| Rolle | Risikomanager Medizinprodukte (ISO 14971) |
|---|---|
| Branche · Fachbereich | Medizintechnik · Qualitätsmanagement & Qualitätssicherung |
| Stundensatz (Orientierung) | 85–115 € / h netto, ohne Reisekosten |
| Einsatz | Überwiegend remote – Dokumentenarbeit, Reviews und Abstimmungen laufen meist remote; einzelne Termine vor Ort. |
| Regelwerke | ISO 14971:2019 · ISO/TR 24971 · IEC 62304 · IEC 62366-1 |
| Auch gesucht als | Risk Management Engineer · Risikomanagement Medizintechnik · FMEA Moderator Medizintechnik |
Aufgaben und Anforderungen im Überblick
Typische Aufgaben
- Erstellung oder Überarbeitung von Risikomanagementplan, Risikoanalyse und Risikomanagementbericht
- Moderation von Design-, Prozess- und Anwendungs-FMEAs sowie Gefährdungsanalysen
- Ableitung und Verifizierung von Risikokontrollmaßnahmen mit Rückverfolgbarkeit zu Anforderungen
- Bewertung des Gesamtrestrisikos und Nutzen-Risiko-Abwägung gemäß MDR Anhang I
- Verknüpfung mit Gebrauchstauglichkeitsakte nach IEC 62366-1 und Softwarerisiken nach IEC 62304
- Abgleich der Risikoakte mit Reklamations- und PMS-Daten und Aktualisierung der Bewertungen
- Gap-Analyse bestehender Akten gegen ISO 14971:2019 und EN ISO 14971:2019/A11:2021
- Aufbau eines Risikomanagementprozesses und Schulung der Projektteams
Was Auftraggeber erwarten
- Ingenieur- oder naturwissenschaftliches Studium und mehrjährige Praxis im Risikomanagement von Medizinprodukten
- Sichere Anwendung von ISO 14971:2019 und ISO/TR 24971:2020 einschließlich Nutzen-Risiko-Bewertung
- Erfahrung als FMEA-Moderator in interdisziplinären Teams
- Verständnis für Gebrauchstauglichkeit, Softwarelebenszyklus und, je nach Produkt, elektrische Sicherheit
- Erfahrung mit Rückfragen Benannter Stellen zur Risikomanagementakte
Typische Projektanlässe
- Rückfragen der Benannten Stelle zur Risikomanagementakte im MDR-Zertifizierungsverfahren
- Remediation der Akten von Legacy-Produkten vor dem Ende der Übergangsfristen
- Neuentwicklung eines aktiven Produkts oder Softwareprodukts mit vielen Schnittstellenrisiken
- Neue Gefährdungen aus Reklamations- oder PMS-Daten, die eine Neubewertung erfordern
- Harmonisierung uneinheitlicher Risikomethoden nach einer Übernahme
- Aufnahme von Cybersecurity-Risiken in die Risikoanalyse vernetzter Produkte
Was ein Freelance Risikomanager für Medizinprodukte leistet
Der Risikomanager verantwortet im Projekt, dass die Risiken eines Medizinprodukts über den gesamten Lebenszyklus systematisch identifiziert, bewertet, beherrscht und überwacht werden. Das ist keine einmalige Analyse, sondern ein Prozess nach ISO 14971:2019, der mit dem Risikomanagementplan beginnt und mit der Auswertung von Daten aus der Herstellung und dem Markt weiterläuft. Die MDR verankert dieses Prinzip in Anhang I, Kapitel I: Risiken sind so weit wie möglich zu verringern, ohne das Nutzen-Risiko-Verhältnis zu beeinträchtigen.
Im Freelance-Projekt ist der Risikomanager häufig eine Querschnittsrolle. Er bringt Entwicklung, Gebrauchstauglichkeit (Usability Engineering), Software, Produktion, klinische Bewertung und Post-Market Surveillance zusammen. Sein eigentlicher Beitrag liegt darin, dass die Akte in sich schlüssig ist: Jede Gefährdungssituation hat eine Bewertung, jede Maßnahme ist verifiziert, jede Restrisikobewertung ist begründet, und die Informationen für die Sicherheit finden sich in der Gebrauchsanweisung wieder.
