- MDR kræver et kvalitetsstyringssystem. ISO 13485 er den harmoniserede standard for det system, og det er et system, du driver, ikke et certifikat, du køber.
- Design controls, risikostyring og sporbarhed starter ved det første krav, ikke lige før lancering.
- Planlæg med 6–12 måneder til certifikatet. 4–6 måneder kræver, at processerne allerede kører.
ISO 13485-certificering betyder, at et akkrediteret certificeringsorgan har auditeret jeres kvalitetsstyringssystem (QMS) og fundet, at det lever op til ISO 13485:2016. For medicinsk software dækker systemet design controls, risikostyring efter ISO 14971, en softwarelivscyklus efter IEC 62304 og sporbarhed fra krav til test. En mindre softwarevirksomhed skal typisk regne med 6–12 måneder frem til certifikatet.
Vi bygger software til medicinsk udstyr og arbejder under kundernes kvalitetssystemer. Guiden er skrevet ud fra det, vi ser i de projekter: hvor tiden går, og hvad der overrasker teams, der kommer fra almindelig softwareudvikling.
Hvad er ISO 13485?
ISO 13485 er den internationale standard for kvalitetsstyringssystemer til medicinsk udstyr. Den gældende udgave er ISO 13485:2016. Ifølge TÜV NORD har ISO bekræftet den uden ændringer ved den seneste systematiske gennemgang, så den gælder uændret frem til april 2030. I EU er EN ISO 13485:2016+A11:2021 harmoniseret under MDR med Kommissionens gennemførelsesafgørelse (EU) 2022/6, så et system, der følger standarden, formodes at opfylde de tilsvarende krav i forordningen.
Standarden er også relevant uden for EU. FDA’s Quality Management System Regulation (QMSR), som trådte i kraft 2. februar 2026, indarbejder ISO 13485:2016 ved henvisning i 21 CFR Part 820. Et system bygget efter ISO 13485 er derfor også det bedste udgangspunkt for det amerikanske marked, selv om FDA ikke kræver et ISO-certifikat og stadig har egne tilføjelser.
Er ISO 13485-certificering et lovkrav for medicinsk software?
Nej, ikke selve certifikatet. Artikel 10, stk. 9, i forordningen om medicinsk udstyr (EU) 2017/745 kræver, at alle producenter har et kvalitetsstyringssystem, uanset klasse. ISO 13485 er den harmoniserede standard for det system, og fra klasse IIa vurderer et bemyndiget organ (notified body) systemet som en del af overensstemmelsesvurderingen. I praksis forventer det ISO 13485.
Det afgørende er, om softwaren er medicinsk udstyr. Det er den typisk, hvis den er beregnet til at diagnosticere, forebygge, overvåge, forudsige eller behandle sygdom, fx billedanalyse, beslutningsstøtte eller en app, der overvåger patienters værdier. Efter klassifikationsregel 11 i MDR ender størstedelen af den medicinske software i klasse IIa eller højere.
| Klasse | Risiko | Kvalitetsstyringssystem | Bemyndiget organ |
|---|---|---|---|
| I | Lav | Påkrævet, certifikat frivilligt | Nej, undtagen sterilt udstyr, måleudstyr og genanvendelige kirurgiske instrumenter |
| IIa | Middel | Påkrævet, ISO 13485 forventes | Ja |
| IIb | Middel til høj | Påkrævet, ISO 13485 forventes | Ja |
| III | Høj | Påkrævet, ISO 13485 forventes | Ja, med den mest omfattende vurdering |
I Danmark er Lægemiddelstyrelsen den kompetente myndighed for medicinsk udstyr. Udstyr, der stadig sælges på et gammelt direktivcertifikat, har en overgangsperiode til 31. december 2027 eller 31. december 2028 afhængigt af klasse, på betingelse af at producenten har et MDR-kvalitetssystem og en aftale med et bemyndiget organ (forordning (EU) 2023/607). Kommissionen foreslog i december 2025 en målrettet revision af MDR og IVDR. Hold øje med, om den ændrer fristerne for jeres produkt.
Hvilke krav stiller ISO 13485 til softwareudvikling?
ISO 13485 kræver, at udvikling sker i en styret og dokumenteret proces, hvor hvert krav kan spores til design, kode, test og risikovurdering. For software omfatter det i praksis fire områder:
- Kvalitetssystemet: kvalitetspolitik, ansvar, dokumentstyring, ændringsstyring, leverandørstyring, uddannelse og afvigelser med korrigerende handlinger (CAPA)
- Design controls (afsnit 7.3): planlægning, designinput og -output, designgennemgang, verifikation, validering og overdragelse, med en designhistorik, der viser, hvordan produktet blev til
- Risikostyring: ISO 13485 kræver en dokumenteret risikostyringsproces gennem hele produktrealiseringen. ISO 14971:2019 er den anerkendte standard for den proces og den, bemyndigede organer forventer at se
- Softwarelivscyklus: IEC 62304 beskriver planlægning, krav, arkitektur, implementering, verifikation, frigivelse og vedligeholdelse, skaleret efter softwarens sikkerhedsklasse A, B eller C
Validering betyder, at I viser, at softwaren opfylder brugernes behov under realistiske forhold: en valideringsplan, acceptkriterier, et produktionslignende miljø og en rapport med en sporbarhedsmatrix. Agil udvikling passer fint ind, hvis hver sprint efterlader opdaterede krav, risici og testbeviser i stedet for at gemme dokumentationen til sidst.
