EU-GMP Annex 11: Anforderungen an computergestützte Systeme

Welche Systeme fallen unter Annex 11?

Der Ausgangspunkt ist eine GMP-regulierte Tätigkeit. Ein ERP, ein Labor- oder Produktionssystem kann dazugehören, ebenso eine kleinere Anwendung mit einer relevanten Berechnung. Daraus folgt keine pauschale Einordnung sämtlicher Software eines Pharmaunternehmens. Zu prüfen ist, welche Funktionen und Daten die jeweilige Tätigkeit tatsächlich unterstützen.

Annex 11 unterscheidet im Grundsatz zwischen der zu validierenden Anwendung und der zu qualifizierenden IT-Infrastruktur. Die erforderlichen Aktivitäten richten sich nach dem betrachteten System und seinen Risiken. Auch bei einem extern betriebenen Dienst bleiben die Prozesse, Verantwortlichkeiten und Nachweise des regulierten Nutzers Teil der Bewertung.

Empfehlung für das Scoping: Verfolgen Sie einen repräsentativen Datensatz von der Entstehung bis zur späteren Verwendung. Erfassen Sie dabei manuelle Eingaben, Berechnungen, Schnittstellen und Entscheidungen. So werden beispielsweise eine unscheinbare Tabellenkalkulation oder ein externer Datentransfer sichtbar, die in einer reinen Softwareliste übersehen werden könnten. Halten Sie begründete Ausschlüsse ebenfalls fest, damit der Umfang später nachvollziehbar bleibt.

Quellen: [1] [5]

Systeminventar, Anforderungen und Risikobewertung verbinden

Annex 11 fordert eine aktuelle Übersicht relevanter Systeme und ihrer GMP-Funktionalität. Für kritische Systeme kommt eine aktuelle Beschreibung unter anderem der Datenflüsse, Schnittstellen und Sicherheitsmaßnahmen hinzu. Die User Requirements Specification beschreibt benötigte Funktionen auf Grundlage von GMP-Auswirkung und dokumentierter Risikobewertung; die Anforderungen bleiben über den Lebenszyklus nachvollziehbar.

Als praktische Struktur empfiehlt sich, pro System Verantwortliche, Nutzung, Betriebsmodell und wesentliche Verbindungen zu dokumentieren. Ein Eintrag „ERP, validiert“ ist für eine Änderung wenig hilfreich. Aussagekräftiger ist, welche Prozesse und Standorte der bewertete Stand umfasst und welche anderen Systeme Daten liefern oder übernehmen. Produktversion, Konfiguration und relevante Erweiterungen sollten zur vorhandenen Dokumentation passen.

Für die Bewertung einer Lücke ist die fachliche Folge wichtiger als die Zahl fehlender Dokumente. Eine unklare Statusübertragung kann beispielsweise eine andere Priorität haben als eine überholte Formatvorlage. Empfehlung: Beschreiben Sie das Fehlerszenario, die mögliche GMP-Auswirkung und die vorhandene Kontrolle. Daraus lassen sich Maßnahmen und Prüftiefe begründen. Die Anforderungen werden anschließend so formuliert, dass ein späterer Befund eindeutig beurteilt werden kann.

Quellen: [1]

Lieferanten und ausgelagerte Leistungen einbeziehen

Abschnitt 3 behandelt Lieferanten und Dienstleister. Verantwortlichkeiten externer Beteiligter sind in formalen Vereinbarungen zu regeln. Kompetenz und Zuverlässigkeit des Lieferanten sind relevant; die Notwendigkeit eines Audits soll risikobasiert bestimmt werden. Eine pauschale Pflicht zum identischen Vor-Ort-Audit jedes Anbieters lässt sich daraus nicht ableiten.

Für einen Cloud-Dienst empfiehlt sich ein Abgleich der tatsächlichen Leistungsteilung. Wer kann Benutzer anlegen, Konfigurationen verändern oder Daten wiederherstellen? Wer meldet Störungen und sicherheitsrelevante Ereignisse? Welche Unterlagen erhält der Kunde, und wie werden Änderungen angekündigt? Ein Vertrag kann Verantwortlichkeiten benennen, während der operative Ablauf dennoch unklar bleibt. Deshalb sollten Vereinbarung und tatsächlich verfügbare Leistung zusammen betrachtet werden.

