Due diligence regolatoria: le scadenze e i registri su cui si misura la data room (MDR art. 120, IVDR art. 110, EUDAMED, art. 16 e 10 bis)

Una due diligence regolatoria legge la data room, ma la misura su qualcos'altro: sulle date e sulle condizioni scritte nel testo normativo e sui registri tenuti fuori dalla data room. Un certificato è un'affermazione su una data, un piano di transizione un'affermazione su un contratto con un organismo notificato, e uno stato CAPA documentato va verificato sulla base delle informazioni ispettive e di conformità disponibili presso le autorità e delle evidenze sottostanti dell'azienda. Questo contributo indica i punti in cui le affermazioni vengono messe alla prova e le date che devono essere documentate.

Art. 120 MDR: quali dispositivi legacy possono ancora essere venduti

L'art. 120, paragrafo 2, secondo comma, MDR proroga i certificati rilasciati ai sensi delle direttive 90/385/CEE e 93/42/CEE a decorrere dal 25 maggio 2017, ancora validi al 26 maggio 2021 e non revocati, oltre la data stampata fino alle date del paragrafo 3 bis: 31 dicembre 2027 per tutti i dispositivi di classe III e per i dispositivi impiantabili di classe IIb, «ad eccezione di materiali per sutura, graffette, materiali per otturazioni dentarie, apparecchi ortodontici, corone dentali, viti, cunei, placche e protesi, fili, chiodi, clip e connettori»; 31 dicembre 2028 per gli altri dispositivi di classe IIb, per la classe IIa e per i dispositivi di classe I sterili o con funzione di misura. Il paragrafo 3 ter concede lo stesso 31 dicembre 2028 ai dispositivi la cui valutazione della conformità ai sensi della direttiva 93/42/CEE non richiedeva un organismo notificato, che con l'MDR ne richiedono uno e la cui dichiarazione di conformità è stata redatta prima del 26 maggio 2021.

Il primo punto di controllo sono le date di rilascio e di scadenza del certificato. Un certificato scaduto prima del 20 marzo 2023 è considerato prorogato solo se prima della scadenza il fabbricante e un organismo notificato «hanno firmato un accordo scritto conformemente all'allegato VII, punto 4.3, secondo comma», oppure se un'autorità ha concesso una deroga ai sensi dell'art. 59, paragrafo 1, o ha imposto al fabbricante, ai sensi dell'art. 97, paragrafo 1, di eseguire la valutazione della conformità. Se manca l'uno e l'altro, quel dispositivo non ha avuto un certificato valido dalla scadenza, qualunque sia lo stato di transizione indicato nella data room.

Il secondo punto di controllo sono le cinque condizioni del paragrafo 3 quater, che devono essere tutte soddisfatte: i dispositivi continuano a essere conformi alla direttiva; «non ci sono cambiamenti significativi nella progettazione e nella destinazione d'uso»; non presentano un rischio inaccettabile; «entro il 26 maggio 2024 il fabbricante ha istituito un sistema di gestione della qualità conformemente all'articolo 10, paragrafo 9»; ed entro il 26 maggio 2024 ha presentato una domanda formale a un organismo notificato, con accordo scritto firmato entro il 26 settembre 2024. Per la due diligence sono tre documenti datati: la prova del sistema qualità, la domanda e l'accordo. Se uno manca o porta una data successiva, il periodo di transizione non copre il dispositivo.

I paragrafi 3 quinquies e 3 sexies descrivono ciò che vale già nel periodo di transizione: sorveglianza post-commercializzazione, sorveglianza del mercato, vigilanza e registrazione secondo l'MDR, che «sostituiscono i corrispondenti requisiti» delle direttive, e la sorveglianza da parte dell'organismo notificato che ha firmato l'accordo, al più tardi dal 26 settembre 2024. Il paragrafo 3 septies concede ai dispositivi impiantabili su misura di classe III il 26 maggio 2026, con le stesse date per domanda e accordo. E il paragrafo 4 consente di continuare a mettere a disposizione i dispositivi immessi legalmente sul mercato: le scorte della società target non perdono valore alla data limite, ma da quella data nuovi lotti non possono più essere immessi sul mercato.

