Certificazione ISO 13485

La ISO 13485 è la norma che stabilisce i requisiti del sistema di gestione per la qualità di chi progetta, fabbrica, installa o assiste dispositivi medici. È nata come derivazione della ISO 9001, ma se ne è staccata: dove la ISO 9001 parla di miglioramento continuo e di soddisfazione del cliente, la ISO 13485 parla di sicurezza del paziente, tracciabilità e conformità regolatoria. Non serve a vendere meglio: serve a dimostrare che il dispositivo che esce dallo stabilimento è quello che è stato progettato, e che se qualcosa va storto si sa esattamente dove andare a guardare.

L’edizione in vigore è la terza, del marzo 2016, e non è in scadenza: l’ISO l’ha sottoposta a revisione sistematica e il 31 ottobre 2025 l’ha confermata senza modifiche. Chi vi dice che «sta per uscire la nuova versione» sta anticipando qualcosa che non è stato pubblicato. Riguarda i fabbricanti, ma non solo loro: rientrano nel campo di applicazione anche i fornitori di componenti critici, i terzisti che eseguono lavorazioni o sterilizzazioni, i distributori e gli importatori, i laboratori di prova e chi fa installazione e assistenza tecnica. Se il vostro cliente ha il marchio CE sul prodotto finito, molto probabilmente la norma la sta chiedendo a voi.

Che cosa facciamo, in concreto

Vi portiamo dal punto in cui siete al certificato, e poi lo teniamo in piedi. Non consegniamo un manuale da firmare: costruiamo il sistema sulle lavorazioni che fate davvero, perché su questa norma un sistema copiato da un modello si smonta al primo audit.

ISO 13485 e MDR non sono la stessa cosa

È l’equivoco più costoso che incontriamo. La ISO 13485 è una norma volontaria e riguarda il sistema di gestione. Il Regolamento (UE) 2017/745, l’MDR, è una legge europea e riguarda il dispositivo: la sua classificazione, la valutazione clinica, il fascicolo tecnico, la marcatura CE. Sono due piani diversi, e nessuno dei due sostituisce l’altro.

Si tengono per mano in un punto preciso. La versione europea della norma, la EN ISO 13485:2016+A11:2021, è stata armonizzata dalla Commissione con la decisione di esecuzione (UE) 2022/6 del 4 gennaio 2022 per l’MDR e con la decisione di esecuzione (UE) 2022/15 del 6 gennaio 2022 per il regolamento diagnostici in vitro. Applicarla dà presunzione di conformità per la parte di sistema qualità richiesta dal regolamento — non per tutto il resto. Il certificato ISO 13485 appeso in ufficio non autorizza a mettere il marchio CE su niente.

Le scadenze che stanno arrivando

Il passaggio all’MDR non è finito: il Regolamento (UE) 2023/607 ha prorogato il periodo transitorio per i dispositivi già certificati sotto le vecchie direttive, ma la proroga non è automatica e non è per tutti allo stesso modo.

Che cosa chiede la norma, al di là della ISO 9001

Chi ha già la ISO 9001 riconosce l’impianto generale e poi si ferma su cinque punti che non c’erano. Sono questi che allungano il lavoro, ed è qui che gli audit trovano le non conformità.

Quanto dura il percorso

Su un’azienda che parte da una ISO 9001 già funzionante e con una gamma di prodotti definita, il percorso fino all’audit di certificazione si chiude in genere in sei-nove mesi. Chi parte senza alcun sistema strutturato, o ha una progettazione interna da mettere in ordine, sta più realisticamente su dieci-quattordici mesi. La variabile che sposta di più le date non è la documentazione: sono le validazioni, perché richiedono prove reali su cicli reali e non si comprimono a piacere.

A questo si aggiunge il tempo dell’organismo di certificazione, che va prenotato con anticipo: sui dispositivi medici le agende sono più lunghe che sugli schemi generalisti, e la data dell’audit spesso decide il calendario di tutto il resto.

