Inhaltsverzeichnis
Das Wichtigste vorab
Was ist 21 CFR Part 11?
21 CFR Part 11 ist eine US-Regelung zu elektronischen Aufzeichnungen und elektronischen Signaturen im Zuständigkeitsbereich der FDA. Ihr Geltungsbereich hängt von den zugrunde liegenden FDA-Pflichten, den betroffenen Aufzeichnungen und der tatsächlichen Nutzung ab. Die FDA-Guidance „Scope and Application“ erläutert die enge Auslegung und begrenzte Enforcement Discretion. Part 11 bleibt dabei in Kraft; anwendbare Predicate Rules gelten weiter.
- Der Scope folgt den betroffenen Aufzeichnungen und ihren zugrunde liegenden FDA-Pflichten.
- Ein zusätzlicher Ausdruck nimmt eine tatsächlich genutzte elektronische Aufzeichnung nicht automatisch aus dem Scope.
- Signaturdarstellung, Identität und dauerhafte Verknüpfung mit der Aufzeichnung sind getrennte Prüffelder.
- Enforcement Discretion ist keine pauschale Befreiung von Validierung oder Datenintegritätskontrollen.
Den Geltungsbereich mit den Predicate Rules bestimmen
Predicate Rules sind die zugrunde liegenden gesetzlichen oder regulatorischen FDA-Anforderungen außerhalb von Part 11. Sie bestimmen beispielsweise, welche Aufzeichnungen geführt, aufbewahrt oder eingereicht werden müssen. Part 11 ergänzt diese Grundlage für die betroffenen elektronischen Aufzeichnungen und Signaturen. Die Zugehörigkeit zu einer Branche reicht deshalb nicht aus, um jede eingesetzte Anwendung pauschal als Part-11-System einzuordnen.
Für die Scope-Bewertung empfiehlt sich ein Verzeichnis der relevanten Aufzeichnungstypen. Halten Sie jeweils Zweck, zugrunde liegende Pflicht, Erzeugung, Verwendung und Aufbewahrung fest. Prüfen Sie dann, ob die elektronische Aufzeichnung anstelle von Papier genutzt wird oder trotz zusätzlicher Papierfassung die regulierte Tätigkeit trägt. Die FDA empfiehlt, solche Entscheidungen zu dokumentieren und die tatsächliche Arbeitsweise zu berücksichtigen.
Auch die Ausnahmen des Regelungstextes und Vorgaben zur elektronischen Einreichung sind zu beachten. Die Bewertung darf nicht allein auf der Behauptung eines Anbieters beruhen, seine Software sei „Part-11-konform“. Ein System kann unterschiedliche Aufzeichnungstypen verwalten, für die unterschiedliche Pflichten gelten. Eine gemeinsame technische Plattform macht diese Unterschiede nicht bedeutungslos.
Papier, elektronische Nutzung und hybride Abläufe unterscheiden
Die folgende Tabelle veranschaulicht die FDA-Auslegung zum Scope. Sie ersetzt keine Einzelfallbewertung. Bei hybriden Abläufen ist besonders wichtig, welche Fassung für die regulierte Tätigkeit verwendet wird und welche Informationen für deren Rekonstruktion benötigt werden.
Empfehlung: Lassen Sie sich den Ablauf anhand eines typischen Vorgangs zeigen. Eine SOP kann eine Papierprüfung beschreiben, während das Team tatsächlich elektronische Filter, Berechnungen oder Freigaben nutzt. Eine solche Abweichung sollte vor der Scope-Entscheidung geklärt werden. Andernfalls bewerten Sie einen beschriebenen Prozess, der mit der tatsächlichen Arbeitsweise nicht übereinstimmt.
