Die URS muss den Schutz des Produkts überprüfbar machen
Ein Kühlraum kann leer seinen Sollwert erreichen und dennoch im Betrieb beim Wareneingang, bei der Kommissionierung oder während der Wartung versagen. Beschreibt die User Requirements Specification lediglich Volumen, Nenntemperatur und Wandmaterial, kann der Lieferant den Auftrag vollständig erfüllen, ohne das betriebliche Problem zu lösen. Die URS muss festlegen, welche Produkte bei welchen Tätigkeiten geschützt werden und mit welchen Nachweisen der Standort das System akzeptiert.
[GUIDEGXP] Dieser Beitrag behandelt Anforderungen an temperaturgeführte Lager, Kühlräume, Kühlschränke, Gefriergeräte und ULT-Systeme für die pharmazeutische Lagerung. Eingeschlossen sind Schnittstellen zu Überwachung, Versorgung und internen Transfers. Produktspezifikationen, Zulassungsunterlagen und Sicherheitsbewertungen werden dadurch nicht ersetzt. Das Ergebnis soll eine überprüfbare Vertragsgrundlage sein, die Qualität, Engineering, Betrieb, Qualifizierung und Einkauf vor der Auswahl einer technischen Lösung gemeinsam tragen.
Den regulatorischen Geltungsbereich klären
[REQUIREMENT] Im zutreffenden GMP-Bereich ordnet Annex 15, Abschnitt 3.2 die URS als Referenz im Validierungslebenszyklus ein. Für den Vertrieb ist der Rahmen der europäischen GDP für Humanarzneimittel relevant. Genehmigte Tätigkeiten, Märkte und Verantwortlichkeiten sind deshalb ausdrücklich zu benennen. Nicht jede Pflicht aus der Herstellung gilt automatisch für jedes Lager.
[GUIDANCE] ICH Q9(R1) liefert den Kontext für Qualitätsrisiken. [QRM] Der Standort übersetzt diesen in begründete Entscheidungen: Welche Fehler gefährden das Produkt, wann werden sie erkennbar und welche Reaktion ist praktisch möglich? Die folgenden Empfehlungen sind technische Überlegungen und keine allgemeingültige Liste gesetzlicher Einzelpflichten.
Mit Produkten und tatsächlichen Abläufen beginnen
Zunächst sind genehmigte Lagerbedingungen, Empfindlichkeit gegenüber Einfrieren, Einschränkungen nach Öffnung oder Auftauen sowie verfügbare Daten zu Abweichungen zusammenzustellen. Jede Information benötigt eine Quelle und einen fachlich Verantwortlichen. Bleibt eine Bedingung unklar, wird sie als offener Punkt mit Frist geführt. Eine kommerzielle Annahme darf nicht unbemerkt zum Akzeptanzkriterium werden. Die Temperaturstrategie muss der Wahl des Sollwerts vorausgehen.
Zu beschreiben sind logistische Einheiten, Abmessungen der Verpackungen, Massen, Palettenanordnung und Häufigkeit der Bewegungen. Eine Angabe in Litern zeigt nicht, wie viele nutzbare Plätze nach Abzug von Verdampfern, Gängen, Wandabständen und ausgeschlossenen Bereichen verbleiben. Verfügbarer Bestand, Quarantäne, Rückware, getrennte Bestände und Spitzenbedarf gehören in die Betrachtung. Notfallkapazität ist gesondert auszuweisen: Ein normalerweise belegter Platz ist keine verfügbare Reserve.
Der Betriebsablauf wird anhand beobachtbarer Ereignisse beschrieben: Annahme, Wartezeit vor Einlagerung, Beladung, Entnahme, Inventur, Reinigung und Service. Für jedes Ereignis werden handelnde Person, geöffnete Tür, verwendete Hilfsmittel und erforderliche Ausgangsbedingungen festgehalten. Dabei zeigt sich häufig, dass der Transfer zwischen zwei qualifizierten Bereichen empfindlicher ist als einer dieser Bereiche für sich betrachtet.
