Die 21 CFR Part 11 requirements gelten, wenn durch FDA-regulierte Predicate Rules geforderte Aufzeichnungen elektronisch erstellt, geändert, geführt, archiviert, abgerufen oder übermittelt werden und wenn elektronische Signaturen als Entsprechung handschriftlicher Unterschriften verwendet werden. Die erste Aufgabe besteht daher nicht darin, ein Compliance-Feature zu kaufen oder sämtliche Kontrollen undifferenziert anzuwenden. Zunächst müssen die Grundlage der Aufzeichnung in der Predicate Rule, die elektronische Nutzung der Aufzeichnung durch das Unternehmen und die Verwendung elektronischer Signaturen bestimmt werden. Part 11 bleibt eine FDA-Verordnung. Die FDA-Guidance zu Scope and Application beschreibt eine enge Auslegung des Anwendungsbereichs und kündigt für bestimmte Kontrollen Enforcement Discretion an; sie hebt Part 11 nicht auf und beseitigt auch keine Pflichten aus Predicate Rules.
Mit der Anwendbarkeit beginnen: Aufzeichnung, Reliance und Signatur
Part 11 ist eine kodifizierte FDA-Verordnung für elektronische Aufzeichnungen und elektronische Signaturen. Sie ergänzt die anwendbaren FDA-„Predicate Rules“, also die zugrunde liegenden Anforderungen, nach denen Aufzeichnungen erstellt, aufbewahrt, eingereicht oder unterschrieben werden müssen. Eine belastbare Scope-Entscheidung beginnt beim regulierten Geschäftsprozess, nicht beim Technologieetikett. Eine Cloud-Anwendung, Tabellenkalkulation, ein Gerät oder ein papierbasierter Prozess ist nicht allein aufgrund seines Formats automatisch im oder außerhalb des Geltungsbereichs.
Praktischer Entscheidungsbaum für den Scope
- Predicate Requirement identifizieren. Handelt es sich bei den Informationen um eine Aufzeichnung, die eine anwendbare FDA-Vorschrift verlangt, beispielsweise eine GMP-, Labor-, klinische oder andere FDA-regulierte Anforderung?
- Elektronischen Lebenszyklus abbilden. Wird diese erforderliche Aufzeichnung elektronisch erstellt, geändert, geführt, archiviert, abgerufen oder übermittelt? Bestimmen Sie die maßgebliche Aufzeichnung, nicht lediglich jede temporäre Arbeitskopie.
- Reliance feststellen. Wird die elektronische Aufzeichnung anstelle von Papier geführt, muss sie elektronisch vorliegen oder wird auf sie vertraut, um eine regulierte Tätigkeit auszuführen? Dokumentieren Sie die Begründung anhand der FDA-Guidance zu Scope and Application.
- Signaturen getrennt bewerten. Soll eine elektronische Signatur das rechtlich verbindliche Äquivalent einer handschriftlichen Unterschrift sein? Falls ja, sind die Vorschriften zu elektronischen Signaturen unmittelbar relevant.
- Systemgrenze definieren. Berücksichtigen Sie Schnittstellen, Gerätedaten, Metadaten, Berichte, Archivierungsregelungen, Identitätsmanagement und alle manuellen Schritte, die zum Erhalt der regulierten Aufzeichnung erforderlich sind.
- Ergebnis festhalten. Genehmigen Sie eine Scope-Bewertung mit Predicate Rule, Record Set, System of Record, Signaturverwendung, anwendbaren Kontrollen und einer etwaigen Begründung zur FDA-Enforcement Discretion.
Die FDA-Guidance erklärt, dass die FDA für Validierung, Audit Trails, Aufbewahrung und Kopieren von Aufzeichnungen in bestimmten Part-11-Vorschriften Enforcement Discretion auszuüben beabsichtigt, während die Einhaltung der Predicate Rules weiterhin erwartet wird. Dies ist eine in nicht bindender Guidance formulierte Vollzugspolitik, keine Ausnahme von der Pflicht, Aufzeichnungen zu schützen, sie für die erforderliche Dauer aufzubewahren oder sie für Inspektionen verfügbar zu machen. Unternehmen sollten „Discretion“ nicht als Beleg dafür ansehen, dass Kontrollen entbehrlich sind.
