eIDAS vs. 21 CFR Part 11: Signaturen richtig einordnen

Zuerst bestimmen, welche Aufzeichnung unterschrieben wird

Beginnen Sie mit dem Prozess und der führenden Aufzeichnung. Wird eine SOP genehmigt, ein Prüfergebnis bestätigt oder eine andere rechtlich relevante Erklärung abgegeben? Prüfen Sie, welche Vorschriften und Formvorgaben dafür tatsächlich gelten. Part 11 knüpft insbesondere an elektronische Aufzeichnungen unter einschlägigen FDA-Aufzeichnungspflichten beziehungsweise bestimmte elektronische Einreichungen an. Allein die Nutzung einer Signatursoftware macht nicht jeden Vorgang zu einem Part-11-Prozess.

Für den EU-GMP-Einsatz computergestützter Systeme ist Annex 11 gesondert zu berücksichtigen. Andere GxP-Bereiche und Rechtsfragen können eigene Vorgaben haben. Erfassen Sie daher Recordtyp, Verwendungszweck, Beteiligte, Rechtsraum und erforderliche Nachweise. Dieser Leitfaden erläutert die Abgrenzung für System- und Prozessbewertung. Er entscheidet keine individuelle Vertrags- oder Formfrage und ersetzt keine dafür nötige rechtliche Prüfung. Eine universelle Signaturklasse für sämtliche Unternehmensdokumente wäre kein geeigneter Ausgangspunkt.

Quellen: [1] [2]

Was eIDAS über Signaturarten und Rechtswirkung sagt

Die eIDAS-Verordnung unterscheidet elektronische, fortgeschrittene und qualifizierte elektronische Signaturen. Artikel 26 nennt Anforderungen an eine fortgeschrittene Signatur, unter anderem die eindeutige Zuordnung, Identifizierbarkeit und Erkennbarkeit nachträglicher Änderungen der verbundenen Daten. Eine qualifizierte Signatur hat zusätzliche Voraussetzungen. Artikel 25 Absatz 2 ordnet ihr die gleiche Rechtswirkung wie einer handschriftlichen Unterschrift zu. Diese Aussage wird nicht zu einer allgemeinen technischen Validierungsbestätigung erweitert.

Artikel 25 Absatz 1 bestimmt zugleich, dass eine elektronische Signatur nicht allein wegen ihrer elektronischen Form oder fehlender Qualifikation rechtliche Wirkung und Beweiszulässigkeit verlieren darf. Daraus folgt jedoch ebenfalls keine pauschale Aussage, jede beliebige elektronische Bestätigung erfülle jede erforderliche Form oder jeden GxP-Prozess. Unterscheiden Sie Rechtswirkung, Beweisfrage, konkrete Formvorgabe und betriebliche Eignung. Die Verordnung wurde geändert; beziehen Sie sich auf den bezeichneten konsolidierten Text und die tatsächlich einschlägigen aktuellen Bestimmungen.

Quellen: [3]

Part 11 bewertet mehr als den Signaturmechanismus

Part 11 enthält Anforderungen an elektronische Records und Signaturen innerhalb seines Geltungsbereichs. Dazu gehören Systemkontrollen und die Eignung der verwendeten Systeme. §§ 11.50 und 11.70 behandeln unter anderem die sichtbaren Signaturinformationen und die Verbindung zur jeweiligen Aufzeichnung. Name, Zeitpunkt und Bedeutung einer Signatur sind deshalb andere Prüfgegenstände als die bloße Anzeige „Zertifikat gültig“. Auch Identitäts- und Zugriffskontrollen müssen zum tatsächlich verwendeten Verfahren passen.

Die Signatur kann beispielsweise eine Prüfung, Genehmigung oder andere festgelegte Bedeutung haben. Der Anwender muss erkennen können, welche Handlung er ausführt und auf welchen Inhalt sie sich bezieht. Prüfen Sie, ob eine nachträgliche Inhaltsänderung erkennbar ist und wie ein geänderter Stand erneut behandelt wird. Eine Signaturgrafik oder ein eingetippter Name belegt diese Eigenschaften nicht automatisch. Ebenso wenig beweist ein technisch hochwertiger Signaturdienst die vollständige Kontrolle eines vorgelagerten oder nachgelagerten Systems.

Quellen: [1]

Annex 11 als zusätzliche Prozessperspektive

Annex 11 Abschnitt 14 nennt für elektronische Signaturen unter anderem ihre Verbindung zur Aufzeichnung und Angaben zu Datum und Uhrzeit sowie ihre entsprechende Wirkung im Unternehmenskontext. Diese Anforderungen werden im Zusammenhang mit den übrigen Systemkontrollen betrachtet. Der Prüfumfang endet nicht am Signaturdialog. Dokumentversion, Zuständigkeit, Workflow, Aufbewahrung und spätere Lesbarkeit können die Aussage einer Freigabe beeinflussen. Prüfen Sie deshalb die gesamte relevante Kette.

eIDAS, Annex 11 und Part 11 werden nicht zu austauschbaren Gütesiegeln zusammengefasst. Je nach Anwendungsfall können unterschiedliche Anforderungen gleichzeitig relevant sein. Die folgende eigene Matrix hilft bei der Zuordnung. Sie ist weder ein vollständiger Rechtsvergleich noch ein allgemeines Zertifizierungsschema. Entscheidend bleibt die nachvollziehbare Bewertung der tatsächlich einschlägigen Anforderungen und des konkreten Systems mit seiner Konfiguration.

