La norma de referencia para fabricantes y distribuidores de dispositivos médicos en la UE. Sin ella, el marcado CE bajo el Reglamento MDR (UE 2017/745) no es posible.
ISO 13485:2016 es el sistema de gestión de calidad específico para el sector de producto sanitario (medical devices). A diferencia de ISO 9001, no se orienta a la mejora continua genérica sino al cumplimiento riguroso de los requisitos regulatorios: trazabilidad completa del ciclo de vida, documentación técnica, gestión de riesgos según ISO 14971 y vigilancia post-mercado. Si tu empresa fabrica, distribuye, importa o instala dispositivos médicos en Europa, este sistema no es optativo: el Reglamento UE 2017/745 (MDR) y el Reglamento UE 2017/746 (IVDR para diagnóstico in vitro) exigen un sistema de gestión equivalente como condición previa al marcado CE.
La implantación no se limita a redactar procedimientos. Exige levantar el mapa de procesos de diseño y desarrollo, definir los planes de validación y verificación, establecer controles de proveedores críticos y construir el expediente técnico que auditará el Organismo Notificado (Notified Body). Desde la fase de gap analysis hasta la auditoría de certificación, Summum Calidad acompaña cada etapa: diseñamos el sistema, formamos al equipo responsable, coordinamos la auditoría de etapa 1 y etapa 2 con la entidad de certificación elegida, y mantenemos el sistema activo tras la certificación mediante auditorías internas periódicas. La certificación la emite un tercero acreditado (AENOR, Bureau Veritas, SGS, TÜV, BSI…); Summum es el consultor que te lleva hasta ese punto.
El sector de producto sanitario en España opera bajo la supervisión de la AEMPS (Agencia Española de Medicamentos y Productos Sanitarios), que es el organismo competente para la vigilancia post-mercado de productos sanitarios. La norma ISO 13485 también se exige o valora en mercados extraeuropeos: Canadá (Health Canada ISO 13485:2016 desde 2019), Australia (TGA), Japón (MHLW JISQ 13485) y varios países de América Latina la adoptan directamente o como base de su regulación nacional. Contar con el certificado abre puertas a exportar más allá de la UE sin necesidad de rehacerlo todo para cada mercado.
La obligación no recae solo en el fabricante. El Reglamento (UE) 2017/745 extiende responsabilidades al representante autorizado (cuando el fabricante opera fuera de la UE), al importador y al distribuidor, cada uno con obligaciones propias de trazabilidad y comunicación de incidentes. El nivel de exigencia también depende de la clase de riesgo del producto: según el considerando 60 del propio Reglamento, los dispositivos de clase I se evalúan, con carácter general, bajo la responsabilidad exclusiva del fabricante, mientras que en las clases IIa, IIb y III es obligatoria la intervención de un Organismo Notificado. En España, el Real Decreto 192/2023 desarrolla el Reglamento europeo, fija a la AEMPS como autoridad competente y crea un registro de comercialización obligatorio para los agentes económicos que operan en territorio español. Antes de decidir el alcance del sistema conviene tener resuelta la diferencia entre consultora y organismo certificador, y calcular con realismo el coste de implantación en una pyme fabricante.
El Reglamento (UE) 2017/745 define «fabricante» como la persona física o jurídica que fabrica, renueva totalmente o manda diseñar, fabricar o renovar totalmente un producto, y lo comercializa con su nombre o marca comercial. La definición arrastra obligaciones. Su artículo 16 fija los casos en los que un distribuidor o un importador asume las del fabricante: basta con comercializar el producto bajo marca propia o cambiar la finalidad prevista de uno ya introducido en el mercado. Hay empresas que se descubren fabricantes a efectos legales sin haber fabricado nunca nada.
