EU-GMP Annex 11: Anforderungen an computergestützte Systeme

EU-GMP Annex 11 gilt für computergestützte Systeme, die im Rahmen GMP-regulierter Tätigkeiten eingesetzt werden. Der Annex definiert ein computergestütztes System als Zusammenspiel von Software- und Hardwarekomponenten, die gemeinsam bestimmte Funktionen erfüllen.

Sein Grundprinzip ist klar: Die Anwendung soll validiert, die IT-Infrastruktur qualifiziert sein. Ersetzt ein computergestütztes System eine manuelle Tätigkeit, dürfen Produktqualität, Prozesskontrolle und Qualitätssicherung dadurch nicht verschlechtert und das Gesamtrisiko des Prozesses nicht erhöht werden.

Annex 11 ist Teil des EU-GMP-Leitfadens und muss deshalb im Zusammenhang mit dem pharmazeutischen Qualitätssystem, der Dokumentation und den konkreten GMP-Prozessen gelesen werden. Er ist kein allgemeiner IT-Sicherheitsstandard.

Entscheidend ist nicht, ob eine Software als „GMP-Software“ vermarktet wird, sondern wann eine konkrete Softwarefunktion GMP-relevant wird. Annex 11 knüpft daran an, ob ein computergestütztes System Teil einer GMP-regulierten Tätigkeit ist. Das kann Produktionssteuerung, Labor, elektronische Dokumentation, Qualitätsmanagement oder Chargenfreigabe betreffen.

Für kritische Systeme verlangt der Annex eine aktuelle Systembeschreibung, die unter anderem physische und logische Anordnung, Datenflüsse und Schnittstellen zu anderen Systemen oder Prozessen, Hardware- und Softwarevoraussetzungen sowie Sicherheitsmaßnahmen beschreibt. Außerdem soll eine aktuelle Liste der relevanten Systeme und ihrer GMP-Funktion vorhanden sein.

Diese Prozessbezogenheit ist wichtig für die Abgrenzung zu Datenintegrität. Datenintegrität ist ein regulatorisches Qualitätsziel; Annex 11 beschreibt konkrete Kontrollen für computergestützte Systeme, die dieses Ziel unterstützen.

Risikomanagement soll über den gesamten Lebenszyklus des computergestützten Systems angewendet werden. Dabei sind insbesondere Patientensicherheit, Datenintegrität und Produktqualität zu berücksichtigen. Umfang von Validierung und Datenintegritätskontrollen soll auf einer begründeten und dokumentierten Risikobewertung beruhen.

Die Validierungsdokumentation soll die relevanten Lebenszyklusphasen abdecken. User Requirements Specifications müssen die erforderlichen Funktionen beschreiben, auf GMP-Auswirkung und Risikobewertung beruhen und über den Lebenszyklus rückverfolgbar sein. Bei Datenmigrationen muss die Validierung prüfen, dass Daten weder in Wert noch Bedeutung verändert werden.

Annex 11 steht damit eng neben Qualifizierung und Validierung anderer Systeme und Anlagen. Änderungen am computergestützten System oder seiner Konfiguration dürfen nur kontrolliert nach einem definierten Verfahren erfolgen – eine direkte Schnittstelle zum Change Control.

Elektronisch zwischen Systemen ausgetauschte Daten sollen durch geeignete eingebaute Kontrollen gegen fehlerhafte oder unsichere Eingabe und Verarbeitung geschützt werden. Kritische manuell eingegebene Daten benötigen eine zusätzliche Genauigkeitsprüfung – durch eine zweite Person oder validierte elektronische Mittel.

Gespeicherte Daten müssen gegen Beschädigung geschützt und über die Aufbewahrungsfrist zugänglich, lesbar und korrekt bleiben. Regelmäßige Back-ups relevanter Daten sind erforderlich; Integrität und Genauigkeit der Back-up-Daten sowie die Wiederherstellbarkeit sollen validiert und periodisch überwacht werden.

Für GMP-relevante Änderungen und Löschungen verlangt Annex 11 risikobasiert die Berücksichtigung eines systemgenerierten Audit Trails. Änderungen oder Löschungen sollen begründet, Audit Trails verfügbar und verständlich darstellbar sowie regelmäßig überprüft werden. Diese Anforderungen ergänzen die allgemeinen Regeln zur Datenintegrität.

Elektronische Aufzeichnungen können nach Annex 11 elektronisch signiert werden. Die Signatur soll innerhalb des Unternehmens die gleiche Bedeutung wie eine handschriftliche Signatur haben, dauerhaft mit dem jeweiligen Record verbunden sein und Zeitpunkt und Datum ihrer Anwendung enthalten.

Für die Chargenfreigabe stellt Annex 11 eine besonders konkrete Anforderung: Wird ein computergestütztes System zur Aufzeichnung von Zertifizierung und Batch Release eingesetzt, soll nur eine Qualified Person die Chargenfreigabe zertifizieren können. Das System soll die Person, die freigibt oder zertifiziert, eindeutig identifizieren und aufzeichnen; dies soll mittels elektronischer Signatur erfolgen.

Damit trifft Annex 11 unmittelbar auf die regulatorische Entscheidungslogik des EU-GMP Annex 16. Die Software darf die Verantwortlichkeit nicht verwischen, sondern muss sie technisch eindeutig abbilden.

Die Europäische Kommission führt in EudraLex Volume 4 weiterhin Annex 11 in der Revision von Januar 2011. Diese Fassung ist daher für die aktuelle regulatorische Einordnung maßgeblich.

2025 hat die Kommission einen Entwurf für eine umfassende Revision von Annex 11 konsultiert. Der Entwurf stärkt unter anderem Lifecycle Management, Anforderungen an Lieferanten und externe Dienstleister, Datenintegrität, Audit Trails, elektronische Signaturen und Cyber-/Systemsicherheit. Die Konsultation ist abgeschlossen; der Entwurf ist aber nicht mit der geltenden Annex-11-Fassung gleichzusetzen.

Für Rechts- und Compliance-Texte ist dieser Statusunterschied wichtig: Entwurfsanforderungen können Entwicklungen anzeigen, sollten aber nicht als bereits geltende GMP-Pflichten dargestellt werden.