Producto sin los requisitos esenciales

Conducta

Fabricante o agente económico que pone en el mercado o en servicio un producto que no cumple los requisitos esenciales que le sean de aplicación, entre ellos los requisitos generales de seguridad y funcionamiento del anexo I en sus puntos de seguridad informática. Infracción muy grave.

Importe

De 90.001 a 1.000.000 de euros, pudiendo rebasarse hasta el quíntuplo del valor de los productos objeto de la infracción

RDL 1/2015, art. 112.2.c).1.ª · art. 114.1.c) y 114.7

Producto que compromete la seguridad

Conducta

Fabricante o agente económico que comercializa o pone en servicio productos que comprometan la salud o la seguridad de los pacientes, usuarios o terceros. Infracción muy grave.

Importe

De 90.001 a 1.000.000 de euros, pudiendo rebasarse hasta el quíntuplo del valor de los productos objeto de la infracción

RDL 1/2015, art. 112.2.c).3.ª · art. 114.1.c) y 114.7

No notificar el incidente

Conducta

Fabricante, representante autorizado, importador o distribuidor que incumple el deber de notificación de los incidentes adversos y las acciones de seguridad al sistema de vigilancia de productos sanitarios, o que se niega a modificar o suspender las acciones en las condiciones requeridas por la autoridad sanitaria. Infracción grave.

Importe

De 30.001 a 90.000 euros

RDL 1/2015, art. 112.2.b).18.ª · art. 114.1.b) y 114.7

Violar la confidencialidad

Conducta

Quien viola el principio de confidencialidad en relación con las informaciones de pacientes y productos estando obligado a mantenerla. Infracción grave.

Importe

De 30.001 a 90.000 euros

RDL 1/2015, art. 112.2.b).21.ª · art. 114.1.b) y 114.7

No conservar la documentación

Conducta

Quien no mantiene a disposición de las autoridades competentes y por el tiempo señalado la documentación preceptiva, o se niega a facilitarla. Infracción grave.

Importe

De 30.001 a 90.000 euros

RDL 1/2015, art. 112.2.b).6.ª · art. 114.1.b) y 114.7

Ninguno de los dos reglamentos fija tipos infractores ni cuantías. Ambos encargan a los Estados miembros establecer el régimen de sanciones aplicable a las infracciones y adoptar las medidas necesarias para garantizar su ejecución, con la fórmula habitual de que sean efectivas, proporcionadas y disuasorias. La fecha límite para comunicar ese régimen a la Comisión fue el 25 de febrero de 2021 para el de productos sanitarios y el 25 de febrero de 2022 para el de diagnóstico in vitro.

No hay CSIRT, no hay equipo de respuesta a incidentes y no hay ninguna obligación de notificar vulnerabilidades ni intrusiones por el hecho de existir. El destinatario es la autoridad sanitaria, en España la Agencia Española de Medicamentos y Productos Sanitarios, y el canal es el sistema electrónico de vigilancia europeo. Un fabricante de productos sanitarios que sufra un incidente de ciberseguridad puede tener a la vez tres obligaciones distintas con tres relojes distintos: esta, la de la Directiva de medidas para un elevado nivel común de ciberseguridad si está dentro de su anexo, y la del Reglamento general de protección de datos si hay datos personales comprometidos. Ninguna sustituye a las otras.

Incidente grave asociado a un producto comercializado en la Unión, salvo los efectos secundarios previstos que estén documentados y cuantificados y vayan al informe de tendencias.

Plazo

Inmediatamente tras establecer la causalidad, y como máximo quince días

Desde cuándo corre

Desde que el fabricante tiene conocimiento del incidente. El deber nace al establecer la relación de causalidad con su producto o al concluir que es razonablemente posible, y el tope de quince días corre desde el conocimiento, no desde esa conclusión.

MDR art. 87.1.a) y 87.3 · IVDR art. 82.1.a) y 82.3

Fallecimiento o deterioro grave imprevisto del estado de salud de una persona.

Plazo

Inmediatamente tras establecer o sospechar la causalidad, y como máximo diez días

Desde cuándo corre

Desde que el fabricante tiene conocimiento del incidente grave. Basta la sospecha de relación causal para que el deber nazca, sin esperar a confirmarla.

MDR art. 87.5 · IVDR art. 82.5

Amenaza grave para la salud pública, entendida como acontecimiento que podría acarrear riesgo inminente de muerte, deterioro grave de la salud o enfermedad grave que requiera actuación correctiva rápida.

Plazo

De inmediato, y como máximo dos días

Desde cuándo corre

Desde que el fabricante tiene conocimiento de la amenaza

MDR art. 87.4 · art. 2.66) · IVDR art. 82.4 · art. 2.69)

Acción correctiva de seguridad sobre productos comercializados en la Unión, incluidas las emprendidas en terceros países cuando el motivo no se limite al producto de ese país. Una actualización de software desplegada para cerrar un fallo que puede causar daño es una acción correctiva de seguridad.

