Inhaltsverzeichnis
Das Wichtigste vorab
Für welche Software gilt die FDA-CSA-Guidance 2026?
Die FDA-CSA-Guidance von Februar 2026 empfiehlt einen risikobasierten Nachweisansatz für Software in der Medizinprodukteproduktion und im Qualitätsmanagementsystem. Sie ist keine pauschale neue Validierungsvorschrift für Pharma und behandelt nicht die Validierung von Softwarefunktionen, die selbst ein Medizinprodukt sind. Entscheidend bleiben der konkrete Verwendungszweck, die bindenden Anforderungen und ausreichende objektive Nachweise. Testmethode und Dokumentation sollen diese Nachweise unterstützen, nicht als Selbstzweck dienen.
- Finale Guidance vom 3. Februar 2026; ersetzt die Ausgabe vom September 2025.
- QMSR-Bezug und unverbindliche Guidance-Empfehlungen unterscheiden.
- Exploratives Testen kann geeignete Evidenz erzeugen, verlangt aber eine nachvollziehbare Aussage über Ergebnis und offene Probleme.
1. Welcher Stand ist seit Februar 2026 maßgeblich?
Die FDA führt Computer Software Assurance for Production and Quality Management System Software als finale Guidance vom Februar 2026. Das Dokument ist auf den 3. Februar datiert und ersetzt die Ausgabe vom 24. September 2025. Wer noch einen früheren Entwurf oder die Fassung von 2025 verwendet, sollte die Quellenbasis aktualisieren.
Die Guidance erläutert den Bezug zur Quality Management System Regulation, die am 2. Februar 2026 wirksam wurde. §820.10 verweist auf die anwendbaren Anforderungen von ISO 13485; §820.7 dokumentiert deren Einbindung. Alte Paragraphenzitate dürfen deshalb nicht ungeprüft weiterverwendet werden. Die ISO-Einordnung in diesem Artikel stützt sich auf die FDA-Erläuterung und die Verweisung in Part 820; der Normvolltext wird hier nicht erläutert.
2. Guidance-Empfehlung und verbindliche Anforderung trennen
Die FDA erklärt ausdrücklich, dass ihre Guidance grundsätzlich keine rechtlich durchsetzbaren Verantwortlichkeiten begründet. Sie beschreibt die aktuelle behördliche Sicht und lässt andere Ansätze zu, wenn diese die einschlägigen gesetzlichen und regulatorischen Anforderungen erfüllen. Wo das Dokument solche Anforderungen zitiert, werden sie durch die Guidance nicht unverbindlich.
CSA bedeutet deshalb nicht, dass Softwareeignung künftig nur noch informell behauptet werden kann. Gefordert ist weiterhin ein begründeter Nachweis für die beabsichtigte Verwendung im einschlägigen QMS-Kontext. Der methodische Schwerpunkt liegt darauf, welche Evidenz Vertrauen in die Funktion schafft und wie der Aufwand dem tatsächlichen Risiko entspricht.
3. Ordnen Sie Funktionen statt bloßer Produktnamen ein
Ein Unternehmen kann dieselbe Plattform für Geräteproduktion, Qualitätsaufzeichnungen und allgemeine Büroarbeit verwenden. Die Guidance betrachtet dafür den jeweiligen Verwendungszweck. Ein Cloudspeicher für erforderliche Qualitätsaufzeichnungen wird nicht allein durch seinen Infrastruktur- oder Standardproduktcharakter aus dem Betrachtungsbereich entfernt.
Die folgende Tabelle ist eine eigene Scopehilfe. Sie ersetzt weder die Prüfung der einzelnen QMS-Anforderung noch eine geräterechtliche Produktklassifizierung.
