Inhaltsverzeichnis
Das Wichtigste vorab
Welche Verantwortung bleibt beim Anwender einer GMP-relevanten Cloudanwendung?
Cloudbetrieb kann technische Aufgaben an Anbieter verlagern. Die Bewertung des vorgesehenen GMP-Einsatzes, geeignete Vereinbarungen und wirksame Kontrolle ausgelagerter Tätigkeiten bleiben erforderlich. Annex 11 und Kapitel 7 stützen diese Aufgabenverteilung. Prüfen Sie nicht nur, wer einen Server wiederherstellt, sondern auch, wer Datenvollständigkeit, Prozessfortsetzung, Änderungen und den späteren Zugriff auf erforderliche Aufzeichnungen beurteilt.
- Hostingmodell und tatsächlich vereinbarte Leistung gemeinsam betrachten.
- Lieferantenbelege nach Scope und Version bewerten.
- Technischen Wiederanlauf und fachliche Fortsetzung getrennt entscheiden.
- Datenexit vor Vertragsende mit lesbaren Nachweisen vorbereiten.
1. Cloud ist ein Betriebsmodell, kein eigener Compliance-Status
Dieser Artikel betrachtet Cloudanwendungen im Humanarzneimittel-GMP-Kontext. Stand 6. Oktober 2026 führt EudraLex Annex 11 in der Revision Januar 2011 und Kapitel 7 in der seit Januar 2013 angewandten Fassung. Die geltenden Kontrollen werden nicht erst durch einen angekündigten neuen Annex auf Cloudleistungen anwendbar.
Die Bezeichnungen SaaS, PaaS und IaaS beschreiben typische Verteilungen technischer Aufgaben. Sie beweisen nicht, welche Leistung Ihr Vertrag enthält oder wie Ihr Mandant konfiguriert ist. Beginnen Sie daher mit dem vorgesehenen Prozess, den Datenwegen und den tatsächlich beauftragten Tätigkeiten. Eine allgemeine Aussage „die Cloud ist validiert“ lässt diese entscheidenden Fragen offen.
2. Aufgaben mit Nachweisen und Entscheidungen verbinden
Annex 11 §3 behandelt Vereinbarungen mit Dritten und die Bewertung von Lieferanteninformationen. Kapitel 7 beschreibt die Definition, Vereinbarung und Kontrolle ausgelagerter GMP-Tätigkeiten. Eine Zuständigkeitsliste ist deshalb nützlich, wenn sie nicht bei einem Namen endet: Wer führt aus, wer bewertet den Beleg und wer entscheidet bei einer Abweichung?
Die folgende eigene Matrix zeigt einen möglichen Zuschnitt. Er muss an die tatsächlichen Verträge und internen Zuständigkeiten angepasst werden. Nicht jeder Anbieter übernimmt die dargestellten Aufgaben; auch interne IT-Leistungen brauchen klare Schnittstellen.
| Tätigkeit | Mögliche Ausführung | Benötigter Beleg | Eigene Entscheidung |
|---|---|---|---|
| Plattformbetrieb | Anbieter | Leistungsumfang und geeignete Betriebsnachweise | Passt die Leistung zum kritischen Prozess? |
| Mandantenkonfiguration | Anbieter, Partner oder eigenes Team | Version, Rollen und freigegebene Einstellungen | Deckt die Konfiguration den vorgesehenen Einsatz? |
| Sicherung und Restore | Nach Vertrag verteilte Beteiligte | Ergebnis der passenden Wiederherstellungsprüfung | Sind benötigte Daten und Prozessfähigkeit wieder da? |
| Releasewechsel | Anbieter plus eigenes Team | Änderungsinformation, Auswirkungen und Prüfbelege | Welche Nutzung ist unter welchen Bedingungen geeignet? |
| Datenexit | Anbieter plus Datenverantwortlicher | Vollständigkeit, Kontext und Lesbarkeit der Übergabe | Kann Aufbewahrung nach Vertragsende funktionieren? |
3. Anbieterpakete nicht pauschal über- oder unterschätzen
Ein Anbieter kann qualifizierte und validierte Leistungen mit relevanten Belegen erbringen. Deren Reichweite ist konkret zu prüfen: Produktversion, Dienst, Konfiguration, Testumfang, Umgebung und offene Einschränkungen. Es wäre ebenso ungenau, jedes Paket als vollständige Kundenvalidierung zu behandeln wie alle Lieferantenunterlagen auf bedeutungslose Standardnachweise zu reduzieren.
