ISO 13485: qué es y cómo aplicarla en tu empresa de productos sanitarios
¡De la teoría a la práctica – conoce Timly ahora!
La ISO 13485 es la norma internacional que define los requisitos de un sistema de gestión de calidad (SGC) para el diseño, la fabricación y el mantenimiento de productos sanitarios. Su implementación facilita el cumplimiento de los requisitos regulatorios en mercados como el europeo, y resulta clave para fabricantes y proveedores del sector.
Un software como Timly puede facilitar la trazabilidad documental que exige la norma, aunque antes conviene entender qué cubre exactamente y cómo se certifica.
¿Qué es la norma ISO 13485?
La ISO 13485 fue desarrollada por ISO/TC 210, el comité técnico de ISO especializado en calidad para productos sanitarios, y establece los requisitos de un SGC aplicado a dispositivos médicos, diagnóstico in vitro y servicios relacionados con su diseño, producción, instalación y mantenimiento.
A diferencia de una norma de producto, la ISO 13485 no fija especificaciones técnicas de cada dispositivo, sino que ordena los procesos internos —documentación, trazabilidad, gestión de riesgos, control de proveedores— para que la organización demuestre que sus productos cumplen los requisitos legales y los del cliente.
- Es aplicable a empresas de cualquier tamaño: desde grandes fabricantes hasta pymes que suministran componentes o servicios a la cadena de valor sanitaria.
ISO 13485:2016: la versión vigente y su relación con la ISO 9001
La versión en vigor es la ISO 13485:2016, que sustituyó a la edición de 2003 y sigue siendo la referencia actual, ya que la revisión periódica de las normas ISO no implica cambios anuales.
Qué cambió respecto a la versión de 2003
Según la propia ISO, la revisión de 2016 incorporó mayor peso de la gestión de riesgos y la toma de decisiones basada en el riesgo a lo largo del ciclo de vida del producto, además de reforzar los requisitos para proveedores externos y otras partes de la cadena de suministro.
Por qué no es una simple variante de la ISO 9001
Aunque la ISO 13485:2016 utiliza una estructura basada en la edición anterior de la ISO 9001, sus requisitos están adaptados específicamente al entorno regulado de los productos sanitarios. Por ello, pone especial énfasis en el cumplimiento de requisitos reglamentarios, la gestión de riesgos, la validación de procesos y la trazabilidad, aspectos que en la ISO 9001 se tratan de forma más genérica.
El propio anexo B de la ISO 13485:2016 compara ambos textos, pero aclara que cumplir una no garantiza el cumplimiento de la otra, ya que cada una debe auditarse por separado.
- La ISO 13485 puede entenderse como una adaptación de los principios generales de gestión de calidad al contexto regulado de los productos sanitarios, no como una aplicación directa de la ISO 9001.
Marco normativo de la ISO 13485 en España
En España, la norma se publica como UNE-EN ISO 13485:2018, basada en la ISO 13485:2016. En el contexto europeo del MDR, la norma EN ISO 13485:2016, junto con sus modificaciones y correcciones aplicables, figura entre las normas armonizadas de referencia.
La UNE-EN ISO 13485:2018 y el papel de AENOR
En España operan distintos organismos de certificación acreditados por ENAC para evaluar sistemas de gestión de calidad de este tipo, entre ellos AENOR. La elección suele depender del reconocimiento sectorial que necesite la empresa y del coste, que puede variar de forma notable entre organismos.
El Reglamento MDR y el Real Decreto 192/2023
La certificación ISO 13485 no es obligatoria por sí misma. Sin embargo, el Reglamento (UE) 2017/745 (MDR) obliga a los fabricantes a establecer y mantener un sistema de gestión de calidad adecuado al tipo y a la clase de riesgo del producto.
Dependiendo de la clase y del procedimiento de evaluación aplicable, puede ser necesaria la intervención de un Organismo Notificado.
- La ISO 13485 es una de las principales normas utilizadas para estructurar y demostrar el cumplimiento de estos requisitos.
En España, el Real Decreto 192/2023 desarrolla el Reglamento MDR, designa a la Agencia Española de Medicamentos y Productos Sanitarios (AEMPS) como autoridad competente y crea un registro obligatorio para los agentes económicos que comercializan productos sanitarios en España, con excepciones como los productos a medida.
Resumen de la estructura y los requisitos de la norma
La ISO 13485:2016 tiene ocho cláusulas: las tres primeras son introductorias, las cinco siguientes son los requisitos del SGC.