| Verwendung | Einordnung gegenüber dieser Guidance | Konsequenz |
|---|---|---|
| Software steuert einen Schritt der Medizinprodukteproduktion | Adressierter Verwendungsbereich | Betroffene Funktionen und mögliche Qualitäts-/Sicherheitsfolgen bestimmen. |
| Anwendung verwaltet erforderliche Qualitätsaufzeichnungen des Geräteherstellers | QMS-Verwendung kann unmittelbar erfasst sein | Records, Änderungen, Zugriff und Nachweise nach tatsächlichem Zweck betrachten. |
| Softwarefunktion ist selbst Teil eines Medizinprodukts | Validierung dieser Device-Software ist nicht Gegenstand dieses CSA-Dokuments | Passende produktspezifische Anforderungen und FDA-Quellen heranziehen. |
| System unterstützt Humanarzneimittel-GMP | Nicht pauschal der direkte Scope dieser Guidance | Einschlägige GMP-/Predicate-Anforderungen bleiben Ausgangspunkt. |
| Allgemeine Bürosoftware ohne konkrete Produktions-/QMS-Verwendung | Nicht allein wegen des Herstellers im direkten Scope | Tatsächliche Verwendung prüfen; keine pauschale Ausnahme aller Standardsoftware. |
4. Begründen Sie das Risiko einer konkreten Funktion
Die Guidance unterscheidet unter anderem Softwarefunktionen mit hohem Prozessrisiko von Funktionen ohne hohes Prozessrisiko. Der Zusammenhang zwischen Fehler, Qualitätsproblem und vorhersehbarer Beeinträchtigung der Sicherheit ist dabei wesentlich. Diese Betrachtung ist keine Rangliste von Softwaremarken und keine feste GAMP-Kategorie.
Beschreiben Sie den Fehlerweg: Was liefert die Funktion falsch, wer verwendet das Ergebnis und welche andere Kontrolle würde den Fehler erkennen? Ein Eintrag wie niedriges Risiko ohne Begründung hilft wenig. Auch Funktionen ohne hohes Prozessrisiko brauchen angemessene Sicherheit über ihre beabsichtigte Verwendung; sie sind nicht automatisch nachweisfrei.
Quellen: [2]
5. Nutzen Sie Lieferbelege nach ihrer wirklichen Abdeckung
Die FDA beschreibt, wie geeignete Informationen über Lieferantenentwicklung, Validierung und bestehende Kontrollen den eigenen Aufwand reduzieren können. Bei entsprechender Abdeckung können vorhandene Aktivitäten erhebliche Teile des benötigten Nachweises liefern. Daraus folgt weder, dass Lieferpakete immer nur Infrastruktur betreffen, noch dass sie immer das vollständige Kundensystem abdecken.
Prüfen Sie die Verbindung zu Ihrer Verwendung: Funktionen, Version, Konfiguration, Schnittstellen und Betriebsbedingungen. Dokumentieren Sie, welche Aussage Sie übernehmen und welche Lücke verbleibt. Ein pauschales Vor-Ort-Audit jedes Lieferanten wird durch die Guidance nicht zur allgemeinen Pflicht. Die gewählte Lieferantenbewertung muss aber zu Bedeutung und Unsicherheit passen.
Quellen: [2]
6. Wählen Sie die Nachweismethode anhand eines konkreten Falls
Illustratives Sollbeispiel: Ein QMS-Bericht soll ausschließlich die drei als offen gekennzeichneten Maßnahmen A, C und D zeigen. Maßnahme B ist geschlossen. Nach einem Filterwechsel darf keine offene Maßnahme verschwinden. Die IDs und Zustände sind frei gewählt; weder ein konkretes Produkt noch ein ausgeführter Test wird beschrieben.
Für diese Frage kann ein vorab beschriebener Prüffall sinnvoll sein. Ergänzende explorative Prüfung untersucht unerwartete Kombinationen. Die FDA nennt verschiedene scripted und unscripted Ansätze; daraus folgt keine starre Regel, dass hohes Risiko nur Skripte und geringeres Risiko ausschließlich freies Testen erlauben.
