Regelwerk · EU-GMP Annex 11 – Computergestützte Systeme
EU-GMP Annex 11: Validiert bleiben ohne Papierberge
Jedes computergestützte System in GMP-Abläufen muss validiert sein und kontrolliert bleiben. Complass führt vom Systeminventar über die risikobasierte Validierung bis zur Inspektion.
Was regelt Annex 11?
Anhang 11 „Computergestützte Systeme“ des EU-Leitfadens der Guten Herstellungspraxis (EudraLex Band 4) gilt für alle computergestützten Systeme, die als Bestandteil GMP-pflichtiger Vorgänge eingesetzt werden. Die Anwendung ist zu validieren, die IT-Infrastruktur zu qualifizieren. Anhang 11 verlangt ein Risikomanagement über den gesamten Lebenszyklus und regelt Lieferanten, Validierung, Datenintegrität, Audit Trail, Änderungen, Zugriffsschutz, elektronische Unterschriften, Chargenfreigabe, Geschäftskontinuität und Archivierung. Geltend ist die Fassung von 2011; in Deutschland legt die AMWHV den EU-GMP-Leitfaden zur Auslegung der Guten Herstellungspraxis fest.
Stand der Inhalte:
Bin ich betroffen?
Anhang 11 gilt für Hersteller von Arzneimitteln und Wirkstoffen, Prüflabore und Lohnhersteller in der EU. Die PIC/S-Mitgliedsbehörden wenden einen inhaltsgleichen Anhang an, sodass die Anforderungen auch für Lieferungen in viele Staaten außerhalb der EU gelten.
Software-, SaaS- und IT-Anbieter dieser Unternehmen sind mittelbar betroffen: Ihre Kunden müssen sie bewerten, Verantwortungen vertraglich regeln und ihre Unterlagen in die eigene Validierung einbeziehen (Nr. 3 und 4.5).
Diese Übersicht ersetzt keine Rechtsberatung. Maßgeblich ist der Gesetzes- bzw. Normtext; in Complass prüfen Sie die Betroffenheit geführt anhand der Verweise.
Rechtsgrundlagen
- Anhang 11, GrundsatzGrundsätze Anhang 11Der vorliegende Anhang gilt für alle Arten computergestützter Systeme, die als Bestandteil von GMP-pflichtigen Vorgängen eingesetzt werden. Ein computergestütztes System ist eine Kombination aus Software- und Hardwarekomponenten, die zusammen bestimmte Funktionen erfüllen. Die Anwendung sollte validiert, die IT Infrastruktur sollte qualifiziert sein. Wird eine manuelle Tätigkeit durch ein computergestütztes System …Original öffnen (BMG, Anlage 2 zur Bekanntmachung vom 8. August 2011 (BAnz Nr. 125, S. 2901-2906)) ↗Geltungsbereich, Validierung und Qualifizierung
- Anhang 11 Nr. 1Nr. 1 Anhang 11 RisikomanagementEin Risikomanagement sollte über den gesamten Lebenszyklus des computergestützten Systems unter Berücksichtigung von Patientensicherheit, Datenintegrität und Produktqualität betrieben werden. Als Teil eines Risikomanagementsystems sollten Entscheidungen über den Umfang der Validierung und die Sicherstellung der Datenintegrität auf einer begründeten und dokumentierten Risikobewertung des computergestützten Systems …Original öffnen (BMG, Anlage 2 zur Bekanntmachung vom 8. August 2011 (BAnz Nr. 125, S. 2901-2906)) ↗Risikomanagement über den Lebenszyklus
- Anhang 11 Nr. 3Nr. 3 Anhang 11 Lieferanten und DienstleisterOriginal öffnen (BMG, Anlage 2 zur Bekanntmachung vom 8. August 2011 (BAnz Nr. 125, S. 2901-2906)) ↗Lieferanten und Dienstleister
- Anhang 11 Nr. 4Nr. 4 Anhang 11 ValidierungOriginal öffnen (BMG, Anlage 2 zur Bekanntmachung vom 8. August 2011 (BAnz Nr. 125, S. 2901-2906)) ↗Validierung
- Anhang 11 Nr. 9Nr. 9 Anhang 11 Audit TrailsBasierend auf einer Risikobewertung sollte erwogen werden, die Aufzeichnung aller GMP-relevanten Änderungen und Löschungen in das System zu integrieren (ein systemgenerierter „Audit Trail“). Bei der Änderung oder Löschung GMP-relevanter Daten sollte der Grund dokumentiert werden. Audit Trails müssen verfügbar sein, in eine allgemein lesbare Form überführt werden können und regelmäßig überprüft werden.Original öffnen (BMG, Anlage 2 zur Bekanntmachung vom 8. August 2011 (BAnz Nr. 125, S. 2901-2906)) ↗Audit Trail
- Anhang 11 Nr. 12Nr. 12 Anhang 11 SicherheitOriginal öffnen (BMG, Anlage 2 zur Bekanntmachung vom 8. August 2011 (BAnz Nr. 125, S. 2901-2906)) ↗Sicherheit und Zugriffsschutz
- Anhang 11 Nr. 14Nr. 14 Anhang 11 Elektronische UnterschriftElektronische Aufzeichnungen können elektronisch signiert werden. Von elektronischen Unterschriften wird erwartet, dass sie a) im Innenverhältnis eines Unternehmens die gleiche Bedeutung haben wie handschriftliche Signaturen, b) dauerhaft mit dem zugehörigen Dokument verbunden sind, c) die Angabe des Datums und der Uhrzeit der Signatur beinhalten.Original öffnen (BMG, Anlage 2 zur Bekanntmachung vom 8. August 2011 (BAnz Nr. 125, S. 2901-2906)) ↗Elektronische Unterschrift
- Anhang 11 Nr. 17Nr. 17 Anhang 11 ArchivierungDaten können archiviert werden. Diese Daten sollten auf Verfügbarkeit, Lesbarkeit und Integrität geprüft werden. Sind maßgebliche Änderungen am System erforderlich (z.B. Computer und zugehörige Ausrüstung oder Programme), sollte sichergestellt und getestet werden, ob die Daten weiterhin abrufbar sind.Original öffnen (BMG, Anlage 2 zur Bekanntmachung vom 8. August 2011 (BAnz Nr. 125, S. 2901-2906)) ↗Archivierung
Geltende Fassung und Revision
-
Anhang 11 in der Revision von Januar 2011 in Kraft. Diese Fassung gilt weiterhin.
