Nachweise, die im Audit bestehen
In der Pharmabranche und bei Medizinprodukten reicht es nicht, dass Ihre IT sicher ist. Sie müssen es auch belegen können. Wir bauen und betreuen IT so, dass Änderungen, Berechtigungen und Sicherungen jederzeit nachvollziehbar sind.
In anderen Branchen ist eine geänderte Konfiguration ein Handgriff, hier ist sie ein dokumentationspflichtiger Vorgang. Festgehalten wird, wer was wann geändert hat, mit welcher Begründung und mit wessen Freigabe. Für computergestützte Systeme im GMP-Umfeld beschreibt das Anhang 11 des EU-GMP-Leitfadens.
Ein Auditor will nicht nur wissen, ob Sie ein Berechtigungskonzept haben. Er fragt, wer im März letzten Jahres Zugriff auf ein bestimmtes Verzeichnis hatte und warum. Das können Sie nur beantworten, wenn Vergabe und Entzug von Rechten protokolliert sind.
Ein Update, das in der normalen IT einfach zum Patchmanagement gehört, kann hier eine Requalifizierung auslösen. Solche Updates müssen deshalb geplant werden und dürfen nicht automatisch laufen.
Enthält ein Medizinprodukt Software oder ist die Software selbst das Produkt, verlangt die MDR eine Entwicklung nach dem Stand der Technik unter Berücksichtigung der Informationssicherheit (Anhang I, Abschnitt 17). Die Bewertung des Produkts liegt bei Ihnen und Ihrer Benannten Stelle. Die Umgebung, in der entwickelt, getestet und dokumentiert wird, sollte aber genauso gut abgesichert sein.
Was wir nicht übernehmen: die Computerized System Validation im regulatorischen Sinn und die Qualifizierungsdokumentation. Dafür gibt es Validierungsdienstleister, und wir liefern die IT-Grundlage, auf der diese aufsetzen.
Wir haben die IT vollständig übernommen, ihre Ausrichtung neu definiert und entwickeln sie in enger Abstimmung mit der Geschäftsführung laufend weiter.
Ergebnis: Eine vollständig automatisierte Umgebung, ausgelegt auf Sicherheits- und NIS2-Anforderungen, mit getrennten Admin- und Benutzerkonten und einem abgesicherten VPN zwischen den Standorten.
In dieser Branche hängt der Anspruch an die IT nicht von der Unternehmensgröße ab. Auch fünf Anwender brauchen nachvollziehbare Berechtigungen und eine getestete Wiederherstellung.
FAQ
Vor allem Nachvollziehbarkeit: Computergestützte Systeme müssen validiert sein, Änderungen kontrolliert ablaufen und Zugriffe auf berechtigte Personen beschränkt sein. Grundlage dafür ist Anhang 11 des EU-GMP-Leitfadens. Wie wir das technisch umsetzen, beschreiben wir auf unserer Seite zu GMP.
Die MDR richtet sich vor allem an das Produkt und enthält IT-Vorgaben dort, wo Software Teil des Produkts ist. Anhang I verlangt dann eine Entwicklung nach dem Stand der Technik einschließlich Informationssicherheit, und Hersteller müssen Mindestanforderungen an Hardware, Netzwerk und IT-Sicherheit für den Betrieb festlegen. Wir sichern die Umgebung ab, in der Sie entwickeln und dokumentieren, die Bewertung des Produkts bleibt bei Ihnen und Ihrer Benannten Stelle.
Viele ja, denn die Herstellung von Arzneimitteln und von Medizinprodukten gehört zu den Sektoren, die NIS2 erfasst. Ob Sie tatsächlich betroffen sind, hängt außerdem von Beschäftigtenzahl und Umsatz ab. Eine erste Einschätzung gibt unser NIS2-Check, die verbindliche Bewertung ist eine Rechtsfrage.
Nein. Zertifiziert werden Prozesse und Systeme beim Betreiber, nicht der IT-Dienstleister. Wir liefern Ihnen eine IT, die Ihren Nachweispflichten nicht im Weg steht.
Ja, das ist der Normalfall. Wir liefern technische Auskünfte und Dokumentation, die regulatorische Bewertung übernimmt Ihr Validierungsdienstleister.
Ja. Unsere kleinste Pharma-Referenz hat fünf Anwender, und der Aufwand richtet sich nach Ihrer Umgebung und nicht nach der Zahl der Mitarbeiter.
Die IT-Seite ja, also Netzwerk, Zugriff, Sicherung und Absicherung. Für die Fachanwendung selbst bleibt der Hersteller zuständig, und wir stimmen uns mit ihm ab.
Pharma & Medizinprodukte
Schildern Sie uns Ihre Ausgangslage und die nächste Prüfung, die ansteht. Wir sagen Ihnen offen, ob und wie wir Sie unterstützen können.
