Regulatorische Due Diligence: die Fristen und Register, an denen der Datenraum gemessen wird (MDR Art. 120, IVDR Art. 110, EUDAMED, Art. 16 und 10a)

Eine regulatorische Due Diligence liest den Datenraum, aber sie misst ihn an etwas anderem: an den Terminen und Bedingungen, die im Normtext stehen, und an den Registern, die außerhalb des Datenraums geführt werden. Ein Zertifikat ist eine Behauptung über einen Stichtag, ein Transitionsplan eine Behauptung über einen Vertrag mit einer Benannten Stelle, und ein dokumentierter CAPA-Status muss anhand der verfügbaren behördlichen Inspektions- und Compliance-Informationen sowie der zugrunde liegenden Nachweise des Unternehmens überprüft werden. Dieser Beitrag nennt die Stellen, an denen die Behauptungen geprüft werden, und die Daten, die dafür vorliegen müssen.

MDR Art. 120: welche Legacy Devices noch verkauft werden dürfen

Art. 120 Abs. 2 UAbs. 2 MDR verlängert Zertifikate nach den Richtlinien 90/385/EWG und 93/42/EWG, die ab dem 25. Mai 2017 ausgestellt wurden, am 26. Mai 2021 noch gültig waren und nicht zurückgezogen wurden, über ihr aufgedrucktes Datum hinaus bis zu den Terminen des Abs. 3a: 31. Dezember 2027 für alle Produkte der Klasse III und implantierbare Produkte der Klasse IIb, mit Ausnahme von Nahtmaterial, Klammern, Zahnfüllungen, Zahnspangen, Zahnkronen, Schrauben, Keilen, Platten, Drähten, Stiften, Klemmen und Verbindungsstücken; 31. Dezember 2028 für die übrigen Produkte der Klasse IIb, für Klasse IIa und für sterile oder messende Produkte der Klasse I. Abs. 3b gibt Produkten, deren Konformitätsbewertung nach der Richtlinie 93/42/EWG keine Benannte Stelle brauchte, die unter der MDR erstmals eine brauchen und deren Konformitätserklärung vor dem 26. Mai 2021 ausgestellt wurde, ebenfalls den 31. Dezember 2028.

Der erste Prüfpunkt sind Ausstellungs- und Ablaufdatum des Zertifikats. Ein Zertifikat, das vor dem 20. März 2023 abgelaufen ist, gilt nur dann als verlängert, wenn vor dem Ablauf „eine schriftliche Vereinbarung gemäß Anhang VII Abschnitt 4.3 Unterabsatz 2" mit einer Benannten Stelle unterzeichnet wurde oder eine Behörde eine Ausnahme nach Art. 59 Abs. 1 gewährt oder den Hersteller nach Art. 97 Abs. 1 zur Konformitätsbewertung aufgefordert hat. Fehlt beides, gab es für dieses Produkt seit dem Ablauf kein gültiges Zertifikat, unabhängig davon, was der Datenraum als Transitionsstatus führt.

Der zweite Prüfpunkt sind die fünf Bedingungen des Abs. 3c, die alle erfüllt sein müssen: Die Produkte entsprechen weiterhin der Richtlinie; „es liegen keine wesentlichen Veränderungen der Auslegung und der Zweckbestimmung vor"; sie stellen kein unannehmbares Risiko dar; der Hersteller hat „spätestens am 26. Mai 2024 ein Qualitätsmanagementsystem gemäß Artikel 10 Absatz 9 eingerichtet"; und er hat spätestens am 26. Mai 2024 einen förmlichen Antrag bei einer Benannten Stelle gestellt, mit schriftlicher Vereinbarung spätestens am 26. September 2024. Für die Due Diligence sind das drei datierte Dokumente: der Nachweis des Qualitätsmanagementsystems, der Antrag und die Vereinbarung. Fehlt eines oder trägt es ein späteres Datum, trägt die Übergangsfrist das Produkt nicht.

