Qualifizierte Infrastruktur
Server, Netzwerk und Cloud-Dienste, auf denen validierte Anwendungen laufen, sind dokumentiert und in einem festgelegten Zustand. Wir liefern die technischen Unterlagen, auf die Ihre Qualifizierung aufsetzt.
IT für Pharma und Medizinprodukte
GMP-konforme ITfür Pharma und Medizinprodukte
Wer Arzneimittel herstellt oder erforscht, muss belegen können, dass Daten vollständig, richtig und unverändert sind. Das gelingt nur mit einer IT, die Zugriffe kontrolliert, Änderungen nachvollziehbar macht und Daten zuverlässig wiederherstellt. Wir bauen diese Grundlage auf und arbeiten dabei mit Ihrem Qualitätswesen und Ihrem Validierungsdienstleister zusammen.
Was GMP von der IT verlangt
Für computergestützte Systeme in der Arzneimittelherstellung gilt der Annex 11 des EU-GMP-Leitfadens. Er verlangt, dass Systeme validiert und die zugrunde liegende IT-Infrastruktur qualifiziert ist, dass Zugriffe kontrolliert und Änderungen geregelt werden und dass Daten gesichert und wiederherstellbar sind. Maßgeblich ist derzeit die Fassung von 2011. Eine überarbeitete Fassung hat die EU-Kommission 2025 zur Konsultation gestellt, wann sie gilt, ist noch offen.
Wer für den US-Markt produziert, muss außerdem 21 CFR Part 11 der FDA beachten, der elektronische Aufzeichnungen und elektronische Unterschriften regelt. Für Hersteller von Medizinprodukten gilt der EU-GMP-Leitfaden nicht unmittelbar. Dort verlangt das Qualitätsmanagement nach der Medizinprodukteverordnung, in der Regel umgesetzt über ISO 13485, ebenfalls die Validierung eingesetzter Software.
Datenintegrität nach ALCOA+
Die Aufsichtsbehörden prüfen Daten anhand dieser Merkmale. Jedes davon hat eine technische Seite:
- Zuordenbar: Jeder Eintrag lässt sich einer Person zuordnen, deshalb gibt es keine Sammelkonten
- Lesbar: Daten bleiben über die gesamte Aufbewahrungsfrist lesbar, auch nach einem Systemwechsel
- Zeitnah: Einträge entstehen zum Zeitpunkt der Tätigkeit, mit synchronisierter Systemzeit
- Original: Die Ursprungsdaten oder eine geprüfte Kopie bleiben erhalten
- Richtig: Daten sind fehlerfrei, Korrekturen sind sichtbar und begründet
- Vollständig: Nichts wird gelöscht, auch keine verworfenen Messungen
- Konsistent: Zeitstempel und Abläufe passen über alle Systeme zusammen
- Dauerhaft: Daten liegen auf geeigneten, gesicherten Speichern
- Verfügbar: Daten lassen sich für Prüfungen und Inspektionen jederzeit abrufen
Die technischen Kernthemen
Audit Trail
GMP-relevante Änderungen und Löschungen werden mit Person, Zeitpunkt und Grund festgehalten. Wir sorgen dafür, dass der Audit Trail aktiv ist, nicht abgeschaltet werden kann und regelmäßig überprüft wird.
Berechtigungen
Zugriffe werden nach Rollen vergeben, protokolliert und regelmäßig rezertifiziert. Identity & Access Management ist unser Kernthema, und ein Prüfer will genau wissen, wer wann worauf zugreifen konnte.
Getrennte Adminkonten
Wer Systeme verwaltet, nutzt dafür ein eigenes Konto. Dauerhafte Adminrechte im Arbeitsalltag sind in einem geprüften Umfeld nicht haltbar.
Backup mit Wiederherstellungstest
Annex 11 verlangt, dass die Wiederherstellbarkeit von Sicherungen bei der Validierung und danach regelmäßig geprüft wird. Wir spielen Daten testweise zurück und dokumentieren das Ergebnis.
Geplante Änderungen
Ein Update kann eine erneute Prüfung auslösen. Deshalb laufen Änderungen an validierten Systemen über einen geregelten Änderungsprozess mit Freigabe und werden nicht automatisch eingespielt.