Plazo

Sin demora indebida y antes de emprenderla, salvo urgencia que obligue a actuar de inmediato

Desde cuándo corre

Desde que el fabricante decide la acción correctiva

MDR art. 87.1.b) y 87.8 · IVDR art. 82.1.b) y 82.8

Aumento estadísticamente significativo de la frecuencia o gravedad de incidentes que no son graves o de efectos secundarios previstos, con repercusión significativa en la relación beneficio-riesgo.

Plazo

No fija plazo el Reglamento: la metodología y el período de observación los define el fabricante en su plan de seguimiento poscomercialización

Desde cuándo corre

Desde que el análisis detecta el aumento significativo

MDR art. 88 · IVDR art. 83

Duda sobre si el incidente es notificable. El Reglamento resuelve la duda en contra del silencio: si el fabricante no tiene certeza, presenta el informe igualmente dentro del plazo que corresponda.

Plazo

El del supuesto que correspondería, sin esperar a resolver la duda

Desde cuándo corre

Desde que se tiene conocimiento del incidente potencialmente notificable

MDR art. 87.7 · IVDR art. 82.7

Autoridad competente del Estado miembro donde ocurrió el incidente, a través del sistema electrónico europeo de vigilancia y seguimiento poscomercialización

Cuándo

Según el supuesto: quince, diez o dos días como máximo, y antes de emprender la acción correctiva de seguridad

En España

La Agencia Española de Medicamentos y Productos Sanitarios. Los reales decretos que aplican ambos reglamentos en España la designan autoridad competente y remiten las notificaciones de los fabricantes al procedimiento del propio Reglamento. Evalúa y registra de forma centralizada, y traslada a las comunidades autónomas y a la Inspección General de Sanidad de la Defensa la información sobre las medidas adoptadas.

Agencia Española de Medicamentos y Productos Sanitarios ↗

MDR art. 87.1 · art. 92.1 y 92.5 · IVDR art. 82.1 · art. 87

Autoridades competentes de los Estados donde se emprende la acción correctiva de seguridad y del Estado donde el fabricante tiene su domicilio social

Cuándo

Transmisión automática desde el sistema electrónico en cuanto se recibe el informe

MDR art. 92.7 · IVDR art. 87

Usuarios y clientes del producto afectado, mediante nota de seguridad

Cuándo

Sin demora, cuando se adopta una acción correctiva de seguridad

MDR art. 89.8 · art. 2.69) · IVDR art. 84.8

Público en general, a través del sistema electrónico europeo, que hace accesibles las notas de seguridad

Cuándo

Desde que el fabricante introduce la nota de seguridad en el sistema electrónico

MDR art. 89.8 · art. 92 · IVDR art. 84.8 · art. 87

Distribuidores, representante autorizado e importadores del producto afectado, cuando el fabricante adopta acciones correctivas

Cuándo

Inmediatamente, al adoptar la acción correctiva

MDR art. 10.12 · IVDR art. 10.11

Producto sanitario

Todo instrumento, dispositivo, equipo, programa informático, implante, reactivo, material u otro artículo destinado por el fabricante a ser utilizado en personas con una finalidad médica específica, entre ellas diagnóstico, prevención, seguimiento, predicción, pronóstico, tratamiento o alivio de una enfermedad (MDR art. 2.1)

Producto de diagnóstico in vitro

Reactivo, calibrador, material de control, kit, instrumento, aparato, pieza de equipo, programa informático o sistema destinado a examinar muestras procedentes del cuerpo humano para informar sobre un proceso o estado fisiológico o patológico, una predisposición, la compatibilidad con receptores o la respuesta al tratamiento (IVDR art. 2.2)

Software como producto por sí mismo

El programa informático con finalidad médica es producto, no accesorio, y tiene su propia clase de riesgo. La regla 11 del anexo VIII lo sitúa en clase IIa cuando aporta información para decisiones diagnósticas o terapéuticas, sube a IIb si la decisión puede causar deterioro grave o intervención quirúrgica y a III si puede causar la muerte o un deterioro irreversible, y deja en clase I todo lo demás (MDR anexo VIII, 6.3)

Accesorios

El artículo que, sin ser producto sanitario, el fabricante destina específicamente a ser utilizado con uno o varios productos para permitir su uso conforme a la finalidad prevista o para asistirla directamente. Queda sujeto al Reglamento igual que el producto al que acompaña (MDR art. 1.1 y art. 2.2)

Fabricantes

Destinatario principal y con diferencia. Le corresponden el sistema de gestión de riesgos, el sistema de gestión de la calidad, la documentación técnica, la evaluación de la conformidad, el marcado CE, el seguimiento poscomercialización y la notificación de incidentes graves. Los cuatro puntos de ciberseguridad del anexo I le obligan a él y a nadie más (MDR art. 10 · anexo I, 17 y 18.8 · IVDR art. 10 · anexo I, 16)