Hvordan foregår ISO 13485-certificeringen trin for trin?
Certificeringen følger samme forløb hos de fleste certificeringsorganer:
| Trin | Indhold | Typisk varighed |
|---|---|---|
| 1. Gap-analyse | Sammenlign nuværende praksis med standarden og prioritér de identificerede mangler | 2–4 uger |
| 2. Opbygning af QMS | Procedurer, skabeloner, design controls, risikostyring og uddannelse | 3–6 måneder |
| 3. Drift og dokumentation | Brug systemet i det daglige arbejde, så der foreligger registreringer | 2–4 måneder |
| 4. Intern audit og ledelsens evaluering | Find afvigelser selv og luk dem | 1–2 måneder |
| 5. Stage 1-audit | Certificeringsorganet gennemgår dokumentationen og parathed | 1–2 dage |
| 6. Stage 2-audit | Auditorerne ser systemet i brug gennem interviews og stikprøver | 2–5 dage |
| 7. Certifikat og overvågning | Certifikatet gælder i 3 år, med overvågningsaudit hvert år og fornyelse i år 3 | Løbende |
Vælg et certificeringsorgan, der er akkrediteret til ISO 13485, og som gerne også er bemyndiget organ under MDR, så audits kan koordineres. Eksempler er BSI, TÜV SÜD, DNV, DEKRA og SGS. Book tidligt, fordi ventetiden på auditdage kan være flere måneder. Et MDR-certifikat fra et bemyndiget organ er et særskilt certifikat: det gælder højst 5 år og kræver overvågning mindst en gang om året.
Hvor lang tid tager ISO 13485-certificering?
Typisk 6–12 måneder fra gap-analyse til certifikat for en mindre virksomhed. De syv trin i certificeringen, fra gap-analyse til stage 2-audit, kan delvist overlappe, men ventetid på auditdage og lukning af afvigelser lægger ofte en til tre måneder til.
- 4–6 måneder: processerne kører allerede, og der mangler mest dokumentation
- 6–12 måneder: det typiske forløb med moderate mangler i dokumentationen
- 12–18 måneder: fra bunden, uden eksisterende kvalitetssystem
Certificeringen er kun en del af vejen til markedet. Vores køreplan fra idé til CE-mærkning viser, hvordan kvalitetssystemet hænger sammen med klassificering, udvikling og det bemyndigede organs vurdering.
Hvad koster ISO 13485-certificering?
Certificeringen er blevet markant billigere, end mange regner med. For en mindre softwarevirksomhed med eget team og skabeloner er den største eksterne udgift certificeringsorganets audit, ca. 55.000–115.000 DKK. Konsulentbistand er det, der flytter budgettet mest. Tallene i omkostningstabellen er omregnet fra OpenRegulatorys omkostningsmodel (august 2026), som bygger på offentliggjorte prislister, og er planlægningstal, ikke tilbud.
| Post | Vejledende niveau |
|---|---|
| Certificeringsorgan, første certificering | ca. 55.000–115.000 DKK |
| Skabeloner og eQMS-værktøj | fra 0 DKK (gratis skabeloner findes) |
| Konsulent, målrettet gennemgang | ca. 60.000–150.000 DKK |
| Konsulent, fuld implementering | ca. 185.000–450.000 DKK |
| Eksterne udgifter i alt | ca. 55.000–565.000 DKK |
| Interne ressourcer (vores skøn) | 200–500 timer |
| Årlige overvågningsaudits (typisk 1–3 auditdage) | ca. 15.000–55.000 DKK |
Den største post er sjældent certifikatet. Det er den interne tid, det tager at skrive procedurerne og derefter leve efter dem.
Hvordan arbejder en softwarepartner under jeres QMS?
Producenten ejer kvalitetssystemet, og en ekstern softwarepartner er en leverandør, som I styrer efter ISO 13485 afsnit 7.4 om indkøb. Partneren arbejder efter jeres procedurer eller efter egne procedurer, som I har vurderet og godkendt, og leverer de registreringer, der skal indgå i jeres designhistorik.
Stil en kommende partner disse spørgsmål:
- Hvordan spores krav til design, kode, test og risici?
- Hvilke dele af IEC 62304 dækker I, og hvordan bestemmer I softwarens sikkerhedsklasse?
- Hvilken dokumentation leveres ved hver frigivelse?
- Hvordan håndteres ændringer efter validering?
- Hvordan dokumenteres SOUP, altså tredjepartsbiblioteker, og deres sårbarheder?
- Kan I støtte overvågning efter markedsføring, når produktet er i drift?
Hos bon.do har Kirsten Bondo Vraa mere end ti års erfaring med farmaceutisk kvalitetssikring, og Morten Bondo Vraa har bygget software i over 22 år. Vi byggede backenden til et CE-mærket medicinsk udstyr, hvor hver optagelse er knyttet til enhed, forsøgsperson og operatør, og resultatet skal kunne spores tilbage til det rå signal. Vi skriver dokumentationen til jeres QMS undervejs, og I ejer koden og alle immaterielle rettigheder. Læs mere om vores softwareudvikling til medicinsk udstyr og life science.
Næste skridt
Står I foran en gap-analyse eller et softwareprojekt under ISO 13485, kan vi tage en uforpligtende snak om, hvordan udviklingen passer ind i jeres kvalitetssystem. Kontakt os, eller læs om GDPR og sundhedsdata og validering af AI i life science.
Fakta
Spørgsmål vi ofte får