Regelwerke und Leitfäden
| EU-GMP-Leitfaden, Annex 11 | Verbindliche Anforderungen an computergestützte Systeme bei der Herstellung von Arzneimitteln in der EU. |
| 21 CFR Part 11 | Vorgaben der FDA für elektronische Aufzeichnungen und Unterschriften, relevant bei Produkten für den US-Markt. |
| PIC/S-Leitfaden zur Datenintegrität | Hinweise der Inspektorate zu Datenintegrität und ALCOA+, an denen sich Inspektionen orientieren. |
| GAMP 5 | Leitfaden der ISPE zur risikobasierten Validierung computergestützter Systeme. Er ist nicht rechtsverbindlich, gilt aber in der Branche als übliche Arbeitsgrundlage. |
| NIS2 | Hersteller von Arzneimitteln und Medizinprodukten können ab bestimmten Größen zusätzlich unter NIS2 fallen. Das klären wir mit Ihnen im Einzelfall. |
Zusammenarbeit mit Ihrem Qualitätswesen
- 01
Aufnahme
Wir erfassen, welche Systeme GMP-relevant sind, wer darauf zugreift und wie heute gesichert und geändert wird.
- 02
Abgleich
Gemeinsam mit Ihrem Qualitätswesen legen wir fest, welche Lücken zuerst geschlossen werden und wie die Nachweise aussehen sollen.
- 03
Umsetzung
Wir setzen Berechtigungen, Audit Trail, Datensicherung und Änderungsprozess um und dokumentieren jeden Schritt so, dass er in die Qualifizierung einfließen kann.
- 04
Betrieb
Auf Wunsch betreuen wir die IT danach weiter, mit geplanten Updates, regelmäßigen Wiederherstellungstests und Rezertifizierung der Zugriffe.
Wer was verantwortet
Die Validierung im regulatorischen Sinn und die Freigabe liegen bei Ihrem Qualitätswesen oder Ihrem Validierungsdienstleister. Wir liefern die IT-Grundlage, die technischen Unterlagen und die Auskünfte, die diese Arbeit braucht, und stimmen uns direkt mit den Beteiligten ab.
Aus der Praxis
Pharma-Forschung, international · 5 Anwender
Wir haben die IT eines international tätigen Forschungsbetriebs vollständig übernommen und in enger Abstimmung mit der Geschäftsführung neu ausgerichtet.
Ergebnis: Eine vollständig automatisierte IT-Umgebung, die auf Sicherheits- und NIS2-Anforderungen ausgelegt ist: getrennte Admin- und Benutzerkonten sowie abgesichertes internationales VPN-Routing zwischen den Standorten.
Stand:
FAQ
Häufige Fragen
Was ist GMP-konforme IT?
Eine IT, in der GMP-relevante Daten vollständig, richtig und nachvollziehbar bleiben und deren Systeme validiert beziehungsweise qualifiziert sind. Dazu gehören kontrollierte Berechtigungen, ein Audit Trail, geregelte Änderungen und eine geprüfte Datensicherung.
Was regelt Annex 11?
Annex 11 des EU-GMP-Leitfadens regelt den Einsatz computergestützter Systeme in der Arzneimittelherstellung. Er umfasst unter anderem Risikomanagement, Validierung, Datensicherung, Audit Trail, Zugriffsschutz und Änderungsmanagement.
Gilt schon die neue Fassung von Annex 11?
Nach unserem Stand gilt weiterhin die Fassung von 2011. Die überarbeitete Fassung war 2025 in der Konsultation, und wir prüfen vor jedem Projekt, ob sie inzwischen verbindlich ist.
Was bedeutet ALCOA+?
ALCOA+ fasst die Merkmale integrer Daten zusammen: zuordenbar, lesbar, zeitnah, original und richtig, ergänzt um vollständig, konsistent, dauerhaft und verfügbar. Inspektoren prüfen Daten anhand dieser Merkmale.
Ist GAMP 5 Pflicht?
Nein, GAMP 5 ist ein Leitfaden der ISPE und kein Gesetz. Viele Unternehmen und Validierungsdienstleister arbeiten trotzdem danach, weil er einen anerkannten risikobasierten Weg zur Validierung beschreibt.
Brauchen wir 21 CFR Part 11?
Wenn Sie Produkte für den US-Markt herstellen oder Daten bei der FDA einreichen, in der Regel ja. Ob und in welchem Umfang das zutrifft, klärt Ihr Qualitätswesen, wir setzen die technischen Anforderungen um.
Übernehmen Sie die Validierung?
Die regulatorische Validierung und die Freigabe bleiben bei Ihrem Qualitätswesen oder Validierungsdienstleister. Wir liefern die qualifizierbare IT-Grundlage und die technischen Unterlagen dafür.
Lohnt sich das für einen kleinen Betrieb?
Ja, denn die Anforderungen hängen vom Produkt ab und nicht von der Mitarbeiterzahl. Unsere kleinste Pharma-Referenz hat fünf Anwender.
GMP
Lassen Sie uns über Ihre Systeme sprechen
Schildern Sie uns in 20 Minuten, welche Systeme bei Ihnen GMP-relevant sind. Wir sagen Ihnen, wo wir ansetzen würden und wie wir uns mit Ihrem Qualitätswesen abstimmen.