Representantes autorizados

Sin representante autorizado establecido en la Unión, el fabricante de fuera no puede introducir su producto. Verifica que la declaración de conformidad y la documentación técnica existen, las mantiene a disposición de las autoridades y responde solidariamente por producto defectuoso cuando el fabricante incumple (MDR art. 11 · IVDR art. 11)

Importadores y distribuidores

El importador comprueba antes de introducir el producto que lleva marcado CE, declaración de conformidad, identificación del fabricante e instrucciones de uso; el distribuidor hace comprobaciones equivalentes, que puede realizar por muestreo. Ninguno de los dos evalúa la ciberseguridad del producto, pero ambos deben abstenerse si tienen motivos para creer que no es conforme (MDR arts. 13 y 14 · IVDR arts. 13 y 14)

Quien pone su marca o modifica

El distribuidor, el importador o cualquier otra persona asume las obligaciones del fabricante si comercializa el producto con su nombre o su marca, si cambia su finalidad prevista o si lo modifica de manera que pueda afectar al cumplimiento de los requisitos aplicables. Traducir la información o cambiar el envase no basta para cruzar esa línea (MDR art. 16 · IVDR art. 16)

Organismos notificados

Intervienen en la evaluación de la conformidad de casi todas las clases y comprueban el cumplimiento de los requisitos generales de seguridad y funcionamiento del anexo I, ciberseguridad incluida. La clase I no implantable, sin función de medición, no estéril y sin instrumental quirúrgico reutilizable se autodeclara sin ellos, y ahí está toda la categoría de software clasificado en clase I (MDR art. 52 · IVDR art. 48)

Autoridades competentes

Reciben las notificaciones de incidentes graves y de acciones correctivas de seguridad, evalúan el riesgo, coordinan entre Estados y pueden exigir medidas correctivas, restringir la comercialización, retirar el producto o recuperarlo de manos de los usuarios (MDR arts. 89, 94 a 97 · IVDR arts. 84, 89 a 92)

Centros sanitarios, fabricación interna

El centro sanitario que fabrica y usa productos propios sin transferirlos a otra entidad jurídica queda exento de casi todo el Reglamento, pero no de los requisitos generales de seguridad y funcionamiento del anexo I. Las condiciones son tasadas: sistema de gestión de la calidad, justificación documentada de que ningún producto equivalente del mercado satisface la necesidad, información pública sobre lo fabricado y revisión de la experiencia de uso (MDR art. 5.5 · IVDR art. 5.5)

Exclusiones

Reglamento (UE) 2017/745 del Parlamento Europeo y del Consejo, de 5 de abril de 2017, sobre los productos sanitarios, por el que se modifican la Directiva 2001/83/CE, el Reglamento (CE) n.º 178/2002 y el Reglamento (CE) n.º 1223/2009 y por el que se derogan las Directivas 90/385/CEE y 93/42/CEE del Consejo

Identificador

CELEX 32017R0745

Fuente

EUR-Lex · Textos consolidados 02017R0745 y 02017R0746 · Oficina de Publicaciones de la Unión Europea

Ciberseguridad

El objeto de estos dos reglamentos no es la ciberseguridad, sino el acceso al mercado de los productos sanitarios y de los productos de diagnóstico in vitro: quién puede venderlos, con qué documentación, tras qué evaluación y bajo qué vigilancia. La ciberseguridad ocupa cuatro puntos del anexo I del Reglamento de productos sanitarios, que tiene ciento veintitrés artículos y diecisiete anexos, y tres del de diagnóstico in vitro, con ciento trece y quince: el punto que exige resistencia del propio producto al acceso no autorizado solo existe en el primero. Lo que impide bajar de aquí es que esos puntos son requisitos generales de seguridad y funcionamiento, es decir, condición para poner el producto en el mercado, y no recomendaciones. Obligan a desarrollar el software teniendo en cuenta la seguridad de la información dentro de la gestión de riesgos, a fijar los requisitos mínimos de soporte físico, red y seguridad informática incluida la protección contra el acceso no autorizado, a diseñar el producto para que resista ese acceso en la medida de lo posible, y a trasladar todo eso a las instrucciones de uso. Un organismo notificado lo comprueba antes del marcado CE en casi todas las clases, la gestión de riesgos que los envuelve es un proceso continuo durante todo el ciclo de vida del producto, y en España poner en el mercado un producto que no cumpla los requisitos esenciales es infracción muy grave. Además, el programa informático con finalidad médica es producto por sí mismo: hay una categoría entera de producto que está dentro de principio a fin, no por accesorio. Lo que impide subir es igual de concreto. No hay línea de base técnica, ni norma armonizada de ciberseguridad publicada en apoyo de estos reglamentos, ni régimen de divulgación de vulnerabilidades, ni período de soporte exigido, ni obligación de publicar parches, ni notificación de intrusiones como tales, ni autoridad de ciberseguridad. Todo se resuelve por remisión al estado actual de la técnica y por la fórmula «en la medida de lo posible».