Einzelne Anforderungen messbar formulieren
[GEP] Jede Anforderung erhält Kennung, Begründung, Verantwortlichen, Priorität und Prüfmethode. Geforderte Leistung, vorgeschlagene Lösung und Nachweis bleiben unterscheidbar. „Zuverlässiges System“ ermöglicht keine objektive Abnahme. „Die genehmigten Bedingungen in den festgelegten Beladungskonfigurationen einhalten“ wird erst dann überprüfbar, wenn das zugehörige Dokument konkrete Grenzen und Kriterien beschreibt.
Eine Marke sollte nicht vorgeschrieben werden, wenn eigentlich eine Funktion benötigt wird. Für Weiterbetrieb während Wartung sind Szenario, verbleibende Kapazität und erwartetes Verhalten zu definieren. Der Anbieter kann unabhängige Kreise, modulare Geräte oder einen alternativen Lagerbereich vorschlagen. Jede Option muss dieselbe Funktion nachweisen. Tatsächlich notwendige Kompatibilität ist dagegen ausdrücklich zu benennen und anhand der bestehenden Schnittstelle zu begründen.
| Unklare Forderung | In der URS zu klärende Frage | Vorgesehener Nachweis |
|---|---|---|
| Gleichmäßige Temperatur | In welchem Nutzraum, mit welcher Beladung und Umgebung? | Mapping mit freigegebenen Kriterien und identifizierten Konfigurationen |
| Fernalarm | Wer empfängt, bestätigt und handelt außerhalb der Arbeitszeit? | Vollständiger Test von Meldung und Eskalation |
| Backup vorhanden | Welchen Ausfall deckt es ab und was bleibt gemeinsam? | Funktionsschema und Umschalttest |
| Daten verfügbar | Welche Aufzeichnungen, Metadaten und Wiederherstellungszeiten werden benötigt? | Geprüfter Export und Wiederherstellung |
| Schnelle Erholung | Nach welchem Ereignis und an welcher Messstelle? | Repräsentativer Versuch mit vollständigem Temperaturverlauf |
Betriebsgrenzen und Leistungsumfang festlegen
Die URS unterscheidet Produktbedingungen, Arbeitsbereich des Geräts und Umgebungsbedingungen der Auslegung. Ein Sollwert ist eine Vorgabe an den Regler und kein Nachweis für die Konformität jeder Packung. Der tatsächlich erlaubte Lagerraum sowie Einschränkungen bei Abstand, Höhe, Orientierung und Dichte sind festzulegen. Diese Grenzen werden Bestandteil des Prozesses und sollten durch Markierungen oder bauliche Hilfen verständlich gemacht werden.
Auch der Zustand neu eingehender Ware ist zu definieren. Ein bereits temperiertes Produkt zu halten und eine warme Lieferung abzukühlen sind unterschiedliche thermische Aufgaben. Soll das System beides leisten, müssen beide Fälle beschrieben und Auswirkungen auf vorhandene Chargen bewertet werden. Ein Abkühlversuch mit leerem Raum belegt nicht die Fähigkeit, verpackte Ware ausreichend und kontrolliert abzukühlen.
Minimale, maximale und ungleichmäßige Beladung sind risikobasiert ausgewählte Szenarien. Sie bilden keine mechanisch anzuwendende Liste von drei Pflichtprüfungen. Wenig Masse kann auf eine Türöffnung schneller reagieren; dichte Beladung kann Luftwege blockieren. Die Lagerplanung muss erklären, welche physikalischen Effekte im konkreten Fall maßgeblich sind und wie die geplanten Versuche diese abbilden.
Überwachung, Alarme und Daten vollständig beschreiben
Temperaturregelung und unabhängige Überprüfung der Lagerbedingungen sind in dem Umfang zu trennen, den das Risiko rechtfertigt. Festzulegen sind erforderliche Genauigkeit gegenüber der verfügbaren Marge, Messbereich, Einbaubedingungen, Identifikation der Fühler und Zugang zur Kalibrierung. Anzahl und Position dauerhafter Messstellen ergeben sich aus thermischem Verständnis und Mapping. Eine pauschale Anzahl je Quadratmeter ersetzt diese Begründung nicht.
Die URS beschreibt das Verhalten bei Verlust von Strom, Kommunikation, Zeitsynchronisation oder Speicherplatz. Ein funktionierender Sensor garantiert noch keine verfügbare Aufzeichnung. Nachweise sollen lokale Speicherung, spätere Übertragung und Kennzeichnung fehlender Daten abdecken. Hinzu kommen Benutzerrollen, Schutz der Konfiguration, Änderungsverwaltung und Zugriff auf historische Daten nach Ende des Servicevertrags, einschließlich eines praktisch nutzbaren Exportformats.