Art. 110 IVDR: la stessa logica con altre date

Per i diagnostici in vitro la disposizione parallela è l'art. 110 IVDR nella versione del regolamento (UE) 2024/1860. I certificati ai sensi della direttiva 98/79/CE rilasciati dal 25 maggio 2017 e validi al 26 maggio 2022 restano validi fino al 31 dicembre 2027; quelli scaduti prima del 9 luglio 2024 solo alle stesse due condizioni dell'MDR (lì art. 54, paragrafo 1, e art. 92, paragrafo 1, IVDR). I dispositivi che con la direttiva non richiedevano un organismo notificato, la cui dichiarazione di conformità è stata redatta prima del 26 maggio 2022 e che con l'IVDR ne richiedono uno per la prima volta possono essere immessi sul mercato ai sensi del paragrafo 3 ter fino al 31 dicembre 2027 (classe D), al 31 dicembre 2028 (classe C) e al 31 dicembre 2029 (classe B e classe A sterile). Il paragrafo 3 quater richiede un sistema qualità ai sensi dell'art. 10, paragrafo 8, entro il 26 maggio 2025 e scagliona domanda e accordo: domanda entro il 26 maggio 2025, il 26 maggio 2026 o il 26 maggio 2027, accordo entro il 26 settembre 2025, il 26 settembre 2026 o il 26 settembre 2027, a seconda della classe. Un portafoglio IVD di classe C senza certificato legacy per il quale al 26 settembre 2026 non esisteva un accordo scritto con un organismo notificato (paragrafo 3 quater, lettera f), punto ii)) è quindi un rilievo datato, non un rischio futuro; per la classe C con certificato legacy il paragrafo 3 bis e il paragrafo 3 quater, lettera e), punto i), e lettera f), punto i), fissavano già il 26 maggio 2025 e il 26 settembre 2025.

EUDAMED: dal 28 maggio 2026 non è più una questione di preparazione

Con la decisione (UE) 2025/2371 del 26 novembre 2025, pubblicata il 27 novembre 2025, la Commissione ha confermato che quattro sistemi elettronici di EUDAMED sono funzionanti e soddisfano le specifiche funzionali: la registrazione degli operatori economici, la banca dati UDI con la registrazione dei dispositivi, il sistema per gli organismi notificati e i certificati e il sistema per la sorveglianza del mercato. Ai sensi dell'art. 123, paragrafo 3, lettera d), MDR i relativi obblighi si applicano sei mesi dopo la pubblicazione; la Commissione indica il 28 maggio 2026. La lettera e) concede ai fabbricanti dodici mesi per le informazioni di cui all'art. 29, cioè fino al 28 novembre 2026, espressamente anche per i dispositivi legacy ai sensi dell'art. 120, paragrafi 3, 3 bis e 3 ter, «a condizione che anche tali dispositivi siano immessi sul mercato a decorrere da sei mesi dopo la data di pubblicazione di tale avviso». Il termine riguarda quindi solo i dispositivi la cui immissione sul mercato prosegue dal 28 maggio 2026; un dispositivo legacy il cui ultimo lotto è stato immesso prima di quella data non vi rientra e può continuare a essere messo a disposizione ai sensi dell'art. 120, paragrafo 4. Vigilanza e indagini cliniche non fanno parte dei quattro sistemi. Per la due diligence significa che la registrazione della società target come operatore e lo stato di registrazione dei suoi dispositivi sono obblighi dal 28 maggio 2026, il cui adempimento si documenta con una data.

Tre registri pubblici per la due diligence regolatoria

L'art. 111, paragrafo 6, della direttiva 2001/83/CE obbliga gli Stati membri a inserire i certificati GMP e GDP «in una banca dati dell'Unione gestita dall'Agenzia per conto dell'Unione» e stabilisce: «La banca dati è accessibile al pubblico.» Il paragrafo 7 aggiunge che vi è registrato anche l'esito di un'ispezione secondo cui un soggetto non rispetta le prescrizioni di legge o i principi e le linee guida delle buone prassi di fabbricazione o di distribuzione. Chi esamina una target farmaceutica legge EudraGMDP prima di aprire la data room e confronta le date dei certificati con i rapporti di ispezione presentati dalla società.

La FDA tiene le proprie Warning Letter in una banca dati pubblica con filtri per ufficio emittente, data di emissione, azienda e oggetto, e per lettere di risposta e di chiusura. Una Warning Letter senza closeout letter richiede una verifica più approfondita dello stato di gestione e dell'efficacia delle azioni correttive adottate. Dalla sola assenza di una closeout letter non si può dedurre che le contestazioni persistano. Per il mercato statunitense dal 2 febbraio 2026 si aggiunge la QMSR: il § 820.10 esige un QMS documentato che soddisfi i requisiti applicabili della ISO 13485, e una società target le cui procedure riproducono ancora la struttura della vecchia QSR deve dimostrare che il suo sistema soddisfa quei requisiti da tale data; le registrazioni anteriori al 2 febbraio 2026 possono conservare i vecchi termini secondo la risposta della stessa FDA.

Il modulo pubblico di EUDAMED «Notified Bodies & Certificates» consente di ricercare informazioni sui certificati MDR e IVDR, compresi il loro stato ed eventuali limitazioni, sospensioni o revoche. La banca dati permette così una verifica indipendente delle informazioni sui certificati presentate nella data room. Per i certificati legacy resta necessaria una verifica separata dei certificati e della loro validità in base alle disposizioni transitorie.