| Ausgangslage | Wesentliche Frage | Einordnung |
|---|---|---|
| Elektronische Pflichtaufzeichnung ersetzt Papier | Welche Predicate Rule verlangt die Aufzeichnung? | Part-11-Relevanz anhand von Pflicht und Nutzung prüfen |
| Elektronische Aufzeichnung plus Ausdruck | Worauf stützt sich die regulierte Tätigkeit tatsächlich? | Der Ausdruck allein begründet keine Ausnahme |
| Computer erzeugt ausschließlich die verwendete Papieraufzeichnung | Erfüllt diese Papieraufzeichnung sämtliche einschlägigen Anforderungen? | Die FDA sieht darin unter den beschriebenen Voraussetzungen grundsätzlich keinen Auslöser für Part 11 |
| Interne Datei ohne einschlägige Aufbewahrungspflicht | Besteht eine andere einschlägige Einreichungs- oder Aufzeichnungspflicht? | Die elektronische Form allein macht die Datei nicht zur Part-11-Aufzeichnung |
Geschlossene und offene Systeme richtig einordnen
Part 11 unterscheidet Systeme anhand der Kontrolle über den Zugang. Bei einem geschlossenen System kontrollieren Personen den Zugang, die für den Inhalt der elektronischen Aufzeichnungen verantwortlich sind. Bei einem offenen System fehlt diese Konstellation. Die Einordnung lässt sich daher nicht allein aus „Cloud“, „Internet“ oder „lokaler Server“ ableiten.
§ 11.10 beschreibt Kontrollen für geschlossene Systeme. § 11.30 adressiert für offene Systeme zusätzliche Maßnahmen, soweit sie erforderlich sind, etwa Verschlüsselung oder geeignete digitale Signaturstandards. Dabei geht es um Authentizität, Integrität und gegebenenfalls Vertraulichkeit vom Entstehungs- bis zum Empfangspunkt der Aufzeichnung.
Empfehlung: Beschreiben Sie Zugriff und Verantwortlichkeit entlang des tatsächlichen Datenflusses. Erfassen Sie auch Administratoren, Dienstleister und beteiligte Organisationen. Dokumentieren Sie, wer Berechtigungen vergibt, ändert und entzieht. Wenn ein Datensatz mehrere Umgebungen durchläuft, betrachten Sie die Übergänge ausdrücklich. Eine pauschale Systemeinstufung kann sonst gerade den Übertragungsschritt ausblenden, für den zusätzliche Kontrollen benötigt werden.
Quellen: [1]
Kontrollen für elektronische Aufzeichnungen prüfen
Zu den im Regelungstext adressierten Feldern gehören verlässliche Systemfunktion, vollständige Kopien, geschützte Aufbewahrung, autorisierter Zugriff und nachvollziehbare Änderungen. Für die konkrete Bewertung sind diese Anforderungen gemeinsam mit den Predicate Rules und der FDA-Guidance zum Anwendungsbereich zu lesen. Aus einer einzelnen Funktionsbezeichnung entsteht noch kein vollständiger Nachweis.
Empfehlung für Audit Trails: Prüfen Sie an repräsentativen Ereignissen, welche Informationen tatsächlich aufgezeichnet werden und ob frühere Angaben nachvollziehbar bleiben. Betrachten Sie auch Zugriff, Aufbewahrung und spätere Auswertbarkeit. Ein generischer technischer Log kann für den benötigten fachlichen Nachweis unzureichend sein. Die Bewertung sollte erklären, wie relevante Änderungen erkannt und untersucht werden können.
Bei Kopien und Exporten ist die spätere Verwendung zu berücksichtigen. Ein PDF kann ein angezeigtes Ergebnis wiedergeben, aber für bestimmte dynamische Daten den notwendigen Zusammenhang nicht vollständig erhalten. Die FDA erläutert im Drug-CGMP-Kontext die Bedeutung von Metadaten und unterscheidet statische von dynamischen Aufzeichnungen. Empfehlung: Prüfen Sie, ob Empfänger den erforderlichen Vorgang anhand der bereitgestellten Daten und Beziehungen nachvollziehen können; testen Sie den Export mit einem aussagekräftigen Beispiel.