Schnittstellen bestehen zu Regulatory Affairs (Technische Dokumentation), zum Clinical-Evaluation-Team (Nutzenseite und klinische Daten), zur Entwicklung, zum Usability Engineering, zum Complaint Management und zur Qualitätsabteilung, die den Risikomanagementprozess im QMS verankert.
Typische Projekte und Deliverables im Risikomanagement
Die meisten Freelance-Mandate betreffen entweder die Überarbeitung bestehender Akten oder den Aufbau neuer Akten im Entwicklungsprojekt. Bei Legacy-Produkten unter der Richtlinie 93/42/EWG sind Akten oft fragmentiert: FMEAs in Tabellenkalkulationen, fehlende Verknüpfung zu Anforderungen, keine dokumentierte Nutzen-Risiko-Abwägung.
Bestandteile einer vollständigen Risikomanagementakte
- Risikomanagementplan: Umfang, Lebenszyklusphasen, Verantwortlichkeiten, Kriterien für die Akzeptanz von Risiken, Verifizierungsaktivitäten, Methoden zur Erfassung von Produktions- und Marktdaten.
- Risikoanalyse: Zweckbestimmung und vernünftigerweise vorhersehbare Fehlanwendung, sicherheitsbezogene Merkmale, Gefährdungen, Ereignisabfolgen, Gefährdungssituationen, Schaden.
- Risikobewertung und Risikobeherrschung: Maßnahmen nach der Rangfolge inhärente Sicherheit durch Design, Schutzmaßnahmen, Informationen zur Sicherheit; Verifizierung der Umsetzung und Wirksamkeit.
- Gesamtrestrisiko: Bewertung mit dokumentierter Methode und Nutzen-Risiko-Abwägung.
- Risikomanagementbericht: Bestätigung, dass der Plan umgesetzt wurde und das Gesamtrestrisiko akzeptabel ist.
- Produktions- und Post-Market-Aktivitäten: Rückkopplung aus Reklamationen, PMS-Berichten und Literatur.
Konkrete Deliverables
- Risikomanagementplan und -bericht
- Gefährdungsliste, Use-FMEA, Design-FMEA, Prozess-FMEA, ggf. Fehlerbaumanalyse
- Traceability-Matrix von Gefährdungen über Maßnahmen zu Verifizierungsnachweisen
- Nutzen-Risiko-Bewertung in Abstimmung mit dem klinischen Bewertungsbericht
- Gap-Analyse bestehender Akten mit Umsetzungsplan
- Prozessbeschreibung und Templates für das QMS
Typische Schwachstellen, die Benannte Stellen finden
Rückfragen zur Risikomanagementakte wiederholen sich: Akzeptanzkriterien sind nicht aus einer Unternehmenspolitik abgeleitet, sondern im Projekt ad hoc gesetzt; Risikokontrollmaßnahmen sind genannt, aber ihre Wirksamkeit ist nicht verifiziert; Informationen zur Sicherheit werden als Maßnahme verbucht, obwohl konstruktive Lösungen möglich wären; die Gebrauchsanweisung enthält Warnhinweise, die in der Akte keine Entsprechung haben; Daten aus Reklamationen fließen nicht in die Wahrscheinlichkeitsbewertung zurück. Ein erfahrener Freelance-Risikomanager beginnt deshalb mit einer Konsistenzprüfung über alle Dokumente – Akte, Anforderungen, Verifizierung, Gebrauchsanweisung, klinische Bewertung und PMS – bevor er einzelne Bewertungen anpasst. So entsteht ein Maßnahmenplan, der die eigentlichen Ursachen der Rückfragen adressiert und nicht nur einzelne Tabellenzeilen korrigiert.
