedrohung. Die Anforderungen der Risikoklasse IIa sind für viele junge Unternehmen nicht stemmbar und führen zur Insolvenz. Das führt dazu, dass viele innovative Produkte nie auf den Markt kommen und die Versorgung verbessern können.

Es ist also für Deutschland und Europa enorm wichtig, dass auch in Zukunft für Software-Produkte mit niedrigen Risiken die Kategorisierung in Risikoklasse I möglich ist. Die Risiken, die z.B. von digitalen Gesundheitsanwendungen (DiGA) ausgehen, sind in der Regel sehr gering. Diese Anwendungen haben aber einen enormen positiven Einfluss auf die Patientenversorgung. Wir hoffen daher, dass dies bei der zukünftigen Aktualisierung der MDCG-Klassifizierungs-Guideline bedacht wird.

In der Zwischenzeit soll Ihnen die obige Guideline dabei helfen, die aktuelle Situation in Bezug auf die Klassifizierung von Software-Medizinprodukten besser zu verstehen.

Wenn Sie eine medizinische Software planen und einen Entwicklungspartner suchen, kontaktieren Sie uns gerne. Als spezialisierter Dienstleister liegt unser Fokus auf der regulatorisch-konformen Entwicklung von medizinischen Apps und Gesundheitssoftware. Wir helfen Ihnen, ein Produkt umzusetzen, das am Ende auch erfolgreich auf dem Markt landet und Nutzern nachhaltig hilft.