Il Regolamento sui dispositivi medici (MDR, Regolamento (UE) 2017/745) è la legislazione dell’UE che disciplina i dispositivi medici e i loro accessori. Ha sostituito la Direttiva sui dispositivi medici (MDD, 93/42/CEE) e la Direttiva sui dispositivi medici impiantabili attivi (AIMDD, 90/385/CEE), applicandosi integralmente a partire da maggio 2021 (con proroghe transitorie per i dispositivi legacy MDD fino a dicembre 2027 per la Classe IIb/III e dicembre 2028 per la Classe IIa). Un regolamento complementare, l’IVDR (Regolamento (UE) 2017/746), disciplina i dispositivi medico-diagnostici in vitro (esami del sangue, PCR, immunodosaggi).
A differenza della maggior parte delle direttive sulla marcatura CE, l’MDR è un Regolamento (normativa direttamente applicabile in tutti gli Stati membri dell’UE senza recepimento) e impone i requisiti di valutazione della conformità più rigorosi di qualsiasi quadro normativo di marcatura CE — incluso il coinvolgimento obbligatorio di un Organismo notificato per tutti i dispositivi, tranne quelli a rischio più basso.
Classificazione dei dispositivi
L’MDR classifica i dispositivi in quattro classi in base al rischio:
| Classe | Livello di rischio | Esempi | Valutazione della conformità |
|---|---|---|---|
| Classe I | Rischio più basso | Dispositivi non sterili e non di misura (stetoscopi, guanti da visita, montature di occhiali) | Autodichiarazione (Modulo A); ON richiesto solo se sterili, con funzione di misura o strumenti chirurgici riutilizzabili |
| Classe IIa | Rischio basso-medio | Apparecchi acustici, guanti chirurgici, materiali per otturazioni dentali, misuratori di pressione | Modulo A + verifica della conformità da parte dell’ON (valutazione strutturale) |
| Classe IIb | Rischio medio-alto | Ventilatori, pompe per infusione, apparecchiature radiografiche diagnostiche, la maggior parte degli impianti attivi | Modulo B (Esame del tipo) + Modulo D o F |
| Classe III | Rischio più elevato | Valvole cardiache, stent a rilascio di farmaco, protesi d’anca, neurostimolatori | Modulo B + Modulo D (con SGQ) |
La classificazione segue le regole dell’Allegato VIII dell’MDR — 22 regole di classificazione basate sulla durata del contatto, l’invasività, il carattere attivo o passivo e sul fatto che il dispositivo somministri sostanze o utilizzi radiazioni ionizzanti.
Persona responsabile del rispetto della normativa (QPRC)
L’MDR introduce il ruolo di almeno una persona fisica responsabile del rispetto della normativa (QPRC) all’interno dell’organizzazione del fabbricante. Questa persona deve possedere competenze nei settori pertinenti ed è nominata giuridicamente nel sistema di gestione della qualità del fabbricante. Si tratta di una differenza significativa rispetto ad altre direttive sulla marcatura CE, in cui non è richiesta una persona nominativamente individuata.
Requisito del sistema di gestione della qualità
Per i dispositivi di Classe IIa, IIb e III, il fabbricante deve implementare un sistema di gestione della qualità (SGQ) certificato secondo la norma EN ISO 13485 — la norma SGQ specifica per i dispositivi medici. L’Organismo notificato sottopone ad audit questo SGQ nell’ambito del processo di valutazione della conformità. Un SGQ ISO 9001, sebbene trasferibile in molti elementi, non soddisfa il requisito SGQ dell’MDR.
Software come dispositivo medico (SaMD)
Il software destinato a essere utilizzato come dispositivo medico — incluso il firmware embedded con finalità diagnostica o terapeutica — è classificato come dispositivo medico ai sensi dell’MDR. La classificazione del software segue regole specifiche di cui all’Allegato VIII, Regola 11:
- Software destinato a fornire decisioni terapeutiche o diagnostiche di natura grave: Classe III
- Software destinato a monitorare processi fisiologici o a fornire diagnosi (non gravi): Classe IIa o IIb
- Software con altre finalità previste: Classe I
Il ciclo di vita del software deve essere conforme alla norma IEC 62304 (processi del ciclo di vita del software dei dispositivi medici), che definisce le classi di sicurezza del software (A, B, C) e i corrispondenti requisiti di sviluppo, test e documentazione.
Cibersicurezza ai sensi dell’MDR
L’MDR richiede esplicitamente che i dispositivi medici che incorporano software (incluso il firmware) siano progettati e fabbricati in modo da mantenere la riservatezza, l’integrità e la disponibilità delle informazioni — hardware, reti e software:
- MDR Allegato I §17: i dispositivi devono essere progettati per impedire l’accesso non autorizzato
- MDCG 2019-16: documento di orientamento che fa esplicito riferimento alla IEC 62443 e alla EN 303 645 per i dispositivi medici connessi in rete
- Per il software come dispositivo medico: la classe di sicurezza del software IEC 62304 determina l’entità dei test di cibersicurezza
Con l’entrata in vigore del CRA (dicembre 2027), i dispositivi medici connessi dovranno soddisfare sia i requisiti di cibersicurezza dell’MDR sia il CRA per l’aspetto degli elementi digitali — i due quadri normativi devono essere affrontati congiuntamente.
Considerazioni pratiche sulle tempistiche
Le tempistiche di certificazione MDR per i dispositivi di Classe IIb/III sono tra le più lunghe nell’ambito della marcatura CE:
- Designazione e selezione dell’Organismo notificato: 3–6 mesi (capacità limitata degli ON per l’MDR — vi sono meno ON notificati rispetto all’MDD)
- Audit del SGQ e certificazione iniziale (ISO 13485): 6–12 mesi
- Documentazione tecnica ed esame dell’ON: 12–24 mesi
- Tempo totale fino alla prima marcatura CE: tipicamente 2–4 anni per i nuovi prodotti di Classe IIb/III
Ciò significa che la conformità all’MDR deve essere pianificata fin dal primo gate concettuale di un progetto di dispositivo medico — non può essere affrontata nella fase di validazione ingegneristica.
Nota: Inovasense valuta i progetti MDR caso per caso. L’impegno in ambito MDR è soggetto a una revisione dell’ambito del progetto e ai requisiti applicabili del sistema di qualità. Non deteniamo la certificazione ISO 13485 in qualità di fabbricante — possiamo supportare la progettazione hardware connessa all’MDR, l’architettura di sicurezza embedded (cibersicurezza IEC 62304) e la documentazione tecnica, in collaborazione con il SGQ certificato MDR del cliente.
Riferimenti ufficiali
- Regolamento (UE) 2017/745 (MDR) — Testo integrale — EUR-Lex, Gazzetta ufficiale dell’Unione europea