Veille réglementaire des dispositifs médicaux : la méthode complète

Un dispositif médical conforme le jour de son marquage CE peut ne plus l'être deux ans plus tard sans que rien n'ait changé chez son fabricant. Il suffit qu'une norme harmonisée soit révisée, qu'une note MDCG précise une exigence ou qu'un pays d'export modifie ses règles. La veille réglementaire sert à le voir à temps. Ce guide explique ce qu'elle doit couvrir, comment l'organiser et comment en apporter la preuve.

Pourquoi la veille réglementaire est obligatoire

La veille n'est pas une bonne pratique facultative. Trois textes l'imposent, directement ou par conséquence :

• Le MDR, article 10.9 : le système de management de la qualité du fabricant doit prendre en compte, « de manière adéquate et en temps utile », les modifications de la conception du dispositif et les modifications des normes harmonisées ou des spécifications communes au regard desquelles sa conformité est déclarée. L'IVDR contient la même exigence.
• L'ISO 13485:2016 demande de documenter le rôle de l'organisme au regard des exigences réglementaires applicables (§ 4.1.1) et de déterminer celles qui s'appliquent à chaque produit (§ 7.2.1).
• L'annexe I du MDR exige que les dispositifs tiennent compte de l'état de l'art généralement reconnu. Or l'état de l'art bouge avec les normes et les guides.

Concrètement, un auditeur ISO 13485 ou un organisme notifié posera tôt ou tard la question : « Comment savez-vous que vos exigences réglementaires sont à jour ? »

Ce qu'il faut surveiller

1. Les textes européens

Le Journal officiel de l'Union européenne, consultable sur EUR-Lex, publie les règlements, leurs modifications (comme le règlement (UE) 2023/607 pour la transition du MDR ou le règlement (UE) 2024/1860 pour l'IVDR et EUDAMED), les actes d'exécution et les décisions qui publient les références des normes harmonisées, comme la décision d'exécution (UE) 2026/1231 de juin 2026. C'est la source qui change le droit.

2. Les notes MDCG

Le groupe de coordination des dispositifs médicaux publie des guides d'interprétation (classification des logiciels, évaluation clinique, vigilance, EUDAMED…). Ils ne sont pas juridiquement contraignants, mais les organismes notifiés et les autorités les appliquent : un écart doit être justifié.

3. Les autorités nationales

En France : l'ANSM (décisions, avis, informations de sécurité), Légifrance (décrets et arrêtés du code de la santé publique) et la HAS pour l'accès au remboursement. Chaque pays où le dispositif est vendu a son autorité compétente.

4. Les normes ISO et IEC

Une norme révisée, ou un projet de norme mis en enquête, annonce un changement d'état de l'art avant même sa publication. Les normes transversales (ISO 13485, ISO 14971, IEC 62304, IEC 62366-1, ISO 10993) et celles de votre famille de dispositifs sont à suivre en priorité.

5. Les marchés d'export

Si le dispositif est vendu hors de l'Union : la FDA aux États-Unis (Federal Register, guides), la MHRA au Royaume-Uni, Health Canada, Swissmedic, la TGA, la PMDA, l'ANVISA… Chacune publie ses propres règles et calendriers.

6. Les organismes notifiés

Votre organisme notifié et leur association européenne Team-NB publient des positions et des exigences pratiques qui pèsent directement sur vos dossiers.

La méthode en cinq étapes

Étape 1 — Définir le périmètre

Listez vos dispositifs, leurs classes, leurs familles (EMDN), les règlements applicables (MDR, IVDR, AI Act si le dispositif intègre de l'IA), les marchés où ils sont vendus et les normes qui fondent leur conformité. Ce périmètre détermine tout le reste.

Étape 2 — Lister et justifier les sources

Pour chaque source : pourquoi elle est pertinente, à quelle fréquence elle est consultée, et par qui. Un tableau « source, fréquence, responsable » suffit, à condition d'être tenu à jour quand le périmètre change.

Étape 3 — Collecter

Abonnements, flux RSS, alertes par e-mail, consultation des sites… ou une plateforme qui centralise les sources. Le risque n'est pas de manquer de textes, mais de se noyer : la collecte doit être filtrée sur le périmètre.

Étape 4 — Qualifier et analyser l'impact

Pour chaque publication retenue, trois questions : s'applique-t-elle à nos dispositifs ? Qu'exige-t-elle, et pour quand ? Quel est l'impact sur la documentation technique, la gestion des risques, l'étiquetage, l'évaluation clinique ou les procédures ? La criticité (critique, modérée, information) oriente la priorité.

Étape 5 — Agir et tracer

Une évolution applicable déclenche une action : mise à jour d'un document, maîtrise des modifications, plan d'action, information de l'organisme notifié si nécessaire. La décision et l'action sont consignées dans le registre, et les évolutions majeures remontent en revue de direction.

Le registre de veille : ce qu'il doit contenir

Le registre est le cœur de la preuve. Pour chaque publication retenue :

Champ	Exemple
Date d'identification	18 juin 2026
Source et référence	EUR-Lex, décision d'exécution (UE) 2026/1231
Résumé	Nouvelles normes harmonisées au titre du MDR
Applicabilité	Oui : deux normes citées dans notre liste de normes
Criticité	Modérée
Impact et action	Analyse d'écart sur la nouvelle version, mise à jour de la liste des normes
Responsable et échéance	Responsable affaires réglementaires, 30 septembre 2026
Statut	Clos, preuve en lien

Un registre horodaté, exporté régulièrement et versé au système qualité, répond directement à la question de l'auditeur. Notre guide sur la preuve de veille en audit ISO 13485 détaille ce qu'il attend.

Les erreurs fréquentes

1. Une veille réelle mais non tracée : impossible à prouver en audit.
2. Des sources incomplètes : suivre l'ANSM mais pas le Journal officiel de l'Union, ou ignorer un marché d'export.
3. Pas d'analyse d'impact : on note la publication sans dire ce qu'elle change.
4. Une veille qui repose sur une seule personne : elle disparaît avec un départ ou une absence.
5. Un périmètre figé : un nouveau dispositif ou un nouveau marché ajoute des sources.

Manuelle, externalisée ou outillée ?

• Veille manuelle : abonnements et tableur. Peu coûteuse en argent, coûteuse en temps, et fragile dès que le périmètre grandit.
• Veille confiée à un cabinet : utile pour l'analyse experte, souvent moins réactive sur le flux quotidien.
• Plateforme spécialisée : collecte automatique, filtrage sur le périmètre, registre horodaté. C'est ce que fait MedQara, la plateforme de veille réglementaire des dispositifs médicaux : 64 sources surveillées, dont 49 autorités et institutions officielles, un classement par criticité, et un export PDF horodaté versable au système qualité.

Quelle que soit l'approche, la règle ne change pas : une veille vaut ce que vaut sa trace.

Pour suivre les textes au fil de l'eau, consultez aussi notre page d'actualité réglementaire des dispositifs médicaux, qui rassemble les textes officiels des 60 derniers jours.