Conformité des Dispositifs Médicaux dans l'UE au T4 2026 : Délai IVDR Classe C Manqué, Signalement Cyber en Vigueur et la Proposition de Réforme du MDR

Si vous fournissez ou achetez des consommables médicaux à usage unique pour le marché de l'UE, le quatrième trimestre 2026 n'est pas un trimestre calme. Trois échéances qui se profilent depuis des années convergent maintenant : la période de transition du IVDR pour les dispositifs de Classe C s'est close le 26 septembre 2026, les obligations de signalement du Cyber Resilience Act (CRA) de l'UE sont entrées en vigueur le 11 septembre 2026, et la proposition de révision du MDR/IVDR de la Commission européenne — publiée en décembre 2025 — progresse dans le processus législatif avec des implications directes pour les dispositifs à usage unique. Cet article détaille ce que chaque jalon signifie pour les fabricants, les mandataires et les équipes d'approvisionnement, et ce qu'il convient de faire avant la fin de l'année.

1. IVDR Classe C : le délai de l'accord écrit est passé — et maintenant ?

En vertu du Règlement (UE) 2017/746, les dispositifs IVD hérités pouvaient continuer à être mis sur le marché de l'UE pendant une période de transition, à condition de remplir certaines conditions. Pour les dispositifs de Classe C, la transition exigeait deux preuves d'intention : une demande formelle déposée auprès d'un Organisme Notifié avant le 26 mai 2026, suivie d'un accord écrit signé avant le 26 septembre 2026. Ce second verrou est maintenant fermé.

Selon les cabinets de conseil réglementaire, la conséquence pour les dispositifs de Classe C qui n'ont pas obtenu la signature de l'accord avant le 26 septembre 2026 est la perte de la disposition transitoire. Sans accord écrit valide, le dispositif ne peut plus recourir à la voie du certificat IVDD hérité et doit soit disposer d'un certificat IVDR complet, soit être retiré du marché. Dans la pratique, les contraintes de capacité des Organismes Notifiés signifient que de nombreux fabricants qui ont déposé à temps font encore face à des délais d'attente de plusieurs mois pour la signature de l'accord, et ceux qui ont déposé tardivement ou avec des dossiers incomplets sont maintenant en position de haut risque.

Pour les équipes d'approvisionnement en consommables IVD, l'action immédiate est de demander à chaque fournisseur : Votre produit IVD de Classe C est-il couvert par un accord écrit signé avec un Organisme Notifié daté avant le 26 septembre 2026 ? Si la réponse est non ou incertaine, le risque de retrait du marché — sans remplacement de fourniture pendant 12 à 18 mois — est réel. Les dispositifs de Classe B et Classe A stériles ont jusqu'au 26 mai 2027 pour la demande formelle et le 26 septembre 2027 pour l'accord écrit, mais les mêmes contraintes de capacité s'appliquent, et la file d'attente des Organismes Notifiés ne s'allège pas.

2. Cyber Resilience Act de l'UE : le signalement en 24 heures est en vigueur

Tandis que l'IVDR domine les conversations sur la conformité des fabricants de dispositifs, le Cyber Resilience Act (CRA) de l'UE — Règlement (UE) 2024/2847 — a introduit des obligations qui ont commencé à s'appliquer le 11 septembre 2026, et elles sont distinctes du respect du MDR/IVDR. En vertu de l'Article 14, les fabricants de produits à éléments numériques mis sur le marché de l'UE doivent signaler à ENISA (l'Agence de cybersécurité de l'UE) dans les délais suivants :

24 heures après avoir eu connaissance d'une vulnérabilité activement exploitée ;
72 heures après avoir eu connaissance d'un incident grave ; et
14 jours pour un rapport final avec une évaluation détaillée.

Pour les fabricants de dispositifs médicaux, cela recoupe les exigences de cybersécurité du MDR/IVDR conformément au guide MDCG. Un dispositif conforme du point de vue de la sécurité clinique peut encore déclencher des obligations de signalement du CRA si son composant logiciel présente une vulnérabilité activement exploitée. L'entité tenue de signaler est le fabricant qui met le produit sur le marché de l'UE, non l'importateur ou le distributeur — ce qui signifie que les fabricants non européens doivent disposer d'une chaîne de réponse aux incidents pouvant s'activer en quelques heures, non en quelques jours.

Les obligations complètes du CRA — y compris les exigences essentielles de cybersécurité de l'Annexe I — s'appliquent à partir du 11 décembre 2027, mais le compte à rebours du signalement est déjà lancé. Tout exportateur disposant de dispositifs médicaux connectés ou dotés de logiciels doit établir dès maintenant une procédure de signalement à ENISA, désigner une personne responsable et tester la chaîne par un exercice de simulation avant le prochain incident de sécurité.

