GxP-Systemstilllegung: validierte Außerbetriebnahme

Einordnung und Geltungsbereich

Dieser Leitfaden bezieht sich auf computergestützte Systeme im EU-Humanarzneimittel-GMP-Bereich. Konkrete Aufbewahrungsfristen und weitere Pflichten ergeben sich aus Datenart, Produkt und anwendbarem Regelwerk. Eine universelle Frist wird nicht angenommen.

Quellen: [1] [2]

Abschalten ist der letzte technische Schritt

Wählen Sie den geeigneten Zielzustand: Migration in ein Nachfolgesystem, ein geeignetes Archiv oder ein kontrollierter lesender Restbetrieb. Jede Variante besitzt andere Risiken. Ein Export kann Kontext verlieren; ein Restbetrieb kann von nicht mehr unterstützter Infrastruktur abhängen. Die Entscheidung sollte Nutzen, Risiken und langfristige Betreibbarkeit zusammenführen.

Ein Stilllegungsplan verbindet Datenübernahme, Prüfungen, Schnittstellenabbau und Zuständigkeiten. Besonders wichtig ist die Reihenfolge. Wenn ein Lizenzzugang oder technisches Konto zu früh endet, kann ein erforderlicher Export scheitern. Die Abschlussentscheidung sollte daher auf nachgewiesenen Ergebnissen beruhen, nicht allein auf einem vertraglichen Abschaltdatum.

Quellen: [1] [2] [3]

Stilllegung als kontrollierten Lebenszyklusprozess planen

Eine Systemstilllegung beginnt mit dem künftigen Zustand der Daten und Prozesse. Die technische Abschaltung erfolgt erst, nachdem die dafür benötigten Voraussetzungen bewertet und nachgewiesen sind. Benennen Sie Systemverantwortung, Datenverantwortung, QA, IT-Betrieb und gegebenenfalls weitere zuständige Stellen. Die genaue Rollenfolge richtet sich nach Ihrem Qualitätssystem.

Annex 11 behandelt unter anderem Datenspeicherung und Archivierung; Chapter 4 den Umgang mit Dokumentation und Aufzeichnungen. Daraus folgt keine universelle Pflicht zu einem Dokument mit dem Titel „Stilllegungsplan“. Ein nachvollziehbarer Plan ist jedoch eine geeignete eigene Methode, um Umfang, Reihenfolge, Nachweise und Entscheidungen zu verbinden. Seine Form kann zu Ihrem bestehenden QMS passen.

Erfassen Sie System, Version, Standorte, Datenarten, Schnittstellen und laufende Aufgaben. Ein scheinbar nicht mehr genutztes System kann weiterhin historische Recherche, Lizenzen oder Hintergrunddienste unterstützen. Fragen Sie deshalb nicht nur nach aktiven Benutzern. Prüfen Sie tatsächliche Datenflüsse und Abhängigkeiten, bevor Verträge oder technische Zugänge beendet werden.

Quellen: [1] [2] [3]

Migration, Archiv oder lesenden Restbetrieb auswählen

Eine Migration macht ausgewählte Informationen im Nachfolgesystem nutzbar. Ein Archiv dient dem geeigneten langfristigen Erhalt. Ein lesender Restbetrieb kann die ursprüngliche Anwendung für historische Recherche erhalten. Jede Variante besitzt andere Risiken und laufende Aufgaben. Eine pauschal beste Lösung gibt es nicht.

Bewerten Sie Inhalt, Kontext, Zugriff, technische Abhängigkeit und Betreibbarkeit. Ein PDF-Export kann bei einfachen statischen Unterlagen geeignet sein, bei dynamischen Daten aber wichtige Zusammenhänge verlieren. Ein Restbetrieb kann den Kontext erhalten, bleibt jedoch möglicherweise von alter Software, Hardware und Lizenzdiensten abhängig. Diese Grenzen müssen in die Entscheidung einfließen.

Quellen: [1] [2] [3]

Ein Stilllegungsplan mit acht überprüfbaren Ergebnissen

Beginnen Sie mit einem bewerteten Inventar. Entscheiden Sie anschließend je Datenbereich über weitere Nutzung und Aufbewahrung. Legen Sie Zielzustand, Prüfmethode und Akzeptanzkriterien fest. Erst danach werden Übertragung oder Archivbereitstellung ausgeführt. Die Reihenfolge verhindert, dass ein später benötigter Quellzugang zu früh entfällt.

Prüfen Sie den Zielzustand anhand konkreter historischer Fragen. Kann ein berechtigter Mitarbeiter eine frühere Entscheidung mit den erforderlichen Daten und Methoden erklären? Bleiben Anhänge und relevante Änderungsinformationen erreichbar? Eine bloße Dateianzahl oder erfolgreiche Datenbanksicherung beantwortet diese Fragen nicht.