| Aktion | Soll | Abweichungsfall | Benötigter Nachweis |
|---|---|---|---|
| Ausgangsdaten A offen, B geschlossen, C offen, D offen auswerten | Offene Menge {A,C,D}; Anzahl 3 | Anzeige {A,C}; Anzahl 2 | Testdatenstand, angewendeter Filter, tatsächliche IDs und Befund festhalten. |
| Berichtssortierung ändern | Gleiche Menge {A,C,D}; Reihenfolge darf wechseln | Anzahl 3, aber B statt D enthalten | Identitäten prüfen; korrekte Anzahl allein genügt nicht. |
| Gefundenen Filterfehler korrigieren | A,C,D enthalten; B ausgeschlossen | Korrektur behebt nur eine Filterkombination | Betroffene Varianten und abhängige Verwendungen nachvollziehbar prüfen. |
Quellen: [2]
7. Dokumentieren Sie die Aussage, nicht bloß die Bildschirmserie
Die Guidance beschreibt angemessene Records zu beabsichtigter Verwendung, risikobezogener Bewertung, ausgeführten Aktivitäten, Problemen und Schlussfolgerung. Auch die ausführende Person und das Datum gehören zu den beschriebenen Nachweisinhalten; Review und Genehmigung sind entsprechend dem Kontext zu behandeln. Ein universelles Format oder dieselbe Unterschriftenkette für jeden Fall folgt daraus nicht.
Digitale Aufzeichnungen können objektive Evidenz unmittelbar liefern. Screenshots können helfen, sind aber weder pauschal vorgeschrieben noch grundsätzlich nutzlos. Im Beispiel muss erkennbar bleiben, welcher Filter welche Record-Menge erzeugt hat. Eine Sammlung unzugeordneter Bilder beantwortet diese Frage schlechter als ein nachvollziehbarer Ergebnisdatensatz.
Quellen: [2]
8. CSA beseitigt den Part-11-Scope nicht
Abschnitt V.B behandelt elektronische Records und Signaturen im Verhältnis zu Part 11. Nicht jedes vorübergehende technische Ereignis wird dadurch zum aufbewahrungspflichtigen Qualitätsrecord. Werden jedoch erforderliche Validierungs- oder Qualitätsnachweise elektronisch geführt, ist deren einschlägiger Record-Scope zu prüfen.
Die FDA-Vollzugspolitik zu bestimmten Part-11-Anforderungen hebt zugrunde liegende QMS-Anforderungen nicht auf. Eine Argumentation wie CSA erlaubt weniger Dokumentation, deshalb brauchen wir keine Nachweise wäre unzutreffend. Entscheidend ist, welche Information den erforderlichen Nachweis trägt und wie sie erhalten und beurteilt werden kann.
9. Übertragen Sie die Methode kontrolliert in Ihre Organisation
Für ein KMU liegt der erste praktische Schritt in einer überschaubaren Funktionsliste mit Verwendungszweck, Fehlerfolge und bestehender Evidenz. Fachbereich, IT und Qualitätsfunktion klären die offenen Entscheidungen gemeinsam. Ein neues Akronym allein verkürzt kein Projekt; unklare Anforderungen und unbeurteilte Schnittstellen bleiben Aufwandstreiber.
Pharmaunternehmen können methodische Anregungen prüfen, müssen sie jedoch gegen ihre tatsächlich anwendbaren Anforderungen bewerten. Annex 11 verlangt bereits einen risikobasierten Lebenszyklus. Die Entscheidung sollte erklären, warum ein Nachweisweg genügt, statt eine fachfremde Guidance zur allgemeinen Ausnahme zu erklären.
- Aktuelle Guidance-Fassung und konkreten Regelungsbereich festhalten.
- Verwendungszwecke und Funktionen getrennt benennen.
- Fehlerfolge, Prozessrisiko und vorhandene Kontrollen begründen.
- Lieferbelege auf tatsächliche Abdeckung prüfen.
- Geeignete Testaktivitäten und Ergebnisnachweise auswählen.
- Probleme bewerten und Schlussfolgerung nachvollziehbar festhalten.
- Änderungen und verbleibende Risiken im eigenen Verfahren behandeln.
Praxis & Zusammenarbeit
Gemeinsam umsetzen: FDA CSA Guidance 2026
Gemeinsam mit Ihren fachlichen Verantwortlichen und der IT analysieren wir Ihren vorgesehenen Anwendungsbereich und die Fehlerfolgen der verwendeten Software. An einem konkreten Vorgang gleichen wir die tatsächliche Arbeitsweise mit den vorhandenen Unterlagen ab. Je nach Ausgangslage können wir bestehende Validierungsnachweise gezielt um eine begründete Testauswahl ergänzen oder die Assurance-Planung für einen passenden Anwendungsfall neu aufsetzen. Die nächsten Schritte, Zuständigkeiten und passenden Prüfungen legen wir mit Ihrem Team fest. Ziel ist eine nachvollziehbare Entscheidung über Prüfmethoden und erforderliche Nachweise. Den Umfang stimmen wir auf Ihre Prozesse, Risiken und verfügbaren Ressourcen ab.