3. EUDAMED : quatre modules obligatoires depuis mai 2026

Alors que les échéances du IVDR et du CRA monopolisent les titres, la charge pratique de l'enregistrement dans EUDAMED continue de croître. En vertu du Règlement (UE) 2024/1860, les quatre premiers modules d'EUDAMED — Enregistrement des acteurs, UDI et enregistrement des dispositifs, Certificats et informations de l'Organisme Notifié, et Vigilance et surveillance post-commercialisation — sont devenus obligatoires le 28 mai 2026.

Cela signifie que tout dispositif mis sur le marché de l'UE après cette date doit être enregistré dans EUDAMED par l'opérateur économique qui le commercialise. Pour les fabricants hors de l'UE, l'enregistrement est généralement effectué par le Mandataire Autorisé dans l'UE agissant pour le compte du fabricant, mais les données — UDI-DI, coordonnées du fabricant, catégorie de dispositif et informations de certificat — doivent provenir du fabricant et être tenues à jour.

L'impact pratique : les équipes d'approvisionnement doivent vérifier que chaque SKU du portefeuille d'un fournisseur dispose d'une entrée d'enregistrement valide dans EUDAMED, et que l'UDI-DI de l'enregistrement correspond à l'UDI sur l'étiquetage du dispositif. Les écarts sont un constat fréquent lors des contrôles de surveillance du marché de l'UE et peuvent déclencher des détentions en douane ou des demandes de rappel.

4. Proposition de révision du MDR/IVDR : les dispositifs à usage unique dans la ligne de mire

En décembre 2025, la Commission européenne a publié sa proposition de révision du MDR (2017/745) et du IVDR (2017/746), avec pour objectifs déclarés de simplifier la charge administrative, d'améliorer la capacité des Organismes Notifiés et de clarifier les règles pour les dispositifs médicaux à usage unique. La période de feedback s'est étendue de janvier à mars 2026, et en novembre 2026 la proposition est en cours d'examen colegislatif par le Parlement européen et le Conseil.

L'élément le plus directement pertinent pour les exportateurs de consommables médicaux à usage unique est la proposition d'amendement de l'Article 17, qui introduirait une voie d'évaluation de la conformité simplifiée pour certains dispositifs à usage unique répondant à des critères prédéfinis — réduisant potentiellement la charge documentaire pour les produits dont le profil de sécurité est établi. La proposition aborde également le goulot d'étranglement de capacité des Organismes Notifiés en imposant des ressources accrues et des règles de priorisation plus claires pour les dispositifs de Classe III et implantables.

Bien que la révision ne soit pas encore loi, la direction générale est claire : la Commission reconnaît que le cadre MDR/IVDR actuel crée des délais d'accès au marché qui sont contre-productifs pour les soins aux patients. Les exportateurs doivent suivre le processus législatif et commencer à aligner leur documentation technique sur les exigences simplifiées proposées, afin que lorsque le règlement révisé entrera en vigueur, la transition soit une formalité plutôt qu'une course contre la montre.

Liste de vérification pour le T4 2026

IVDR Classe C : Confirmez les accords écrits signés avec l'Organisme Notifié pour tous les SKU IVD de Classe C. Pour ceux qui n'ont pas respecté la date limite du 26 septembre 2026, évaluez immédiatement les voies alternatives de conformité.
Signalement CRA : Établissez une chaîne de réponse aux incidents en 24 heures avec ENISA comme point de signalement. Désignez une personne responsable et documentez la procédure avant qu'un incident ne survienne.
EUDAMED : Vérifiez la cohérence de l'UDI-DI entre l'étiquetage du dispositif et les entrées d'enregistrement EUDAMED. Assurez-vous que le Mandataire Autorisé dans l'UE dispose de données actualisées pour tous les SKU.
Révision du MDR : Suivez le processus colegislatif. Commencez à aligner la documentation technique avec les exigences simplifiées proposées pour les dispositifs à usage unique.
Système de qualité : La QMSR de la FDA, en vigueur depuis le 2 février 2026, incorpore l'ISO 13485:2016 par référence dans le 21 CFR Partie 820. Assurez-vous que votre documentation système reflète cette intégration — les audits QMSR sont déjà en cours.

Liens connexes — sources officielles

Lecture connexe

Wehere Medical exploite un système de gestion de la qualité certifié ISO 13485:2016 dans trois usines propres et un réseau de plus de 45 usines partenaires auditées, avec plus de 2 500 produits expédiés dans plus de 50 pays. Notre équipe réglementaire documente la modalité de stérilisation par référence, la conformité MDR et les données EUDAMED — avec une réponse sous 24 heures aux demandes actives.