Computersystemvalidierung beschreibt den Prozess, der sicherstellt, dass Software tut, wofür sie entwickelt wurde.
Zusammenfassung:
21 CFR Part 11 regelt den Umgang mit elektronischen Aufzeichnungen und Signaturen in der Prozessindustrie. Der Fokus liegt auf Audit Trails, Datenintegrität und sicheren, validierten Systemen. Es ist wichtig, die Vorgabe und Regeln verlässlich sicherzustellen und jederzeit nachweisen zu können.
Digitale Batch Records, elektronische Freigaben und Laborergebnisse im System sind aus dem Alltag der Prozessindustrie nicht mehr wegzudenken. Doch sobald eine FDA-Inspektion ansteht, rücken diese Prozesse in den Fokus: Sind die elektronischen Aufzeichnungen wirklich sicher? Trotz klarer Vorgaben herrscht bei der Umsetzung von 21 CFR Part 11 oft Unsicherheit. Welche Kontrollen sind essenziell und wie lassen sie sich nahtlos in ERP-, MES- oder LIMS-Landschaften integrieren? In diesem Beitrag schaffen wir Klarheit. Wir zeigen Ihnen praxisnah, wie Sie Audit Trails, Zugriffskontrollen und Datenintegrität nicht nur verstehen, sondern sicher beherrschen – damit Sie jedem Audit gelassen entgegensehen können.
FDA meint die Food and Drug Administration der USA, CFR steht für Code of Federal Regulations. Im Kern geht es bei dieser FDA-Richtlinie um Vertrauen. Sie definiert die Kriterien, unter denen elektronische Aufzeichnungen und Signaturen als genauso zuverlässig und rechtsgültig akzeptiert werden wie ihre Pendants auf Papier. Das Ziel sind validierte Systeme, lückenlose Historien und eindeutige Verantwortlichkeiten.
Die Regeln gelten für alle Branchen, die unter die Aufsicht der FDA fallen. Das betrifft auch europäische Unternehmen, die ihre Waren sowie Dienstleistungen in den USA in Verkehr bringen wollen – sofern sie FDA-relevant sind. Sobald Sie Aufzeichnungen elektronisch führen, die eine papierbasierte Dokumentation ersetzen, oder Daten digital an die Behörde übermitteln, greift Part 11.
Dabei unterscheidet die Richtlinie zwischen geschlossenen Systemen (Closed Systems), bei denen Sie den Zugriff kontrollieren, und offenen Systemen. Wichtig für Sie: Egal ob On-Premise oder Cloud/SaaS – Compliance hängt davon ab, ob Sie die geforderten Kontrollen nachweisbar im Griff haben.
Die Säulen der Compliance: Anforderungen verständlich erklärt
Der Audit Trail ist das Gedächtnis Ihres Systems und das Rückgrat für Manipulationsschutz. Er beantwortet im Audit die entscheidenden Fragen: Wer hat wann was geändert und warum? Ein „spurloses Überschreiben" ist ein Risiko für die Datenintegrität. In der Praxis bedeutet das: Änderungen an kritischen Stammdaten, Rezepturen oder Laborwerten müssen sicher und zeitgestempelt dokumentiert werden. Doch der beste Audit Trail nützt wenig, wenn er ignoriert wird. Etablieren Sie deshalb Review-Prozesse, die Abweichungen sichtbar machen.
Eine Part-11-konforme Signatur ist weit mehr als eine gescannte Unterschrift. Sie ist eine bewusste Bestätigung im System (z. B. für Reviews oder Freigaben), die untrennbar mit dem Datensatz verknüpft ist. Sie muss den Namen der unterzeichnenden Person, Datum, Uhrzeit und die Bedeutung der Signatur enthalten. Technisch wird dies meist über eine Zwei-Faktor-Authentifizierung gelöst. Organisatorisch müssen Sie sicherstellen, dass Identitäten verifiziert sind und Signaturen nicht missbräuchlich verwendet werden können.
Wer darf was? Ein dokumentiertes Berechtigungskonzept ist essenziell. Es trennt kritische Aufgaben (Segregation of Duties) und erzwingt bei Bedarf, etwa bei der Chargenfreigabe, das Vier-Augen-Prinzip. Dazu gehören klare Regeln für Benutzerkonten: sichere Passwörter, Sperrung bei Inaktivität und Deaktivierung beim Ausscheiden von Mitarbeiterinnen und Mitarbeitern.
Ihre Daten müssen über die gesamte Aufbewahrungsfrist geschützt, lesbar und prüfbar bleiben. Das schließt Metadaten wie den Audit Trail ein. Planen Sie revisionssichere Archivierungen und testen Sie regelmäßig Ihre Backup- und Restore-Prozesse.