Häufige Fragen zu FDA CSA Guidance 2026
Ist die FDA-CSA-Guidance 2026 noch ein Entwurf?
Gilt CSA jetzt generell für Pharma-CSV?
Diese Guidance adressiert Software in der Medizinprodukteproduktion und im QMS. Sie ersetzt nicht pauschal Humanarzneimittel-GMP oder Drug-CGMP-Predicate-Rules. Methodische Anregungen können bewertet werden; ihre Verwendung muss zu den tatsächlich anwendbaren Anforderungen und dem konkreten Prozess passen.
Betrifft sie auch die Software im Medizinprodukt selbst?
Nicht deren Design- und Entwicklungsvalidierung. Die Guidance grenzt diese Device-Software von Software zur Produktion beziehungsweise QMS-Unterstützung ab. Dass beide vom selben Hersteller entwickelt oder betrieben werden, beseitigt den Unterschied des Verwendungszwecks nicht.
Quellen: [2]
Dürfen wir mit CSA auf Testskripte verzichten?
Die Guidance beschreibt mehrere geeignete Nachweisformen einschließlich unscripted Testing. Das ist keine allgemeine Erlaubnis, ohne Ziel, Ergebnis oder Befundbewertung zu testen. Wählen Sie die Methode nach der zu beantwortenden Frage und dokumentieren Sie ausreichende Evidenz für Ihre Schlussfolgerung.
Quellen: [2]
Ist exploratives Testen nur bei geringem Risiko zulässig?
Eine starre Zuordnung lässt sich aus der Guidance nicht ableiten. Sie behandelt unterschiedliche Aktivitäten im Zusammenhang mit dem erforderlichen Nachweis. Bei höherem Prozessrisiko muss die Gesamtevidenz dessen Bedeutung tragen; ein Methodenetikett allein entscheidet weder Eignung noch Ungeeignetheit.
Quellen: [2]
Müssen wir weiterhin Screenshots für jeden Schritt erstellen?
Eine universelle Screenshotpflicht beschreibt die Guidance nicht. Verwenden Sie geeignete objektive Nachweise, etwa nachvollziehbare digitale Ergebnisse. Entscheidend ist, dass Verwendung, Aktivität, Ergebnis und offene Probleme erkennbar bleiben. Ein erforderlicher Befund darf durch den Verzicht auf Bilder nicht unsichtbar werden.
Quellen: [2]
Kann das Lieferantenpaket eigene Tests vollständig ersetzen?
Das hängt von der tatsächlichen Abdeckung ab. Die Guidance lässt die Nutzung geeigneter vorhandener Evidenz zu; bei passendem Fall kann diese weit reichen. Kundenspezifische Konfigurationen, Integrationen oder ungeklärte Funktionen bleiben aber zu bewerten. Ein allgemeines Paketversprechen genügt dafür nicht.
Quellen: [2]
Ist Cloudsoftware automatisch nur Infrastruktur und damit ausgenommen?
Nein. Eine Cloudfunktion kann beispielsweise erforderliche Qualitätsaufzeichnungen speichern und damit unmittelbar eine QMS-Verwendung unterstützen. Entscheidend ist die konkrete Funktion. Der Betriebsort oder die Standardisierung des Angebots ersetzt die Intended-Use-Bewertung nicht.
Quellen: [2]
Hat CSA Part 11 abgeschafft?
Nein. Die Guidance enthält selbst einen Abschnitt zu elektronischen Records und Signaturen. Prüfen Sie, welche Nachweise aufgrund einschlägiger Anforderungen geführt werden und wie Sie sie elektronisch verwenden. FDA Enforcement Discretion beseitigt die zugrunde liegenden Qualitätsanforderungen nicht.