Ermitteln Sie die Lücke zum eigenen Einsatz. Eine Prüfung des Basisworkflows kann passend sein, während die Übernahme aus Ihrem ERP und das eigene Rollenmodell zusätzliche Nachweise benötigen. Art und Tiefe der Lieferantenbewertung richten sich nach Risiko und verfügbaren Informationen. Ein Zertifikat kann relevante Evidenz liefern, aber seine ausgewiesene Reichweite muss zu Ihrer Frage passen.
4. Vertrag, Unterauftragnehmer und Informationswege konkretisieren
Vereinbaren Sie die relevanten Leistungen einschließlich verfügbarer Nachweise, Änderungsinformationen, Störungsbearbeitung und Zugriff auf Aufzeichnungen. Für ausgelagerte GMP-Tätigkeiten beschreibt Kapitel 7 auch Unterbeauftragung, Zugang zu Unterlagen und Auditmöglichkeiten. Eine lange allgemeine Cloudbeschreibung ersetzt diese konkrete Vereinbarung nicht.
Fragen Sie beispielsweise, welcher Dienst den Datenbestand hält, wer privilegierte Eingriffe vornimmt und wie ein Wechsel eines beteiligten Dienstleisters bekannt wird. Technische Details müssen soweit verfügbar sein, wie sie für Bewertung und Kontrolle erforderlich sind. Eine bestimmte Cloudregion oder ein bestimmtes Zertifikat allein bestätigt noch nicht die geeignete Gesamtlösung. Weitere Rechtsbereiche sind gesondert zu berücksichtigen.
5. Updates brauchen einen nutzbaren eigenen Entscheidungsweg
Ein häufig aktualisierter Dienst verlangt eine praktikable Informations- und Bewertungsroutine. Klären Sie, welche Änderungen Ihren Einsatz beeinflussen, welche Vorschau- oder Testmöglichkeiten tatsächlich bereitstehen und wie Anbieterbelege zugänglich werden. Aus der Cloudarchitektur folgt weder ein pauschaler Vollretest nach jedem Update noch eine Freistellung von Änderungsbewertung.
Dokumentieren Sie relevante Auswirkungen auf Konfiguration, Schnittstellen, Rollen und vorhandene Daten. Ein unveränderter fachlicher Ablauf kann durch eine technische Änderung betroffen sein. Wenn ein erwarteter Nachweis fehlt, bleibt diese Unsicherheit sichtbar und wird durch eine geeignete Maßnahme bearbeitet. Nachträgliche Kenntnisnahme ist nicht automatisch eine ausreichende Kontrolle jeder Änderung.
6. Eigener Restorefall: Server verfügbar, drei Vorgänge fehlen
Illustratives Beispiel, kein Anbieter- oder Kundentest: Um 10:00 Uhr enthält eine abgeschlossene Sicherung 120 bestätigte Vorgänge. Um 10:07, 10:12 und 10:19 Uhr kommt jeweils ein weiterer bestätigter Vorgang hinzu. Beim Ausfall um 10:20 Uhr umfasst der relevante Stand 123 Vorgänge. Der Restore stellt die Sicherung mit 120 Vorgängen wieder her.
Der Dienst kann technisch wieder erreichbar sein, während drei fachliche Vorgänge fehlen. Ein bloßer erfolgreicher Login oder die Rückmeldung „Restore abgeschlossen“ entdeckt diese Lücke nicht. Im konstruierten Soll werden die erwarteten Vorgangskennungen mit dem wiederhergestellten Bestand verglichen. Die drei fehlenden Vorgänge bleiben offen, bis ihr Inhalt und ihre Folgen anhand verlässlicher Quellen geklärt sind.
