El Primer Escudo del Software Médico: Análisis Estático Según IEC 62304 

En el desarrollo de software para dispositivos médicos, no basta con que el código funcione. Cada línea debe ser segura, mantenible y trazable, porque detrás de un bug puede haber un riesgo clínico real. La IEC 62304 (productos software de clase B y clase C) exige un enfoque riguroso: identificar y eliminar errores incluso antes de ejecutar el programa.  

Aquí es donde entra la recomendación del análisis estático de código, específicamente del SAST (Static Application Security Testing), el primer paso para demostrar calidad y seguridad. 

¿Qué es el Análisis Estático de Código? 

El análisis estático es como hacer rayos X al código: escanea cada línea sin ejecutarla, buscando fallos ocultos que podrían escaparse a pruebas tradicionales como violaciones de estándares de codificación (ej.: directrices de MISRA C/C++), vulnerabilidades de seguridad (ej.: desbordamientos de búfer), secciones del código muy enrevesadas (posible aumento del riesgo de errores) o código muerto o duplicado (aumento del riesgo de errores en futuras modificaciones). 

Por qué es recomendable a partir de software de clase B 

Porque garantizar que el código es correcto es esencial para reducir la probabilidad de que el software introduzca fallos que puedan generar riesgos inesperados para el paciente.  

En software de clase B y clase C, la IEC 62304 exige una verificación más rigurosa del diseño y del código, lo que hace muy útil emplear análisis estáticos como complemento a las revisiones manuales.  

Además, la IEC 62304 establece que el software a partir de clase B debe: 

• Verificarse con técnicas adecuadas al nivel de riesgo, donde las herramientas automáticas aportan consistencia, exhaustividad y objetividad. 

• Generar evidencia documentada de todas las actividades de verificación, por lo que los informes automáticos del SAST ofrecen trazabilidad clara y repetible. 

Cómo implementar un Análisis Estático eficaz 

Para ser útil y cumplir la norma, un análisis estático debe: 

1. Integrarse en el ciclo de desarrollo 

Idealmente, al hacer commit o en cada build del software. Ya que permite detectar errores temprano y ahorrar tiempo en correcciones. 

1. Configurar reglas según estándares 

Directrices como MISRA C/C++, CERT C o CWE ayudan a priorizar riesgos y errores críticos. 

1. Generar reportes claros 

Comprensibles para auditores y para el equipo de desarrollo, e incluyan métricas de cobertura, complejidad y número de defectos por módulo. 

1. Documentar evidencias 

Las evidencias (capturas de reportes, revisiones, correcciones, entre otras) son esenciales para demostrar la trazabilidad conforme a los requisitos de la IEC 62304. 

Herramientas habituales 

En el ámbito del software médico es común emplear herramientas de análisis estático para mejorar la calidad del código y detectar defectos de forma sistemática. Algunas de las más utilizadas incluyen: 

• SonarQube: análisis continuo, detección de vulnerabilidades, métricas de calidad. 

• Cppcheck: especializado en análisis estático para C/C++. 

• Polyspace: análisis formal, comprobación MISRA y verificación exhaustiva. 

• CodeSonar: detección de errores críticos y vulnerabilidades a nivel profundo. 

Estas herramientas permiten automatizar y estandarizar los análisis, cumpliendo la exigencia de repetibilidad y documentación. 

El análisis estático no solo detecta errores: es la prueba de que tu software está estructurado para salvar vidas. Para el software médico a partir de clase B, es la primera defensa contra fallos ocultos y la base sobre la que se construyen todas las demás pruebas. Sin él, la trazabilidad, la mantenibilidad y, sobre todo, la seguridad, quedarían comprometidas. 

Invertir en un SAST sólido significa ahorrar tiempo, evitar riesgos y mejorar la calidad global del dispositivo. 

SQS: tu aliado en cumplimiento y validación  

En SQS acompañamos a fabricantes y desarrolladores de tecnología sanitaria durante todo el ciclo de vida del software y del dispositivo. Ayudamos a implementar procesos de verificación y validación conformes a IEC 62304, integrando análisis estático, validación de software y hardware, usabilidad, análisis de riesgo, verificación de rendimiento clínico y revisión completa de la documentación técnica. 

Sector Dispositivos Médicos 

Share this...

Facebook

Pinterest

Twitter

Linkedin

La entrada Rayos X del Código: Cómo el Análisis Estático Garantiza la Seguridad del Software Médico se publicó primero en SQS.

Sin embargo, lo importante no es el lugar donde se realiza la prueba, sino su finalidad: 

Un POCT/NPT solo queda regulado como dispositivo de diagnóstico in vitro si contribuye directamente a una decisión clínica. 

