Cumplimiento de Dispositivos Médicos en la UE en el T4 2026: Plazo Perdido para IVDR Clase C, Reporte Cibernético en Vigor y la Propuesta de Reforma del MDR

Si suministra o adquiere consumibles médicos desechables para el mercado de la UE, el cuarto trimestre de 2026 no es un período de calma. Tres hitos normativos que llevan años gestándose están convergiendo ahora: el período de transición del IVDR para dispositivos de Clase C cerró el 26 de septiembre de 2026, las obligaciones de reporte del Acta de Resiliencia Cibernética (CRA) de la UE entraron en vigor el 11 de septiembre de 2026, y la propuesta de revisión del MDR/IVDR de la Comisión Europea —publicada en diciembre de 2025— avanza por el procedimiento legislativo con implicaciones directas para los dispositivos de un solo uso. Este artículo explica qué significa cada hito para fabricantes, representantes autorizados y equipos de compras, y qué medidas adoptar antes de fin de año.

1. IVDR Clase C: el plazo del acuerdo escrito venció — y ahora qué

Con arreglo al Reglamento (UE) 2017/746, los dispositivos IVD heredados pudieron seguir comercializándose en la UE durante un período de transición, siempre que cumplieran ciertas condiciones. Para los dispositivos de Clase C, la transición exigía dos pruebas de intención: una solicitud formal presentada a un Organismo Notificado antes del 26 de mayo de 2026, seguida de un acuerdo escrito firmado antes del 26 de septiembre de 2026. Esta segunda barrera ya se ha cerrado.

Según las consultorías regulatorias, la consecuencia para los dispositivos de Clase C que no alcanzaron a firmar el acuerdo antes del 26 de septiembre de 2026 es la pérdida de la disposición transitoria. Sin un acuerdo escrito válido, el dispositivo ya no puede acogerse a la vía del certificado IVDD heredado y debe disponer de un certificado IVDR completo o ser retirado del mercado. En la práctica, las limitaciones de capacidad de los Organismos Notificados significan que muchos fabricantes que presentaron la solicitud a tiempo aún enfrentan esperas de varios meses para la firma del acuerdo, y quienes presentaron tarde o con expedientes incompletos se encuentran ahora en una posición de alto riesgo.

Para los equipos de compras de consumibles IVD, la acción inmediata es preguntar a cada proveedor: ¿Su producto IVD de Clase C cuenta con un acuerdo escrito firmado con un Organismo Notificado con fecha anterior al 26 de septiembre de 2026? Si la respuesta es no o incierta, el riesgo de retirada del mercado —sin reposición de suministro durante 12 a 18 meses— es real. Los dispositivos de Clase B y Clase A estériles tienen de plazo hasta el 26 de mayo de 2027 para la solicitud formal y el 26 de septiembre de 2027 para el acuerdo escrito, pero las mismas limitaciones de capacidad se aplican, y la cola de los Organismos Notificados no se acorta.

2. Acta de Resiliencia Cibernética de la UE: el reporte en 24 horas ya está en vigor

Mientras el IVDR acapara las conversaciones sobre cumplimiento de los fabricantes de dispositivos, el Acta de Resiliencia Cibernética (CRA) de la UE — Reglamento (UE) 2024/2847 — introdujo obligaciones que empezaron a aplicarse el 11 de septiembre de 2026, y son independientes del cumplimiento del MDR/IVDR. Con arreglo al Artículo 14, los fabricantes de productos con elementos digitales comercializados en la UE deben reportar a ENISA (la Agencia de Ciberseguridad de la UE) dentro de los siguientes plazos:

24 horas de tener conocimiento de una vulnerabilidad activamente explotada;
72 horas de tener conocimiento de un incidente grave; y
14 días de un informe final con una evaluación detallada.

Para los fabricantes de dispositivos médicos, esto se cruza con los requisitos de ciberseguridad del MDR/IVDR conforme a la guía MDCG. Un dispositivo que cumple desde el punto de vista de la seguridad clínica puede aún activar obligaciones de reporte del CRA si su componente de software tiene una vulnerabilidad explotada activamente. La entidad obligada a reportar es el fabricante que comercializa el producto en la UE, no el importador o distribuidor — lo que significa que los fabricantes no europeos deben disponer de una cadena de respuesta a incidentes que pueda activarse en cuestión de horas, no de días.

Las obligaciones completas del CRA —incluidos los requisitos esenciales de ciberseguridad del Anexo I— se aplican desde el 11 de diciembre de 2027, pero el reloj de reporte ya está en marcha. Todo exportador con dispositivos médicos conectados o con software debe establecer ahora un procedimiento de reporte a ENISA, designar a una persona responsable y probar la cadena con un ejercicio de simulación antes del próximo incidente de seguridad.