Zentrale Anforderungen von 21 CFR Part 11 an elektronische Aufzeichnungen
Für Systeme im Geltungsbereich unterscheidet Part 11 zwischen Closed Systems, bei denen der Zugang zum System von den für den Inhalt elektronischer Aufzeichnungen verantwortlichen Personen kontrolliert wird, und Open Systems, bei denen der Zugang nicht von den für den Aufzeichnungsinhalt Verantwortlichen kontrolliert wird. Closed Systems werden vor allem in 21 CFR 11.10 behandelt; für Open Systems verlangt 11.30 zusätzliche, angemessene Maßnahmen zur Sicherstellung von Authentizität, Integrität und gegebenenfalls Vertraulichkeit der Aufzeichnungen.
| Kontrollbereich | Part-11-Fokus | Auditfähige Nachweise |
|---|---|---|
| Validierung und Intended Use | Systeme sollen validiert sein, um Genauigkeit, Zuverlässigkeit, konsistente Leistung im vorgesehenen Einsatz und die Erkennung ungültiger oder veränderter Aufzeichnungen sicherzustellen. | Genehmigte Intended-Use-Erklärung, risikobasierte Lifecycle-Unterlagen, Tests, Abweichungen sowie Freigabe- und Änderungsnachweise. |
| Schutz und Aufbewahrung | Aufzeichnungen müssen geschützt werden, damit sie während der erforderlichen Aufbewahrungsfrist genau und zeitnah abrufbar sind. | Aufbewahrungsplan, Archivkonzept, Retrieval-Test, Backup-/Restore-Nachweise und lesbares Aufzeichnungsformat. |
| Audit Trails | Sichere, computergenerierte und zeitgestempelte Audit Trails sollen Bedienerhandlungen, durch die elektronische Aufzeichnungen erstellt, geändert oder gelöscht werden, unabhängig dokumentieren. | Konfigurationsspezifikation, beispielhafte Audit-Trail-Reviews, Review-Verfahren und Nachweise, dass Änderungen frühere Informationen nicht verdecken. |
| Zugriff und Berechtigung | Der Zugriff ist auf autorisierte Personen zu begrenzen; Authority Checks müssen sicherstellen, dass nur befugte Personen relevante Vorgänge ausführen. | Rollenmatrix, Joiner-/Mover-/Leaver-Nachweise, periodische Zugriffsüberprüfung und Begründung der Funktionstrennung. |
| Operational Checks | Checks sollen, soweit anwendbar, die zulässige Abfolge von Prozessschritten und Ereignissen durchsetzen. | Workflow-Konfiguration, Ausnahmebehandlung und Testnachweise für kritische Prozesssequenzen. |
| Kopien für die FDA | Aufzeichnungen sollen für FDA-Review und -Kopieren in menschenlesbarer und elektronischer Form verfügbar sein. | Verfahren für Inspektionsexporte, repräsentativer Exporttest sowie Erläuterung zugehöriger Metadaten und Audit Trails. |
| Schutz von Open Systems | Zusätzliche Maßnahmen sind, soweit angemessen, zur Sicherstellung von Authentizität, Integrität und Vertraulichkeit erforderlich. | Dokumentierte Bedrohungsbewertung und an der Systemgrenze ausgerichtete Schutzmaßnahmen. |
Part 11 behandelt außerdem Verfahren und Kontrollen wie Device Checks, Personalqualifikation, schriftliche Richtlinien zur persönlichen Verantwortlichkeit für unter elektronischen Signaturen eingeleitete Handlungen sowie Kontrollen der Systemdokumentation. Die Implementierung sollte zum Intended Use und Risiko verhältnismäßig sein, muss jedoch den Beweiswert der regulierten Aufzeichnung bewahren.