Für Alarme werden Erkennung, gegebenenfalls begründete Verzögerung, Meldung, Übernahme, Eskalation und Handlung beschrieben. Grenzen oder Verzögerungen aus fremden Anlagen dürfen nicht ungeprüft übernommen werden. Zeitvorgaben müssen zum thermischen Verhalten, zur Messunsicherheit und zur verfügbaren Reaktion passen. Schnittstellen zu Environmental Monitoring Systems benötigen klare Zuständigkeiten für Daten und operative Entscheidungen, besonders bei einer gemeinsam genutzten Plattform.
Die betriebliche Kontinuität realistisch machen
[QRM] Ausfälle von Verdichter, Ventilator, Regelfühler, Stromversorgung, Netzwerk, Wärmeabfuhr, Tür und Personalverfügbarkeit werden getrennt betrachtet. Zwei Verdichter beseitigen keinen gemeinsamen Fehler der elektrischen Verteilung. Ein Generator hilft nicht bei einem blockierten Verdampfer. Für jedes Ereignis ist zu dokumentieren, welche Schutzfunktion greift und wann die Ware an einen anderen Ort gebracht werden muss.
Der Notfallplan muss für die größte tatsächlich zu verlagernde Menge funktionieren. Zu prüfen sind freie und qualifizierte Zielkapazität, Zugang außerhalb normaler Zeiten, erforderliche Behälter, Chargenidentifikation und Rückverfolgbarkeit. Die verfügbare Reaktionszeit ergibt sich aus Daten zum System und Produkt. Sie entspricht nicht automatisch der beworbenen Laufzeit der Batterie des Überwachungssystems.
Reinigung und Wartung benötigen Bedingungen, unter denen die Kontrolle erhalten bleibt. Dazu gehören technische Zugänge, austauschbare Bauteile, Ersatzteilverfügbarkeit und Freigabe zur Wiederinbetriebnahme. Mehrere einzeln abschaltbare Geräte können eine bessere Verfügbarkeit bieten als ein großer Raum. Gleichzeitig ändern sie Flächenbedarf, Energieverbrauch und Arbeitsaufwand. Die URS soll diese Folgen vergleichbar machen, statt eine Lösung ohne Begründung vorzuschreiben.
Jede Zusage mit einem geeigneten Nachweis verbinden
[GUIDEGXP] Die Rückverfolgbarkeitsmatrix entsteht bereits mit der Angebotsanfrage. Konstruktive Anforderungen lassen sich an Zeichnungen und Berechnungen prüfen. Softwarefunktionen benötigen gezielte Tests, thermische Leistungen dagegen standortgerechte Versuche. Lieferantenunterlagen können den Nachweis unterstützen, müssen aber auf ihre Eignung für den vorgesehenen Einsatz geprüft werden. Ein Dokument ist nur hilfreich, wenn es die tatsächlich gestellte Frage beantwortet.
FAT, SAT und Qualifizierung werden voneinander abgegrenzt, ohne sinnlose Wiederholungen zu erzeugen. Festzuhalten ist, was sich durch Transport, Aufstellung oder Konfiguration verändern kann. Ein wiederverwendeter Test muss Identität des Prüflings, Bedingungen, Messmittel, Ergebnisse und Umgang mit Auffälligkeiten erkennen lassen. Fehlt diese Rekonstruierbarkeit, schließt das bloße Vorliegen eines Zertifikats die Anforderung nicht ab.
Vor Bestellung wird vereinbart, wer Protokolle schreibt, Kriterien freigibt, Ersatzlasten bereitstellt und Abweichungen bearbeitet. Auch Formate der Rohdaten und Berichte werden festgelegt. Kaufmännische Abnahme und Freigabe für pharmazeutische Nutzung können verschiedene Verantwortliche haben. Die Zahlung eines Meilensteins darf deshalb nicht automatisch die Erlaubnis zur Einlagerung von Arzneimitteln bedeuten.
