Annex 11: Notfallbetrieb kritischer Systeme planen

1. Kontinuität am kritischen Prozess ausrichten

Annex 11 Januar 2011 ist am 7. Oktober 2026 weiterhin im Humanarzneimittel-GMP-Bereich gelistet. § 16 bezieht sich auf Systeme, die kritische Prozesse unterstützen. Als mögliche Vorkehrungen nennt die Passage manuelle oder alternative Systeme, ohne eine einzige technische Lösung vorzuschreiben.

Beginnen Sie mit der Frage, was während eines Ausfalls tatsächlich gefährdet ist. Geht es um laufende Prozesssteuerung, Zugriff auf den gültigen Materialstatus oder die Aufzeichnung einer bereits begonnenen Tätigkeit? Diese Unterschiede bestimmen, welche Arbeit weitergehen kann und welche Bedingungen dafür erfüllt sein müssen. Der allgemeine Wunsch nach schneller Verfügbarkeit ist noch keine belastbare Prozessanforderung.

Quellen: [1] [4]

2. Ausfallszenarien und abhängige Informationen bestimmen

Eine Anwendung kann erreichbar sein, während ihr Identitätsdienst oder eine entscheidende Schnittstelle ausfällt. Umgekehrt kann die Oberfläche nicht verfügbar sein, obwohl Daten sicher gespeichert bleiben. Beschreiben Sie daher plausible Szenarien und die jeweils fehlende Fähigkeit, statt nur den Zustand „IT ausgefallen“ zu verwenden.

Berücksichtigen Sie auch gemeinsame Abhängigkeiten. Ein Ersatzverfahren, das dieselbe ausgefallene Dateiablage für seine Formulare benötigt, ist möglicherweise nicht verfügbar. Ebenso hilft eine gedruckte Liste wenig, wenn sie den aktuellen Status nicht verlässlich abbildet. Die Eignung der Ersatzinformation muss zum konkreten Risiko und Zeitpunkt passen.

Quellen: [1] [3]

3. Ersatzbetrieb mit erlaubten Tätigkeiten definieren

Definieren Sie Aktivierung, Zuständigkeit, benötigte Mittel und Grenzen. Welche Information muss vorliegen, wer darf das Ersatzverfahren starten und wann wird eskaliert oder angehalten? Die erforderliche Zeit bis zur Nutzbarkeit leiten Sie aus dem Prozess ab. Annex 11 enthält dafür keine universelle Stundenfrist.

Die eigene Matrix unterscheidet Voraussetzungen und Stopppunkte. Sie ist keine Empfehlung, bei jedem Ausfall auf Papier weiterzuarbeiten. Ein manueller Weg ist nur dann hilfreich, wenn er die benötigten Kontrollen angemessen trägt. Fehlt beispielsweise die verlässliche Zuordnung eines Materials, kann Weiterarbeit eine falsche Sicherheit erzeugen.

Quellen: [1] [2]

4. Illustrative Übung: Bestand während eines Ausfalls

Das folgende Modell ist ausdrücklich erfunden. Vor dem Ausfall stehen für Charge B-010 genau 100 Einheiten mit bestätigter Verwendungsberechtigung bereit. Ein genehmigtes Ersatzverfahren erlaubt nur dokumentierte Entnahmen aus diesem bekannten Bestand. Es entstehen die eindeutig bezeichneten Vorgänge N-01 über 12 Einheiten und N-02 über 8 Einheiten. Neue Statusentscheidungen sind im Beispiel nicht Teil des Ersatzverfahrens.

Das unabhängige Soll lautet: 100 − 12 − 8 = 80 Einheiten verbleiben. Nach Wiederanlauf müssen beide Vorgänge genau einmal berücksichtigt sein. Die Tabelle beschreibt erwartete Ergebnisse einer geplanten Übung, keinen tatsächlich ausgeführten Test und keine Empfehlung einer allgemeinen Mengengrenze.

Quellen: [1] [2]

5. Zwischenaufzeichnungen beherrschen

Planen Sie, wie Aufzeichnungen erreichbar, identifizierbar und gegen Verwechslung geschützt bleiben. Bei Papier bedeutet das beispielsweise geeignete Formulare, eindeutige Vorgangsbezüge und nachvollziehbare Korrekturen. Bei elektronischen Hilfsmitteln sind deren tatsächliche Zugriffsmöglichkeiten und Datenwege zu betrachten.

Kapitel 4 behandelt zeitnahe Aufzeichnungen und kontrollierte Änderungen. Für den Ersatzbetrieb folgt daraus eine praktische Aufgabe: Die spätere Übernahme darf die ursprüngliche zeitliche und fachliche Beziehung nicht verdecken. Erfassen Sie den tatsächlichen Vorgang und unterscheiden Sie ihn von der späteren Eingabe ins wieder verfügbare System. Ein nachträglich erstellter Sammelbericht erklärt diese Unterschiede nicht automatisch.

Quellen: [2] [1]

6. Den Wiederanlauf als eigenen Übergang planen

Klären Sie vorab, wer den technischen Zustand und wer die fachliche Fortsetzung beurteilt. Teilweise verarbeitete Nachrichten oder Buchungen dürfen beim Nachtragen nicht unbemerkt ein zweites Mal wirken. Für den Abgleich sind geeignete Referenzen und Kenntnis des letzten verlässlichen Systemstands erforderlich.