✔️ Sí aplica el IVDR cuando: 

• La prueba genera un resultado utilizado para diagnóstico. 
• Sustituye o complementa un análisis clínico de laboratorio. 
• El dispositivo (o su software) procesa, interpreta o calcula parámetros clínicos. 

Ejemplos: tests rápidos de enfermedades infecciosas, glucómetros, analizadores portátiles de gases en sangre. 

✖️ No aplica el IVDR cuando: 

• Solo almacena, muestra o transmite datos. 
• Es una herramienta de soporte sin función diagnóstica directa. 

Qué implica el IVDR para los POCT 

El IVDR eleva significativamente los requisitos para garantizar que un POCT funciona de forma fiable incluso fuera de los entornos controlados: 

• Muchos POCT pasan de autocertificación a evaluación por organismo notificado. 
• Mayor necesidad de evidencia clínica real, no solo de laboratorio. 
• Importancia de la usabilidad (ISO 62366) por el entorno y el tipo de usuario. 
• El software asociado se considera IVD software (IEC 62304 + ciberseguridad). 
• Enfoque basado en riesgo y contexto de uso. 

Marco regulatorio en España: Real Decreto 192/2023 

En el caso de España, el marco europeo del IVDR se complementa con el Real Decreto 192/2023, que adapta la normativa nacional y establece cómo deben supervisarse, gestionarse y ponerse en el mercado los productos sanitarios de diagnóstico in vitro en territorio español. Este real decreto concreta obligaciones para fabricantes, distribuidores y centros sanitarios, y aporta el contexto regulatorio local que completa la aplicación práctica del IVDR.  Normativa IVD en España: Real Decreto 942/2025 – SQS 

El caso del software en POCT/NPT 

Si interpreta, analiza o aporta información diagnóstica, su regulación se rige por el IVDR.  Si solo presenta o transmite datos, no se considera un dispositivo de diagnóstico in vitro queda fuera. Cuando aplica, debe cumplir IEC 62304, requisitos de ciberseguridad y validación completa del rendimiento.

SQS: tu aliado en cumplimiento y validación  

Desde SQS apoyamos a los fabricantes y desarrolladores de POCT/NPT en todo el proceso de cumplimiento del IVDR y del RD 192/2023. Realizamos validación de software y hardware, evaluaciones de usabilidad, análisis de riesgo, verificación de rendimiento clínico y revisión de la documentación técnica, asegurando que el dispositivo funciona correctamente en el entorno real y cumple con los requisitos regulatorios vigentes. 

Sector Dispositivos Médicos 

Share this...

Facebook

Pinterest

Twitter

Linkedin

La entrada POCT y regulación IVDR: qué aplica realmente a nivel europeo y nacional se publicó primero en SQS.

Los productos sanitarios para diagnóstico in vitro (IVD) desempeñan un papel esencial en el diagnóstico, prevención y seguimiento de enfermedades. Hasta ahora, su regulación a nivel España estaba basada en el Real Decreto 1662/2000, pero los avances tecnológicos y el nuevo marco europeo hacían necesaria una actualización profunda. 

Con la publicación del Real Decreto 942/2025, España adapta su legislación al Reglamento (UE) 2017/746, estableciendo un entorno más seguro, transparente y alineado con los estándares de la Unión Europea. 

Objetivo y marco legal 

El nuevo Real Decreto regula los productos sanitarios para diagnóstico in vitro de uso humano y sus accesorios en el ámbito nacional, concretando las disposiciones que el Reglamento europeo deja a los Estados miembros. 

Con su entrada en vigor, deroga el anterior RD 1662/2000, salvo las excepciones previstas en sus disposiciones transitorias. 

Autoridad competente 

La AEMPS (Agencia Española de Medicamentos y Productos Sanitarios) se designa como autoridad competente en España para todas las funciones esenciales del reglamento IVD: clasificación, control, vigilancia del mercado y registro de productos. 

Principales novedades del Real Decreto 942/2025 

El texto introduce mejoras sustanciales que refuerzan la seguridad del paciente y la trazabilidad de los productos. Entre las más relevantes destacan: 

• Regulación detallada de la fabricación “in house” en centros sanitarios: obliga a notificar, justificar y garantizar estándares mínimos de calidad. 

• Inclusión de las pruebas genéticas dentro del ámbito IVD, con requisitos de consentimiento informado y asesoramiento genético. 

• Mayor control del mercado, con obligaciones reforzadas de vigilancia post-comercialización, notificación de incidentes graves y trazabilidad. 

• Nuevos requisitos para los estudios de funcionamiento, con procedimientos más rigurosos. 

• Eliminación de la receta médica para productos de autodiagnóstico, aunque su venta seguirá limitada a oficinas de farmacia o a sus webs oficiales. 