Validierung muss kein bürokratischer Kraftakt sein. Folgen Sie der Logik von ISPE GAMP 5 und setzen Sie auf „Critical Thinking": Testen Sie dort am intensivsten, wo das Risiko für Datenintegrität, Patientensicherheit oder Produktqualität am höchsten ist. Eine klare Kette von den Anforderungen (URS) über die Risikobewertung bis hin zu den Tests belegt, dass Ihre kritischen Kontrollmechanismen funktionieren. Bei Cloud-Lösungen ergänzen Sie dies durch eine Bewertung Ihrer Anbieter: Welche Verantwortung liegt bei Ihrem Unternehmen, welche beim Provider?
| Anforderung | Bedeutung | Nachweis/Artefakt | Mechanismen/Beispiele |
|---|---|---|---|
| Validierung | System funktioniert zuverlässig im intended use | Validierungsplan, Risikoanalyse, Testprotokolle, Traceability Matrix, Abschlussbericht | IQ/OQ/PQ (wo passend), SDLC-Nachweise, Testreports |
| Audit Trail | Änderungen sind lückenlos nachvollziehbar | Audit-Trail-Reports/Exports, Log-Review-Nachweise | unveränderbare Logs, Zeitstempel, User-ID, Begründungsfelder, 4-Augen-Freigaben |
| Elektronische Signatur | Freigaben/Reviews sind eindeutig & verbindlich | Signatur-/Zertifizierungsdoku, Signaturlisten | ID+PW (2 Komponenten), Signaturdarstellung (Name / Datum / Zeit / Bedeutung), biometrisch möglich |
| Zugriffskontrollen | Nur autorisierte Personen, SoD nachvollziehbar | Rollenmatrix, Berechtigungskonzept, Admin-Regelung | ACLs, SSO, getrennte Admin-Rollen, Freigabeworkflows |
| Passwortmanagement | Credentials bleiben unter Kontrolle | SOPs, Sicherheits-/Review-Nachweise | Aging/Expiry, Deaktivierung, Incident-Prozess, Missbrauchserkennung |
| Aufbewahrung/Archivierung | Records bleiben lesbar & prüfbar | Archivplan, Backup/Restore-Tests, Migrationsprotokolle | revisionssicheres DMS, Medienmigration, standardisierte Exportformate |
| Risikomanagement | Validierungsumfang ist begründet | URS, FMEA/Risikoassessment, GAMP-Assessment | risikobasierte Testtiefe, Abgleich zu Annex 11 |
| SOPs & Schulung | Betrieb ist kontrolliert | Trainingsnachweise, SOP-Freigaben | SOP-System, E-Learning, Rezertifizierung |
Die regulatorische Basis für diese Controls findet sich in Part 11 (z. B. Controls, Validierung, Audit Trails, Zugriff) und wird in der FDA-Guidance praxisnah eingeordnet. (ecfr.gov)
In Inspektionen zählen Fakten. Prüferinnen und Prüfer fragen selten nach theoretischem Wissen, sondern fordern Beweise.
Starten Sie mit einer klaren Bestandsaufnahme: Welche Prozesse fallen unter Part 11? Analysieren Sie die Risiken und schließen Sie die Lücken zwischen technischer Machbarkeit und organisatorischer Regelung.
Im Dschungel der Regularien halten sich einige Irrtümer hartnäckig. Doch was stimmt wirklich und wo lauern die echten Gefahren im Audit? Wir räumen mit den häufigsten Mythen auf und zeigen, worauf es ankommt.
Diesen Satz hören wir oft, doch er ist längst überholt. Entscheidend ist nicht der physische Ort des Servers, sondern die Kontrolle darüber. Verfügen Sie über klare Verantwortlichkeiten? Sind Ihre Nachweise lückenlos? Behörden wie die FDA interessieren sich primär für Datenintegrität und Zugriffskontrolle, nicht für die Postleitzahl Ihres Rechenzentrums. Cloud und Compliance schließen sich also keineswegs aus – wenn das Management stimmt.
Ein gefährlicher Trugschluss. Ein Bild Ihrer Unterschrift ist noch lange keine rechtsgültige elektronische Signatur im Sinne von 21 CFR Part 11. Eine echte, konforme elektronische Signatur erfordert mehr: Sie muss untrennbar mit der Identität der unterzeichnenden Person verknüpft sein und diese Verbindung manipulationssicher darstellen. Ein einfacher Scan bietet diese Sicherheit nicht und fällt im Audit durch.
Oft suchen Unternehmen die Fehler tief in der Technik, doch die Probleme liegen meist in der Organisation – genauer gesagt in der fehlenden Verknüpfung von System, Prozess und Nachweis. Achten Sie besonders auf diese Punkte:
Diese Herausforderungen lösen Sie nicht mit einem Software-Update, sondern indem Sie Systemkontrollen, Ihre Standardarbeitsanweisungen (SOPs) und die Dokumentation sauber aufeinander abstimmen.
Als Microsoft-Partner für die Prozessindustrie verstehen wir bei Yaveon die komplexen Anforderungen, denen Sie im Tagesgeschäft begegnen – insbesondere wenn es um die Umsetzung von Part-11- und Annex-11-Vorgaben im ERP-Umfeld geht. Wir unterstützen Unternehmen dabei, diese Richtlinien nicht nur einzuhalten, sondern sie effizient in ihre Prozesse zu integrieren.