Im Beispiel wird deshalb jeder Zwischenvorgang mit dem elektronischen Bestand verglichen. Ein sichtbarer Restbestand von 80 allein wäre noch nicht der vollständige Nachweis, wenn sich zwei falsche Bewegungen zufällig ausgleichen. Die einzelnen Vorgänge und ihre Zuordnung bleiben wichtig. Erst die bewertete Übereinstimmung trägt die Entscheidung, wieder in den vereinbarten Normalablauf zu wechseln.

Quellen: [1] [3] [2]

7. Die Übung auf Schwachstellen ausrichten

Eine Besprechung kann Rollen und Entscheidungen klären; sie zeigt nicht automatisch, dass Formulare, Berechtigungen oder Wiederherstellung praktisch funktionieren. Wählen Sie eine passende Kombination aus Durchsprache und tatsächlicher Erprobung. Dabei muss die Produktivumgebung vor unbeabsichtigten Eingriffen geschützt werden.

Variieren Sie gezielt relevante Bedingungen: fehlende Vertretung, nicht erreichbare Ersatzablage oder ein teilweise gebuchter Vorgang. Dokumentieren Sie Beobachtungen und bewerten Sie ihre Bedeutung. Ein Übungsfehler ist eine Gelegenheit zur gezielten Verbesserung, kein Anlass, das erwartete Ergebnis nachträglich an die Beobachtung anzupassen. Änderungen am Verfahren können passende erneute Nachweise erfordern.

Quellen: [1] [3]

8. Zuständigkeit und Pflege im Betrieb verankern

Ein Notfallplan muss zum aktuellen System und zur verfügbaren Organisation passen. Änderungen an Schnittstellen, Datenablagen, Personal oder Arbeitsweise können seine Annahmen verändern. Verbinden Sie seine Pflege deshalb mit dem Änderungsprozess und der periodischen Bewertung, statt nur eine abgelegte Datei vorzuhalten.

Für die erste Bearbeitung genügt ein klar abgegrenztes kritisches Szenario. Fachbereich und QA bestimmen die erlaubte Fortsetzung, IT erklärt Ausfall- und Wiederherstellungsmöglichkeiten. Die folgende Checkliste unterstützt diesen gemeinsamen Durchgang. Sie ist keine Zusage, dass ein bestimmtes Ersatzverfahren behördlich oder für jede Störung geeignet ist.

• Kritischen Prozess und konkrete Ausfallszenarien beschrieben.
• Informationsabhängigkeiten des Ersatzverfahrens geprüft.
• Aktivierung, verantwortliche Rollen und Stopppunkte festgelegt.
• Zwischenaufzeichnungen und zeitliche Zuordnung vorbereitet.
• Rückübernahme einschließlich Teilverarbeitung und Doppelbuchung geregelt.
• Geeignete Übung, Befundbearbeitung und Pflegeanlässe bestimmt.

Quellen: [1] [2]

RTO und RPO: Prozessziele mit einem durchgerechneten Fall prüfen

RTO beschreibt im hier verwendeten Notfallkonzept die angestrebte Zeit bis zur Wiederherstellung der benötigten Betriebsfähigkeit. RPO beschreibt den tolerierbaren zeitlichen Abstand des wiederhergestellten Datenstands zum Ausfall. Beide Werte werden aus dem konkreten Prozess abgeleitet. Annex 11 nennt dafür keine universelle Stunden- oder Minutenfrist. Ein technisch schneller Restore kann trotzdem einen fachlich nicht ausreichend aktuellen Bestand liefern.

Das folgende Beispiel ist konstruiert. Die letzte brauchbare Sicherung stammt von 08:00 Uhr, der Ausfall beginnt um 10:00 Uhr. Ohne weitere Wiederherstellungsmöglichkeit fehlen damit bis zu zwei Stunden Daten. Wenn der Prozess nur 15 Minuten toleriert, ist das Ziel nicht belegt. Zusätzlich muss bewertet werden, wann Anmeldung, Schnittstellen, Statusabgleich und erlaubte Weiterarbeit tatsächlich verfügbar sind. Der reine Datenbankstart ist nicht zwingend der fachliche Wiederanlauf.

Quellen: [1]

Die Notfallübung an den tatsächlichen Endpunkt führen

Definieren Sie vor der Übung, wann sie fachlich erfolgreich ist. Benötigt der Prozess aktuelle Sperrstände, bestimmte Schnittstellen und autorisierte Benutzer, werden diese Bedingungen einbezogen. Prüfen Sie zwischenzeitliche manuelle Aufzeichnungen und ihre kontrollierte Übernahme. Eine scheinbar schnelle Rückkehr kann später Doppelbuchungen oder widersprüchliche Status erzeugen, wenn der Abgleich ausgelassen wird.

Dokumentieren Sie gemessene Zeiten und Datenstände getrennt von Zielwerten. Ein Ziel ist kein bereits nachgewiesenes Ergebnis. Befunde werden mit Verantwortlichen und Verbesserungen bearbeitet. Prüfen Sie auch abhängige Dienste, Personalverfügbarkeit und Zugänge. Das Notfallkonzept soll die erlaubte Prozessfortsetzung ermöglichen; es muss nicht jeden Komfort sofort wiederherstellen. Welche Funktionen dafür erforderlich sind, wird fachlich begründet festgelegt.

Quellen: [1] [3]