Elektronische Signaturen: Identität, Bedeutung und Verbindung
Bei einer elektronischen Signatur sind mehrere Fragen getrennt zu beantworten. § 11.50 verlangt erkennbare Angaben zu Name, Zeitpunkt und Bedeutung der Signatur. § 11.70 adressiert die Verbindung zwischen Signatur und Aufzeichnung. § 11.100 behandelt unter anderem die eindeutige Zuordnung zu einer Person und die vorherige Identitätsprüfung. Eine sichtbare Namenszeile allein deckt diese Anforderungen nicht ab.
Für nicht biometrische Signaturen nennt § 11.200 mindestens zwei unterschiedliche Identifikationskomponenten, beispielsweise Kennung und Passwort. Die Regelung unterscheidet dabei Signaturfolgen während eines zusammenhängenden kontrollierten Systemzugangs von anderen Signaturvorgängen. Diese Formulierung sollte nicht ungeprüft mit zwei unabhängigen Faktoren einer modernen Mehrfaktor-Authentifizierung gleichgesetzt werden.
Empfehlung für den Test: Prüfen Sie einen vollständigen Freigabevorgang mit berechtigter und unberechtigter Rolle, die Darstellung der Signatur und die Zuordnung zur tatsächlich freigegebenen Version. Betrachten Sie auch Änderungen nach der Freigabe und die spätere Wiedergabe. Organisatorisch sind Vergabe, Schulung, Sperrung und Umgang mit kompromittierten Zugangsmitteln zu regeln. Zusätzlich ist die Erklärung gegenüber der FDA nach § 11.100(c) zur beabsichtigten Gleichwertigkeit elektronischer und handschriftlicher Signaturen zu beachten.
Was Enforcement Discretion bedeutet
Die FDA-Guidance „Scope and Application“ beschreibt begrenzte Zurückhaltung bei der Durchsetzung bestimmter Part-11-Anforderungen, unter anderem zu Validierung, Audit Trails, Aufbewahrung und Kopien. Sie stellt zugleich klar, dass Part 11 in Kraft bleibt und anwendbare Predicate Rules weiter durchgesetzt werden. Die Guidance enthält behördliche Auslegung und Empfehlungen; sie ist kein Aufhebungstext.
Daraus lässt sich weder ein allgemeiner Verzicht auf Validierung noch auf die Nachvollziehbarkeit von Änderungen ableiten. Die FDA empfiehlt eine begründete, dokumentierte Risikobewertung unter Berücksichtigung von Produktqualität, Sicherheit und Integrität der Aufzeichnungen. Im Drug-CGMP-Kontext erläutert die ergänzende Datenintegritäts-Guidance weiterhin den Bedarf an geeigneten System- und Prozesskontrollen.
Empfehlung: Wenn Sie eine Maßnahme anders umsetzen wollen, dokumentieren Sie zunächst die anwendbare Pflicht und das konkrete Risiko. Erläutern Sie dann, wie die gewählte Kontrolle dieses Risiko beherrscht und wie ihre Wirksamkeit geprüft wird. Ein isolierter Verweis auf Enforcement Discretion erklärt weder die rechtliche Grundlage noch die fachliche Eignung der Entscheidung.
Beispiel: Elektronische Laborergebnisse mit zusätzlichem Ausdruck
Beispiel: Ein Labor erzeugt elektronische Messdaten und einen ausgedruckten Ergebnisbericht. Für die Bewertung des Ergebnisses werden im System zusätzlich Bearbeitungsschritte und weitere Daten betrachtet. Wenn eine einschlägige FDA-Aufzeichnungspflicht besteht, kann der Ausdruck allein den elektronischen Teil nicht aus dem Part-11-Scope nehmen. Maßgeblich ist, worauf sich die regulierte Tätigkeit tatsächlich stützt.
Ein möglicher Bewertungsweg erfasst zunächst die benötigten Rohdaten, Berechnungen, Metadaten, Änderungen und Freigaben. Danach wird geklärt, welche Informationen aufzubewahren sind und in welcher Form sie später überprüfbar bleiben. Ein Test kann untersuchen, ob die erforderliche Historie eines Beispieldatensatzes einschließlich seiner Zuordnungen wiedergefunden und verstanden werden kann.
