ISO 13485 Zertifizierung: Ablauf, Dauer & Kosten

Die ISO 13485 ist der internationale Standard für Qualitätsmanagementsysteme (QMS) von Medizinprodukteherstellern und ihren Zulieferern. Wer Medizinprodukte in Europa, den USA oder anderen regulierten Märkten in Verkehr bringen will, kommt an einem QMS nach ISO 13485 praktisch nicht vorbei. Dieser Beitrag zeigt, wie eine Zertifizierung abläuft, wovon Dauer und Aufwand abhängen und wo Unternehmen in der Praxis am häufigsten Zeit verlieren.

Was die ISO 13485 regelt

Die aktuelle Fassung ist die ISO 13485:2016 mit dem Titel „Medizinprodukte – Qualitätsmanagementsysteme – Anforderungen für regulatorische Zwecke". In Europa gilt sie als EN ISO 13485:2016 + A11:2021 und ist unter der Medizinprodukteverordnung (MDR) harmonisiert. Ein QMS, das die Norm erfüllt, löst damit die Vermutung aus, dass auch die QMS-Anforderungen der MDR erfüllt sind.

Anders als die ISO 9001 folgt die ISO 13485 nicht der „High Level Structure", sondern ist in fünf Kernkapitel gegliedert:

• Kapitel 4: Qualitätsmanagementsystem, Dokumentation, Qualitätsmanagementhandbuch und Medizinprodukteakte
• Kapitel 5: Verantwortung der Leitung, Qualitätspolitik, Managementbewertung
• Kapitel 6: Ressourcen, Kompetenz, Infrastruktur und Arbeitsumgebung
• Kapitel 7: Produktrealisierung, von Planung und Entwicklung über Beschaffung bis zur Produktion
• Kapitel 8: Messung, Analyse und Verbesserung, darunter Reklamationen, interne Audits und Korrekturmaßnahmen (CAPA)

Der Fokus liegt weniger auf kontinuierlicher Verbesserung als auf Wirksamkeit, Nachweisbarkeit und Patientensicherheit. Risikobasiertes Denken zieht sich durch alle Prozesse, nicht nur durch die Produktentwicklung.

Ist die Zertifizierung Pflicht?

Rechtlich verlangt die MDR ein QMS (Artikel 10 Absatz 9), aber kein ISO-13485-Zertifikat. Für Produkte ab Klasse IIa bewertet die Benannte Stelle das QMS ohnehin im Rahmen des Konformitätsbewertungsverfahrens. In der Praxis ist das Zertifikat trotzdem Standard, weil

• Kunden, OEMs und Kliniken es in Ausschreibungen und Lieferantenbewertungen voraussetzen,
• es die Grundlage für Zulassungen in weiteren Märkten bildet, etwa über das MDSAP (Medical Device Single Audit Program) für die USA, Kanada, Brasilien, Japan und Australien,
• die US-amerikanische FDA mit der Quality Management System Regulation (QMSR) seit dem 2. Februar 2026 die ISO 13485:2016 per Verweis in 21 CFR Part 820 übernommen hat.

Wichtig: Ein ISO-13485-Zertifikat ersetzt weder FDA-Inspektionen noch die Bewertung durch eine Benannte Stelle. Es schafft aber eine gemeinsame Basis, auf der beide aufbauen.

Der Ablauf in sieben Schritten

1. Geltungsbereich festlegen

Am Anfang steht die Frage, was genau zertifiziert werden soll: welche Produkte, welche Standorte, welche Tätigkeiten (Entwicklung, Herstellung, Vertrieb, Service). Prozesse aus Kapitel 7, die im Unternehmen nicht stattfinden, etwa die Entwicklung bei reinen Lohnfertigern, können ausgeschlossen werden. Der Ausschluss muss begründet und im Handbuch dokumentiert sein.

2. Gap-Analyse

Eine strukturierte Gap-Analyse vergleicht den Ist-Zustand mit jeder Normforderung. Das Ergebnis ist eine priorisierte Liste offener Punkte. Unternehmen, die bereits nach ISO 9001 arbeiten, starten meist mit einem soliden Fundament, müssen aber vor allem bei Risikomanagement, Medizinprodukteakte, Rückverfolgbarkeit, Validierung und Meldewesen nacharbeiten.

3. Dokumentation aufbauen

Die ISO 13485 fordert deutlich mehr dokumentierte Verfahren als die ISO 9001. Dazu gehören unter anderem:

• Lenkung von Dokumenten und Aufzeichnungen
• Managementbewertung
• Risikomanagement in der Produktrealisierung (in der Praxis nach ISO 14971)
• Entwicklung (Design and Development), sofern im Geltungsbereich
• Beschaffung und Lieferantenbewertung
• Reklamationsbearbeitung und Meldungen an Behörden
• Interne Audits
• Lenkung fehlerhafter Produkte
• Korrektur- und Vorbeugungsmaßnahmen

Hinzu kommen für jeden Produkttyp eine Medizinprodukteakte (Medical Device File) und ein Qualitätsmanagementhandbuch. Gute Dokumentation beschreibt, was im Unternehmen tatsächlich passiert. Prozesse, die nur auf dem Papier existieren, fallen im Audit schnell auf.

4. Einführen und leben

Ein Zertifizierer will nicht nur Verfahren sehen, sondern Nachweise, dass sie angewendet werden: Schulungsnachweise, Lieferantenbewertungen, Reklamationsakten, CAPA-Vorgänge, Validierungsberichte. Viele Zertifizierungsstellen erwarten deshalb, dass das System vor dem Hauptaudit bereits einige Monate in Betrieb ist und Aufzeichnungen erzeugt hat.

