Der Annex 11 Draft 2025 ist der Revisionsentwurf des EU-GMP-Annex 11 "Computerised Systems", veröffentlicht am 7. Juli 2025 von der Europäischen Kommission gemeinsam mit PIC/S und bis zum 7. Oktober 2025 zur öffentlichen Konsultation freigegeben. Es ist die erste vollständige Überarbeitung seit 2011: Das Dokument wächst von rund 5 auf 19 Seiten und definiert die Erwartungen der Inspektoren an Validierung, Audit-Trails, Sicherheit und Cloud-Services neu. Für alle, die in QA, CSV oder IT Quality arbeiten, ist die Botschaft klar: Computergestützte GxP-Systeme werden nicht mehr nur an der Erstvalidierung gemessen, sondern über den gesamten Lebenszyklus – mit deutlich mehr Gewicht auf Datenintegrität und Zugriffskontrolle.
Annex 11 Draft 2025: Was veröffentlicht wurde – und warum
Die Revision kommt nicht allein. Am 7. Juli 2025 gingen drei Dokumente aus EudraLex Volume 4, erarbeitet von der Inspectors' Working Group der EMA gemeinsam mit PIC/S, in die gemeinsame Konsultation:
- die Revision von Kapitel 4 – Dokumentation, das die Grundsätze der Datenintegrität (Rohdaten, Metadaten, hybride Systeme) formell verankert;
- die Revision von Annex 11 – Computergestützte Systeme, Gegenstand dieses Artikels;
- der neue Annex 22 – Künstliche Intelligenz, der den Einsatz von KI/ML-Modellen im GMP-Umfeld regelt.
Die Logik liegt auf der Hand: Der aktuelle Annex 11 stammt aus dem Jahr 2011 – einer Zeit, in der Cloud, SaaS, mobile Apps und Machine Learning in pharmazeutischen Prozessen kaum eine Rolle spielten. Der Entwurf bringt den regulatorischen Rahmen auf den Stand von Technologien, die heute allgegenwärtig sind, vom Cloud-LIMS bis zum MES mit ERP-Anbindung.
Die neue Struktur: 17 Kapitel plus Glossar
Der Entwurf verabschiedet sich von der knappen Liste mit 17 Klauseln aus 2011 und setzt auf eine thematische Kapitelstruktur: Geltungsbereich, Grundsätze, pharmazeutisches Qualitätssystem, Risikomanagement, Personal und Schulung, Systemanforderungen, Lieferanten- und Dienstleistermanagement, Alarme, Qualifizierung und Validierung, Datenhandling, Identity- und Access-Management, Audit-Trails, elektronische Signaturen, periodische Überprüfung, Sicherheit, Backup und Archivierung – plus ein abschließendes Glossar. Die Textanalyse zeigt eine klare Schwerpunktverschiebung: Während im geltenden Annex 11 die Validierung das mit Abstand umfangreichste Thema ist, sind die gewichtigsten Kapitel des Entwurfs Sicherheit, Identity- und Access-Management, Qualifizierung und Validierung, Audit-Trails und Lieferantenmanagement.
Themen wie dieses entwickeln sich zwischen Entwürfen, Konsultationen und finalen Fassungen von Monat zu Monat weiter. Wenn Sie jede Woche ein praxisnahes, schnörkelloses Update zu GMP und Datenintegrität erhalten möchten, abonnieren Sie The Pragmatic GMP, unseren kostenlosen Newsletter – der einfachste Weg, auf die finale Fassung des Annex 11 vorbereitet zu sein.