Dies ist ein konstruiertes Beispiel zur Anwendung der Scope-Logik. Es enthält keine Aussage über ein bestimmtes Laborprodukt oder einen Kundenfall. Die konkrete Bewertung hängt vom verwendeten Verfahren und den anwendbaren Pflichten ab. Der praktische Nutzen liegt darin, die gesamte Nachweiskette sichtbar zu machen, bevor ein einzelnes Exportformat oder eine Signaturfunktion ausgewählt wird.
Ein dokumentierter Bewertungsweg für Ihr System
Für die Umsetzung empfiehlt sich ein zusammenhängendes Bewertungsdokument mit Verweisen auf vorhandene Nachweise. Beginnen Sie mit den Aufzeichnungstypen und Predicate Rules, dokumentieren Sie die tatsächliche elektronische oder hybride Nutzung und ordnen Sie die betroffenen Systeme zu. Ergänzen Sie die Kontrollanforderungen und den vorhandenen Stand. Auf dieser Grundlage lassen sich Lücken priorisieren.
Eine reine Herstellercheckliste kann dafür als Informationsquelle dienen. Sie sollte aber zeigen, ob eine Funktion vorhanden, aktiviert, richtig konfiguriert und für Ihren Ablauf geprüft ist. Auch organisatorische Voraussetzungen wie Schulung, Verantwortlichkeiten und die Behandlung von Änderungen gehören in die Bewertung. Für offene Punkte werden konkrete Ergebnisse und Zuständigkeiten festgelegt.
Die folgende Checkliste ist eine Arbeitshilfe für diese Bestandsaufnahme. Sie liefert keine pauschale Compliance-Bestätigung und ersetzt die Prüfung der anwendbaren Anforderungen nicht.
- Sind relevante Aufzeichnungstypen und die zugrunde liegenden FDA-Pflichten benannt?
- Ist die tatsächliche Nutzung von elektronischen und Papieraufzeichnungen geklärt?
- Sind Systemzugang, Verantwortlichkeiten und Datenübergänge nachvollziehbar beschrieben?
- Wurden relevante Kontrollen anhand konkreter Vorgänge geprüft?
- Sind Signaturidentität, Bedeutung, Verknüpfung und spätere Darstellung bewertet?
- Sind Aufbewahrung, Kopien und Abruf einschließlich benötigter Metadaten geklärt?
- Ist jede wesentliche Lücke mit Risiko, Maßnahme und Verantwortlichem verbunden?
- Werden Änderungen am Prozess oder System auf Auswirkungen auf den Scope geprüft?
Häufige Fragen zu 21 CFR Part 11
Gilt Part 11 für jedes System eines Pharmaunternehmens?
Nein. Der Geltungsbereich folgt den betroffenen Aufzeichnungen, den zugrunde liegenden FDA-Pflichten und der tatsächlichen Nutzung. Ein elektronisches Dateiformat oder der Unternehmenssektor allein reicht nicht aus. Auch die im Regelungstext enthaltenen Ausnahmen sind zu berücksichtigen. Die FDA empfiehlt dokumentierte Scope-Entscheidungen für relevante Aufzeichnungen.
Was sind Predicate Rules?
Das sind die zugrunde liegenden gesetzlichen oder regulatorischen FDA-Anforderungen außerhalb von Part 11. Sie bestimmen beispielsweise, welche Aufzeichnungen geführt, aufbewahrt oder eingereicht werden müssen. Für die Part-11-Bewertung bilden diese Pflichten den Ausgangspunkt. Die aktuell anwendbare Vorschrift ist für die konkrete Tätigkeit zu ermitteln.
Nimmt ein Papierausdruck elektronische Daten aus dem Scope?
