FDA QMSR 2026: ISO-13485-Angleichung, Inspektionen & was sich geändert hat

FDA QMSR erklärt: Was sich änderte, als die Quality Management System Regulation in Kraft trat

Am 2. Februar 2026 trat die Quality Management System Regulation (QMSR) der U.S. Food and Drug Administration in Kraft. Die Regelung ändert die Anforderungen an die aktuellen guten Herstellpraktiken (CGMP) für Medizinprodukte in 21 CFR Part 820, benennt diesen Teil in QMSR um und bezieht ISO 13485:2016 per Verweis ein — den internationalen Konsensstandard für Qualitätsmanagementsysteme von Medizinprodukten.

Für Qualitäts-, Regulatory- und Operations-Teams ist das keine kosmetische Umnummerierung. Es ändert, wie Part 820 strukturiert ist, wie die FDA Inspektionen vorbereitet und durchführt, welche Unterlagen Inspektoren anfordern können und wie US-Anforderungen zu Systemen stehen, die Sie möglicherweise bereits für CE-Kennzeichnung, MDSAP oder andere Märkte betreiben.

Dieser Leitfaden richtet sich an Hersteller fertiger Produkte und verwandte Einrichtungen, die Part 820 unterliegen. Er fasst zusammen, was die Endregel und die öffentlichen QMSR-Materialien der FDA besagen, was Compliance Program 7382.850 an Inspektionen ändert, und enthält eine praxisnahe Bereitschafts-Checkliste. Es handelt sich nicht um Rechtsberatung; prüfen Sie vor SOP-Änderungen stets den aktuellen Verordnungstext und die primären FDA-Quellen.

Was ist die QMSR?

Die QMSR ist der überarbeitete Rahmen von 21 CFR Part 820, der:

1. ISO 13485:2016 per Verweis einbezieht als Kernanforderungen an das Qualitätsmanagementsystem für Geräte-CGMP (mit zusätzlichen FDA-spezifischen Bestimmungen, wo erforderlich).
2. Terminologie und Struktur des US-Qualitätssystems für Geräte enger an den ISO-Standard angleicht, den viele andere Behörden nutzen.
3. Die Architektur der früheren Quality System Regulation (QSR) ablöst, die die Branche mit dem langjährigen QSIT-Inspektionsleitfaden verband.

Die Endregel wurde am 2. Februar 2024 im Federal Register veröffentlicht, mit einem um zwei Jahre verschobenen Inkrafttreten am 2. Februar 2026. Diese Verzögerung war beabsichtigt: Die FDA erwartete, dass Hersteller bestehende QS-Verfahren gegen ISO 13485:2016 gap-bewerten und Änderungen umsetzen, bevor unter dem neuen Teil durchgesetzt wird.

Was „per Verweis einbeziehen“ in der Praxis bedeutet

Incorporation by reference bedeutet: Die von der FDA bezeichneten Anforderungen von ISO 13485:2016 werden über Part 820 zu durchsetzbaren US-Regulierungsanforderungen — nicht zu optionaler Leitlinie. Hersteller müssen ein Qualitätsmanagementsystem einrichten und aufrechterhalten, das diese einbezogenen Anforderungen sowie die zusätzlichen FDA-Anforderungen erfüllt, die in Part 820 (und anderen anwendbaren Gerätevorschriften) verbleiben.

Wesentliche Klarstellungen der FDA in öffentlichen Aussagen:

• Eine ISO-13485-Zertifizierung ist für die QMSR-Konformität nicht erforderlich.
• Die FDA stellt keine Konformitätszertifikate zu ISO 13485 aus.
• Der Besitz eines ISO-13485-Zertifikats befreit einen Hersteller nicht von der FDA-Inspektion.
• FDA-Inspektionen bewerten die Einhaltung der FDA-Vorschriften, nicht Drittzertifizierungssysteme. Die FDA hat zudem erklärt, dass QMSR-Inspektionen nicht dem MDSAP-Auditplan oder -verfahren folgen.

Kurz gesagt: Die ISO-Angleichung verringert den Dualsystem-Aufwand für global tätige Unternehmen, ist aber nicht „ein ISO-Zertifikat ersetzt die FDA-Aufsicht“.