Bewerten Sie Lieferantenunterlagen anhand Ihrer Anforderungen. Ein Bericht zur Anbieterinfrastruktur kann einen wichtigen Teil des Nachweises liefern, sagt aber nicht automatisch etwas über kundenspezifische Freigaben oder Datenzuordnungen aus. Empfehlung: Führen Sie eine einfache Zuordnung von Anforderung, Lieferantennachweis und verbleibender eigener Aktivität. Offene Punkte werden mit zuständiger Rolle und benötigtem Ergebnis festgehalten.

Quellen: [1] [5]

Prüffelder und geeignete Nachweise

Die folgende Tabelle übersetzt ausgewählte Themen des Annex 11 in praktische Prüfungsfragen. Sie ist eine Arbeitshilfe und keine vollständige Anforderungsliste. Ob ein Nachweis durch Dokumentenprüfung, Test oder Beobachtung im Betrieb entsteht, ist anhand des Systems und seiner Risiken festzulegen.

Besonders bei Daten lohnt sich die Unterscheidung zwischen technischer Übertragung und fachlicher Bedeutung. Ein erfolgreicher Import kann dennoch einen falschen Status oder eine falsche Einheit erzeugen. Für Migrationen adressiert Annex 11 ausdrücklich, dass Wert und Bedeutung der Daten erhalten bleiben. Für die konkrete Umsetzung empfiehlt sich daher ein fachlicher Abgleich mit zuvor festgelegten Kriterien.

Quellen: [1] [5]

Audit Trails, Berechtigungen und laufende Bewertung

Ein vorhandenes Protokoll ist erst dann praktisch nutzbar, wenn Inhalt, Zugriff und Auswertung zum benötigten Nachweis passen. Annex 11 behandelt die risikobasierte Betrachtung GMP-relevanter Änderungen und Löschungen, deren Nachvollziehbarkeit und die regelmäßige Prüfung von Audit Trails. Eine einheitliche jährliche Frist für jedes System oder jeden Review nennt der Text nicht.

Empfehlung: Legen Sie für den jeweiligen Review fest, welche Ereignisse betrachtet werden, wer sie beurteilt, welche Auffälligkeiten weiterverfolgt werden und wo die Bewertung dokumentiert wird. Der Review eines entscheidungsrelevanten Datensatzes kann einen anderen Zweck haben als die Untersuchung administrativer Eingriffe. Eine große exportierte Protokolldatei zeigt noch nicht, dass relevante Auffälligkeiten erkannt wurden.

Änderungen, Zugriffe und Störungen sind mit dem Qualitätsverfahren zu verbinden. Für eine periodische Bewertung empfiehlt sich ein zusammenhängender Blick auf den aktuellen Einsatz, wesentliche Änderungen, offene Probleme und die Wirksamkeit der Kontrollen. Eine ausgefüllte Statusliste ohne Bezug zum heutigen Betrieb hilft nur begrenzt. Die Bewertung sollte erkennen lassen, ob Maßnahmen nötig sind und wer deren Abschluss verfolgt.

Quellen: [1] [5]

Wiederherstellung und langfristigen Zugriff nachweisen

Eine Sicherungsdatei, eine wieder startende Anwendung und ein vollständig rekonstruierbarer Vorgang sind unterschiedliche Prüfergebnisse. Die EMA erläutert, dass bei der Sicherung auch benötigte Metadaten berücksichtigt werden müssen, wenn diese getrennt von den Rohdaten liegen. Für den geplanten Nachweis ist deshalb zu bestimmen, welche Informationen gemeinsam wieder verfügbar sein müssen.

Empfehlung für eine Wiederherstellungsprüfung: Wählen Sie einen für den Prozess aussagekräftigen Datensatz mit relevanten Beziehungen und Statusinformationen. Prüfen Sie nach der technischen Wiederherstellung, ob er gefunden, angezeigt und fachlich verstanden werden kann. Beziehen Sie erforderliche Historien oder Signaturbezüge ein. Dokumentieren Sie den geprüften Sicherungsstand, die Umgebung und festgestellte Einschränkungen.