Vor Abschaltung werden Restaufgaben und Abhängigkeiten bewertet. Danach folgen kontrollierte technische Maßnahmen, Aktualisierung des Inventars und Übergabe der verbleibenden Archiv- oder Betriebsverantwortung. Eine abgeschaltete Anwendung kann weiterhin Aufbewahrungsaufgaben hinterlassen. Benennen Sie deshalb einen Verantwortlichen für den Zustand nach dem Projekt.

Quellen: [1] [2] [3]

Beispiel: ein altes LIMS soll endgültig abgeschaltet werden

Das Szenario ist konstruiert. Ein Labor hat Ergebniswerte exportiert. Bei einer historischen Reklamation werden jedoch Methodenversion, frühere Spezifikation und eine Ergebnisänderung benötigt. Diese Informationen fehlen im Export. Die technische Abschaltung würde deshalb die benötigte Rekonstruktion erschweren, obwohl alle sichtbaren Zahlenwerte vorhanden sind.

Der Datenverantwortliche ergänzt das Inventar um Methoden, Spezifikationen, relevante Auditdaten und Anhänge. Das Team wählt einen kombinierten Zielweg: bestimmte Daten werden in ein Archiv übertragen, andere bleiben vorübergehend in einem kontrollierten lesenden Zugriff. Dieser Weg ist erst geeignet, wenn die benötigten Zusammenhänge und technischen Voraussetzungen nachgewiesen sind. Ein Restbetrieb ist kein automatischer Ersatz für die fehlende Prüfung.

Als Testfälle werden ein normaler abgeschlossener Auftrag, ein korrigiertes Ergebnis und eine Untersuchung mit Anhang gewählt. Ein berechtigter Mitarbeiter rekonstruiert diese Fälle aus dem Ziel. Er dokumentiert gefundene Information, Zusammenhang und verbleibende Lücken. Nach Korrektur der Lücken wird die Prüfung wiederholt. Die endgültige Abschaltung folgt erst der zuständigen Entscheidung zum nachgewiesenen Zielzustand.

Quellen: [1] [2] [3]

Abhängigkeiten, Zugänge und Verträge in richtiger Reihenfolge beenden

Prüfen Sie Lizenzserver, Identitätsdienste, Zertifikate, Verschlüsselungsschlüssel und externe Speicher, soweit sie benötigt werden. Ein exportierter Datensatz kann unlesbar werden, wenn ein Schlüssel oder eine Viewer-Lizenz fehlt. Eine virtuelle Maschine kann nach Abschaltung eines anderen Dienstes nicht mehr authentifizieren. Solche Abhängigkeiten gehören vor der Kündigung in die Bewertung.

Erfassen Sie Schnittstellen und geplante Jobs. Ein stillgelegter Sender kann im Nachfolgesystem wiederkehrende Fehler erzeugen. Ein nicht mehr benötigter technischer Zugang kann dagegen unnötig aktiv bleiben. Die Abschaltcheckliste sollte jede Verbindung und ihre zuständige Gegenstelle benennen. Ein pauschales „Server aus“ ist dafür zu wenig.

Datenträgerlöschung und Datenaufbewahrung sind getrennte Entscheidungen. Bewerten Sie, welche Daten noch benötigt werden und ob erforderliche Kopien geeignet nachgewiesen sind. Dieser Leitfaden setzt keine universelle Löschfrist oder Aufbewahrungsdauer. Die konkrete Entscheidung folgt Datenart, Produkt, anwendbaren Vorgaben und möglichen weiteren Verpflichtungen.

Quellen: [1] [2] [3]

Abschluss und laufende Archivverantwortung

Der Abschlussnachweis sollte Umfang, Zielzustand, Prüfungen, bewertete Befunde und die tatsächlich ausgeführten Abschaltmaßnahmen verbinden. Benennen Sie offene Aufgaben ausdrücklich. Ein Projekt kann technisch abgeschlossen sein, während ein kontrollierter Restbetrieb weiterhin Pflege und Überwachung benötigt. Dieser Zustand sollte nicht als vollständig beseitigte Abhängigkeit ausgegeben werden.

Übergeben Sie Zugriff, Rechercheanleitung, Wiederherstellung und Zuständigkeit. Ein späterer Betriebssystem- oder Speicherwechsel kann die Lesbarkeit beeinflussen. Archivierung ist deshalb keine einmalige Dateiablage ohne weitere Verantwortung. Welche Prüfungen und Intervalle geeignet sind, wird aus Format, Risiken und geplanter Aufbewahrung abgeleitet.

Eine praktische Übergabe mit einem historischen Fall zeigt, ob der Zugriff ohne den ursprünglichen Projektmitarbeiter gelingt. Erhalten Sie außerdem den Weg für spätere Datenanfragen und notwendige Migrationen des Archivs. So bleibt die Stilllegung über den technischen Projektabschluss hinaus nachvollziehbar.