Normen und Regularien im Risikomanagement für Medizinprodukte
Neben der Kernnorm ISO 14971 sind die Normen relevant, die spezifische Risikoquellen behandeln. Für die harmonisierte EU-Fassung ist der Anhang Z der EN ISO 14971:2019/A11:2021 wichtig, der die Beziehung zu den Grundlegenden Sicherheits- und Leistungsanforderungen der MDR darstellt.
| Regelwerk | Worum es geht | Relevanz im Projekt |
|---|---|---|
| ISO 14971:2019 / EN ISO 14971:2019/A11:2021 | Prozess des Risikomanagements für Medizinprodukte | Kernnorm für Plan, Analyse, Bewertung, Beherrschung und Bericht |
| ISO/TR 24971:2020 | Leitfaden zur Anwendung der ISO 14971 | Hinweise zu Akzeptanzkriterien, Nutzen-Risiko-Abwägung und Methoden |
| MDR Anhang I, Kap. I | Allgemeine Sicherheits- und Leistungsanforderungen | Verringerung der Risiken so weit wie möglich; Rangfolge der Maßnahmen |
| IEC 62366-1 | Gebrauchstauglichkeit (Usability Engineering) | Gebrauchsbezogene Gefährdungen und summative Evaluierung |
| IEC 62304 | Software-Lebenszyklus | Software-Sicherheitsklassifizierung und Risiken durch Softwarefehler; Edition 2 mit geändertem Klassifizierungsansatz in Vorbereitung |
| IEC 81001-5-1 | Cybersecurity im Lebenszyklus von Gesundheitssoftware | Security-Risiken und deren Wechselwirkung mit Safety-Risiken |
| IEC 60601-1 | Sicherheit medizinischer elektrischer Geräte | Verweist explizit auf den Risikomanagementprozess nach ISO 14971 |
Für Software ist zu beachten, dass die zweite Ausgabe der IEC 62304 vorbereitet wird und die Sicherheitsklassifizierung neu ordnet. Bis zur Veröffentlichung, Harmonisierung und Übergangszeit arbeiten Hersteller weiter nach der geltenden Fassung; Risikomanager sollten die Änderungen dennoch früh im Blick haben.
Qualifikation und Erfahrung, die Auftraggeber erwarten
Für Risikomanagement-Mandate erwarten Auftraggeber meist fünf oder mehr Jahre Erfahrung, idealerweise mit Produkten, die dem eigenen Portfolio ähneln. Ein Risikomanager für Implantate muss Materialien, Biokompatibilität und Langzeitverhalten verstehen; einer für Software braucht ein Verständnis für Softwarearchitektur und Cybersecurity.
- Ausbildung: Studium in Medizintechnik, Elektrotechnik, Maschinenbau, Informatik oder Naturwissenschaften.
- Methoden: FMEA in ihren Varianten, Fehlerbaumanalyse, Gefährdungsanalyse; Fähigkeit, Methoden dem Produkt angemessen auszuwählen.
- Weiterbildung: Schulungen zur ISO 14971, FMEA-Moderatorenausbildung, Kenntnisse der IEC 62366-1 und IEC 62304.
- Moderationsstärke: Risikomanagement ist Teamarbeit. Wer Entwickler, Mediziner und Produktion zu einer konsistenten Bewertung führt, ist gefragt.
- Sprachen: Akten werden zunehmend auf Englisch geführt; Deutsch ist für die Zusammenarbeit mit deutschen Teams wichtig.
Stundensatz und Konditionen für Risikomanager
Freiberufliche Risikomanager für Medizinprodukte liegen nach unserer Orientierung bei etwa 85 bis 115 Euro netto pro Stunde, ohne Reisekosten.
Am oberen Ende liegen Projekte für Produkte hoher Risikoklassen, aktive Implantate, komplexe Software oder vernetzte Systeme mit Cybersecurity-Anteil, außerdem Mandate unter Fristdruck durch Rückfragen der Benannten Stelle. Am unteren Ende liegen überschaubare Produkte niedriger Risikoklasse, lange Laufzeiten oder klar abgegrenzte Aufgaben wie das Überführen bestehender FMEAs in ein neues Template.