Valoración del curador · nivel 3 de 5

Sistema de gestión de riesgos durante todo el ciclo de vida Ciber parcial

El fabricante establece, aplica, documenta y mantiene un sistema de gestión de riesgos que es un proceso iterativo continuo durante todo el ciclo de vida del producto y requiere actualizaciones sistemáticas periódicas. El contenido está tasado en seis pasos: plan de gestión de riesgos por producto, detección y análisis de los peligros conocidos y previsibles, cálculo y evaluación de los riesgos asociados durante el uso previsto y durante un uso indebido razonablemente previsible, eliminación o control de esos riesgos, evaluación del impacto de la información que llega desde fabricación y desde el seguimiento poscomercialización, y modificación de las medidas de control cuando esa evaluación lo pida. Las medidas de control siguen un orden de prioridad obligatorio: primero eliminar o reducir el riesgo por diseño y fabricación, después adoptar medidas de protección incluidas alarmas, y solo en último lugar informar al usuario. El riesgo residual de cada peligro y el riesgo residual general tienen que ser aceptables.

Literal de la norma Los fabricantes deberán establecer, aplicar, documentar y mantener un sistema de gestión de riesgos.

MDR anexo I, cap. I, 3 y 4 · art. 10.2 · IVDR anexo I, cap. I, 3 y 4 · art. 10.2

Desarrollar el software con seguridad de la información Ciber

Es el punto donde la ciberseguridad entra en el diseño del software. Para los productos que llevan software incorporado y para los que son software por sí mismos, el desarrollo y la fabricación se hacen basándose en el estado actual de la técnica y teniendo en cuenta cuatro cosas: los principios de ciclo de vida del desarrollo, la gestión de los riesgos incluida la seguridad de la información, la verificación y la validación. Conviene leer la frase despacio, porque dice menos y más de lo que parece. Menos, porque no enuncia ni un solo control concreto: no hay cifrado, ni autenticación, ni gestión de parches, ni requisito de arquitectura, y el listón se fija por remisión al estado actual de la técnica, que es lo que en la práctica remiten las normas armonizadas y las guías del sector. Y más, porque coloca la seguridad de la información dentro de la gestión de riesgos del producto, y esa gestión es obligatoria, documentada, auditable por el organismo notificado y viva durante todo el ciclo de vida. La consecuencia es que un fabricante no puede tratar la ciberseguridad como una capa añadida al final: tiene que poder demostrar que la consideró al analizar los peligros del producto.

Literal de la norma Para los productos que lleven incorporados programas informáticos, o para los programas informáticos que constituyan productos por sí mismos, se desarrollarán y fabricarán dichos programas basándose en el estado actual de la técnica, teniendo en cuenta los principios de ciclo de vida del desarrollo, gestión de los riesgos, incluida la seguridad de la información, la verificación y la validación.

MDR anexo I, 17.2 · IVDR anexo I, 16.2

Fijar los requisitos mínimos de soporte físico, red y seguridad informática Ciber

El fabricante establece los requisitos mínimos que necesita el entorno donde su software va a ejecutarse, y los establece en tres planos: el soporte físico, las características de las redes informáticas y las medidas de seguridad informática, con mención expresa de la protección contra el acceso no autorizado. Es la obligación más directa de ciberseguridad de estos reglamentos y la que más se malinterpreta en las dos direcciones. No obliga al fabricante a securizar la red del hospital, que no es suya: obliga a decir qué condiciones de red y qué medidas de seguridad hacen falta para que el producto funcione como está previsto. Pero tampoco es un mero ejercicio de documentación, porque exige tomar esas decisiones y sostenerlas técnicamente, y el organismo notificado puede pedir la justificación. Quien recibe el resultado es el usuario, por la vía de las instrucciones de uso.

Literal de la norma Los fabricantes establecerán los requisitos mínimos relativos al soporte físico, las características de las redes informáticas y las medidas de seguridad informática, incluida la protección contra el acceso no autorizado, necesarios para ejecutar el programa informático de la forma prevista.

MDR anexo I, 17.4 · IVDR anexo I, 16.4

Diseñar el producto para que resista el acceso no autorizado Ciber

El único punto de estos reglamentos que exige una propiedad del producto, y no un proceso ni una información. Los productos se diseñan y fabrican de modo que sean resistentes, en la medida de lo posible, a un acceso no autorizado que pueda dificultar el funcionamiento previsto del producto. Dos matices delimitan su alcance y ninguno es menor. El primero es el bien protegido: lo que la frase protege es el funcionamiento del producto, no la confidencialidad de los datos que maneja, que se protege por la normativa de protección de datos y no por aquí. El segundo es la cláusula de esfuerzo: en la medida de lo posible, que en el anexo I significa reducir el riesgo sin que la relación beneficio-riesgo se vea negativamente afectada. Este punto está en la sección de productos activos del Reglamento de productos sanitarios y no tiene equivalente en el Reglamento de diagnóstico in vitro, que se queda en los dos puntos de la sección de sistemas electrónicos programables.