Cosa passa all'acquirente dopo il closing

Tre disposizioni decidono quanto costa l'integrazione sul piano regolatorio. Art. 16, paragrafo 1, lettera a), MDR: chi mette un dispositivo a disposizione «con il proprio nome, la propria denominazione commerciale o il proprio marchio registrato» assume gli obblighi del fabbricante, a meno che un accordo preveda che il fabbricante resti indicato come tale sull'etichetta e responsabile. Una migrazione di marchio dopo il closing è quindi una decisione regolatoria. Per i dispositivi legacy ai sensi dell'art. 120 MDR occorre distinguere tra modifiche amministrative presso il fabbricante legale esistente e il trasferimento della responsabilità del fabbricante a un'altra persona giuridica. Secondo l'MDCG 2020-3 Rev. 1, una modifica della denominazione o della forma giuridica del fabbricante non costituisce in linea di principio un cambiamento significativo della progettazione o della destinazione d'uso. Il trasferimento di un dispositivo a un altro fabbricante legale va invece valutato separatamente, in particolare per quanto riguarda la persistente validità della certificazione esistente e le disposizioni transitorie. Determinate attività di traduzione e riconfezionamento, alle condizioni dell'art. 16, paragrafo 2, non comportano l'assunzione degli obblighi del fabbricante di cui all'art. 16, paragrafo 1, lettera c), ma ai sensi dei paragrafi 3 e 4 richiedono un sistema qualità, una comunicazione al fabbricante e all'autorità «almeno 28 giorni prima» della messa a disposizione e un certificato di un organismo notificato su tale sistema.

Art. 10 bis MDR, inserito dal regolamento (UE) 2024/1860: se un fabbricante prevede, per un dispositivo diverso da un dispositivo su misura, un'interruzione o una cessazione della fornitura che «possa comportare un danno grave o un rischio di danno grave per i pazienti o la salute pubblica», informa l'autorità competente e gli operatori economici, le istituzioni sanitarie e gli operatori sanitari che fornisce direttamente, «salvo in circostanze eccezionali» almeno sei mesi prima dell'interruzione o della cessazione prevista, indicando i motivi. Ai sensi dell'art. 120, paragrafo 13, MDR e dell'art. 110, paragrafo 11, IVDR questo vale anche per i dispositivi legacy nel periodo di transizione. Una razionalizzazione del portafoglio dopo il closing ha quindi un preavviso che deve stare nel piano di integrazione.

Art. 85 e 86 MDR: i fabbricanti di classe IIb e III aggiornano il PSUR «almeno una volta all'anno», quelli di classe IIa «almeno ogni due anni»; per la classe III e i dispositivi impiantabili il rapporto va, ai sensi del paragrafo 2, tramite il sistema elettronico dell'art. 92 all'organismo notificato, che lo esamina e vi registra la propria valutazione. Questa forma di presentazione si applica, ai sensi dell'art. 123, paragrafo 3, lettera d), solo quando il modulo di vigilanza sarà dichiarato funzionante, e la decisione (UE) 2025/2371 non lo comprende. I fabbricanti di classe I tengono il rapporto PMS e lo mettono «a disposizione dell'autorità competente su richiesta». Ai sensi dell'art. 120, paragrafo 3 quinquies, questi obblighi valgono anche per i dispositivi legacy. Un PSUR mancante o in ritardo nella data room non è quindi un vizio di forma, ma una violazione con una data. Fino all'uso obbligatorio del relativo modulo EUDAMED, per i dispositivi di classe III e impiantabili certificati ai sensi del MDR il fabbricante trasmette i PSUR secondo modalità concordate con l'organismo notificato. Per i dispositivi legacy i PSUR vanno tenuti al di fuori di EUDAMED e messi a disposizione delle autorità competenti o degli organismi notificati su richiesta (MDCG 2022-21).

Cosa ne segue per la pratica

Un red flag report riporta sei voci per ogni dispositivo: le date di rilascio e di scadenza del certificato e la loro classificazione ai sensi dell'art. 120, paragrafo 2, o dell'art. 110, paragrafo 2; il percorso ai sensi del paragrafo 3 bis o 3 ter con la relativa data finale; le date di sistema qualità, domanda e accordo scritto rispetto alle scadenze del paragrafo 3 quater; lo stato di registrazione in EUDAMED; il ciclo e la data dell'ultimo PSUR; e i riscontri in EudraGMDP e nella banca dati delle Warning Letter con lo stato della closeout letter. Si aggiunge la questione dell'integrazione: se l'acquirente diventa fabbricante ai sensi dell'art. 16 e quali dispositivi fanno scattare un termine di comunicazione ai sensi dell'art. 10 bis. Ciò che manca non è aperto, è datato, ed è proprio questo a renderlo rilevante per il prezzo. L'assenza della closeout letter, da sola, non prova che un rilievo sia ancora aperto; richiede una verifica più approfondita dello stato.

Entourage verifica stato autorizzativo, stato della transizione, sistema qualità e storico con le autorità prima del signing nella Due Diligence regolatoria e accompagna marchio proprio, rietichettatura e assunzione degli obblighi del fabbricante dopo il closing in M&A & PMI.