Was sich gegenüber dem Annex 11 von 2011 wirklich ändert
Die Tabelle fasst die operativ wichtigsten Unterschiede zusammen:
| Bereich | Annex 11 (2011) | Draft 2025 |
|---|---|---|
| Geltungsbereich | Computergestützte Systeme in GMP-Tätigkeiten | Ausdrücklich erweitert auf Cloud, SaaS, mobile Apps, industrielles IoT und Systeme mit indirektem Einfluss auf Qualität und Datenintegrität |
| Audit-Trails | Gefordert für Änderungen und Löschungen GMP-relevanter Daten | Sichere, zeitgestempelte, manipulationssichere Audit-Trails mit Nutzerzuordnung; strukturierte, risikobasierte Review |
| Zugriffe | Allgemeine Zugriffskontrollen | Eigenes Kapitel zum Identity- und Access-Management: eindeutige Zugangsdaten, Rollen, Funktionstrennung |
| Lieferanten und Cloud | Risikobasierte Lieferantenaudits | Formelles Dienstleistermanagement: GMP-Verantwortung ist nicht auslagerbar – auch nicht an Cloud- oder KI-Anbieter |
| Elektronische Signaturen | Gleichwertigkeit mit der Handunterschrift | Zwei-Faktor-Authentifizierung oder Biometrie empfohlen |
| Künstliche Intelligenz | Nicht behandelt | Verweis auf den neuen Annex 22, beschränkt auf statische, deterministische Modelle |
Ein Punkt verdient besondere Aufmerksamkeit: das Lieferantenkapitel. Angesichts der massiven Migration auf SaaS-Plattformen stellt der Entwurf klar, dass Lieferantenqualifizierung, technische Vereinbarungen und laufende Überwachung integraler Bestandteil der System-Compliance sind – und dass das pharmazeutische Unternehmen gegenüber dem Inspektor allein verantwortlich bleibt.
Annex 22: KI hält (vorsichtig) Einzug in die GMP
Der neue Annex 22 regelt in nur 11 Abschnitten den Einsatz von KI-Modellen im GMP-Umfeld und beschränkt sich auf statische, deterministische Modelle: dokumentierter Verwendungszweck, messbare Akzeptanzkriterien, Unabhängigkeit der Testdaten und Erklärbarkeit der Ergebnisse. Generative und dynamisch lernende Modelle bleiben für kritische Anwendungen außen vor. Für die meisten Produktionsstandorte ist der unmittelbare Effekt begrenzt, aber die Richtung steht fest: Wer KI in GxP-Prozesse einführt, muss sie mit derselben dokumentarischen Strenge behandeln wie jedes andere computergestützte System.
Zeitplan: Wo stehen wir?
Die Konsultation endete am 7. Oktober 2025; die finalen Fassungen von Annex 11, Annex 22 und Kapitel 4 werden ab Mitte 2026 erwartet, das Inkrafttreten wird in den endgültigen Texten festgelegt. Zum Zeitpunkt der Erstellung dieses Artikels ist die finale Version noch nicht veröffentlicht: Maßgeblich bleibt der Annex 11 von 2011, doch der Entwurf ist schon heute die konkreteste Orientierung dafür, wohin sich Inspektionen entwickeln. Mehrere Behörden beanstanden bereits jetzt Mängel bei Audit-Trail-Review und Zugriffsmanagement auf Basis der bestehenden Datenintegritäts-Grundsätze.
GuideGxP-Empfehlung
Warten Sie nicht auf den finalen Text: Die Anforderungen des Entwurfs sind stabil genug, um jetzt eine Gap-Analyse zu rechtfertigen. Konkret:
- Aktualisieren Sie das Inventar der computergestützten GxP-Systeme inklusive Cloud-Services, mobiler Apps und Schnittstellen – mit Kritikalitätsbewertung.
- Führen Sie eine Kapitel-für-Kapitel-Gap-Analyse des Entwurfs durch, mit Priorität auf Audit-Trails, Identity- und Access-Management und Sicherheit.
- Überprüfen Sie Verträge und Qualifizierung der SaaS-/Cloud-Anbieter: Rollen, Verantwortlichkeiten und Datenzugriff müssen definiert und im Audit verteidigbar sein.
- Formalisieren (oder stärken) Sie die risikobasierte Audit-Trail-Review – mit Frequenzen und Verantwortlichkeiten in einer SOP.
- Verankern Sie die Nachweise im PQS: Change Control, periodische Systemüberprüfung und Datenintegritäts-KPIs im Management Review.
Wenn Sie einen bereits strukturierten Fahrplan suchen, um Validierung und Systemlebenszyklus audit-ready aufzusetzen, deckt unsere Operative Anleitung zur Computer System Validation (CSV) im GxP-Umfeld genau das ab: Inventar, Risikobewertung, Validierungsprotokolle und Aufrechterhaltung des validierten Zustands – mit sofort einsetzbaren Vorlagen.