Literal de la norma Los productos se diseñarán y fabricarán de tal modo que sean resistentes, en la medida de lo posible, a un acceso no autorizado que pueda dificultar el funcionamiento previsto del producto.

MDR anexo I, 18.8

Trasladar los requisitos de seguridad informática a las instrucciones de uso Ciber

Lo decidido al fijar los requisitos mínimos tiene que llegar a quien instala y opera el producto. Las instrucciones de uso de los productos con sistemas electrónicos programables y de los que son software por sí mismos incluyen los requisitos mínimos de soporte físico, características de las redes informáticas y medidas de seguridad informática, con la protección contra el acceso no autorizado mencionada expresamente. Es la contrapartida de la obligación de diseño: sin esta letra, el hospital que compra el producto no sabría en qué condiciones puede conectarlo, y con ella el incumplimiento del entorno pasa a ser responsabilidad de quien lo despliega. En el Reglamento de productos sanitarios esta letra nace de la corrección de errores publicada el 31 de agosto de 2021, que separó el deber de informar del deber de establecer.

Literal de la norma para los productos que llevan incorporados sistemas electrónicos programables (incluidos los programas informáticos) o los programas informáticos que constituyan productos por sí mismos, los requisitos mínimos relativos al soporte físico, las características de las redes informáticas y las medidas de seguridad informática (incluida la protección contra el acceso no autorizado), necesarios para ejecutar el programa informático del modo previsto.

MDR anexo I, 23.4.a ter) · IVDR anexo I, 20.4.1.a nonies)

Someter el producto a evaluación de la conformidad antes de venderlo Ciber parcial

Antes de introducir el producto en el mercado o de ponerlo en servicio, el fabricante realiza la evaluación de la conformidad que corresponde a la clase del producto, elabora la declaración UE de conformidad y coloca el marcado CE. El procedimiento se elige entre los de los anexos IX a XI y la clase decide cuánto interviene el organismo notificado: la clase III va a evaluación del sistema de calidad más examen de la documentación técnica de cada producto, la IIb a evaluación del sistema de calidad con examen de la documentación de al menos un producto representativo por grupo genérico, con examen de todos los productos si son implantables salvo la lista de excepciones, la IIa a evaluación del sistema de calidad con examen de al menos un producto representativo por categoría, y la clase I se autodeclara salvo que sea estéril, tenga función de medición o sea instrumental quirúrgico reutilizable, supuestos en los que el organismo notificado interviene solo sobre ese aspecto. En el Reglamento de diagnóstico in vitro el esquema es equivalente sobre clases A a D.

MDR art. 52 · art. 19 · art. 20 · IVDR art. 48 · art. 17 · art. 18

Sistema de gestión de la calidad con trece contenidos tasados Ciber parcial

El fabricante elabora, documenta, aplica, mantiene, actualiza y mejora continuamente un sistema de gestión de la calidad proporcionado a la clase de riesgo y al tipo de producto, que abarca todas las partes de la organización que se ocupan de la calidad de los procesos, procedimientos y productos. El Reglamento no remite a una norma técnica: enumera trece aspectos que el sistema debe abordar como mínimo, entre ellos la estrategia de cumplimiento normativo y de gestión de modificaciones del producto, la determinación de los requisitos generales de seguridad y funcionamiento aplicables, la responsabilidad de la dirección, la gestión de recursos con selección y control de proveedores y subcontratistas, la gestión de riesgos, la realización del producto con su planificación, diseño y desarrollo, el sistema de seguimiento poscomercialización, los procesos de notificación de incidentes graves y acciones correctivas, y la gestión de acciones correctivas y preventivas con comprobación de su eficacia.

MDR art. 10.9 · IVDR art. 10.8

Documentación técnica que acredite el cumplimiento, diez o quince años Ciber parcial

El fabricante elabora y mantiene actualizada la documentación técnica del producto, con el contenido de los anexos II y III, de modo que permita evaluar la conformidad con los requisitos del Reglamento. La conserva a disposición de las autoridades competentes, junto con la declaración UE de conformidad y copia de los certificados, durante al menos diez años desde la introducción en el mercado del último producto cubierto por la declaración, y al menos quince años en el caso de los productos implantables. A petición de la autoridad la presenta entera o en resumen, según se le indique.

MDR art. 10.4 y 10.8 · anexos II y III · IVDR art. 10.3 y 10.7 · anexos II y III

Designar persona responsable del cumplimiento de la normativa

En la organización del fabricante tiene que haber al menos una persona responsable del cumplimiento de la normativa con competencia demostrada por una de dos vías: título universitario en Derecho, Medicina, Farmacia, Ingeniería u otra disciplina científica pertinente más un año de experiencia en asuntos reglamentarios o en sistemas de gestión de la calidad de productos sanitarios, o bien cuatro años de esa experiencia. Responde de que se compruebe la conformidad del producto antes de liberarlo, de que la documentación técnica y la declaración estén al día, del cumplimiento de las obligaciones de seguimiento poscomercialización y de las de notificación, y de la declaración de los productos en investigación. Las microempresas y pequeñas empresas no están obligadas a tenerla en plantilla, pero sí a disponer de ella de forma permanente y continuada.