Elektronische Signaturen sind mehr als ein Login
Elektronische Signaturen müssen mit den jeweiligen elektronischen Aufzeichnungen verknüpft sein, sodass sie nicht mit gewöhnlichen Mitteln herausgelöst, kopiert oder anderweitig übertragen werden können, um eine Aufzeichnung zu fälschen. Signierte Aufzeichnungen müssen den gedruckten Namen des Unterzeichners, Datum und Uhrzeit der Signatur sowie die mit der Signatur verbundene Bedeutung anzeigen, etwa Review, Genehmigung, Verantwortung oder Urheberschaft. Die Signaturkontrollen in Part 11 behandeln zudem Eindeutigkeit, Identitätsprüfung, Nichtwiederverwendung sowie – je nachdem, ob nicht-biometrische oder biometrische Signaturen eingesetzt werden – die jeweiligen Anforderungen an Ausführung und Kontrolle.
Ein Benutzerkonto authentifiziert den Zugang; es belegt nicht automatisch, dass eine konfigurierte Aktion die Signaturanforderung der Predicate Rule erfüllt. Definieren Sie, welche Aktionen eine Signatur erfordern, welche Bedeutung diese hat, welche Berechtigung der Unterzeichner benötigt und welche Aufzeichnungsdarstellung einem Reviewer zur Verfügung steht.
Hybride Prozesse: den Irrtum „Papierausdruck“ vermeiden
Ein hybrider Prozess kombiniert Papier- und elektronische Elemente. Er benötigt eine eindeutige Festlegung der offiziellen Aufzeichnung und eine kontrollierte Beziehung zwischen Rohdaten, abgeleiteten Daten, Ausdrucken, Review-Nachweisen und Archiv. Das Ausdrucken eines Geräteergebnisses macht dynamische elektronische Daten, Metadaten oder den Audit Trail nicht automatisch irrelevant, wenn diese Elemente zur Rekonstruktion des Geschehens benötigt werden.
- Geräteergebnis für die Batch-Review ausgedruckt: Bestimmen Sie, ob die elektronischen Rohdaten und der zugehörige Audit Trail weiterhin den maßgeblichen Nachweis für das Ergebnis und Änderungen darstellen.
- Papierformular in eine Anwendung übertragen: Definieren Sie die Quellaufzeichnung, die erforderliche Prüfung der Übertragung, die Korrekturbehandlung und die Aufbewahrung der Quelle.
- Elektronische Genehmigung mit anschließendem Papierausdruck: Bewahren Sie die signierte elektronische Aufzeichnung einschließlich Signaturdarstellung und Verknüpfung auf, statt sich allein auf einen unsignierten oder statischen Ausdruck zu stützen.
Die GuideGxP-Empfehlung für die Umsetzung lautet, die Scope-Entscheidung und die Aufzeichnungsflusskarte vor der Workflow-Konfiguration der Qualitätsgovernance zu unterstellen. Hinweise zu Lieferanten, Shared Responsibility und Lifecycle-Aspekten gehosteter Plattformen finden Sie in der GuideGxP-Roadmap zur SaaS- und Cloud-GxP-Validierung.
Part 11 und EU GMP Annex 11: Kontrollen abstimmen, ohne sie gleichzusetzen
Part 11 und Annex 11 behandeln beide kontrollierte elektronische Informationen in regulierten Umgebungen, stammen jedoch aus unterschiedlichen Rahmenwerken und dürfen nicht als austauschbar dargestellt werden. Part 11 ist eine FDA-Verordnung mit definierten Vorschriften für elektronische Aufzeichnungen und elektronische Signaturen. EU GMP Annex 11 ist in EudraLex Volume 4 veröffentlicht und behandelt computergestützte Systeme im EU-GMP-Umfeld. Er ist im anwendbaren EU-GMP-Rechts- und Inspektionskontext zu bewerten und ersetzt keine Part-11-Bewertung.