Zeitplan auf einen Blick

Datum	Ereignis
2. Februar 2024	QMSR-Endregel veröffentlicht (Federal Register)
2. Februar 2026	FDA Compliance Program 7382.850 (Inspection of Medical Device Manufacturers) — Ausstellungs-/Implementierungsdatum gemäß FDA-CP-Materialien
2. Februar 2026	QMSR wirksam; Durchsetzung unter dem überarbeiteten Part 820 beginnt
2. Februar 2026	QSIT zurückgezogen; CP 7382.845 und PMA-Inspektions-CP 7383.001 werden für diese Inspektionen nicht mehr verwendet

Wenn Ihre SOPs, Schulungsunterlagen oder Lieferantenqualitätsvereinbarungen noch „QSIT-Subsysteme“ als Art und Weise beschreiben, wie die FDA inspiziert, sind sie ab dem Inkrafttreten veraltet.

Wie sich Inspektionen geändert haben: CP 7382.850 ersetzt QSIT

Unter der alten Quality System Regulation waren viele Inspektionen um die Quality System Inspection Technique (QSIT) und ihre bekannten Subsysteme organisiert (häufig diskutiert als Management Controls, Design Controls, CAPA sowie Produktions- und Prozesskontrollen).

Zum Inkrafttreten der QMSR erklärte die FDA, dass sie QSIT nicht mehr verwendet und den Prozess in Compliance Program 7382.850 anwendet. Nach dem 2. Februar 2026 nutzt die FDA nicht mehr:

• Inspection of Medical Device Manufacturers (7382.845)
• Medical Device PMA Preapproval and PMA Postmarket Inspections (7383.001)

für den Inspektionsansatz, den diese Dokumente zuvor geregelt haben.

Sechs QMS-Bereiche + vier „weitere anwendbare FDA-Anforderungen“ (OAFRs)

Die öffentlichen QMSR-Materialien der FDA und Compliance Program 7382.850 beschreiben einen risikobasierten Inspektionsprozess. Das aktuelle CP (FDA-CDRH-Compliance-Program-Seiten / Medien-Download für 7382.850) gliedert die Abdeckung um sechs Qualitätsmanagementsystem-(QMS)-Bereiche und vier Other Applicable FDA Requirements (OAFRs) in der risikobasierten Prozessbeschreibung und Attachment A. Verwenden Sie stets das aktuelle FDA-PDF, falls Bezeichnungen oder Abbildungen aktualisiert werden.

QMS-Bereiche (gemäß risikobasiertem Prozess in CP 7382.850):

1. Änderungskontrolle (Change control)
2. Design und Entwicklung (Design and development)
3. Management-Aufsicht (Management oversight)
4. Messung, Analyse und Verbesserung (Measurement, analysis, and improvement)
5. Outsourcing und Einkauf (Outsourcing and purchasing)
6. Produktion und Dienstleistungserbringung (Production and service provision)

OAFRs (gemäß CP 7382.850):

1. Medical Device Reporting (MDR)
2. Meldungen zu Korrekturen und Rücknahmen (Reports of corrections and removals)
3. Nachverfolgung von Medizinprodukten (Medical device tracking)
4. Unique Device Identification (UDI)

Jeder Bereich/OAFR enthält Elemente, die regulatorischen Anforderungen entsprechen. Von Inspektoren wird erwartet, dass sie Risiken für Patienten und Anwender priorisieren — nicht eine feste Routine „jedes QSIT-Subsystem abhaken“.

Zwei Inspektionsmodelle (nicht die alten QSIT-„Levels“)

CP 7382.850 beschreibt zwei Inspektionsmodelle (genaue Zahlen/Auslöser im aktuellen FDA-PDF bestätigen):

1. Die meisten Inspektionen: Abdeckung von mindestens einem Element in jedem QMS-Bereich und OAFR; Elemente werden nach potenzieller nachteiliger Auswirkung auf Patienten/Anwender gewählt.
2. Baseline- / bestimmte Preapproval-Abdeckung: Bei Einrichtungen ohne vorherige FDA-Geräteinspektion oder MDSAP-Audit und ohne MDSAP-Teilnahme (Baseline-Surveillance) sowie bei PMA-Preapproval-Inspektionen spezifiziert das Programm bestimmte Elemente, die in jedem Bereich/OAFR abgedeckt werden sollen.