5. Internes Audit und Managementbewertung

Vor dem externen Audit muss mindestens ein vollständiger Zyklus aus internem Audit (Kapitel 8.2.4) und Managementbewertung (Kapitel 5.6) abgeschlossen sein. Das interne Audit sollte alle Normkapitel und alle Bereiche im Geltungsbereich abdecken und von Personen durchgeführt werden, die ihre eigene Arbeit nicht selbst auditieren. Die Managementbewertung wertet die Ergebnisse aus und legt Maßnahmen fest.

6. Zertifizierungsaudit (Stage 1 und Stage 2)

Die Zertifizierung selbst läuft in zwei Stufen:

Stufe	Inhalt	Ergebnis
Stage 1	Prüfung der Dokumentation und der Zertifizierungsreife, oft teilweise remote	Bericht mit Punkten, die bis Stage 2 zu klären sind
Stage 2	Vor-Ort-Audit aller Prozesse im Geltungsbereich mit Stichproben aus Aufzeichnungen und Interviews	Feststellungen (Haupt- und Nebenabweichungen) und Empfehlung zur Zertifizierung

Abweichungen müssen mit einem Maßnahmenplan und Nachweisen fristgerecht geschlossen werden. Hauptabweichungen verhindern die Zertifizierung, bis sie behoben und verifiziert sind.

7. Zertifikat und Überwachung

Das Zertifikat ist drei Jahre gültig. Dazwischen finden jährliche Überwachungsaudits statt, nach drei Jahren folgt ein Rezertifizierungsaudit. Das QMS muss also dauerhaft gepflegt werden, nicht nur bis zum Zertifikat.

Wie lange dauert eine ISO 13485 Zertifizierung?

Eine seriöse Pauschalangabe gibt es nicht. Entscheidend sind:

• Ausgangslage: Gibt es bereits ein QMS (z. B. ISO 9001) oder wird bei null begonnen?
• Komplexität: Anzahl der Produkte, Risikoklassen, Sterilprodukte, Software, Standorte
• Entwicklung im Geltungsbereich: Design Control ist einer der aufwendigsten Prozesse
• Interne Kapazität: Wer arbeitet neben dem Tagesgeschäft am QMS?
• Verfügbarkeit der Zertifizierungsstelle: Vorlaufzeiten von mehreren Monaten sind keine Seltenheit

Vom Projektstart bis zum Zertifikat vergehen bei kleinen und mittleren Unternehmen in der Regel mehrere Monate bis über ein Jahr. Wer früh mit der Zertifizierungsstelle spricht und die Audittermine einplant, vermeidet unnötige Wartezeiten.

Was kostet die Zertifizierung?

Die Kosten setzen sich aus drei Blöcken zusammen:

1. Externe Zertifizierungskosten: Sie richten sich vor allem nach der Anzahl der Audittage. Diese werden auf Basis von Mitarbeiterzahl, Standorten und Komplexität nach dem Leitfaden IAF MD 9 berechnet.
2. Interner Aufwand: Zeit der Mitarbeitenden für Dokumentation, Schulung, interne Audits und Auditvorbereitung. Dieser Block wird am häufigsten unterschätzt.
3. Externe Unterstützung: Beratung, Schulungen, QMS-Software oder ausgelagerte interne Audits, je nach eigener Erfahrung im Team.

Wer mehrere Angebote von Zertifizierungsstellen einholt, sollte nicht nur den Tagessatz vergleichen, sondern auch Auditorenverfügbarkeit, Branchenerfahrung und ob dieselbe Stelle auch als Benannte Stelle unter der MDR tätig ist.

Typische Stolperfallen

• Dokumentation aus Vorlagen ohne Bezug zur Realität: Auditoren prüfen, ob Verfahren und gelebte Praxis übereinstimmen.
• Risikomanagement als Insel: Risiken müssen mit Entwicklung, Produktion, Reklamationen und Post-Market Surveillance verknüpft sein.
• Unvollständige Lieferantensteuerung: Kritische Lieferanten brauchen Bewertung, Qualitätssicherungsvereinbarung und Überwachung.
• CAPA ohne Wirksamkeitsprüfung: Eine Maßnahme ist erst abgeschlossen, wenn ihre Wirksamkeit nachgewiesen ist.
• Software und Validierung vergessen: Auch Software im QMS (z. B. ERP oder eQMS) muss für ihren Einsatz validiert werden.
• Zu spät mit der Zertifizierungsstelle gesprochen: Lange Vorlaufzeiten verschieben den Markteintritt.

Fazit

Eine ISO 13485 Zertifizierung ist kein reines Dokumentationsprojekt, sondern der Aufbau eines Systems, das Produktqualität und Patientensicherheit nachweisbar macht. Mit klarem Geltungsbereich, ehrlicher Gap-Analyse und einem System, das tatsächlich gelebt wird, lässt sich das Zertifizierungsaudit gut planen. Der zweite Schritt folgt meist direkt: die Konformitätsbewertung unter der MDR, bei der die Klassifizierung des Produkts und die Vorbereitung auf das Audit der Benannten Stelle im Mittelpunkt stehen.

Beim Aufbau oder der Optimierung eines QMS nach ISO 13485 unterstützen wir mit Erfahrung aus der Praxis. Mehr dazu auf unserer Seite zum MedTech Consulting.