MDR art. 15 · IVDR art. 15

Seguimiento poscomercialización activo y sistemático Ciber parcial

Para cada producto, el fabricante planifica, establece, documenta, aplica, mantiene y actualiza un sistema de seguimiento poscomercialización proporcionado a la clase de riesgo, que forma parte del sistema de gestión de la calidad y se apoya en un plan cuyo contenido fija el anexo III. El sistema recaba, registra y analiza de forma activa y sistemática datos de calidad, funcionamiento y seguridad durante todo el ciclo de vida del producto, extrae conclusiones y determina, aplica y supervisa las acciones preventivas y correctivas. Los fabricantes de productos de clases IIa, IIb y III preparan además un informe periódico de seguridad actualizado que resume esos resultados: los de clases IIb y III lo actualizan cuando sea necesario y como mínimo una vez al año, y los de clase IIa cuando sea necesario y como mínimo cada dos años. En los productos de clase III y en los implantables, el informe se presenta al organismo notificado a través del sistema electrónico europeo y este introduce su evaluación.

MDR arts. 83, 84 y 86 · IVDR arts. 78, 79 y 81

Notificar los incidentes graves en quince, diez o dos días Ciber parcial

El fabricante informa a las autoridades competentes de todo incidente grave asociado a productos comercializados en la Unión, con tres relojes según la gravedad. La regla general es inmediatamente después de establecer la relación de causalidad con su producto o de concluir que es razonablemente posible, y como máximo quince días después de tener conocimiento del incidente. En caso de fallecimiento o deterioro grave imprevisto de la salud de una persona, inmediatamente después de establecer o sospechar la causalidad y como máximo diez días. En caso de amenaza grave para la salud pública, de inmediato y como máximo dos días. Los informes van por el sistema electrónico europeo de vigilancia, que los transmite automáticamente a la autoridad del Estado donde ocurrió el incidente. Si el fabricante no tiene certeza de si el incidente es notificable, presenta el informe igualmente dentro del plazo. Cuando la notificación urge, puede presentar un informe inicial incompleto y completarlo después.

Literal de la norma El fabricante informará de cualquier incidente grave mencionado en el apartado 1, letra a), inmediatamente después de que haya establecido la relación de causalidad entre dicho incidente y su producto o haya establecido que dicha relación de causalidad es razonablemente posible, y a más tardar quince días después de tener conocimiento del incidente.

MDR art. 87 · art. 92 · IVDR art. 82 · art. 87

Acciones correctivas de seguridad y nota de seguridad a los usuarios Ciber parcial

El fabricante informa a las autoridades competentes de toda acción correctiva de seguridad relativa a productos comercializados en la Unión, incluidas las emprendidas en terceros países cuando el motivo no se limite al producto de ese país. Acción correctiva de seguridad es la que el fabricante efectúa por motivos técnicos o médicos para evitar o reducir el riesgo de incidente grave. El aviso se da sin demora indebida y antes de emprenderla, salvo en los casos urgentes en los que haya que actuar de inmediato. Además, el fabricante pone sin demora la información en conocimiento de los usuarios mediante una nota de seguridad redactada en la lengua que determine cada Estado afectado, cuyo borrador se somete a observaciones de la autoridad salvo urgencia, y que debe identificar el producto y al fabricante, explicar los motivos con referencia al mal funcionamiento y a los riesgos asociados sin atenuar el nivel de riesgo, e indicar con claridad las medidas que deben tomar los usuarios. La nota se introduce en el sistema electrónico europeo, donde queda accesible al público.

MDR art. 87.1.b) y 87.8 · art. 89.8 · IVDR art. 82.1.b) y 82.8 · art. 84.8

Avisar con seis meses de la interrupción o el cese de suministro Ciber parcial

Cuando el fabricante prevea una interrupción o un cese en el suministro de un producto que no sea a medida, y sea razonablemente previsible que pueda causar daños graves o riesgo de daños graves a los pacientes o a la salud pública en uno o varios Estados miembros, informa a la autoridad competente del Estado donde esté establecido él o su representante autorizado, y a los agentes económicos, centros sanitarios y profesionales de la salud a los que suministre directamente el producto. El aviso se da, salvo circunstancias excepcionales, con al menos seis meses de antelación, y a la autoridad se le explican los motivos. La cadena sigue: quien recibe la información la traslada sin demora indebida a los demás agentes económicos, centros y profesionales a los que suministre. Esta obligación la añadió el Reglamento (UE) 2024/1860 y no tiene equivalente en el Reglamento de diagnóstico in vitro.