Ob und wie der Betrieb fortgesetzt werden kann, richtet sich nach dem betroffenen Prozess und dem kontrollierten Alternativablauf. Das Beispiel legt weder einen universellen zulässigen Datenverlust noch eine feste Wiederanlaufzeit fest. Es zeigt, warum technische und fachliche Abnahme zusammengehören.
| Zeitpunkt/Schritt | Erwarteter Stand | Prüfung | Entscheidung |
|---|---|---|---|
| 10:00 Sicherung | 120 Vorgänge | Sicherungsstand und Identitäten bekannt | Wiederherstellungspunkt definiert |
| 10:20 vor Ausfall | 123 Vorgänge | Drei spätere Bestätigungen nachvollziehbar | Erwarteten Gesamtstand festhalten |
| Nach Restore | 120 wiederhergestellte Vorgänge | 123 erwartete minus 120 vorhandene = 3 fehlende | Nicht allein aus Erreichbarkeit freigeben |
| Fachliche Klärung | Drei fehlende Vorgänge gezielt bewertet | Verlässliche Quellen, Auswirkungen und Vorgehen | Dokumentierter Entscheid zur Fortsetzung |
7. Aufbewahrung funktioniert nur mit einem brauchbaren Exit
Klären Sie vor Vertragsende, welche Aufzeichnungen einschließlich erforderlichem Kontext herausgegeben werden, wie ihre Identität geprüft wird und welche Funktionen zum späteren Lesen benötigt werden. Ein Export aller Dateien ist nicht automatisch eine vollständige fachliche Übergabe; umgekehrt muss nicht jeder technische Plattformlog Bestandteil jeder Archivakte sein.
Wählen Sie für eine eigene Probe einen abgeschlossenen Vorgang mit Änderungshistorie. Lassen sich Wert, Status, handelnde Person und relevante Entscheidung später noch verstehen? Können berechtigte Personen darauf zugreifen, wenn der ursprüngliche Mandant nicht mehr verfügbar ist? Annex 11 verbindet Archivierung und Systemänderungen mit überprüfbarer Wiederauffindbarkeit, Lesbarkeit und Integrität.
8. Checkliste für einen kontrollierten Cloudbetrieb
Für ein KMU lohnt sich eine kompakte gemeinsame Sicht von Prozesseigner, QA, IT und Einkauf. Die Beteiligten sollten dieselben kritischen Abläufe und Vertragsgrenzen kennen. Aufwand entsteht vor allem dort, wo Verantwortlichkeit, Konfiguration oder Evidenz bislang auseinanderfallen. Eine pauschale Zeit- oder Kostenangabe wäre ohne diesen Zuschnitt wenig belastbar.
Nutzen Sie die folgende eigene Liste als Gesprächsgrundlage mit Ihrem Anbieter. Offene Antworten werden mit konkretem Nachweisbedarf verbunden, nicht lediglich als allgemeines Lieferantenrisiko abgelegt.
- GMP-Einsatz, Systemgrenze und relevante Datenwege beschreiben.
- Beauftragte Leistungen und eigene Aufgaben eindeutig zuordnen.
- Lieferantenbelege auf konkrete Version und Reichweite prüfen.
- Unterauftragnehmer und relevante Änderungen vertraglich berücksichtigen.
- Zugänge, privilegierte Tätigkeiten und Störungsinformationen regeln.
- Restore samt fachlicher Daten- und Prozessprüfung planen.
- Notbetrieb und Wiederanlauf mit tatsächlichen Beteiligten prüfen.
- Exit, benötigten Kontext und Aufbewahrung vor Vertragsende sichern.
Häufige Fragen zu Cloud und Annex 11
Ist eine SaaS-Anwendung durch den Anbieter vollständig validiert?
Der Anbieter kann relevante validierte Leistungen und Nachweise bereitstellen. Ob diese Ihren Einsatz vollständig abdecken, muss anhand von Version, Konfiguration und Prozess geprüft werden. Eigene Rollen oder Schnittstellen können außerhalb des Pakets liegen. Der Produktbegriff SaaS beantwortet die Abdeckung nicht.
Was bleibt beim Anwender, wenn der Anbieter alles betreibt?
Insbesondere die Beschreibung des vorgesehenen Einsatzes, Bewertung geeigneter Nachweise und Kontrolle der beauftragten Tätigkeiten bleiben zu beherrschen. Wer einzelne Schritte ausführt, wird vereinbart. Auslagerung macht Verantwortung und fachliche Entscheidungen nicht überflüssig.
Reicht ein Sicherheitszertifikat als Lieferantenbewertung?
Braucht jeder Cloudanbieter ein persönliches Vor-Ort-Audit?