• Mecanismos transitorios de registro hasta que la base de datos europea EUDAMED esté completamente operativa.Los productos y estudios en curso bajo la normativa anterior podrán mantenerse, con excepciones específicas, hasta su finalización. 

Aun así, los fabricantes y operadores deberán adaptar sus procesos y documentación al nuevo marco regulatorio lo antes posible para garantizar la continuidad de sus actividades. 

Impacto y retos para el sector 

Para las industrias y fabricantes, supondrá una necesidad de revisar certificaciones, sistemas de gestión de calidad y procedimientos de vigilancia. Aunque las exigencias aumentan, también se refuerza la confianza en el mercado y se abren nuevas oportunidades de innovación. 

En los laboratorios y centros sanitarios será esencial implantar auditorías internas, formación y controles documentales rigurosos, especialmente para la fabricación interna y las pruebas genéticas. 

Los profesionales sanitarios y técnicos necesitarán conocer las nuevas obligaciones en materia de notificación de incidentes, trazabilidad y cumplimiento regulatorio. 

Todo esto aumentará la seguridad y transparencia con los pacientes y usuarios. Las pruebas genéticas estarán más controladas y los productos de autodiagnóstico serán más accesibles y fiables. 

Conclusión y recomendaciones 

La publicación del Real Decreto 942/2025 supone un salto adelante hacia una regulación moderna y exigente de los productos sanitarios para diagnóstico in vitro en España. 

Este cambio refuerza la seguridad del paciente, promueve la innovación y alinea el mercado nacional con los estándares europeos. 

Recomendaciones para empresas y entidades del sector: 

• Realizar un análisis de brechas de cumplimiento frente al nuevo Real Decreto. 

• Capacitar al personal técnico y regulatorio en los nuevos requisitos. 

• Revisar los procesos de fabricación “in house” y preparar la documentación necesaria. 

• Seguir de cerca las guías y comunicados de la AEMPS sobre la aplicación práctica. 

• Mantener comunicación con autoridades y asociaciones sectoriales para una transición fluida. 

SQS: tu aliado en cumplimiento y validación 

En SQS ayudamos a las empresas del sector sanitario y biotecnológico a cumplir con la normativa vigente y adaptarse a los cambios regulatorios. 

Nuestro equipo está especializado en la validación de software, cualificación de sistemas y aseguramiento de la calidad en entornos regulados, garantizando conformidad con el Reglamento (UE) 2017/746 y el Real Decreto 942/2025. 

Gracias a nuestra experiencia, podemos acompañarte en todo el proceso de transición: desde la evaluación inicial hasta la implantación de las medidas necesarias para cumplir con los requisitos técnicos y regulatorios más recientes. 

Sector Dispositivos Médicos

Share this...

Facebook

Pinterest

Twitter

Linkedin

La entrada Normativa IVD en España: Real Decreto 942/2025 se publicó primero en SQS.

En SQS aportamos más de 20 años de experiencia en consultoría de calidad de software y testing en entornos regulados, especialmente en el ámbito de los dispositivos médicos y la salud digital. Nuestros servicios abarcan: 

• Verificación y validación de software médico según MDR, IVDR y FDA. 

• Marcado CE especializado en productos sanitarios software. 

• Servicios de ciberseguridad: Pruebas de pentesting así como  implementación del ciclo de vida de software ciberseguro en aplicaciones médicas. 

• Validación de Sistemas Informáticos: para cumplir con ISO13485 y normativas GxP 

• Implementación Sistemas Gestión de Calidad y Seguridad: ISO13485, IEC62304, IEC81001-5-1, ENS, ISO27001 

• Participar en MEDICA refuerza nuestro compromiso de garantizar la seguridad, la calidad y la conformidad regulatoria del software sanitario, además de mostrar la innovación española en un escaparate global con más de 80.000 profesionales del sector. 

Invitamos a todos los asistentes a visitar el Pabellón Español en MEDICA 2025 para conocer cómo SQS puede ayudar a asegurar la fiabilidad del software en dispositivos médicos y soluciones de salud digital. 

Share this...

Facebook

Pinterest

Twitter

Linkedin

La entrada SQS y FENIN juntos en MEDICA 2025: innovación y calidad en software para dispositivos médicos se publicó primero en SQS.

Gracias a Q-Health, las compañías desarrolladoras pueden comprobar que sus apps móviles de salud cumplen con los requisitos técnicos y de usabilidad necesarios para una correcta implantación en el mercado. Este servicio especializado contribuye a reducir riesgos, aumentar la fiabilidad y acelerar la adopción de soluciones digitales en el sector sanitario. 

Más información sobre Q-Health en la sección de Servicios de SQS. 

Share this...

Facebook

Pinterest

Twitter

Linkedin

La entrada Q-Health: la solución de SQS para validar apps móviles de salud se publicó primero en SQS.