Quanto costa

Il costo si compone sempre di due voci separate, e vale la pena tenerle distinte fin dal preventivo: la consulenza, cioè il lavoro per costruire il sistema, e la certificazione, cioè le giornate che l’organismo fattura per l’audit e per le sorveglianze annuali. La seconda non passa da noi e dipende dal numero di addetti, dai siti e dalla complessità della gamma.

Sulla prima voce il peso lo fanno tre cose: se c’è progettazione interna, quanti processi speciali vanno validati, e quanti siti produttivi entrano nel campo di applicazione. Abbiamo spiegato per esteso come si forma il prezzo di una certificazione nella pagina dedicata ai costi, con lo stesso metodo che usiamo per fare i preventivi.

Gli errori che allungano i tempi

Sono sempre gli stessi quattro. Partire dal manuale: si scrive un documento bellissimo che descrive un’azienda che non esiste, e poi l’audit confronta il documento con la realtà. Trattare la gestione del rischio come un allegato: la ISO 14971 non è un modulo da compilare a fine progetto, è il filo che tiene insieme progettazione, produzione e sorveglianza. Rimandare le validazioni: sono la voce che richiede tempo di calendario, non ore di lavoro, e chi le lascia per ultime slitta di mesi. Definire male il campo di applicazione: dichiarare più di quello che si fa costa audit più lunghi e non conformità evitabili; dichiarare meno significa scoprire a certificato ottenuto che non copre quello che il cliente chiedeva.

Dove operiamo

Seguiamo i progetti dalle nostre quattro sedi — Milano, Bologna, Roma e Brescia — e lavoriamo su tutto il territorio nazionale, in presenza per le fasi che lo richiedono e da remoto per il resto. Sui sistemi multi-sito coordiniamo l’intero perimetro con un unico riferimento.

Domande frequenti

La ISO 13485 è obbligatoria?
No, la norma in sé è volontaria. Diventa di fatto necessaria per due vie: perché il regolamento europeo chiede comunque un sistema di gestione della qualità e la norma armonizzata è il modo più lineare di dimostrarlo, e perché i committenti la mettono come requisito di fornitura. Nella pratica, chi lavora nella filiera del dispositivo medico se la trova richiesta.

Ho già la ISO 9001: quanto lavoro in più serve?
Meno di quanto sembri sull’impianto generale, più di quanto si pensi sui contenuti tecnici. La struttura dei processi e buona parte della documentazione di sistema si estendono; il lavoro vero sta sul fascicolo del dispositivo, sulle validazioni, sulla gestione del rischio e sulla sorveglianza post-vendita.

La certificazione ISO 13485 mi permette di marcare CE il dispositivo?
No. Sono due percorsi distinti, con soggetti diversi: la ISO 13485 la certifica un organismo di certificazione, la marcatura CE sotto MDR coinvolge un organismo notificato e riguarda il prodotto. La norma armonizzata copre la parte di sistema qualità, e su quella dà presunzione di conformità.

Sta per uscire una nuova edizione della norma?
Non al momento. L’edizione del 2016 è stata sottoposta a revisione sistematica e confermata il 31 ottobre 2025: resta la versione corrente e non c’è un periodo di transizione aperto.

Siamo solo terzisti, facciamo una lavorazione per conto del fabbricante. Ci riguarda?
Sì, e spesso è proprio da lì che arriva la richiesta. Il fabbricante deve tenere sotto controllo i processi affidati all’esterno: la strada più semplice per dimostrarlo è che il fornitore sia certificato. Il campo di applicazione, in quel caso, va scritto con precisione sulle lavorazioni che eseguite davvero.

Quanto vale il certificato e ogni quanto si rinnova?
Il ciclo è triennale, con audit di sorveglianza ogni anno e un audit di rinnovo alla fine del terzo. Il sistema va tenuto vivo nel frattempo: le sorveglianze non sono una formalità, e su questa norma sono mediamente più approfondite che sugli schemi generalisti.