Die folgenden Beispiele verdeutlichen typische Umsetzungslogiken aus unserer Praxis und zeigen, wie wir Compliance greifbar machen.
In diesen Branchen dulden Sicherheit und Qualität keine Kompromisse. Unsere Lösungen sorgen dafür, dass kritische Prozesse wie Chargenfreigaben oder Rezepturänderungen über validierte ERP-Workflows gesteuert werden.
Auch hier sind Datenintegrität und transparente Abläufe entscheidend für den Erfolg.
Die Verordnung greift immer dann, wenn Aufzeichnungen oder Einreichungen, die der FDA-Meldepflicht unterliegen (die sogenannte „Predicate Rule“), elektronisch erstellt, geändert, gespeichert oder übermittelt werden. Der entscheidende Punkt dabei: Der elektronische Datensatz gilt als der maßgebliche Nachweis („Record“).
Für GMP-relevante elektronische Aufzeichnungen in der Regel: Ja. Ein Audit Trail muss sicher, computergeneriert und mit einem Zeitstempel versehen sein, um das Erstellen, Ändern oder Löschen von Daten lückenlos zu dokumentieren. Der genaue Umfang richtet sich nach dem Risiko, doch die Datenintegrität verlangt meist zwingend danach.
Eine elektronische Signatur muss eindeutig einer Person zugeordnet sein, deren Identität verifiziert wurde, und gilt als rechtlich bindend. Sie muss den Namen, das Datum, die Uhrzeit sowie die Bedeutung der Unterschrift (z. B. „Genehmigung“) enthalten und untrennbar mit dem Datensatz verknüpft sein. Bei nicht-biometrischen Verfahren sind meist zwei Faktoren (z. B. ID und Passwort) erforderlich.
Sicherheit steht an erster Stelle: Jede Person benötigt eine einzigartige Kombination aus User-ID und Passwort. Die Ausgabe und Änderung müssen kontrolliert erfolgen. Bei Verdacht auf Missbrauch oder Kompromittierung muss ein sofortiges Sperren oder Zurücksetzen möglich sein. Typische Maßnahmen umfassen zudem Ablaufregeln für Passwörter, automatische Sperren nach Fehlversuchen sowie klar definierte Rollen und Rechte.
Audit Trails müssen mindestens so lange aufbewahrt werden wie der zugehörige Datensatz – dies richtet sich nach den Aufbewahrungsfristen der jeweiligen Predicate Rules. Wichtig ist, dass die Daten während dieser gesamten Zeit lesbar und abrufbar bleiben.
Ja, sofern der offizielle Datensatz (Record) rein papierbasiert geführt wird und dies zulässig ist. Wird der Record jedoch elektronisch geführt, reicht ein Ausdruck mit Unterschrift meist nicht aus, um die Anforderungen von Part 11 zu ersetzen.
Die Validierung ist Pflicht: Das System muss für den vorgesehenen Verwendungszweck geeignet sein („fit for intended use“). Es muss zuverlässig sicherstellen, dass die Datenintegrität – also Zugriffskontrolle, Audit Trail und Signaturen – jederzeit gewahrt bleibt. Der Umfang der Validierung erfolgt dabei risikobasiert.
Der Annex 11 ist breiter gefasst und deckt alle GMP-relevanten Computersysteme ab, einschließlich Lebenszyklus, Risikomanagement, periodischer Überprüfungen, Lieferantenmanagement sowie Backup und Business Continuity. Part 11 hingegen fokussiert sich stärker auf spezifische formale Anforderungen an elektronische Aufzeichnungen und Signaturen.
Dieser Artikel wurde auf Basis aktueller Methodik (GAMP/SDLC) und praktischer Erfahrung erstellt. Unsere Autorinnen und Autoren verfügen über qualifiziertes Fachwissen im regulierten Umfeld. Wir prüfen unsere Inhalte regelmäßig auf Aktualität, um Ihnen verlässliche Informationen zu bieten.
Für die Erstellung dieses Beitrags haben wir uns auf anerkannte Regelwerke und Leitlinien gestützt, darunter:
Dieser Artikel dient der allgemeinen Information und stellt keine Rechtsberatung dar. Trotz sorgfältiger Recherche können sich regulatorische Anforderungen ändern oder je nach Einzelfall variieren. Konkrete Compliance-Fragen sollten Sie daher immer mit einer spezialisierten Rechtsberatung oder den zuständigen Behörden klären.
Alles zur Validierung von Computersystemen – Beitrag öffnen
Computersystemvalidierung beschreibt den Prozess, der sicherstellt, dass Software tut, wofür sie entwickelt wurde.
Audit Trail & elektronische Signaturen – Beitrag öffnen
Wie Sie mit Yaveon 365 Audits & e-Signaturen regeln und pharmazeutische Freigabeprozesse revolutionieren.
Yaveon 365: Compliance-Kit – Beitrag öffnen
Praxisnahe Vorlagen für HLRA, Lieferantenqualifizierung & mehr. Holen Sie sich den Überblick zum Compliance Kit