Ser fabricante activa el artículo 10, apartado 9, del mismo Reglamento, que obliga a elaborar, documentar, aplicar, mantener, actualizar y mejorar continuamente un sistema de gestión de calidad proporcionado a la clase de riesgo y al tipo de producto. ISO 13485:2016 es la respuesta habitual a ese mandato, porque da la estructura documental que el Organismo Notificado espera encontrar. El artículo 15 añade una figura concreta: la persona responsable del cumplimiento de la normativa, que acredita su pericia con estudios universitarios en Derecho, Medicina, Farmacia, Ingeniería u otra disciplina científica pertinente más un año de experiencia en asuntos reglamentarios o en sistemas de calidad de producto sanitario, o bien con cuatro años de experiencia profesional en esos campos. Las microempresas y pequeñas empresas no están obligadas a tenerla en plantilla, pero sí a disponer de ella de forma permanente y continua.
En España se suma una capa nacional. El artículo 7 del Real Decreto 192/2023 exige licencia previa de funcionamiento, otorgada por la AEMPS, a quien se dedique a la fabricación, importación, agrupación o esterilización de productos sanitarios. El artículo 8 enumera cinco requisitos para su otorgamiento; entre ellos, un sistema de gestión de la calidad capaz de garantizar la calidad de los productos, instalaciones, procedimientos, equipamiento y personal adecuados y, en su letra c), un responsable técnico con titulación universitaria o de ciclo formativo de grado superior. Un sistema ISO 13485 bien montado resuelve el primero de ellos y ordena la evidencia de los demás. Si la empresa ya trabaja con ISO 9001, buena parte del mapa de procesos está construido y el esfuerzo se concentra en diseño, riesgos y trazabilidad.
Un certificado ISO 13485 acredita que una entidad de certificación independiente ha auditado el sistema de gestión de calidad de la empresa y lo ha declarado conforme con la norma dentro de un alcance concreto. El alcance es la parte que casi nadie lee y la que decide el valor real del documento: indica qué actividades quedan cubiertas (diseño y desarrollo, producción, almacenamiento, distribución, instalación, servicio técnico) y sobre qué familias de producto. Un certificado que excluye el diseño no demuestra control del desarrollo ante un cliente que precisamente compra desarrollo. Cuando se evalúa a un proveedor, leer el alcance ahorra sorpresas más tarde.
Conviene separar dos certificados que se confunden a diario. El de ISO 13485 lo emite una entidad de certificación, que en España suele estar acreditada por ENAC y que trabaja bajo ISO/IEC 17021-1, la norma que fija los requisitos de los organismos que auditan y certifican sistemas de gestión. El certificado MDR es otra cosa distinta: lo emite un Organismo Notificado, y en España el Ministerio de Sanidad es la autoridad responsable de esos organismos según el artículo 16 del Real Decreto 192/2023. Uno acredita cómo se gestiona la empresa; el otro habilita el marcado CE del producto. Tener el primero no sustituye al segundo.
Qué hace falta en cada caso depende de la clase de riesgo. El artículo 52 del Reglamento (UE) 2017/745 remite los procedimientos de evaluación de la conformidad a los anexos IX a XI, y su apartado 7 permite a los fabricantes de clase I declarar la conformidad por sí mismos, emitiendo la declaración UE de conformidad tras elaborar la documentación técnica de los anexos II y III. Si el producto se introduce en el mercado en condiciones estériles, tiene función de medición o es instrumental quirúrgico reutilizable, el fabricante sigue emitiendo esa declaración, pero aplica además los procedimientos de los capítulos I y III del anexo IX o de la parte A del anexo XI, con la participación del organismo notificado limitada a la esterilidad, a los requisitos metrológicos o a los aspectos de reutilización, según el caso. En clases IIa, IIb y III la intervención del Organismo Notificado es obligatoria. Para buena parte de los fabricantes de clase I, por tanto, ISO 13485 no es una exigencia legal directa, sino la condición que impone el hospital, el distribuidor o el pliego de una licitación. La implantación arranca igual en los dos escenarios: diagnóstico de brecha, diseño documental y auditoría interna antes de convocar al auditor externo.
