MDR-compliance: van versnippering naar aantoonbare structuur

De Medical Device Regulation (MDR) heeft veel verbetering opgeleverd voor de veiligheid en traceerbaarheid voor medische hulpmiddelen. ^[1] Tegelijkertijd stelt het fabrikanten soms ook voor een complexe uitdaging om te voldoen aan alle verplichtingen, zoals kwaliteitsmanagement, risicobeheer, klinische evaluatie, post-market surveillance en vigilantie. Het gaat bovendien niet alleen om compliant zijn, maar ook om dit daadwerkelijk te kunnen aantonen aan Notified Bodies, toezichthouders en gebruikers.

In de praktijk zien we dat veel fabrikanten worstelen met deze aantoonbaarheid. Documentatie staat verspreid over verschillende systemen, risicoanalyses leven los van beheersmaatregelen en bewijsvoering wordt pas verzameld wanneer een audit nadert. In dit blog gaan we in op de kern van de MDR-verplichtingen en hoe een gestructureerde aanpak kan helpen om grip te krijgen op deze eisen.

Wat MDR en ISO-13485 vragen

De MDR legt fabrikanten een uitgebreid pakket aan verplichtingen op. Zij moeten beschikken over een kwaliteitsmanagementsysteem dat risicomanagement integreert en procedures bevat voor de gehele levenscyclus van het hulpmiddel. De technische documentatie moet worden opgesteld en actueel blijven zolang het hulpmiddel op de markt is. Na marktintroductie moet een post-market surveillance systeem proactief gegevens verzamelen over veiligheid en prestaties. ^[2]Post-market surveillance werkt zoals een doorlopende monitoring- en verbetercyclus (PDCA): signalen uit de markt voeden de risicoanalyse, die weer tot maatregelen leidt.

ISO-13485 vormt de structuur voor dit kwaliteitsmanagementsysteem. De norm vereist een procesbenadering met gedocumenteerde procedures, registraties en beheersing van wijzigingen. Fabrikanten stellen voor elk type hulpmiddel of productfamilie een dossier samen met documenten over de gehele levenscyclus. Ontwikkel je als fabrikant medische hulpmiddelen met software die koppelt met IT-systemen van een zorginstelling? Dan is daarnaast ook de NEN 7510-serie direct relevant.

De MDR, ISO-13485, NEN 7510 en aanvullende normen raken elkaar op talloze punten. Een wijziging in het ontwerp heeft impact op de risicoanalyse, de technische documentatie, mogelijk de klinische evaluatie en de etikettering. Wanneer deze elementen in gescheiden systemen leven, ontstaan inconsistenties.

Het probleem: versnippering en eilandjes

Bij veel fabrikanten zien we hetzelfde beeld. De technische documentatie staat in SharePoint. Risicoanalyses leven in Excel. Corrigerende en preventieve maatregelen (CAPA) worden via e-mail afgehandeld. Post-market surveillance data zitten in weer een ander systeem. De Person Responsible for Regulatory Compliance (PRRC) of de kwaliteitsmanager moet dit allemaal handmatig bij elkaar brengen.

Deze versnippering leidt ertoe dat je niet meer in control bent. Je verliest het overzicht, de samenhang tussen risico's, maatregelen en normvereisten raakt zoek en bewijsvoering die binnen vijf minuten vindbaar zou moeten zijn, kost uren om bij elkaar te sprokkelen. Besluitvorming gebeurt op basis van incomplete informatie en compliance is pas laat aantoonbaar, vaak pas wanneer een audit nadert.

Dit vertaalt zich direct naar veelvoorkomende auditbevindingen. Auditors signaleren regelmatig verouderde procedures zonder actuele goedkeuringen, incomplete trainingsregistraties, corrigerende maatregelen zonder gedocumenteerde oorzaakanalyse of effectiviteitsbeoordeling en risicomanagementdossiers die niet zijn bijgewerkt na nieuwe informatie uit post-market surveillance. Stuk voor stuk bevindingen die te voorkomen zijn met een gestructureerde aanpak.