Über die Modelle hinweg prüfen Inspektoren auch allgemeine Punkte wie Establishment Registration und Device Listing, Marketingzulassungen, frühere Form FDA-483 / Compliance-Historie sowie zuweisungsbezogene Anweisungen.

Stärkerer Fokus auf Risikomanagement über den gesamten Produktlebenszyklus

Ein wiederkehrendes Thema im neuen Inspektionsprogramm ist Risikomanagement, integriert über die Produktrealisierung — nicht als isolierte Design-Übung. Inspektoren sollen risikobezogene Dokumentation nutzen (zum Beispiel MDRs, Corrections/Removals, Beschwerden und Feedback, Postmarket-Surveillance und Service-Daten), um Produktrisiken zu verstehen und zu prüfen, ob die Kontrollen des Unternehmens diesem Risiko entsprechen.

CP 7382.850 hebt zudem bestimmte Risikomanagement-Versäumnisse als Beispiele für ernste Inspektionsergebnisse hervor (einschließlich Klassifizierungen, die Official Action Indicated-Pfade stützen können). Behandeln Sie Risikodateien, CAPA-Verknüpfungen und Change-Control-Impact-Assessments als inspektionsrelevante Nachweise, nicht nur als interne ISO-Papierarbeit.

Unterlagen, die historisch tabu waren, sind jetzt im Spiel

Unter der früheren QS-Verordnung lagen bestimmte Qualitätssicherungsunterlagen — namentlich Management Reviews, interne Qualitätsaudits und verwandte Ausschlüsse unter altem § 820.180(c) — in der Regel außerhalb der routinemäßigen FDA-Prüfungspraxis. ISO 13485 enthält diese US-spezifischen Ausnahmen nicht.

Die QMSR-FAQ der FDA stellt klar, dass die FDA unter der QMSR befugt ist, Management Review, Quality Audits und Lieferantenauditberichte zu inspizieren und dass die QS-Ära-Ausnahmen nicht beibehalten werden. Unternehmen sollten damit rechnen, dass Inspektoren diese Unterlagen im QMSR-Inspektionsrahmen anfordern.

Praktische Konsequenz: Verfassen Sie Management Reviews und interne Audits so, als könnte ein Inspektor sie lesen. Vage Feststellungen, geschlossene CAPAs ohne Wirksamkeitsprüfung oder rein „papierbasierte“ Lieferantenaudits sind jetzt gefährlicher, nicht ungefährlicher.

Weitere im neuen Inspektionsprogramm genannte Verschiebungen

CP 7382.850 behandelt auch (Details im aktuellen PDF bestätigen):

• Remote Regulatory Assessments (RRAs) sind stärker formal in das Aufsichtsinstrumentarium für Geräte integriert (die FDA kann Einrichtungen und Unterlagen remote prüfen, anstelle oder vor einer Vor-Ort-Inspektion).
• Cybersicherheit / Cyber Devices erhalten explizite Aufmerksamkeit bei softwarebasierten Produkten, im Einklang mit der breiteren FDA-Geräte-Cybersicherheitspolitik und gesetzlichen Reformen.

Unternehmen mit vernetzten Geräten sollten sicherstellen, dass Qualitätssystemnachweise für sicheres Design, Update-Prozesse und Umgang mit Schwachstellen inspektionsbereit sind — nicht nur premarket-submission-bereit.

Was nicht magisch verschwunden ist

Die QMSR tilgt nicht FDA-spezifische Postmarket- und Identifikationsregime. OAFRs existieren gerade deshalb, weil ISO 13485 allein Folgendes nicht vollständig ersetzt:

• 21 CFR Part 803 — Medical Device Reporting
• 21 CFR Part 806 — Corrections and removals
• Device-Tracking-Anforderungen, wo anwendbar
• UDI-Kennzeichnung und GUDID-Pflichten

Complaint Handling, CAPA, Design Controls, Production Controls und Process Validation bleiben zentral — nun im ISO-ausgerichteten QMS-Rahmen und mit stärkerer Risikobetrachtung bewertet.