Offene Entscheidungen und Änderungen steuern
Eine frühe URS darf offene Punkte enthalten, sofern diese sichtbar bleiben und bearbeitet werden. Zu jeder Annahme gehören Auswirkung, benötigter Nachweis und der Projektstand, ab dem sie weiteres Vorgehen blockiert. Problematisch ist eine scheinbar fertige Spezifikation, die fehlende Informationen zu Produkt, Beladung oder Versorgung verdeckt. Solche Lücken treten oft erst wieder auf, wenn Änderungen teuer geworden sind.
Bei der Angebotsprüfung helfen strukturierte Antworten: erfüllt, teilweise erfüllt, Alternative angeboten oder ausgeschlossen. Dokumentenverweise und Erläuterungen sind wichtiger als bloße Häkchen. Kritische Anforderungen werden getrennt von Präferenzen bewertet. Gute Ergonomie kann unzureichende Temperaturbeherrschung nicht ausgleichen. Nach Vergabe werden Änderungen an der URS hinsichtlich Risiko, Prüfungen, Arbeitsanweisungen und Schulung bewertet und kontrolliert umgesetzt.
Anforderungen am Arbeitsplatz verständlich machen
Eine Beladungsgrenze wirkt nur, wenn Bediener sie vor Ort erkennen können. Zur URS gehören daher eine Zeichnung des zulässigen Raums, Bilder genehmigter Konfigurationen und Regeln für neue Verpackungen. Verfügbare, ausgeschlossene und vorübergehend gesperrte Plätze müssen unterscheidbar sein. Verlangt jede Anlieferung komplizierte Messungen, braucht die Lösung möglicherweise physische Führungen, geeignete Regale oder einen geänderten Warenfluss.
Zusätzlich ist festzulegen, wie eine dringende Lieferung behandelt wird, die die verfügbare Kapazität überschreitet. Dringlichkeit erweitert den qualifizierten Bereich nicht. Es wird eine bereits bewertete Alternative oder eine formale Entscheidung vor Nutzung benötigt. So bleibt die Verbindung zwischen Projektvorgabe und täglichen Entscheidungen erhalten, und betriebliche Ausnahmen werden nicht unbemerkt zur undokumentierten Regel.
Hypothetisches Beispiel: zwei Produktgruppen im Lager
Ein hypothetischer Großhändler möchte mehrere kleine Kühlschränke durch einen gemeinsamen Kühlraum ersetzen. Beide Produktgruppen haben kompatible Lagerbedingungen. Eine wird jedoch häufig entnommen, während die andere in dichten Kartons verbleibt. Der erste Entwurf nennt nur Gesamtvolumen und Lagerbereich. Der Betrieb weist darauf hin, dass häufige Türöffnungen auftreten und Rückware zeitweise im Gang steht.
Das Team trennt Reservebestand und Kommissionierung, weist eine Quarantänezone aus, beschreibt Zugriffsfolgen und definiert prüfbare Lastbilder. Engineering vergleicht einen gemeinsamen Raum mit einer separaten Lösung für häufige Entnahmen. Qualität fordert Nachweise für empfindliche Positionen und den Transfer bei Ausfall. Weder Temperatur noch Dauer werden erfunden, nur um ein leeres Feld im Dokument zu füllen.
Die endgültige Entscheidung beruht auf Nachweisen und Betriebskosten, nicht auf dem billigsten Nennvolumen. Die Matrix verbindet jede Einschränkung mit Zeichnung, Test und Arbeitsanweisung. Dadurch wird verhindert, dass eine spätere Zunahme der Entnahmen stillschweigend aus einer qualifizierten Konfiguration eine Betriebsweise macht, die noch nie beurteilt wurde.
Für die Übergabe hält das Team außerdem fest, wie Bediener die neue Anordnung erkennen und welche Bestände während des Umzugs an welchem Ort stehen. Damit wird aus dem geprüften Entwurf ein ausführbarer Ablauf. Die Verantwortlichen können später nachvollziehen, warum einzelne Plätze freigegeben wurden und andere leer bleiben müssen. Gerade bei kurzfristigen Änderungen verhindert diese Verbindung zwischen Zeichnung, Versuch und Arbeitsanweisung, dass gut gemeinte Improvisation die nachgewiesene Leistung verändert.