Abs. 3d und 3e beschreiben, was in der Übergangszeit trotzdem schon gilt: Überwachung nach dem Inverkehrbringen, Marktüberwachung, Vigilanz und Registrierung nach der MDR „anstelle der entsprechenden Anforderungen der Richtlinien", und die Überwachung durch die Benannte Stelle, die die Vereinbarung unterzeichnet hat, spätestens ab dem 26. September 2024. Abs. 3f gibt implantierbaren Sonderanfertigungen der Klasse III den 26. Mai 2026, unter denselben Antrags- und Vereinbarungsterminen. Und Abs. 4 erlaubt, Produkte, die rechtmäßig in Verkehr gebracht wurden, weiter auf dem Markt bereitzustellen: Die Lagerbestände des Zielunternehmens sind nach dem Stichtag nicht wertlos, aber neue Chargen dürfen ab dem Stichtag nicht mehr in Verkehr gebracht werden.

IVDR Art. 110: dieselbe Logik mit anderen Daten

Für In-vitro-Diagnostika gilt die Parallelvorschrift in Art. 110 IVDR in der Fassung der Verordnung (EU) 2024/1860. Zertifikate nach der Richtlinie 98/79/EG, die ab dem 25. Mai 2017 ausgestellt wurden und am 26. Mai 2022 gültig waren, bleiben bis zum 31. Dezember 2027 gültig; vor dem 9. Juli 2024 abgelaufene nur unter denselben zwei Bedingungen wie bei der MDR (dort Art. 54 Abs. 1 und Art. 92 Abs. 1 IVDR). Produkte, die unter der Richtlinie keine Benannte Stelle brauchten, deren Konformitätserklärung vor dem 26. Mai 2022 ausgestellt wurde und die unter der IVDR erstmals eine brauchen, dürfen nach Abs. 3b bis zum 31. Dezember 2027 (Klasse D), 31. Dezember 2028 (Klasse C) und 31. Dezember 2029 (Klasse B und sterile Klasse A) in Verkehr gebracht werden. Abs. 3c verlangt ein Qualitätsmanagementsystem nach Art. 10 Abs. 8 bis zum 26. Mai 2025 und staffelt Antrag und Vereinbarung: Antrag bis 26. Mai 2025, 26. Mai 2026 beziehungsweise 26. Mai 2027, Vereinbarung bis 26. September 2025, 26. September 2026 beziehungsweise 26. September 2027, je nach Klasse. Ein IVD-Portfolio der Klasse C ohne Altbescheinigung, für das am 26. September 2026 keine schriftliche Vereinbarung mit einer Benannten Stelle vorlag (Abs. 3c Buchst. f Ziff. ii), ist damit ein datierter Befund, kein Risiko in der Zukunft; für Klasse C mit Altbescheinigung galten nach Abs. 3a und Abs. 3c Buchst. e und f Ziff. i schon der 26. Mai 2025 und der 26. September 2025.

EUDAMED: seit dem 28. Mai 2026 keine Frage der Bereitschaft mehr

Mit dem Beschluss (EU) 2025/2371 vom 26. November 2025, veröffentlicht am 27. November 2025, hat die Kommission bestätigt, dass vier elektronische Systeme von EUDAMED „funktionsfähig sind und die funktionalen Spezifikationen … erfüllen": die Registrierung von Wirtschaftsakteuren, die UDI-Datenbank mit der Produktregistrierung, das System für Benannte Stellen und Bescheinigungen und das System für die Marktüberwachung. Nach Art. 123 Abs. 3 Buchst. d MDR gelten die zugehörigen Pflichten sechs Monate nach der Veröffentlichung; die Kommission nennt den 28. Mai 2026. Buchst. e gibt den Herstellern für die Angaben nach Art. 29 zwölf Monate, also bis zum 28. November 2026, ausdrücklich auch für Legacy Devices nach Art. 120 Abs. 3, 3a und 3b, „sofern diese Produkte ebenfalls ab 6 Monate nach dem Tag der Veröffentlichung der Mitteilung in Verkehr gebracht werden". Die Frist trifft also nur Produkte, die ab dem 28. Mai 2026 weiter in Verkehr gebracht werden; ein Legacy Device, dessen letzte Charge davor in Verkehr ging, fällt nicht darunter und darf nach Art. 120 Abs. 4 weiter bereitgestellt werden. Vigilanz und klinische Prüfungen gehören nicht zu den vier Systemen. Für die Due Diligence heißt das: Die Akteursregistrierung des Zielunternehmens und der Registrierungsstand seiner Produkte sind seit dem 28. Mai 2026 Pflichten, deren Erfüllung sich datiert belegen lässt.

