Was kostet eine ISO 13485 Zertifizierung?

Bei ISO 13485 dominiert nicht das Audit, sondern die Nachweislage, die es prüft. Der größte Kostenblock ist bei Herstellern mit eigener Entwicklung die technische Dokumentation: Entwicklungsakte, Risikomanagementakte, klinische Bewertung, Gebrauchstauglichkeit, Überwachung nach dem Inverkehrbringen. Bei Lohnfertigern ohne Entwicklungsverantwortung verschiebt sich das Gewicht zur Prozessvalidierung und zur Rückverfolgbarkeit. In beiden Fällen ist die Rechnung der Zertifizierungsstelle der kleinere Teil.

Das liegt daran, dass ISO 13485 keine freiwillige Verbesserungsnorm ist, sondern die Betriebsanleitung für ein reguliertes Umfeld. Die Norm ist auf die europäische Medizinprodukteverordnung zugeschnitten und beschreibt das Qualitätsmanagementsystem, das ein Hersteller ohnehin betreiben muss. Sie fragt nicht nach kontinuierlicher Verbesserung, sondern nach Wirksamkeit und Nachweisbarkeit. Wer nur ein Zertifikat für die Kundenakte will, kauft trotzdem das ganze System.

Damit hängt der wichtigste Punkt für die Kalkulation zusammen: Ein Zertifikat nach ISO 13485 ersetzt keine Konformitätsbewertung durch eine Benannte Stelle. Es sind zwei Verfahren mit unterschiedlicher Rechtsgrundlage, oft zwei Verträgen und deutlich unterschiedlichen Preisniveaus. Wer beides braucht und beides bei derselben Stelle bündeln kann, spart. Wer erst nach der Systemzertifizierung merkt, dass die Produktseite noch offen ist, hat sein Budget um den größeren der beiden Posten verfehlt.

Der zweite Punkt, der die Kalkulation prägt, ist die Rolle im Markt. Ein Hersteller mit eigener Entwicklung, ein Lohnfertiger nach Kundenspezifikation und ein Händler, der unter eigenem Namen vertreibt, führen alle dasselbe Zertifikat im Briefkopf — und haben völlig unterschiedliche Kostenstrukturen. Wer den Aufwand eines Wettbewerbers als Maßstab nimmt, ohne dessen Rolle zu kennen, vergleicht zwei Projekte, die nur den Normtitel gemeinsam haben.

Die Kostenblöcke im Einzelnen

1. Das Managementsystem selbst. Prozesslandschaft, Dokumentenlenkung, Lenkung von Aufzeichnungen, Schulungsnachweise, Lieferantenbewertung, interne Audits, Managementbewertung. Wer bereits nach ISO 9001 arbeitet, hat hier Vorleistungen. Wer bei null anfängt, trägt diesen Block zusätzlich.

2. Entwicklung und Risikomanagement. Der teuerste Block bei Herstellern. Die Entwicklungsakte muss den gesamten Weg von den Anforderungen über Verifizierung und Validierung bis zur Freigabe belegen, verzahnt mit einer Risikoakte über den Produktlebenszyklus. Das ist keine Dokumentationsübung, sondern Ingenieurarbeit mit Nachweispflicht. Bestehende Produkte nachträglich in diese Form zu bringen, kostet regelmäßig ein Vielfaches dessen, was ein sauber begleitetes Neuprodukt gekostet hätte.

3. Prozessvalidierung und Rückverfolgbarkeit. Fertigungsprozesse, deren Ergebnis nicht vollständig prüfbar ist, müssen validiert werden — Sterilisation, Schweißen, Kleben, Reinraumprozesse. Dazu kommen Chargenrückverfolgbarkeit und die eindeutige Produktidentifikation. Für Lohnfertiger ist das der Kern des Systems und der Hauptaufwand.

4. Regulatorische Funktionen und Marktüberwachung. Meldewege für Vorkommnisse, Rückrufprozesse, systematische Auswertung von Erfahrungen aus dem Markt, eine für die Einhaltung der Regulierungsvorschriften verantwortliche Person mit nachweisbarer Qualifikation. In kleinen Unternehmen ist diese Rolle nicht nebenbei zu besetzen und in der Personalplanung ein eigener Posten.

5. Das Zertifizierungsaudit. Berechnet nach einer eigenen Systematik für Medizinprodukte-Managementsysteme, nicht nach derselben Tabelle wie bei ISO 9001 und der Audittage-Berechnung. Zu Mitarbeiterzahl und Standorten kommen Technologiezuschläge für Sterilprodukte, aktive Produkte, Implantate und Software. Zwei Unternehmen gleicher Größe können deshalb unterschiedlich viele Audittage haben.

6. Die Folgekosten. Überwachungsaudits im Zyklus, gegebenenfalls unangekündigte Audits im Rahmen des regulatorischen Verfahrens, Nachaudits bei Abweichungen. Was der laufende Betrieb kostet, behandelt die Seite zu den Kosten des Überwachungsaudits.

Über diese sechs Blöcke legt sich ein siebter, der nie im Angebot steht: die Bindung qualifizierter interner Zeit. Entwicklungsakten, Risikobewertungen und Validierungen können nur die Menschen erstellen, die die Produkte verstehen. Das sind dieselben, die das nächste Produkt entwickeln sollen. In kleinen Unternehmen ist diese Konkurrenz um Köpfe der teuerste versteckte Posten des ganzen Projekts — teurer als jeder Beratertagessatz, weil er die Produkt-Roadmap verschiebt.