Quellen: [1] [2] [3]

Arbeitsvorlage: Abschaltfreigabe mit verbleibenden Aufgaben verbinden

Bereiten Sie den Abschluss als konkrete Nutzungs- und Datenentscheidung vor. Die Frage lautet nicht nur, ob der Server abgeschaltet werden kann. Für jeden benötigten Datenbereich muss bekannt sein, welcher Zielweg funktioniert und wer ihn künftig betreut. Eine technische Checkliste ohne diesen Bezug kann einen formal abgeschlossenen, aber praktisch unzureichenden Zustand erzeugen.

Führen Sie einen vollständigen Durchlauf mit einem historischen Vorgang aus. Ein berechtigter Mitarbeiter erhält nur die vorgesehenen Archiv- oder Restbetriebszugänge und beantwortet eine bezeichnete Frage. Dokumentieren Sie Suchweg, gefundene Informationen und Grenzen. Die Übung zeigt, ob die Übergabe auch ohne das ursprüngliche Projektteam nutzbar ist.

Berücksichtigen Sie Rückfragen nach dem Projekt. Eine spätere Untersuchung kann eine andere Datenart oder einen früher übersehenen Zusammenhang benötigen. Benennen Sie, wie solche Anfragen aufgenommen und bewertet werden. Ein endgültiger Systementzug sollte nicht auf der unausgesprochenen Annahme beruhen, dass historische Informationen nie wieder gebraucht werden. Die tatsächlichen Aufbewahrungs- und Nutzungsentscheidungen bleiben maßgeblich.

Wenn ein Prüffall scheitert, unterscheiden Sie fehlenden Inhalt, fehlenden Kontext und fehlenden Zugriff. Ein zusätzlicher Export löst nicht jede dieser Ursachen. Korrigieren Sie den betroffenen Zielweg und prüfen Sie die Aussage erneut. Die Abschaltentscheidung sollte sich auf den nachgewiesenen Zustand beziehen und nicht auf die Erwartung, dass verbleibende Lücken später irgendwie geschlossen werden.

Quellen: [1] [2] [3]

Archivfreigabe und technische Löschung als getrennte Entscheidungen

Nach erfolgreicher Archiv- oder Migrationsfreigabe können noch Datenkopien auf Servern, Exportverzeichnissen, Testumgebungen oder bei Dienstleistern liegen. Erfassen Sie diese im kontrollierten Abschluss. Die Entscheidung, ein Anwendungssystem abzuschalten, ist nicht automatisch die Erlaubnis, alle zugehörigen Informationen zu löschen. Prüfen Sie geltende Aufbewahrung, laufende Untersuchungen, sonstige Sperrgründe und benötigte Rekonstruktionsinformationen mit den zuständigen Verantwortlichen.

Ein technischer Löschplan nennt Datenklasse, Speicherort, Voraussetzung, verantwortliche Stelle und Nachweis. Für Backups oder unveränderliche Speicher können andere technische Lebenszyklen gelten als für aktive Arbeitskopien. Klären Sie deren Behandlung im passenden Aufbewahrungs- und Sicherheitskonzept. Dieser Beitrag bestimmt keine universellen rechtlichen Löschfristen und ersetzt keine Datenschutzbewertung. Er verlangt eine bewusste Zuordnung statt der Annahme, eine serverseitige Deinstallation habe sämtliche Kopien beseitigt.

Quellen: [1] [4]

Eigene Abschlussprüfung: Was nach dem Abschalten noch bleibt

Im konstruierten Fall wurde ein LIMS abgeschaltet und sein erforderlicher Archivbestand erfolgreich geprüft. Ein temporärer Export liegt jedoch noch auf einem gemeinsam genutzten Projektlaufwerk; außerdem ist ein alter Lieferantenzugang aktiv. Das Archiv kann fachlich geeignet sein, während diese Restbestände und Zugänge weiterhin eine gesonderte Maßnahme benötigen. Der Abschluss benennt beide Ebenen und die zuständigen Verantwortlichen, statt pauschal vollständige Stilllegung zu behaupten.

Beenden Sie benötigte Altzugänge und Dienste in der geeigneten Reihenfolge. Ein Lizenz- oder Identitätsdienst darf nicht vorzeitig entfallen, wenn die freigegebene Archivrecherche noch davon abhängt. Prüfen Sie nach Umsetzung die tatsächlich verbleibenden Abhängigkeiten. Vertragliche Bestätigungen eines Dienstleisters werden ihrem Umfang nach bewertet. Eine Bestätigung über einen aktiven Speicher sagt nicht automatisch etwas über jede Sicherungskopie oder jeden Unterauftragnehmer aus.

Quellen: [1] [3]

Die nächsten Schritte

• Systemumfang und verbleibenden Aufbewahrungsbedarf feststellen.
• Zielzustand und notwendige Übertragungs- oder Archivprüfungen planen.
• Daten, Kontext und Zugriff nachweislich sichern und prüfen.
• Abhängigkeiten geordnet beenden und Betriebsverantwortung übergeben.