3. EUDAMED: cuatro módulos obligatorios desde mayo de 2026

Mientras los plazos del IVDR y el CRA acaparan los titulares, la carga práctica del registro en EUDAMED sigue creciendo. Con arreglo al Reglamento (UE) 2024/1860, los primeros cuatro módulos de EUDAMED —Registro de actores, UDI y registro de dispositivos, Certificados e información del Organismo Notificado, y Vigilancia y vigilancia poscomercialización— se volvieron obligatorios el 28 de mayo de 2026.

Esto significa que cualquier dispositivo comercializado en la UE después de esa fecha debe estar registrado en EUDAMED por el operador económico que lo comercialice. Para los fabricantes fuera de la UE, el registro lo realiza normalmente el Representante Autorizado en la UE actuando en nombre del fabricante, pero los datos —UDI-DI, detalles del fabricante, categoría del dispositivo e información del certificado— deben proceder del fabricante y mantenerse actualizados.

El impacto práctico: los equipos de compras deben verificar que cada SKU del portafolio de un proveedor tenga una entrada de registro válida en EUDAMED, y que el UDI-DI del registro coincida con el UDI del etiquetado del dispositivo. Las discrepancias son un hallazgo habitual en las verificaciones de vigilancia del mercado de la UE y pueden desencadenar detenciones en aduanas o solicitudes de retirada.

4. Propuesta de revisión del MDR/IVDR: los dispositivos de un solo uso en el punto de mira

En diciembre de 2025, la Comisión Europea publicó su propuesta de revisión del MDR (2017/745) y del IVDR (2017/746), con los objetivos declarados de simplificar la carga administrativa, mejorar la capacidad de los Organismos Notificados y aclarar las reglas para los dispositivos médicos de un solo uso. El período de comentarios se extendió de enero a marzo de 2026, y en noviembre de 2026 la propuesta está en proceso de revisión colegislativa por el Parlamento Europeo y el Consejo.

El elemento más directamente relevante para los exportadores de consumibles médicos desechables es la propuesta de enmienda del Artículo 17, que introduciría una vía de evaluación de la conformidad simplificada para determinados dispositivos de un solo uso que cumplan criterios predefinidos —reduciendo potencialmente la carga documental para productos con perfiles de seguridad consolidados. La propuesta también aborda el cuello de botella de capacidad de los Organismos Notificados mediante el mandato de recursos incrementales y reglas de priorización más claras para los dispositivos de Clase III e implantables.

Aunque la revisión aún no es ley, la dirección del viraje es clara: la Comisión reconoce que el marco MDR/IVDR actual está generando retrasos en el acceso al mercado que son contraproducentes para la atención al paciente. Los exportadores deben seguir el proceso legislativo y comenzar a alinear su documentación técnica con los requisitos simplificados propuestos, de modo que cuando el reglamento revisado entre en vigor, la transición sea un trámite y no una carrera contrarreloj.

Lista de verificación para el cuarto trimestre de 2026

IVDR Clase C: Confirme los acuerdos escritos firmados con el Organismo Notificado para todos los SKU IVD de Clase C. Para los que no alcanzaron la fecha límite del 26 de septiembre de 2026, evalúe vías alternativas de cumplimiento de inmediato.
Reporte CRA: Establezca una cadena de respuesta a incidentes en 24 horas con ENISA como punto de reporte. Designe a una persona responsable y documente el procedimiento antes de que se produzca un incidente.
EUDAMED: Verifique la coherencia del UDI-DI entre el etiquetado del dispositivo y las entradas de registro en EUDAMED. Asegúrese de que el Representante Autorizado en la UE dispone de datos actualizados para todos los SKU.
Revisión del MDR: Siga el proceso colegislativo. Comience a alinear la documentación técnica con los requisitos simplificados propuestos para los dispositivos de un solo uso.
Sistema de calidad: La QMSR de la FDA, en vigor desde el 2 de febrero de 2026, incorpora la ISO 13485:2016 por referencia en el 21 CFR Parte 820. Asegúrese de que la documentación de su sistema de calidad refleja esta integración — las auditorías QMSR ya están en marcha.

Enlaces relacionados — fuentes oficiales

Lectura relacionada

Wehere Medical opera un sistema de gestión de la calidad certificado ISO 13485:2016 en tres fábricas propias y una red de más de 45 fábricas asociadas auditadas, con más de 2.500 productos enviados a más de 50 países. Nuestro equipo regulatorio documenta la modalidad de esterilización por referencia, la conformidad MDR y los datos de EUDAMED — con respuesta en 24 horas a las consultas activas.