Orientierung Konditionen: rund 85–115 €/h netto, Reisekosten nach Aufwand für Workshops vor Ort. Die Arbeit ist meist remote. Laufzeiten reichen von wenigen Wochen für die Beantwortung konkreter Rückfragen bis zu zwölf Monaten und mehr bei Akten für ganze Produktfamilien. Die Auslastung liegt oft bei zwei bis vier Tagen pro Woche, weil das Projekt im Takt der Entwicklung oder der Benannten Stelle läuft.
Bei der Kalkulation hilft es, die Zahl der Produktfamilien und den Zustand der vorhandenen Akten vorab zu klären. Unvollständige Verifizierungsnachweise verlängern Projekte erheblich.
Remote arbeiten im Risikomanagement
Risikomanagement ist überwiegend Dokumenten- und Analysearbeit und eignet sich deshalb gut für Remote-Einsätze. Akten, FMEAs und Traceability-Matrizen werden in Dokumentenmanagementsystemen oder spezialisierten Tools geführt, die per Fernzugriff erreichbar sind.
Präsenz ist sinnvoll bei FMEA-Workshops zum Projektstart, bei denen ein Team aus Entwicklung, Produktion und Klinik zusammenkommt, sowie bei der Besichtigung von Prozessen, deren Risiken bewertet werden sollen. Viele Teams arbeiten heute aber auch FMEAs erfolgreich in Videokonferenzen mit gemeinsamer Bearbeitung ab. Ein realistisches Modell: vereinzelte Workshop-Tage vor Ort, sonst remote.
Achten Sie bei Remote-Einsätzen auf Werkzeugfragen: Manche Hersteller führen Risikoakten in Application-Lifecycle-Management-Tools mit eigener Benutzerverwaltung, andere in validierten Dokumentenmanagementsystemen. Die Einarbeitung in das jeweilige Werkzeug und die Freigabe-Workflows sollte im Zeitplan berücksichtigt werden, ebenso die Frage, ob Sie Dokumente selbst elektronisch freigeben oder nur als Autor anlegen.
Vertragsmodelle für Risikomanager
Risikomanagement-Mandate lassen sich oft gut abgrenzen und werden deshalb sowohl als Dienst- als auch als ergebnisorientierte Verträge vergeben.
- Dienstvertrag als Freiberufler: verbreitet bei Entwicklungsprojekten, in denen der Risikomanager das Projekt über Monate begleitet.
- Ergebnisorientierter Auftrag: etwa Überarbeitung der Risikomanagementakte für eine Produktfamilie inklusive Bericht – sinnvoll, wenn Umfang und Ausgangslage klar sind.
- Über Personaldienstleister oder Engineering-Dienstleister: üblich bei Konzernen mit Lieferantenrahmenverträgen.
- Eigene GmbH: sinnvoll zur Haftungsbegrenzung, wenn Ihre Bewertungen Grundlage regulatorischer Entscheidungen sind.
- Arbeitnehmerüberlassung: seltener; kommt vor, wenn der Risikomanager fest in ein Entwicklungsteam eingegliedert wird.
Allgemeine Information, keine Rechtsberatung: Die Verantwortung für die Risikoakzeptanz trägt der Hersteller, vertreten durch die oberste Leitung, die die Akzeptanzkriterien festlegt. Vertraglich sollte geregelt sein, dass Sie bewerten und empfehlen, die Freigabe aber beim Auftraggeber liegt.
Abgrenzung zu verwandten Rollen
Der Risikomanager arbeitet eng mit dem Usability Engineer zusammen, der gebrauchsbezogene Gefährdungen untersucht und die summative Evaluierung durchführt, sowie mit dem Software-Entwicklungsteam, das Softwarerisiken und Sicherheitsklassen definiert. Der Clinical Evaluation Specialist liefert die Nutzenseite und die klinischen Daten zur Restrisikobewertung. Der Quality Engineer liefert Daten aus Verifizierung und Prozessvalidierung.