Auditamos la situación actual frente a los requisitos de ISO 13485:2016 y del MDR. Identificamos las lagunas documentales, los procesos sin controlar y los riesgos sin gestionar. El resultado es un plan de implantación con hitos, responsables y estimación de esfuerzo realista.
Construimos el manual de calidad, los procedimientos operativos (SOP), los registros de trazabilidad, el plan de gestión de riesgos (ISO 14971), el expediente técnico MDR y los planes de vigilancia post-mercado (PMS plan, PSUR). Adaptamos cada documento al tamaño y actividad real de la empresa, sin sobredocumentación.
Formamos al responsable de calidad y al equipo técnico en los requisitos de la norma, en el uso de los registros y en la gestión de no conformidades, acciones correctivas (CAPA) y reclamaciones de clientes. Acompañamos la puesta en marcha operativa hasta que el sistema funciona de forma autónoma.
Realizamos la auditoría interna de cierre para verificar que el sistema está maduro. Coordinamos la selección de la entidad de certificación (AENOR, Bureau Veritas, SGS, TÜV, BSI…), que en España suele estar acreditada por ENAC, preparamos a la organización para la auditoría de etapa 1 (revisión documental) y etapa 2 (auditoría de implantación), y gestionamos la resolución de cualquier no conformidad detectada por el auditor externo.
El detalle operativo: lo que entregamos como parte del trabajo y lo que mantenemos vivo después.
Gap analysis documentado
Informe de brechas frente a ISO 13485:2016 y MDR con plan de acción priorizado por riesgo regulatorio.
Sistema de gestión de calidad (QMS)
Manual de calidad, procedimientos SOP, instrucciones de trabajo y formatos de registro adaptados al producto sanitario.
Gestión de riesgos ISO 14971
Plan de gestión de riesgos, análisis FMEA, registro de riesgos residuales y criterios de aceptabilidad documentados.
Expediente técnico MDR
Estructura completa del Technical File / Design Dossier conforme al Anexo II y III del Reglamento UE 2017/745, incluyendo plan de evaluación clínica.
Trazabilidad UDI y vigilancia post-mercado
Implantación del sistema de identificación única de dispositivos (UDI), PMS plan, registro de incidentes y comunicación con AEMPS.
Auditorías internas periódicas
Programa de auditorías internas anuales para mantener el certificado vigente, gestionar CAPA y preparar las renovaciones trienales con el Organismo Notificado.
ISO 13485 es la norma. El MDR y el IVDR son el reglamento que la exige; el Real Decreto 192/2023, su desarrollo en España.
Un dispositivo médico conectado arrastra ciberseguridad obligatoria bajo el MDR, protección de datos clínicos bajo el RGPD y, si incorpora diagnóstico por IA, clasificación de alto riesgo bajo el AI Act: tres frentes que Summum gestiona de forma coordinada.
Los datos clínicos generados o almacenados por el dispositivo son categoría especial bajo el RGPD. Summum Consultoría implanta el DPD y las medidas técnicas exigidas por la AEPD en el sector sanitario.
Ver servicio → consultoríaEl marcado CE del dispositivo médico va más allá de ISO 13485: declaración de conformidad, clasificación de riesgo (clases I, IIa, IIb, III), Organismo Notificado y registro EUDAMED. Summum Consultoría gestiona el proceso completo.
Ver servicio →No es la norma en sí la que te obliga legalmente, sino el Reglamento MDR (UE 2017/745), que exige un sistema de gestión de calidad equivalente como condición previa al marcado CE. ISO 13485:2016 es el estándar de facto reconocido por los Organismos Notificados para demostrar ese cumplimiento. Sin el sistema implantado y auditado, el Organismo Notificado no emite el certificado MDR que los dispositivos de clase IIa, IIb o III necesitan para el marcado CE. La AEMPS no autoriza producto a producto: el artículo 18 del Real Decreto 192/2023 crea un registro de comercialización al que el agente económico comunica sus productos antes de empezar a comercializarlos.