Für ein Archiv stellt sich zusätzlich die Frage nach dem späteren Zugriff: Welche Software, Berechtigung oder externe Unterstützung wird benötigt? Wie wird eine Anfrage bearbeitet, wenn das Ursprungssystem nicht mehr läuft? Der betrachtete Zeitraum folgt den anwendbaren Aufbewahrungspflichten. Eine allgemeine Jahreszahl für alle GMP-Daten wäre daher ungeeignet. Bei einer Stilllegung empfiehlt sich eine ausdrücklich dokumentierte Übergabe dieser Aufgaben.

Quellen: [1] [5]

Beispiel: Eine Tabellenkalkulation für eine GMP-Berechnung

Beispiel: Eine freigegebene Tabellenkalkulation berechnet einen qualitätsrelevanten Wert aus manuell eingegebenen Daten. Die Bewertung beginnt mit der Bedeutung des Ergebnisses und seiner Verwendung. Der geringe technische Umfang befreit den Ablauf nicht von der Betrachtung seiner Risiken.

Die EMA nennt für Tabellenkalkulationen unter anderem die Prüfung von Formeln, geeignete Versionskontrolle und Schutz vor unbeabsichtigtem Überschreiben. In einem möglichen Testkonzept wären deshalb typische Eingaben, Grenzwerte, unzulässige Datentypen und der Schutz der Berechnungslogik zu betrachten. Ob die jeweils eingesetzte Datei mit der bewerteten Vorlage übereinstimmt, ist eine weitere praktische Frage.

Empfehlung für die Anwendung: Legen Sie fest, wo die freigegebene Vorlage bereitsteht, wie bearbeitete Dateien abgelegt werden und wie die Ergebnisprüfung erfolgt. Eine kopierte Datei auf einem lokalen Rechner kann sonst einen anderen Stand enthalten als die zentrale Vorlage. Das Beispiel zeigt einen möglichen Bewertungsweg; es behauptet weder eine generelle Eignung von Tabellenkalkulationen noch ein universelles Testpaket.

Quellen: [5] [1]

Status der Revision: Fassung 2011 und Entwurf 2025

Am 6. Oktober 2026 verlinkt die amtliche EudraLex-Übersicht Annex 11 weiterhin als Revision von Januar 2011. Das Dokument nennt den 30. Juni 2011 als Anwendungsbeginn. Die Konsultation zur Überarbeitung lief vom 7. Juli bis zum 7. Oktober 2025 und ist geschlossen. Die Kommission bezeichnet das dazu veröffentlichte Dokument ausdrücklich als Entwurf.

Die Konsultationsseite nennt unter anderem Lebenszyklusmanagement, Systemanforderungen, Lieferantenaufsicht, Datenintegrität, Audit Trails, elektronische Signaturen und Sicherheit als Schwerpunkte. Diese Inhalte sind für die Vorbereitung relevant. Ein Entwurf oder ein früherer Zeitplan belegt jedoch keine Inkraftsetzung einer neuen Fassung.

Empfehlung: Führen Sie eine Bewertung gegen die heute anwendbaren Anforderungen und eine getrennte Beobachtung der Revision. Damit werden bereits bestehende Lücken zeitnah bearbeitet, während mögliche künftige Änderungen vorbereitet werden können. Vermerken Sie in einer solchen Übersicht die Quelle und ihren Status. Vor einer verbindlichen Anpassung ist der dann veröffentlichte amtliche Stand erneut zu prüfen.

Quellen: [2] [1] [3] [4]

Checkliste für eine erste Annex-11-Bewertung

Die Fragen unterstützen eine erste Bestandsaufnahme. Halten Sie zu jeder relevanten Antwort den Nachweis, eine offene Frage oder eine Maßnahme fest. Die Liste ist kein vollständiger Compliance-Nachweis.

• Sind GMP-Funktion, Systemumfang und verantwortliche Rollen aktuell beschrieben?
• Sind Anforderungen, Risiken und Prüfergebnisse nachvollziehbar verbunden?
• Sind externe Leistungen und die zugehörigen Verantwortlichkeiten vereinbart?
• Wurden kritische Eingaben, Datenflüsse und Fehlerfälle angemessen geprüft?
• Sind Berechtigungen, relevante Historien und deren Auswertung geregelt?
• Ist eine fachlich aussagekräftige Wiederherstellung nachgewiesen?
• Werden Änderungen, Störungen und der aktuelle Zustand systematisch bewertet?
• Ist der spätere Zugriff auf aufzubewahrende Daten geklärt?

Quellen: [1] [5]