Für den Einstieg in die Freiberuflichkeit ist eine klare Positionierung hilfreich: auf Produktkategorien (aktive Geräte, Implantate, Software, IVD) oder auf Anlässe (MDR-Remediation, Neuentwicklung, Cybersecurity). Wer Referenzen nennen kann, wie eine Akte nach Rückfragen der Benannten Stelle erfolgreich abgeschlossen wurde, überzeugt Auftraggeber am schnellsten.
Projektbeispiele für Risk Manager ISO 14971
Anonymisierte Projektanfragen, wie sie für diese Rolle und verwandte Profile regelmäßig vorkommen.
Häufige Fragen
Was hat sich mit ISO 14971:2019 gegenüber der Vorversion geändert?
Die Ausgabe 2019 betont die Nutzen-Risiko-Abwägung stärker, verlangt eine dokumentierte Methode zur Bewertung des Gesamtrestrisikos und beschreibt die Erfassung von Informationen aus Herstellung und Markt ausführlicher. Anleitungen, die früher in informativen Anhängen standen, wurden in den Leitfaden ISO/TR 24971:2020 verlagert. Für die EU gilt die harmonisierte Fassung EN ISO 14971:2019/A11:2021.
Muss das Risiko nach MDR so weit wie möglich verringert werden?
Ja. MDR Anhang I verlangt, Risiken so weit wie möglich zu verringern, ohne das Nutzen-Risiko-Verhältnis zu beeinträchtigen. Wirtschaftliche Erwägungen dürfen nicht als Grund herangezogen werden, auf eine Maßnahme zu verzichten. Der Anhang Z der EN ISO 14971/A11:2021 beschreibt, wie die Norm diese Anforderung abdeckt und wo Hersteller zusätzlich begründen müssen.
Ist Risikomanagement als Freelancer vollständig remote möglich?
Überwiegend ja. Akten, FMEAs und Traceability-Matrizen werden digital geführt, und auch Workshops lassen sich per Videokonferenz mit gemeinsamer Bearbeitung durchführen. Für den Projektstart, interdisziplinäre Workshops und Prozessbegehungen ist gelegentliche Präsenz sinnvoll. Viele Auftraggeber vereinbaren deshalb einige Präsenztage pro Quartal und lassen die übrige Arbeit remote laufen.
Wie hängen FMEA und ISO 14971 zusammen?
Die FMEA ist eine Methode, mit der sich Fehlerarten und ihre Folgen systematisch untersuchen lassen. ISO 14971 schreibt keine bestimmte Methode vor. Eine FMEA allein deckt allerdings nicht alle Gefährdungen ab, etwa solche ohne Fehler im Produkt oder gebrauchsbezogene Risiken. Deshalb kombinieren Risikomanager sie meist mit Gefährdungsanalysen, Use-FMEAs und gegebenenfalls Fehlerbaumanalysen.
Welche Rolle spielt Cybersecurity im Risikomanagement?
Bei vernetzten Produkten und Software müssen Sicherheitslücken als mögliche Ursache für Gefährdungen betrachtet werden. Die MDR verlangt in Anhang I Abschnitt 17 Maßnahmen zur IT-Sicherheit. IEC 81001-5-1 beschreibt Aktivitäten im Lebenszyklus. Security-Risiken werden oft in einem eigenen Prozess bewertet und mit der Safety-Risikoanalyse nach ISO 14971 verknüpft.
Wie lange dauert die Überarbeitung einer Risikomanagementakte?
Das hängt stark vom Ausgangszustand ab. Gezielte Antworten auf Rückfragen der Benannten Stelle sind oft in wenigen Wochen möglich. Eine vollständige Überarbeitung für ein komplexes Produkt mit fehlenden Verifizierungsnachweisen kann mehrere Monate dauern. Bei Produktfamilien lassen sich Gefährdungsanalysen teilweise wiederverwenden, was den Aufwand je Produkt reduziert.
Allgemeine Information, keine Rechts- oder Steuerberatung. Stundensätze sind Orientierungsspannen, kein Honorarspiegel. Stand: 10/2026.