Unverändert im Geist: Die FDA erwartet weiterhin ein Qualitätssystem, das für die Geräte, die Sie ausliefern, tatsächlich funktioniert. Harmonisierung mit ISO betrifft Struktur und globale Konsistenz, nicht eine niedrigere Latte.

QMSR vs. ISO 13485 vs. MDSAP (Kurzvergleich)

Thema	Praktische Schlussfolgerung unter der QMSR
ISO 13485:2016	Kern-QMS-Anforderungen per Verweis in Part 820 einbezogen
ISO-Zertifikat	Kommerziell optional; kein Ersatz für FDA-Konformität oder Inspektion
MDSAP	Nützliches Mehrzweck-Auditprogramm; FDA hat erklärt, dass QMSR-Inspektionen nicht MDSAP-Verfahren folgen
EU MDR / andere Märkte	Näher an QMS-Sprache mindert Dual-Dokumentationsaufwand, aber marktspezifische Technische Dokumentation und PMS/Vigilance unterscheiden sich weiterhin
Inspektionsnachweise	Erwarten Sie tiefere Prüfung von Risiko, Change Control, Lieferantensteuerung sowie Audit-/Management-Review-Unterlagen

Bereitschafts-Checkliste für RA-/QA-Teams

Nutzen Sie dies als operative Gap-Liste (an Unternehmensgröße und Geräterisiko anpassen):

1. Verfahren der QMSR-/ISO-Struktur zuordnen

• Gap-Bewertung jeder SOP gegen ISO-13485:2016-Klauseln sowie verbleibende FDA-spezifische Part-820- und OAFR-Anforderungen.
• QSIT-zentrierte Inspection-Readiness-Binder, die nur nach alten Subsystemen ohne risikobasierte Erzählung organisiert sind, zurückziehen oder neu schreiben.
• Document Control so ausrichten, dass das „aktuelle“ QMS-Paket während der Inspektion eindeutig ist.

2. Risikomanagement inspektionsfähig machen

• Risikomanagement über Design, Produktion, Purchasing, Change Control und Postmarket-Feedback nachweisen — nicht nur ein Design-FMEA-Archiv.
• Beschwerden, MDRs, Corrections/Removals und Service-Daten mit datierten Entscheidungen in Risikodatei-Updates verknüpfen.
• CAPA-Verantwortliche schulen, zu zeigen, wie Restrisiko und Risikoakzeptanzkriterien Maßnahmen steuern.

3. Management-Review- und Audit-Pakete vorbereiten

• Sicherstellen, dass Management Reviews die erforderlichen Inputs/Outputs, Ressourcenentscheidungen und Nachverfolgung früherer Maßnahmen enthalten.
• Interne Auditberichte als einsehbar behandeln: Feststellungen, Scope, Unabhängigkeit, CAPA, Wirksamkeit.
• Lieferantenaudits: Zeitpläne, Kritikalität und SCAR-Nachweise müssen zu den Purchasing Controls passen.

4. Die neuen Inspektionsmodelle üben

• „Ein Element pro QMS-Bereich + OAFR“ mit Ihren risikorelevantesten Produkten durchspielen.
• Für neue Standorte oder PMA-Preapproval-Situationen auf die stärker vorgegebene Elementliste in Modell 2 vorbereiten.
• Front-Room-/Back-Room-Skripte aktualisieren, damit Mitarbeitende rechtmäßige Anfragen zu Management Review oder Auditberichten nicht auf Basis veralteter QS-Ära-Annahmen verweigern.

5. Qualitätssystemänderungen mit Regulatory Intelligence verknüpfen

Die QMSR hat den Rest der FDA-Umgebung nicht eingefroren. Leitlinien-Updates, Trends bei Inspektionsklassifizierungen, Cybersicherheitserwartungen und Postmarket-Datenbanken entwickeln sich weiter. Die Qualitätsführung braucht einen Feed von Behörden veröffentlichter Änderungen, die SOP- oder Risikodatei-Updates erzwingen können — nicht nur ein einmaliges Umstellungsprojekt 2026.