Drei öffentliche Register für die regulatorische Due Diligence

Art. 111 Abs. 6 der Richtlinie 2001/83/EG verpflichtet die Mitgliedstaaten, ihre GMP- und GDP-Zertifikate „in eine von der Agentur im Namen der Union geführten Datenbank" einzugeben, und sagt: „Diese Datenbank muss öffentlich zugänglich sein." Abs. 7 ergänzt, dass auch das Ergebnis einer Inspektion, nach dem eine Stelle die Grundsätze der guten Herstellungs- oder Vertriebspraxis nicht einhält, dort registriert wird. Wer ein pharmazeutisches Zielunternehmen prüft, liest EudraGMDP, bevor er den Datenraum öffnet, und vergleicht die Zertifikatsdaten mit den Inspektionsberichten, die das Unternehmen vorlegt.

Die FDA führt ihre Warning Letters in einer öffentlichen Datenbank mit Filtern nach ausstellender Stelle, Ausstellungsdatum, Unternehmen und Betreff sowie nach Antwort- und Abschlussschreiben. Ein Warning Letter ohne Closeout Letter erfordert eine weitergehende Prüfung des Bearbeitungsstatus und der Wirksamkeit der ergriffenen Korrekturmaßnahmen. Aus dem Fehlen eines Closeout Letters allein lässt sich nicht ableiten, dass die Beanstandungen weiterhin bestehen. Für den US-Markt kommt seit dem 2. Februar 2026 die QMSR hinzu: § 820.10 verlangt ein dokumentiertes Qualitätsmanagementsystem nach ISO 13485, und ein Zielunternehmen, dessen Verfahren noch die Struktur der vormaligen QSR abbilden, muss belegen, dass sein System seit diesem Datum die anwendbaren Anforderungen der ISO 13485 erfüllt; Aufzeichnungen von vor dem 2. Februar 2026 dürfen die alten Begriffe nach der FDA-Auskunft behalten.

Über das öffentliche EUDAMED-Modul „Notified Bodies & Certificates“ lassen sich Informationen zu MDR- und IVDR-Bescheinigungen recherchieren, einschließlich ihres Status sowie etwaiger Einschränkungen, Aussetzungen oder Widerrufe. Die Datenbank ermöglicht damit eine unabhängige Prüfung der im Datenraum vorgelegten Zertifikatsinformationen. Für Legacy-Zertifikate ist weiterhin eine gesonderte Prüfung der Zertifikate und ihrer Gültigkeit unter den Übergangsregelungen erforderlich.

Was nach dem Closing auf den Käufer übergeht

Drei Vorschriften entscheiden, was die Integration regulatorisch kostet. Art. 16 Abs. 1 Buchst. a MDR: Wer ein Produkt „unter dem eigenen Namen, dem eigenen eingetragenen Handelsnamen oder der eigenen eingetragenen Handelsmarke" bereitstellt, hat die Pflichten des Herstellers, es sei denn, eine Vereinbarung sieht vor, dass der Hersteller auf der Kennzeichnung angegeben bleibt und verantwortlich ist. Eine Markenmigration nach dem Closing ist damit eine regulatorische Entscheidung. Bei Legacy Devices unter Art. 120 MDR ist zwischen administrativen Änderungen beim bisherigen rechtlichen Hersteller und der Übertragung der Herstellerverantwortung auf eine andere juristische Person zu unterscheiden. Eine Änderung des Herstellernamens oder der Rechtsform ist nach MDCG 2020-3 Rev. 1 grundsätzlich keine wesentliche Änderung der Auslegung oder Zweckbestimmung. Die Übertragung eines Produkts auf einen anderen rechtlichen Hersteller ist dagegen gesondert zu bewerten, insbesondere hinsichtlich der Fortgeltung der bisherigen Zertifizierung und der Übergangsregelungen. Bestimmte Übersetzungs- und Umverpackungstätigkeiten führen unter den Voraussetzungen des Art. 16 Abs. 2 nicht zur Übernahme der Herstellerpflichten nach Art. 16 Abs. 1 Buchst. c, verlangen aber nach Abs. 3 und 4 ein Qualitätsmanagementsystem, eine Anzeige an Hersteller und Behörde „mindestens 28 Tage" vor der Bereitstellung und eine Bescheinigung einer Benannten Stelle über dieses System.