De oplossing: samenhang en normkoppelingen

De uitdaging zit niet in een gebrek aan kennis over de MDR of ISO-13485, dit is vaak wel aanwezig bij de organisaties. De uitdaging zit in de vertaling naar een werkbare structuur waarin beleid, risico’s, maatregelen en bewijsvoering met elkaar verbonden zijn.

Een geïntegreerde aanpak maakt deze verbindingen expliciet. Neem bijvoorbeeld het risico op onbedoelde blootstelling van patiëntgegevens bij een medisch hulpmiddel met software. Dit risico wordt in het risicoregister direct gekoppeld aan concrete beheersmaatregelen, zoals versleuteling en autorisatiebeheer. Die maatregelen zijn vervolgens gekoppeld aan de relevante eisen uit de MDR, ISO-13485 en NEN 7510 (een many-to-many koppeling). Op deze manier zie je in één oogopslag welke risico’s zijn geïdentificeerd, hoe deze worden beheerst en aan welke normvereisten de maatregelen bijdragen. Eén registratie, één workflow, één bewijsstuk dat meerdere audit-eisen afdekt.

Om partijen hierbij te ondersteunen, hebben wij de Governance, Risk & Compliance (GRC) Blueprint ontwikkeld. De Blueprint is geen losstaande GRC-tool waar alleen het compliance-team in werkt, maar een kant-en-klare structuur binnen Atlassian Cloud die aansluit bij hoe organisaties al werken. Confluence als centrale plek voor beleidsdocumenten, processen en technische documentatie, Jira voor de opvolging van maatregelen en verbeteracties.

De Blueprint is bovendien modulair opgebouwd. Met de Blueprint start je met de modules die nu relevant zijn, bijvoorbeeld ISO-13485 en MDR, en breid je later uit met aanvullende frameworks zoals NEN 7510, NIS2 of de AI Act, zonder dat de bestaande inrichting opnieuw op de schop moet. Vraagt een auditor hoe je voldoet aan een specifieke MDR-eis? Dan is het antwoord geen zoektocht door mappen, maar een directe verwijzing naar het gekoppelde document.

Waarom nu handelen

De overgangstermijnen voor CE-certificaten onder de MDD zijn weliswaar verlengd, maar die verlenging is niet onbeperkt. Voor klasse III en implanteerbare klasse IIb hulpmiddelen loopt het overgangsrecht af op 31 december 2027, voor klasse IIa en overige IIb op 31 december 2028. ^[3]

De deadlines lijken ver weg, maar de doorlooptijd om compliant en gecertificeerd te worden bedraagt al snel anderhalf jaar. Dat komt door de volgorde van de audits: de interne audit moet worden uitgevoerd voordat de externe audit door een Notified Body kan plaatsvinden. Wie eind 2027 MDR-gecertificeerd wil zijn voor klasse III hulpmiddelen, moet de interne audit uiterlijk in Q1 2027 afronden. Dat betekent dat de voorbereidingen nu moeten starten.

Afsluiting

Compliance met de MDR, ISO-13485 en andere normen draait niet om de dikte van het handboek, maar om aantoonbare beheersing van risico's gedurende de hele levenscyclus van het medisch hulpmiddel. Fabrikanten die nu investeren in een gestructureerde aanpak, kunnen straks aantonen wat ze doen, waarom ze het doen en dat het werkt. Dat is de kern van duurzame compliance: niet eenmalig vastleggen, maar aantoonbaar in control blijven.

Wij ondersteunen fabrikanten van medische hulpmiddelen bij zowel het inrichten van een werkbare compliancestructuur als het uitvoeren van interne audits: we kennen de specifieke eisen en ondersteunen graag bij het bouwen van een duurzame aanpak.