Nicht automatisch. Wenn sich die regulierte Tätigkeit weiterhin auf die elektronische Aufzeichnung stützt, kann Part 11 trotz zusätzlichem Ausdruck relevant bleiben. Die FDA unterscheidet davon Abläufe, die ausschließlich auf einer die einschlägigen Anforderungen erfüllenden Papieraufzeichnung beruhen. Entscheidend ist die tatsächliche Arbeitsweise, die nachvollziehbar festgelegt werden sollte.
Ist ein Cloud-System automatisch ein offenes System?
Nein. Part 11 definiert offen und geschlossen anhand der Zugangskontrolle durch die für den Inhalt verantwortlichen Personen. Der technische Betrieb in einer Cloud entscheidet dies nicht allein. Empfehlung: Beschreiben Sie die tatsächlichen Zugriffs- und Verantwortungsgrenzen einschließlich Dienstleistern und Datenübergängen und begründen Sie daraus die Einordnung.
Welche Angaben gehören zu einer elektronischen Signatur?
Nach § 11.50 müssen Name, Datum und Uhrzeit sowie die Bedeutung der Signatur erkennbar sein. Hinzu kommen weitere Anforderungen, etwa an die Identität, Signaturkontrollen und die Verbindung mit der Aufzeichnung. Eine Darstellung dieser Angaben allein beweist daher noch nicht, dass der gesamte Signaturprozess geeignet ist.
Entfallen Audit Trails und Validierung durch Enforcement Discretion?
Eine pauschale Befreiung ergibt sich daraus nicht. Die FDA beschreibt begrenzte Zurückhaltung bei bestimmten Part-11-Anforderungen; anwendbare Predicate Rules bleiben bestehen. Entscheidungen über Validierung und geeignete Kontrollen sollen begründet und risikobasiert dokumentiert werden. Die Auswirkung auf verlässliche Aufzeichnungen und Produktqualität bleibt wesentlich.
Reicht die Part-11-Erklärung des Softwareherstellers?
Sie kann Informationen über Funktionen und Nachweise liefern. Für Ihren Einsatz bleiben Scope, Konfiguration, Prozesse und organisatorische Kontrollen zu bewerten. Empfehlung: Fragen Sie nach konkreten Belegen für die benötigten Funktionen und ordnen Sie diese Ihren Anforderungen zu. Ein allgemeiner Produktclaim ersetzt weder diesen Abgleich noch die Prüfung des tatsächlichen Ablaufs.
Quellen & fachlicher Stand
Der Regelungstext wurde am 6. Oktober 2026 im fortlaufend gepflegten eCFR geprüft. Das Gesamtänderungsdatum von Title 21 wird nicht als Änderung von Part 11 ausgegeben. FDA-Guidance erläutert die Behördenauffassung und enthält nicht bindende Empfehlungen. Die Datenintegritäts-Guidance bezieht sich auf Drug CGMP; ihr Geltungsbereich wird nicht auf alle FDA-regulierten Tätigkeiten ausgedehnt.
- eCFR: 21 CFR Part 11 – Electronic Records; Electronic Signatures
- eCFR: § 11.10 – Controls for closed systems
- eCFR: § 11.200 – Electronic signature components and controls
- FDA: Part 11 – Scope and Application (Final Guidance, 2003)
- FDA: Data Integrity and Compliance With Drug CGMP – Questions and Answers (2018)
Zuletzt fachlich geprüft am 06.10.2026.
Daniel Herrmann Consulting
Part-11-Scope und Kontrollen nachvollziehbar bewerten
Wir unterstützen Sie bei der Einordnung relevanter Aufzeichnungen und der Prüfung der technischen und organisatorischen Kontrollen Ihres Systems.
- IT-GxP-Audit →
Wir betrachten den vereinbarten Scope, vorhandene Nachweise und erkennbare Lücken als Grundlage für Ihre nächsten Maßnahmen.
- IT-GxP-Consulting →
Wir übernehmen die vereinbarte Dokumentations- und Testarbeit in Ihrem Systemprojekt. Fachentscheidungen und Freigaben verbleiben bei Ihren Verantwortlichen.