Las ocho cláusulas de la ISO 13485
Cada cláusula agrupa un conjunto de requisitos concretos que el SGC debe cubrir, desde el alcance de la norma hasta la mejora continua tras la puesta en el mercado.
| Cláusula | Contenido principal |
|---|---|
| 1. Alcance | Objetivo y ámbito de aplicación |
| 2. Referencias normativas | Referencias normativas aplicables |
| 3. Términos y definiciones | Terminología utilizada por la norma |
| 4. Sistema de gestión de la calidad | Requisitos del SGC y documentación |
| 5. Responsabilidad de la dirección | Responsabilidad, política y objetivos de calidad |
| 6. Gestión de recursos | Personal, infraestructura y entorno de trabajo |
| 7. Realización del producto | Planificación, diseño, compras, producción y servicio |
| 8. Medición, análisis y mejora | Seguimiento, quejas, no conformidades y mejora |
Documentación mínima exigida
Además del manual de calidad, la ISO 13485 exige documentar determinados procedimientos, registros e información relacionada con los productos y los procesos del SGC, que puede incluir información sobre el producto, su uso previsto, el etiquetado y las instrucciones de uso.
Aclaración:
Conviene no confundir esta documentación con la exigida por otros marcos: el MDR europeo habla de documentación técnica conforme a sus anexos II y III, mientras que en el contexto de la FDA se utiliza la terminología propia de Device Master Record (DMR) y Device History Record (DHR). Son documentos con función parecida, pero regulados por normas distintas.
El manual de calidad ISO 13485
El manual de calidad describe cómo se estructura la documentación del SGC y cómo se relacionan entre sí los distintos procedimientos.
Qué debe incluir
De forma orientativa, un manual de calidad conforme a la ISO 13485 debe recoger:
- Cuando proceda, la justificación de los requisitos que no resulten aplicables debido a la naturaleza de la organización o de sus productos.
- Referencias a los procedimientos documentados.
- Una descripción de cómo interactúan los procesos del SGC entre sí.
No sustituye a los procedimientos ni a los registros: es el documento marco que los organiza.
Ejemplo (hipotético):
Una pyme que fabrica apósitos estériles de clase I no necesita el mismo nivel de control de diseño que un fabricante de bombas de infusión de clase III. Su manual de calidad puede justificar razonablemente la no aplicabilidad de ciertos requisitos de validación de software o de dispositivos activos, siempre que el motivo quede documentado y no se trate de una exclusión genérica sin argumentar.
Este documento no es exclusivo de la ISO 13485: el propio MDR, en su Anexo IX, exige a los fabricantes documentar su sistema de gestión de calidad mediante un manual de calidad y políticas y procedimientos escritos, lo que refuerza su papel como pieza central tanto para la certificación voluntaria como para la evaluación regulatoria en la UE.
Dónde consultar la norma en PDF
El texto oficial de la norma no se distribuye gratuitamente: puede adquirirse a través de ISO o de organismos nacionales como AENOR. Conviene evitar copias no oficiales en PDF, ya que pueden corresponder a versiones obsoletas y no ofrecen garantía de vigencia.
Cómo obtener el certificado ISO 13485
Obtener el certificado implica una auditoría externa, gestionada por un organismo acreditado, que se repite periódicamente una vez concedido.
Fases del proceso de certificación
El proceso, común a los distintos organismos certificadores, suele seguir estos pasos:
- Solicitud y presupuesto: la empresa elige un organismo acreditado por ENAC y acuerda el alcance y el coste de la auditoría.
- Auditoría de fase 1: suele incluir una revisión documental del SGC para comprobar que está preparado para la siguiente fase; el alcance depende del programa de cada organismo.
- Auditoría de fase 2: visita a las instalaciones para verificar que el sistema se aplica realmente en el día a día y con qué grado de eficacia.
- Emisión del certificado y, posteriormente, auditorías de seguimiento anuales para mantener la vigencia.
- La duración de la implantación completa —desde el diagnóstico inicial hasta la auditoría de certificación— depende del tamaño y la complejidad de la organización, del alcance del sistema, de la clase de riesgo de los productos y del grado de madurez documental existente, por ejemplo, si la empresa ya contaba con la ISO 9001 implantada.
Consejo práctico:
Antes de solicitar la auditoría de fase 1, conviene comprobar que la documentación técnica del producto (exigida por el MDR) y la documentación del sistema de gestión de calidad (exigida por la ISO 13485) estén alineadas entre sí.