MedFlux überwacht FDA-Publikationen und 26 weitere Gerätebehörden, damit Qualitäts- und Regulatory-Teams inspektionsrelevante Policy-Änderungen in einem Workflow sehen — neben Postmarket-Signalen aus Tools wie FDA recall lookup und Adverse-Event-Intelligence in unseren Guides zu MAUDE und AEMS.

Häufig gestellte Fragen

Wann trat die FDA QMSR in Kraft?

Am 2. Februar 2026. Die Endregel wurde am 2. Februar 2024 veröffentlicht, mit einem um zwei Jahre verschobenen Inkrafttreten.

Ersetzt die QMSR 21 CFR Part 820?

Sie ändert und benennt Part 820 in Quality Management System Regulation um und bezieht ISO 13485:2016 per Verweis ein; zusätzliche FDA-Anforderungen bleiben erhalten. Praktiker sprechen weiterhin von „Part 820“, aber Inhalt und Inspektionsansatz sind das QMSR-Regime.

Ist eine ISO-13485-Zertifizierung unter der QMSR erforderlich?

Nein. Die FDA verlangt keine ISO-13485-Zertifikate und stellt sie nicht aus. Ein Zertifikat befreit nicht von der FDA-Inspektion.

Was hat QSIT ersetzt?

Die FDA stellte die Nutzung von QSIT am 2. Februar 2026 ein und inspiziert nach Compliance Program 7382.850 (Inspection of Medical Device Manufacturers). Frühere CPs 7382.845 und 7383.001 werden für die Ansätze, die sie zuvor abdeckten, nicht mehr verwendet.

Kann die FDA interne Audit- und Management-Review-Unterlagen einsehen?

Ja. Die QMSR-FAQ der FDA stellt klar, dass die Behörde Management Review, Quality Audits und Lieferantenauditberichte inspizieren kann; die früheren QS-Ausnahmen werden in der QMSR nicht beibehalten.

Ändert die MDSAP-Teilnahme, wie die FDA unter der QMSR inspiziert?

MDSAP-Einschreibung und Audit-Historie können den Kontext der Inspektionsplanung beeinflussen (einschließlich der Auswahl Baseline- vs. Non-Baseline-Modell, wie in Branchenanalysen zu CP 7382.850 beschrieben). Die FDA hat erklärt, dass QMSR-Inspektionen nicht MDSAP-Auditverfahren folgen, und ISO-/MDSAP-Zertifikate ersetzen die regulatorische Bewertung der FDA nicht.

Primärquellen und weiterführende Lektüre

Bevorzugen Sie bei SOP-Updates stets Primärmaterialien:

• FDA — Quality Management System Regulation (QMSR) Overview- und FAQ-Seiten auf fda.gov
• Federal-Register-Endregel (2. Februar 2024): Medical Devices; Quality System Regulation Amendments
• FDA Compliance Program 7382.850 — Inspection of Medical Device Manufacturers (FDA-Materialien listen Ausstellung/Implementierung mit dem Inkrafttreten am 2. Februar 2026; stellen Sie sicher, dass Sie das aktuelle PDF der FDA haben)
• ISO 13485:2016 — Medical devices — Quality management systems — Requirements for regulatory purposes (urheberrechtlich geschützter Standard; über autorisierte Kanäle beziehen)

Verwandte Ressourcen

• FDA 510(k) Clearance Guide — Premarket-Pfad-Kontext für Qualitätssystem-Bereitschaft
• FDA MAUDE Database Guide — Postmarket Adverse-Event-Intelligence
• FDA AEMS Transition Guide — Einheitliche Adverse-Event-Plattform, die die öffentliche MAUDE-Suche ersetzt
• Monitor FDA Medical Device Recalls — Corrections, Removals und Recall-Monitoring
• FDA Regulatory Intelligence Hub — MedFlux-FDA-Regulator-Seite
• Glossary: 510(k) | PMA | UDI | Vigilance