Art. 10a MDR, eingefügt durch die Verordnung (EU) 2024/1860: Erwartet ein Hersteller für ein Produkt, das keine Sonderanfertigung ist, eine Unterbrechung oder Beendigung der Lieferung, die „einen schwerwiegenden Schaden oder die Gefahr eines schwerwiegenden Schadens für die Patienten oder die öffentliche Gesundheit" zur Folge haben kann, informiert er die zuständige Behörde und die direkt belieferten Wirtschaftsakteure, Gesundheitseinrichtungen und Angehörigen der Gesundheitsberufe, „sofern nicht außergewöhnliche Umstände vorliegen, mindestens sechs Monate vor der voraussichtlichen Unterbrechung", mit Angabe der Gründe. Nach Art. 120 Abs. 13 MDR und Art. 110 Abs. 11 IVDR gilt das auch für Legacy Devices unter Übergangsfrist. Eine Portfoliobereinigung nach dem Closing hat damit eine Vorlaufzeit, die im Integrationsplan stehen muss.

Art. 85 und 86 MDR: Hersteller der Klassen IIb und III aktualisieren den Sicherheitsbericht „mindestens einmal jährlich", Hersteller der Klasse IIa „mindestens jedoch alle zwei Jahre"; bei Klasse III und implantierbaren Produkten geht der Bericht nach Abs. 2 über das elektronische System nach Art. 92 an die Benannte Stelle, die ihn prüft und ihre Bewertung dort einträgt; diese Vorlageform gilt nach Art. 123 Abs. 3 Buchst. d erst, wenn das Vigilanz-Modul für funktionsfähig erklärt ist, und der Beschluss (EU) 2025/2371 erfasst es nicht. Hersteller der Klasse I halten den PMS-Bericht bereit und legen ihn „der zuständigen Behörde auf Ersuchen" vor. Nach Art. 120 Abs. 3d gelten diese Pflichten auch für Legacy Devices. Ein fehlender oder überfälliger Sicherheitsbericht im Datenraum ist deshalb kein Formfehler, sondern ein Verstoß mit Datum. Bis zur verpflichtenden Nutzung des entsprechenden EUDAMED-Moduls übermitteln Hersteller MDR-zertifizierter Produkte der Klasse III und implantierbarer Produkte ihre Sicherheitsberichte auf einem mit der Benannten Stelle abgestimmten Weg. Für Legacy Devices sind die Sicherheitsberichte außerhalb von EUDAMED bereitzuhalten und den zuständigen Behörden beziehungsweise Benannten Stellen auf Anfrage zur Verfügung zu stellen (MDCG 2022-21).

Was für die Praxis folgt

Ein Red-Flag-Report trägt je Produkt sechs Angaben: das Ausstellungs- und das Ablaufdatum des Zertifikats und ihre Einordnung nach Art. 120 Abs. 2 oder Art. 110 Abs. 2; den Weg nach Abs. 3a oder 3b mit dem zugehörigen Enddatum; die Daten von Qualitätsmanagementsystem, Antrag und schriftlicher Vereinbarung gegen die Stichtage des Abs. 3c; den EUDAMED-Registrierungsstand; den Zyklus und das Datum des letzten Sicherheitsberichts; und die Treffer in EudraGMDP und in der Warning-Letter-Datenbank mit Status des Abschlussschreibens. Dazu kommt die Integrationsfrage, ob der Käufer nach Art. 16 zum Hersteller wird und welche Produkte unter Art. 10a eine Anzeigefrist auslösen. Was davon fehlt, ist nicht offen, sondern datiert, und genau das macht es kaufpreisrelevant. Ein fehlendes Abschlussschreiben allein belegt dabei keine fortbestehende Beanstandung; es ist Anlass für eine weitergehende Statusprüfung.

Entourage prüft Zulassungsstatus, Transitionsstand, Qualitätsmanagementsystem und Behördenhistorie vor dem Signing in der Regulatorischen Due Diligence und begleitet Eigenmarke, Umkennzeichnung und die Übernahme der Herstellerpflichten nach dem Closing in M&A & PMI.