MDR art. 10 bis · Reglamento (UE) 2024/1860

Registro de comercialización y trazabilidad en España

Cualquier agente económico que comercialice productos en territorio español, y que no sea únicamente distribuidor de productos que no requieran instalación ni mantenimiento, debe estar dado de alta en el registro de comercialización de la Agencia Española de Medicamentos y Productos Sanitarios y comunicar los productos que pone en el mercado. Además, todo agente económico que comercialice productos mantiene un registro documental que permita identificar a quién le suministraron el producto y de quién lo recibieron, y lo conserva a disposición de las autoridades sanitarias. Es la capa española de trazabilidad, que se suma a la identificación única del producto prevista en el Reglamento.

Real Decreto 192/2023, arts. 18 y 19 · Real Decreto 942/2025, arts. 15 y 16

Responsable de vigilancia en cada centro sanitario

El sistema de vigilancia español añade sujetos por debajo del fabricante. Los profesionales sanitarios y las autoridades que tengan conocimiento de un incidente grave lo notifican a la Agencia Española de Medicamentos y Productos Sanitarios por su sede electrónica, y la Agencia lo traslada al fabricante del producto afectado; los pacientes y usuarios también pueden notificar por esa vía. Cada centro sanitario designa un responsable de vigilancia para los procedimientos que se derivan de este artículo y comunica sus datos a la autoridad sanitaria de su comunidad autónoma y a la Agencia. Los centros de la Red Sanitaria de la Defensa lo hacen a través de la Inspección General de Sanidad de la Defensa.

Real Decreto 192/2023, art. 35 · Real Decreto 942/2025, art. 30

Gestión de riesgos de seguridad Compartida

Conocer a qué está expuesto el negocio y decidir qué se acepta y qué se trata: el proceso de gestión de riesgos determina las prioridades del resto de iniciativas.

MDR anexo I, cap. I, 3 y 4 · anexo I, 17.2 · art. 86 · IVDR anexo I, cap. I, 3 y 4 · anexo I, 16.2 · art. 81 · categorización del curador, no de la norma

Adquisición y desarrollo seguros Compartida

La seguridad como requisito de compra y de construcción: exigencias al adquirir, prácticas de desarrollo seguro al construir y mantenimiento con la seguridad dentro durante todo el ciclo de vida.

MDR anexo I, 17.2 · art. 10.9.d) y 10.9.g) · IVDR anexo I, 16.2 · art. 10.8.d) y 10.8.g) · categorización del curador, no de la norma

Seguridad del producto por diseño y por defecto Compartida

La seguridad dentro del producto que se comercializa, no solo alrededor de los sistemas que se operan: se decide en el diseño y se comprueba antes de la comercialización, cuando el coste de cambio es menor.

MDR anexo I, 17.4 y 18.8 · IVDR anexo I, 16.4 · categorización del curador, no de la norma

Conformidad y certificación Compartida

Poder demostrar a un tercero lo que se ha hecho, en sus dos versiones: la conformidad de la organización, que se audita y se certifica, y la del producto, que se evalúa, se documenta y se marca antes de venderlo. Es el expediente que convierte el cumplimiento en algo oponible a un cliente, a un pliego o a un supervisor.

MDR art. 52 · art. 19 · art. 20 · art. 16 · anexos IX a XI · IVDR art. 48 · art. 17 · art. 18 · art. 16 · categorización del curador, no de la norma

Proceso de notificación regulatoria Compartida

Saber a quién, qué y en cuánto tiempo hay que notificar un incidente, y poder hacerlo bajo presión y con los relojes en contra.

MDR art. 87 · art. 89.8 · art. 92 · IVDR art. 82 · art. 84.8 · art. 87 · categorización del curador, no de la norma

Continuidad de negocio y gestión de crisis Compartida

La capacidad de seguir prestando el servicio cuando algo grande falla y de volver a la normalidad con orden, decidida y preparada antes de necesitarla.

MDR art. 10 bis · categorización del curador, no de la norma

Fabricante

Quien fabrica el producto, o manda diseñarlo o fabricarlo, y lo comercializa con su nombre o su marca. Concentra prácticamente toda la carga de ciberseguridad de estos reglamentos: es quien desarrolla el software teniendo en cuenta la seguridad de la información, quien fija los requisitos mínimos de soporte físico, red y seguridad informática, quien diseña el producto para que resista el acceso no autorizado y quien lo escribe en las instrucciones de uso. Se llega también a esta figura por asimilación: quien comercializa un producto con su nombre o su marca, o quien lo modifica de forma que pueda afectar al cumplimiento de los requisitos, pasa a responder como fabricante.