Was den Preis nach oben treibt

Wo sich sparen lässt

Die eigene Rolle ehrlich bestimmen. Der Unterschied zwischen Hersteller mit Entwicklungsverantwortung und Zulieferer ohne sie ist der größte Kostenhebel in diesem Verfahren. Wer ausschließlich nach Kundenspezifikation fertigt, kann den Entwicklungsteil begründet ausschließen. Wer aber Werkstoffe auswählt, Geometrien vorschlägt oder Prozesse gestaltet, trägt faktisch Verantwortung. Ein falsch gesetzter Ausschluss ist keine Ersparnis, sondern eine aufgeschobene Abweichung.

Den Geltungsbereich am Portfolio ausrichten. Nicht jede Produktfamilie muss von Anfang an im Zertifikat stehen. Ein enger, sauber begründeter Einstieg mit späterer Erweiterung ist oft günstiger als der Versuch, alles gleichzeitig aktenfähig zu machen. Wie sich der Zuschnitt auf den Preis auswirkt, erklärt der Eintrag zu Geltungsbereich und Preis.

Systemzertifizierung und Konformitätsbewertung zusammen ausschreiben. Wenn ohnehin eine Benannte Stelle gebraucht wird, fragen Sie beides in einem Vorgang an. Getrennte Verfahren bei zwei Anbietern bedeuten zwei Anreisen, zwei Vorbereitungen und doppelte Bindung interner Zeit. Wie sich solche Angebote vergleichbar machen lassen, zeigt die Seite zum Angebotsvergleich.

Vorlaufzeit einplanen statt Eile bezahlen. Auditoren mit Medizinprodukte-Qualifikation sind knapp, und die Kapazitäten Benannter Stellen sind es erst recht. Terminnot lässt sich in diesem Feld nicht mit Geld auflösen. Wer eine Markteinführung an einem Zertifikatstermin aufhängt, plant das Risiko in die eigene Bilanz. Realistische Zeiträume behandelt die Seite zur Dauer der Zertifizierung.

Dokumentation im Entwicklungsprozess erzeugen, nicht danach. Der teuerste Satz in diesem Bereich lautet: Das dokumentieren wir vor dem Audit. Nachträglich erstellte Verifizierungsnachweise sind aufwendig, angreifbar und binden genau die Entwickler, die eigentlich am nächsten Produkt arbeiten sollten.

Bestehende Lieferantenbewertung nutzen. Viele Unternehmen bewerten ihre Lieferanten bereits, nur nicht in einer für die Norm nutzbaren Form. Diese Daten aufzuarbeiten ist deutlich günstiger, als ein Lieferantenmanagement neu aufzubauen.

Bei Bestandsprodukten priorisieren statt gleichmäßig nacharbeiten. Wenn Akten für mehrere Produktfamilien nachzuziehen sind, arbeiten Sie zuerst an denen, die im Audit mit Sicherheit gezogen werden: Produkte mit dem höchsten Risiko, dem größten Umsatz und den jüngsten Änderungen. Eine vollständige Akte für das Kernprodukt und eine ehrlich benannte Lücke im Auslaufprodukt sind ein besseres Auditergebnis als sechs halbfertige Akten.

Auditoren mit passender Produktqualifikation früh anfragen. Zertifizierungsstellen haben nicht für jede Produktkategorie beliebig viele qualifizierte Auditoren. Wer erst vier Wochen vor dem Wunschtermin anfragt, bekommt entweder einen späteren Termin oder zusätzliche Reisekosten für einen Auditor von weiter her.

Was ISO 13485 gegenüber anderen Normen teurer oder günstiger macht

Gegenüber ISO 9001 ist ISO 13485 in nahezu jeder Konstellation teurer. Die Gründe sind die eigene Audittage-Systematik mit Technologiezuschlägen, die knappere Auditorenverfügbarkeit und vor allem die Nachweistiefe. ISO 9001 lässt Ihnen Freiheit darin, wie Sie Wirksamkeit belegen. ISO 13485 nicht. Was dort als Aufzeichnung gefordert ist, ist gefordert — unabhängig davon, ob Ihr Unternehmen fünf oder fünfhundert Beschäftigte hat. Genau das trifft kleine Hersteller überproportional.

Gegenüber ISO 27001 verhält es sich anders, als man erwarten würde. Beide sind aufwendig, aber an unterschiedlichen Stellen. Bei ISO 27001 liegt der Aufwand in Risikoanalyse und Maßnahmenumsetzung, bei ISO 13485 in der produktbezogenen Dokumentation. Für Hersteller vernetzter Medizinprodukte kommen beide Themen zusammen, und dann addieren sich die Aufwände weitgehend, statt sich zu verrechnen — die Überschneidung ist geringer, als sie auf dem Papier wirkt.

Der Unterschied, der die Budgetplanung am häufigsten sprengt, ist ein anderer: Bei den meisten Managementsystemnormen ist die Zertifizierung das Ziel. Hier ist sie eine Zwischenstation. Das Zertifikat allein bringt kein Produkt auf den Markt. Wer die Gesamtkosten kalkuliert, muss die Produktseite mitrechnen — Konformitätsbewertung, technische Dokumentation je Produkt, klinische Bewertung und die laufende Marktüberwachung. Diese Posten sind bei kleinen Herstellern regelmäßig größer als die Systemzertifizierung, und sie kommen wieder, wenn das nächste Produkt kommt.

Für die Budgetplanung folgt daraus eine einfache Regel: Rechnen Sie ISO 13485 nicht als Projekt mit Anfang und Ende, sondern als laufenden Kostenblock je Produkt. Das Systemzertifikat ist die Eintrittskarte und im Zyklus planbar. Der variable Teil hängt daran, wie viele Produkte Sie pflegen und wie oft Sie ändern. Unternehmen, die das früh so aufsetzen, treffen ihre Portfolioentscheidungen mit den richtigen Zahlen — und trennen sich rechtzeitig von Produkten, deren regulatorischer Aufwand den Deckungsbeitrag längst übersteigt.