El plazo típico oscila entre 8 y 18 meses, dependiendo de la clase del dispositivo, la madurez documental previa y la complejidad del proceso de diseño. Una empresa con ISO 9001 ya implantada puede recortar el plazo porque parte de la estructura documental está construida, aunque ISO 13485 añade requisitos específicos que 9001 no exige: gestión de riesgos ISO 14971, requisitos de diseño y desarrollo más estrictos y vigilancia post-mercado.
No. Summum Calidad es consultora, no Organismo Notificado ni entidad de certificación. Nuestro trabajo es implantar el sistema, preparar la documentación técnica y acompañarte hasta la auditoría de certificación. El certificado ISO 13485 lo emite una entidad de certificación independiente, que en España suele estar acreditada por ENAC (AENOR, Bureau Veritas, SGS, TÜV Rheinland, BSI, entre otras). Cosa distinta es el certificado MDR: lo emite un Organismo Notificado, y en España el Ministerio de Sanidad es la autoridad responsable de esos organismos, los designa y los notifica a la Comisión Europea, según el artículo 16 del Real Decreto 192/2023. Seleccionamos contigo la entidad más adecuada según tu sector, mercado objetivo y plazos.
ISO 13485 es una norma de gestión: define cómo organizar los procesos, la documentación y el control del ciclo de vida del producto. El MDR (Reglamento UE 2017/745) es legislación europea vinculante: define los requisitos esenciales de seguridad y rendimiento del dispositivo, la clasificación de riesgo, los procedimientos de evaluación de conformidad y las obligaciones de vigilancia post-mercado. Ambos son complementarios: ISO 13485 es el marco de gestión que demuestra que tu empresa puede cumplir el MDR de forma sistemática.
El MDR extiende las obligaciones también a los importadores y distribuidores, aunque con alcance diferente al del fabricante. Un distribuidor que reempaqueta, redenomina o adapta el producto pasa a asumir responsabilidades de fabricante. Para el resto, ISO 13485 es igualmente recomendable porque cubre el control de proveedores, la trazabilidad de lotes y la gestión de reclamaciones: procesos que el Organismo Notificado audita en la cadena de suministro del fabricante.
Tres cosas que el certificado de sistema no sustituye. Primera: la licencia previa de funcionamiento que otorga la AEMPS, exigida por el artículo 7 del Real Decreto 192/2023 a quien fabrique, importe, agrupe o esterilice productos sanitarios, y que requiere designar un responsable técnico titulado. Segunda: la inscripción en el Registro de comercialización de la AEMPS antes de comercializar, según el artículo 18 de ese mismo real decreto, comunicando el nombre comercial, el UDI-DI y el etiquetado de cada producto. Tercera: la persona responsable del cumplimiento de la normativa que impone el artículo 15 del Reglamento (UE) 2017/745.
Que una entidad de certificación independiente ha auditado su sistema de gestión de calidad y lo ha declarado conforme con ISO 13485:2016 dentro de un alcance definido. Ese alcance delimita las actividades cubiertas y las familias de producto, y es lo primero que conviene mirar en el certificado de un proveedor: no es lo mismo un alcance que incluye diseño y desarrollo que uno limitado a distribución. La entidad trabaja conforme a ISO/IEC 17021-1 y en España suele estar acreditada por ENAC. La certificación no equivale al marcado CE ni exime de la evaluación de conformidad ante un Organismo Notificado cuando la clase de riesgo lo exige.
Por dos decisiones que van antes de redactar cualquier procedimiento: la clase de riesgo del producto, que se determina conforme al anexo VIII del Reglamento (UE) 2017/745, y el alcance que se quiere certificar, con el diseño y desarrollo dentro o fuera. De ahí sale el diagnóstico de brecha y el orden real del trabajo. Después llegan la gestión de riesgos, la documentación técnica y el sistema de seguimiento poscomercialización, que el artículo 83 del Reglamento define como parte integrante del propio sistema de gestión de calidad y no como un añadido posterior a la certificación.