Literal de la norma una persona física o jurídica que fabrica, renueva totalmente o manda diseñar, fabricar o renovar totalmente un producto, y lo comercializa con su nombre comercial o marca

MDR art. 2.30) · art. 10 · art. 16 · IVDR art. 2.23) · art. 10 · art. 16

Representante autorizado

Quien, establecido en la Unión, ha recibido y aceptado un mandato escrito de un fabricante situado fuera de la Unión para actuar en su nombre en tareas específicas. Sin esta figura, el producto de un fabricante extracomunitario no puede introducirse en el mercado. Verifica que la declaración de conformidad y la documentación técnica se han elaborado, las mantiene a disposición de las autoridades y responde solidariamente con el fabricante por los productos defectuosos si este incumple sus obligaciones.

Literal de la norma toda persona física o jurídica establecida en la Unión que ha recibido y aceptado un mandato escrito de un fabricante, situado fuera de la Unión, para actuar en nombre del fabricante en relación con tareas específicas por lo que respecta a las obligaciones de este en virtud del presente Reglamento

MDR art. 2.32) · art. 11 · IVDR art. 2.25) · art. 11

Importador

Quien, establecido en la Unión, introduce en el mercado un producto procedente de un tercer país. Antes de introducirlo comprueba que lleva el marcado CE, que se ha elaborado la declaración de conformidad, que el fabricante está identificado y que el producto está etiquetado y acompañado de las instrucciones de uso exigidas. Si tiene motivos para creer que el producto no es conforme, no lo introduce.

Literal de la norma toda persona física o jurídica establecida en la Unión que introduce un producto procedente de un tercer país en el mercado de la Unión

MDR art. 2.33) · art. 13 · IVDR art. 2.26) · art. 13

Distribuidor

Quien está en la cadena de suministro, no es el fabricante ni el importador, y comercializa el producto hasta el momento de ponerlo en servicio. Lo que se le pide son comprobaciones fácticas por muestreo, no una evaluación técnica: marcado CE, declaración de conformidad, instrucciones de uso e identificación del importador. En cuanto pone su nombre al producto o lo modifica, deja de ser distribuidor.

Literal de la norma toda persona física o jurídica de la cadena de suministro, distinta del fabricante o el importador, que comercializa un producto, hasta el momento de ponerlo en servicio

MDR art. 2.34) · art. 14 · IVDR art. 2.27) · art. 14

Persona responsable del cumplimiento

Figura obligatoria dentro de la organización del fabricante, con cualificación tasada: título universitario en Derecho, Medicina, Farmacia, Ingeniería u otra disciplina científica pertinente más un año de experiencia en asuntos reglamentarios o en sistemas de gestión de la calidad, o bien cuatro años de esa experiencia. Responde de que se compruebe la conformidad antes de liberar el producto, de que la documentación técnica y la declaración estén al día, de las obligaciones de seguimiento poscomercialización y de las de notificación. Las microempresas y pequeñas empresas pueden no tenerla en plantilla, pero han de disponer de ella de forma permanente y continuada.

MDR art. 15 · IVDR art. 15

Organismo notificado

Organismo de evaluación de la conformidad designado por un Estado miembro para intervenir en los procedimientos de estos reglamentos. Es quien comprueba, antes del marcado CE y salvo en las clases más bajas, que el sistema de gestión de la calidad y la documentación técnica acreditan el cumplimiento de los requisitos generales de seguridad y funcionamiento del anexo I, de modo que la ciberseguridad exigida se verifica por su mano. Expide, suspende, restringe o retira los certificados, y hace auditorías de vigilancia, incluidas las no anunciadas.

Literal de la norma un organismo de evaluación de la conformidad designado con arreglo al presente Reglamento

MDR art. 2.42) · art. 52 · art. 56 · IVDR art. 2.34) · art. 48 · art. 51

Autoridad competente

La autoridad que cada Estado designa como responsable de la aplicación del Reglamento. Recibe las notificaciones de incidentes graves y de acciones correctivas de seguridad, evalúa el riesgo, coordina con las demás autoridades y con la Comisión, y puede exigir medidas correctivas, restringir la comercialización, retirar el producto del mercado o recuperarlo. En España es la Agencia Española de Medicamentos y Productos Sanitarios, sin perjuicio de las competencias de las comunidades autónomas.

MDR art. 101 · arts. 89 y 95 · IVDR art. 96 · Real Decreto 192/2023, art. 4 · Real Decreto 942/2025, art. 4

Centro sanitario

Organización cuya finalidad primaria es la asistencia o el tratamiento de los pacientes o la promoción de la salud pública. Aparece por dos vías. Por la exención de fabricación interna, que le permite fabricar y usar productos propios sin marcado CE bajo condiciones tasadas, entre ellas cumplir los requisitos generales de seguridad y funcionamiento del anexo I, con lo que un hospital que desarrolle su propio software clínico arrastra las exigencias de ciberseguridad. Y por el sistema de vigilancia español, que le obliga a designar un responsable de vigilancia.

Literal de la norma una organización cuya finalidad primaria es la asistencia o el tratamiento de los pacientes o la promoción de la salud pública

MDR art. 2.36) · art. 5.5 · IVDR art. 2.29) · art. 5.5 · Real Decreto 192/2023, art. 35.3