| Thema | 21 CFR Part 11 | EU GMP Annex 11 | Praktischer Ansatz |
|---|---|---|---|
| Regulatorischer Fokus | Elektronische Aufzeichnungen und elektronische Signaturen unter FDA-regulierten Predicate Rules. | Computergestützte Systeme, die für EU-GMP-Tätigkeiten eingesetzt werden. | Anwendbarkeitsbewertungen je Rechtsraum und Prozess führen. |
| Systemkontrollen | Behandelt Validierung, Zugriff, Berechtigung, Operational Checks, Audit Trails, Aufzeichnungsschutz und Kopien. | Behandelt Lifecycle Management und Kontrollen für GMP-Computersysteme. | Einen kontrollierten Nachweissatz erstellen und diesen den jeweils anwendbaren Rahmenwerken zuordnen. |
| Signaturen | Enthält spezifische Vorschriften zu elektronischen Signaturen und zur Verknüpfung von Signatur und Aufzeichnung. | Signatur- und Genehmigungserwartungen im Kontext des EU-GMP-Prozesses bewerten. | Bedeutung, Identität, Befugnis und Prüfbarkeit für jede regulierte Genehmigung spezifizieren. |
| Laufende Konsultation | Die FDA-Guidance zu Scope and Application bleibt Guidance, nicht Verordnung. | Die Konsultation der Kommission aus 2025 zu Chapter 4, Annex 11 und Annex 22 ist Konsultationsmaterial. | Konsultationstexte nicht wie bereits endgültige Anforderungen umsetzen; finale Veröffentlichungen beobachten und bewerten. |
Checkliste für die Inspektionsbereitschaft
- Sind alle anwendbaren Predicate Rules sowie erforderliche Aufzeichnungen, Aufbewahrungsfristen und Signaturpflichten identifiziert?
- Liegt für jeden regulierten Prozess und jede Systemgrenze eine genehmigte Part-11-Anwendbarkeitsentscheidung vor?
- Sind maßgebliche Aufzeichnung, Rohdaten, Metadaten, Audit Trail und menschenlesbare Ausgabe bestimmt?
- Sind Intended Use und risikogerechte Lifecycle-Nachweise einschließlich Systemänderungen dokumentiert?
- Sind eindeutige Konten, Zugriffsautorisierung, Authority Checks und periodische Zugriffsreviews nachweisbar?
- Sind erforderliche Audit Trails aktiviert, sicher, aufbewahrt und gemäß genehmigtem Verfahren überprüft?
- Können vollständige, verständliche Aufzeichnungen und geeignete elektronische Kopien während der Aufbewahrungsfrist abgerufen werden?
- Sind elektronische Signaturen eindeutig zuordenbar, mit Bedeutung konfiguriert und mit ihren Aufzeichnungen verknüpft?
- Sind hybride Übergaben, Übertragungsprüfungen und Korrekturen kontrolliert?
- Sind für Open-System-Elemente zusätzliche Schutzmaßnahmen begründet und nachgewiesen?
- Können Systemverantwortliche Lieferantenpflichten, Incident Handling, Backup, Wiederherstellung und Archivabruf erläutern?
Häufig gestellte Fragen
Hat die FDA 21 CFR Part 11 aufgehoben?
Nein. Part 11 bleibt im eCFR bestehen. Die FDA-Guidance zu Scope and Application erläutert ihre Auslegung des Geltungsbereichs und Enforcement Discretion für bestimmte Vorschriften; sie beseitigt nicht die Pflicht zur Einhaltung anwendbarer Predicate Rules.
Benötigt jedes elektronische GMP-System Part-11-Kontrollen?
Nein. Allein daraus, dass ein System elektronisch oder GMP-relevant ist, folgt keine automatische Schlussfolgerung. Bewerten Sie die Predicate-Rule-Aufzeichnung, die elektronische Reliance und die Nutzung elektronischer Signaturen. Dokumentieren Sie die Entscheidung und überprüfen Sie sie bei Änderungen des Intended Use erneut.
Ist Annex 11 die europäische Version von Part 11?
Nein. Beide weisen wichtige Überschneidungen bei Kontrollthemen auf, gehören jedoch unterschiedlichen regulatorischen Rahmenwerken an, haben unterschiedliche Strukturen und müssen getrennt bewertet werden.
Primärquellen
- eCFR: Title 21, Part 11, Electronic Records; Electronic Signatures
- FDA: Part 11 Electronic Records; Electronic Signatures — Scope and Application
- Europäische Kommission: EudraLex Volume 4, einschließlich Annex 11
- Europäische Kommission: Konsultation 2025 zu Chapter 4, Annex 11 und Annex 22
Pragmatisch bleiben mit The Pragmatic GMP
Abonnieren Sie The Pragmatic GMP fur quellenbasierte GMP-Analysen, praktische Checklisten und regulatorische Updates.