Quellen: [2]

Konstruiertes Beispiel: richtige Signatur, falscher Dokumentstand

Eine SOP-Version 3 wird einem Signaturdienst übergeben. Der zuständige Prüfer unterschreibt genau diese Datei. Im Dokumentenportal liegt anschließend jedoch eine überarbeitete Version 4 unter einem sehr ähnlichen Dateinamen. Die Oberfläche zeigt weiterhin einen grünen Freigabestatus aus dem alten Vorgang. Die ursprüngliche Signatur kann technisch weiterhin korrekt sein; sie trägt aber nicht automatisch die neue Datei. Der Fehler liegt in der Zuordnung und im Prozessübergang.

Der eigene Prüffall verfolgt deshalb den Inhalt vom Quellsystem über die Übergabe bis zur Rückführung und Veröffentlichung. Er enthält eine gezielte Änderung nach der Signatur sowie einen vertauschten Anhang. Erwartet wird eine erkennbare Trennung der Stände und eine passende erneute Behandlung. Das Beispiel zeigt keine Schwäche eines bestimmten Anbieters. Es veranschaulicht, warum eine Aussage über den Signaturdienst allein keine vollständige Freigabe des gesamten Dokumentenprozesses erlaubt.

Eine prüfbare Signaturstrecke entwerfen

Legen Sie zunächst den freigegebenen Umfang fest: Dokumenttypen, Rollen, Signaturreihenfolge, Bedeutung und Versionen. Prüfen Sie dann Normalablauf und wesentliche Ausnahmen. Was geschieht bei Ablehnung, Ablauf einer Einladung, Vertretung oder unterbrochener Sitzung? Kann die falsche Person einen Vorgang übernehmen? Bleibt eine bereits abgegebene Signatur nach einem Rückzug oder einer neuen Dokumentfassung nachvollziehbar? Die erwartete Behandlung muss vor dem Test definiert sein.

Berücksichtigen Sie Paket- und Anhangsgrenzen. Eine unterschriebene Titelseite verweist nicht automatisch beweiskräftig auf jeden später abgelegten Anhang. Prüfen Sie, welche Bestandteile die Signatur tatsächlich verbindet und wie der Anwender dies erkennt. Auch Sammelfreigaben oder mehrfache Signaturen brauchen einen passenden Bezug zu den einzelnen Records. Ein grüner Gesamtstatus darf keinen offenen oder abgelehnten Bestandteil verdecken. Die technische Gestaltung folgt dem fachlich festgelegten Freigabezweck.

Identität, Anmeldung und Signaturhandlung getrennt testen

Eine erfolgreiche Anmeldung beantwortet zunächst eine Zugriffsfrage. Sie ist nicht automatisch die elektronische Unterschrift unter einen bestimmten Inhalt. Prüfen Sie den Übergang von der Sitzung zur bewussten Signaturhandlung. Welche Identität wird aufgezeichnet? Welche Bedeutung wird bestätigt? Welche Authentifizierung ist für das verwendete Verfahren und seinen Geltungsbereich nötig? Part 11 unterscheidet auch zwischen biometrischen und nichtbiometrischen Verfahren; pauschale Aussagen über jeden technischen Login wären deshalb ungeeignet.

Prüfen Sie außerdem Rollenwechsel, deaktivierte Konten und Vertreter. Eine technisch verfügbare Funktion darf nicht automatisch eine fachlich unzulässige Genehmigung erlauben. Organisatorische Berechtigung und technischer Zugang müssen in der vorgesehenen Weise zusammenwirken. Wenn eine externe Identitäts- oder Signaturleistung verwendet wird, werden ihre Leistungen und Grenzen bewertet. Der Anwender bleibt für die Eignungsentscheidung seines eigenen regulierten Prozesses verantwortlich.

Quellen: [1]

Aufbewahrung und spätere Prüfung vorbereiten

Legen Sie fest, welche Signaturinformationen und technischen Nachweise für die spätere Bewertung benötigt werden. Prüfen Sie die Ausgabe für Leser, Auditoren und gegebenenfalls empfangende Systeme. Eine nachträgliche Übertragung oder Konvertierung darf die erforderliche Verbindung nicht unbemerkt verlieren. Der benötigte Umfang kann neben dem Dokument weitere Informationen umfassen. Ein dekorativer Signaturblock ist kein Ersatz für den tatsächlichen Zusammenhang.

Bewerten Sie auch das Ende eines Anbieterzugangs. Können Sie die benötigten Records und Signaturinformationen weiterhin nutzen? Welche technische Prüfung bleibt möglich und welche fachliche Aussage muss unabhängig verständlich sein? Anforderungen an langjährige kryptografische Nachweisführung werden passend zum konkreten Fall geklärt, nicht mit einer pauschalen Annahme über ein dauerhaft verfügbares Zertifikat erledigt. Ein kontrollierter Export- und Recherchetest kann die praktisch benötigte Aussage sichtbar machen.

Quellen: [4]