Eine überprüfbare Anforderung für Kommunikationsverlust
Als Beispiel dient die Verfügbarkeit von Daten bei unterbrochener Verbindung zum Server. Die URS beschreibt, welche Kanäle weiter aufzeichnen, wie der Ausfall erkannt wird, welche Information der Bediener erhält und wie Aufzeichnungen nach Wiederherstellung abgeglichen werden. Der abzudeckende Zeitraum folgt aus Betriebsmodell und Umgang mit Unterbrechungen am Standort. Er wird nicht als allgemeingültige regulatorische Dauer vorgegeben.
Der Nachweis kann eine kontrollierte Unterbrechung, lokale Ereignisaufzeichnung und anschließenden Vergleich mit dem zentralen Archiv umfassen. Kriterien müssen Lücken, doppelte Einträge, Zeitänderungen oder verlorene Zuordnung zwischen Messung und Fühler erkennen lassen. Zur Prüfung gehört der tatsächliche Zugriff des Bedieners auf wiederhergestellte Daten. Eine vorhandene, aber nicht interpretierbare Datei erfüllt keinen Bedarf an fachlicher Überprüfung.
Das Beispiel zeigt, dass eine Funktion Hardware, Software und menschliche Verantwortung verbindet. Vorher wird festgelegt, wer das Ereignis auslöst, wer Ergebnisintegrität prüft und wer verbleibende Einschränkungen akzeptiert. Die getestete Konfiguration bleibt beim Bericht, damit spätere Netzwerkänderungen mit einer bekannten Ausgangslage verglichen werden können. Zusätzlich wird die Arbeitsanweisung benannt, die diesen Zustand nach Übergabe an den Betrieb erhält. So bleibt eine bestandene Prüfung an die konkrete Nutzung gebunden und wird nicht als zeitlich unbegrenzte Zusage für jede zukünftige Konfiguration verstanden.
Checkliste vor der Angebotsanfrage
- Produkte, genehmigte Bedingungen und Quellen haben eindeutig benannte Verantwortliche.
- Nutzkapazität, Trennung von Beständen, Spitzenbedarf und Notfallreserve sind getrennt erfasst.
- Abläufe, Lastbilder und äußere Bedingungen haben realistische dokumentierte Grenzen.
- Jede kritische Anforderung hat Akzeptanzkriterium und Prüfmethode.
- Überwachung, Alarmierung, Bereitschaft und Datenwiederherstellung bilden eine vollständige Handlungskette.
- Versorgung und gemeinsame Komponenten sind in der Fehlerbetrachtung enthalten.
- Wartung, Transfer und Wiederinbetriebnahme haben festgelegte Zuständigkeiten.
- Lieferantenabweichungen, offene Punkte und Änderungen folgen einem freigegebenen Verfahren.
Typische Fehler und praktische Schlussfolgerung
Warnzeichen sind kopierte Forderungen ohne Produktbezug, Aussagen wie „GMP-konform“ ohne Geltungsbereich, Prüfungen nur am zentralen Display, nicht verfügbare Ersatzkapazität und erst nach Kenntnis der Ergebnisse formulierte Kriterien. Auch eine sehr detaillierte URS bleibt schwach, wenn sie Bauteile festschreibt, die notwendige Leistung aber offenlässt.
Eine brauchbare URS beantwortet drei Fragen: Welche Bedingung schützt die Anforderung, wie wird sie nachgewiesen und wer erhält sie langfristig? Zuerst werden Produkt und Prozess geklärt, danach Architekturen verglichen, schließlich Tests und Verantwortlichkeiten festgelegt. Verworfene Alternativen mit kurzer Begründung bleiben im Dossier. Sie helfen bei späteren Änderungen an Kapazität, Sortiment und Zugangshäufigkeit.
Quellen und Einordnung
Quellenprüfung am 21. September 2026: EU GDP 2013/C 343/01, Annex 15 in der Revision 2015, wirksam seit 1. Oktober 2015, sowie ICH Q9(R1), in der EU wirksam seit 26. Juli 2023, sind oben verlinkt. [GEP] bezeichnet technische Praxis, [QRM] eine fallspezifisch zu begründende Entscheidung und [GUIDEGXP] ein redaktionelles Werkzeug. Daraus entstehen keine allgemeinen Zusatzpflichten.