Eine solche allgemeine Regel folgt nicht aus Annex 11. Der Auditbedarf ist risikobezogen zu bewerten. Bei ausgelagerten GMP-Tätigkeiten sind zugleich die Vereinbarungen und Auditmöglichkeiten nach Kapitel 7 zu berücksichtigen. Entscheidend ist, dass relevante offene Fragen belastbar geklärt werden.
Muss nach jedem SaaS-Update alles wiederholt werden?
Nein, nicht allein wegen der Bezeichnung Update. Der erforderliche Umfang folgt den Auswirkungen auf den Einsatz, einschließlich verbundener Funktionen und Daten. Geeignete Lieferantenbelege und weiter gültige eigene Nachweise können einbezogen werden; die Entscheidung muss nachvollziehbar sein.
Quellen: [2]
Belegt ein erfolgreicher Restore die vollständige Wiederherstellung?
Nur für den tatsächlich geprüften Umfang. Im Beispiel fehlen trotz erreichbarer Anwendung drei bestätigte Vorgänge. Prüfen Sie daher geeignete Identitäten, Inhalte und Prozessfolgen. Die technische Rückmeldung ersetzt keine fachliche Bewertung des wiederhergestellten Zustands.
Quellen: [2]
Welche Datenverlustgrenze schreibt Annex 11 vor?
Er nennt hier keine allgemeine Minuten- oder Datensatzgrenze. Wiederanlauf und alternative Unterstützung müssen zum kritischen Prozess und Risiko passen. Eigene Zielwerte brauchen eine fachliche Begründung und passende Nachweise; Anbieterstandardwerte dürfen nicht ungeprüft übernommen werden.
Quellen: [2]
Kann der Anbieter Unterauftragnehmer beliebig wechseln?
Für ausgelagerte GMP-Tätigkeiten beschreibt Kapitel 7 vorherige Bewertung und Zustimmung zu Unterbeauftragungsvereinbarungen sowie Informationszugang. Welche konkreten Leistungen betroffen sind, muss sauber bestimmt und vertraglich geregelt werden. Eine allgemeine Unterauftragnehmerliste allein löst diese Bewertung nicht.
Quellen: [3]
Reicht eine Exportfunktion für die spätere Archivierung?
Nicht automatisch. Prüfen Sie, ob erforderliche Daten, Beziehungen und Historie lesbar und zugänglich bleiben. Eine konkrete Probe mit einem abgeschlossenen Vorgang ist aussagekräftiger als der bloße Nachweis eines Exportbuttons. Die benötigte Reichweite folgt dem Aufzeichnungszweck.
Müssen wir auf den neuen Annex 11 warten?
Nein, bestehende Anforderungen an Lieferanten, Validierung, Betrieb und Datenzugriff gelten im zutreffenden Rahmen bereits heute. Der Entwurf kann eine separate Vorbereitung unterstützen. Bekannte aktuelle Lücken sollten nicht mit Verweis auf einen unbestätigten künftigen Anwendungstermin liegen bleiben.
Quellen & fachlicher Stand
Quellenstand: 6. Oktober 2026. Maßgeblich sind die bezeichneten aktuellen Leitlinienfassungen. Tabellen und Prüffälle sind eigene illustrative Arbeitshilfen, keine ausgeführten Kunden- oder Produkttests.
- EudraLex – Volume 4 – Good Manufacturing Practice guidelinesSeitenstand beim Abruf; Humanarzneimittel und Tierarzneimittel getrennt
- Annex 11: Computerised SystemsRevision 1, Januar 2011; coming into operation 30.06.2011
- EU-GMP Kapitel 7: Outsourced ActivitiesRevision1; Anwendung31.01.2013
Zuletzt fachlich geprüft am 07.10.2026.
Daniel Herrmann Consulting
Verantwortung und Nachweise für Ihren Betrieb klären
Wir unterstützen Sie dabei, relevante Anforderungen in praktikable Entscheidungen, passende Nachweise und einen kontrollierten Betrieb zu übersetzen.
- IT-GxP-Audit →
Relevante Lücken und vorhandene Belege einordnen.
- IT-GxP-Compliance-Programm →
Ein tragfähiges IT-GxP-Compliance Framework aufbauen.
- IT-GxP-Coaching →
Ihr Team bei eigenen Entscheidungen und Nachweisen begleiten.
- IT-GxP-Consulting →
Konkrete Anforderungen, Prüfungen und Betriebsverfahren ausarbeiten.