Was sollten wir an einem bestehenden CSV-Verfahren zuerst ändern?
Prüfen Sie zunächst Quellenstand und Anwendbarkeit. Bewerten Sie anschließend, ob Ihr Verfahren Nachweistiefe aus konkreten Risiken ableitet und vorhandene Evidenz sinnvoll verwendet. Ändern Sie unnötige Routinen begründet; streichen Sie keine Kontrollen nur deshalb, weil CSA als schlankeres Schlagwort erscheint.
Quellen & fachlicher Stand
Quellenstand 6. Oktober 2026: FDA Final Guidance vom 3. Februar 2026, aktueller QMSR-Bezug und eCFR-Anzeige bis 2. Oktober 2026. ISO 13485 wird nur anhand der FDA-Erläuterung und der dokumentierten Einbindung in Part 820 eingeordnet; der kostenpflichtige Normvolltext ist hier keine eigenständig ausgewertete Quelle. Human-GMP bleibt ein gesonderter Anwendungsbereich.
- FDA: Computer Software Assurance for Production and Quality Management System Software — StatusFinal, Februar 2026; Docket FDA-2022-D-0795; CDRH/CBER. Fundstellen: Kopfbereich; Beschreibung; supersedes-Satz
- FDA: Computer Software Assurance for Production and Quality Management System Software — Original-PDFAusgegeben03.02.2026; ersetzt24.09.2025; ergänzt Software Validation Guidance 2002 und ersetzt deren Section 6. Fundstellen: Deckblatt; I, S.1–2; III, S.4; V.A.1, S.6–8; V.A.2, S.8–11; V.A.4, S.12–14; V.A.5, S.14–17; V.A.6 und Tabelle1, S.17–21; V.B, S.21–22
- 21 CFR 820.10 — Requirements for a quality management systeme CFR-Anzeigestand 02.10.2026; QMSR-Fassung. Fundstellen: §820.10(a)–(b); ergänzend(c)–(e)
- 21 CFR §820.7: Incorporation by referenceeCFR bis 02.10.2026 aktualisiert; QMSR-Fassung. Fundstellen: §820.7(a)–(b)
- EU-GMP Annex 11: Computerised SystemsRevision Januar 2011, Anwendungsdatum 30.06.2011; am 06.10.2026 im Humanarzneimittelabschnitt gelistet. Fundstellen: Principle; §§1–4; §§5–10; §§11–17
- 21 CFR Part 11 — Electronic Records; Electronic Signaturese CFR: Title 21 konsolidiert bis02.10.2026; Title 21 zuletzt geändert30.09.2026. Anzeige ist keine Behauptung einer Part-11-Änderung an diesem Tag. Fundstellen: §11.1(a)–(e) und sektorspezifische Ausnahmen(f)–(p); §11.2; §11.3(b)(4),(5),(6),(7),(9); §11.10(a)–(k); §11.30; §§11.50,11.70,11.100,11.200,11.300
- FDA: Part 11 — Scope and Application, Original-PDFOriginaldeckblatt August 2003, Pharmaceutical CGMPs; Contains Nonbinding Recommendations. Aktuell über FDA als Final gelistet. Fundstellen: I.Introduction, gedruckte S.1–2; III.A, S.4; III.B.1–2, S.5–6; III.C.1–5, S.6–8
Zuletzt fachlich geprüft am 07.10.2026.
Daniel Herrmann Consulting
Anwendbarkeit und Nachweise gezielt bearbeiten
Daniel Herrmann Consulting unterstützt Sie bei der Einordnung Ihres konkreten Prozesses und der passenden Nachweisarbeit. Umfang und Verantwortlichkeiten werden am tatsächlichen Bedarf ausgerichtet.
- IT-GxP-Audit →
Anforderungen, vorhandene Nachweise und relevante Lücken beurteilen.
- IT-GxP-Consulting →
Vereinbarte Bewertungs-, Dokumentations- und Testarbeit im Projekt bearbeiten.
- IT-GxP-Coaching →
Ihr Team bei konkreten Entscheidungen und der Anwendung eigener Verfahren begleiten.
- IT-GxP-Compliance-Programm →
Passende interne Verfahren, Vorlagen und Schulung aufbauen.