Es habitual que ambos conjuntos documentales se desarrollen en paralelo y de forma independiente, lo que genera incoherencias que el auditor suele detectar en los primeros minutos de la revisión documental.
Validez y renovación
Los certificados de sistemas de gestión suelen emitirse con un ciclo de certificación de tres años, sujeto a auditorías de seguimiento anuales y a una auditoría de renovación al finalizar ese periodo. Este ciclo forma parte del esquema de certificación del organismo, ya que ISO, como organización, no emite certificados directamente.
Beneficios de implementar la ISO 13485
- Acceso a mercados regulados: muchos países exigen, de forma directa o indirecta, un SGC equivalente al de la ISO 13485 para autorizar la venta de productos sanitarios.
- Menor riesgo de no conformidades: los controles de diseño, producción y proveedores reducen la probabilidad de fallos que deriven en retiradas de producto.
- Confianza del cliente y de los reguladores: la certificación facilita las relaciones comerciales con hospitales y administraciones públicas.
- Preparación para otros marcos regulatorios: la norma sirve de base común para distintos mercados. En Estados Unidos, la QMSR de la FDA entró en vigor el 2 de febrero de 2026 e incorpora por referencia la ISO 13485:2016, lo que refuerza su papel como estándar de referencia para quien exporte fuera de la UE.
Gestión documental y trazabilidad con Timly
Buena parte del esfuerzo de mantener la ISO 13485 al día es administrativo: localizar el procedimiento correcto, saber qué equipo necesita una calibración, o encontrar el registro de una auditoría anterior cuando lo pide un organismo certificador.
Con Timly, cada equipo o activo sujeto a control puede llevar asociada su ficha digital, con documentos, procedimientos y certificados vinculados directamente a él. Los responsables reciben avisos automáticos de próximas revisiones o calibraciones, y el historial de cada activo queda disponible desde el móvil en el momento de una auditoría.
- Esto facilita parte de la gestión documental y trazabilidad del SGC, aunque no cubre por sí solo elementos como los controles de diseño, la gestión de riesgos o la gestión de reclamaciones.
Conclusión: qué debe tener claro quien se enfrenta a la ISO 13485
La norma en sí no es de obligado cumplimiento, pero quien fabrica productos sanitarios en la UE, o forma parte de su cadena de suministro, difícilmente evita un SGC equivalente: el MDR lo exige de forma indirecta según la clase de riesgo del producto. La pregunta relevante no es tanto «¿merece la pena?», sino si la norma aplica en mi caso, de forma directa o a través de las exigencias de un cliente o fabricante.
Para un fabricante de dispositivos de clase IIa, IIb o III, la certificación suele ser, en la práctica, el camino más directo para demostrar ese SGC ante un Organismo Notificado. Para un proveedor de componentes, puede llegar como exigencia contractual antes que como decisión propia. En ambos casos, el paso siguiente suele ser el mismo: definir el alcance del sistema, redactar el manual de calidad y valorar con qué organismo certificador iniciar el proceso.
Preguntas frecuentes sobre la ISO 13485
No. La ISO 13485 certifica el sistema de gestión de calidad de la empresa; el MDR regula los requisitos específicos que debe cumplir cada producto sanitario para poder comercializarse en la UE. Son marcos complementarios, no intercambiables.
No. La certificación ISO 13485 se otorga en un ámbito voluntario y evalúa el sistema de gestión de calidad de la organización; por sí sola no acredita la conformidad de un producto ni permite colocar el marcado CE, que corresponde a un procedimiento distinto sobre el producto en sí.
En la práctica, ambos procesos comparten mucha documentación y suelen tramitarse de forma coordinada.
Puede ser necesaria si el fabricante final lo exige de forma contractual, aunque la norma no obliga por sí misma a los proveedores de componentes. Cada vez más fabricantes piden esta certificación a su cadena de suministro para simplificar sus propias auditorías.
El organismo certificador no emite el certificado hasta que la organización resuelve las no conformidades, ya sea antes de la decisión de certificación o mediante un plan de acciones correctivas con plazo definido. Las no conformidades graves pueden retrasar la certificación varios meses.
Sí, cuando el software se clasifica como producto sanitario (SaMD) porque cumple una función de diagnóstico, tratamiento o monitorización. En ese caso, suele combinarse con normas específicas del ciclo de vida del software, como la IEC 62304.