-
Europäische Kommission, EMA und PIC/S stellen einen grundlegend überarbeiteten Anhang 11 zur Konsultation, zusammen mit Kapitel 4 und dem neuen Annex 22 zu Künstlicher Intelligenz.
-
Ende der Konsultation. Eine Endfassung und ein Datum der Anwendung sind noch nicht veröffentlicht.
Bis zur Endfassung bleibt die Fassung von 2011 maßgeblich. Complass zeigt die Themen des Entwurfs, etwa eindeutige persönliche Konten, Audit-Trail-Review und Cloud-Dienste, als klar gekennzeichneten Ausblick, damit Sie sich vorbereiten können. Die Übergangsfrist legt die Kommission erst mit der Veröffentlichung fest.
Wie Complass hilft
- 8Phasen
- 34geführte Schritte
- 12Dokumentvorlagen
- 48Anforderungen im Katalog
Geführtes Projekt in acht Phasen
Von der GMP-Relevanz und dem Systeminventar über den risikobasierten Validierungsansatz, Lieferanten einschließlich SaaS und Cloud, Validierung und Betrieb bis zu elektronischen Unterschriften, Chargenfreigabe, Archivierung und Inspektionsbereitschaft.
Anforderungskatalog mit amtlichem Text
Grundsatz und Nr. 1 bis 17 mit dem Wortlaut der deutschen Fassung, Status, Begründung und Nachweis je Punkt, dazu der Entwurf 2025 als gekennzeichneter Ausblick.
Vorlagen für die Validierung
Validierungsmasterplan, Systeminventar, Systembeschreibung, Risikobewertung, Lieferantenbewertung, Anforderungsspezifikation, Test- und Validierungsbericht, Audit-Trail-Review, Zugriffskonzept, Änderungsverfahren, periodische Evaluierung sowie Datensicherung und Archivierung.
Einmal nachweisen, mehrfach nutzen
Gemeinsame Controls verbinden Anhang 11 mit 21 CFR Part 11, ISO/IEC 27001 und NIS2. Lieferanten bewerten Sie im Lieferantenmanagement, Risiken im Risk-Management.
Die Phasen im Modul
- Geltungsbereich und GxP-Relevanz
- Systeminventar und risikobasierter Validierungsansatz
- Lieferanten und Dienstleister, einschließlich SaaS und Cloud
- Validierung
- Betrieb: Datenintegrität, Audit Trail, Änderungen und Sicherheit
- Elektronische Unterschriften
- Chargenfreigabe, Geschäftskontinuität und Archivierung
- Inspektionsbereitschaft
Katalog: Anhang 11 – Anforderungen an computergestützte Systeme
Häufige Fragen
Ist Complass ein validiertes GxP-System?
Nein. Complass ist nicht Ihr GxP-System. Es hilft Ihnen, die Umsetzung von Anhang 11 zu planen, zu dokumentieren und nachzuweisen. GMP-relevante Aufzeichnungen und elektronische Unterschriften bleiben in Ihren validierten Systemen. Würden Sie solche Aufzeichnungen in Complass führen, wäre Complass selbst ein computergestütztes System, das Sie validieren müssten.
Welche Fassung von Anhang 11 bildet Complass ab?
Die geltende Fassung von 2011 mit dem amtlichen deutschen Text. Die Punkte des Entwurfs von 2025 stehen in einer eigenen, als „nicht in Kraft“ gekennzeichneten Gruppe. Sobald die Endfassung erscheint, stellen wir das Regelwerk um; Ihre Bewertungen bleiben erhalten.
Wir liefern auch in die USA. Brauchen wir zusätzlich 21 CFR Part 11?
Wenn Sie Aufzeichnungen führen, die die FDA verlangt, ja. Beide Regelwerke haben in Complass dieselben Phasen und Vorlagen. Sie buchen sie einzeln oder zusammen; die Branchenvorlage „GxP und Life Sciences“ im Konfigurator wählt beide mit Lieferanten- und Risk-Management vor.
Ersetzt Complass die Validierung oder eine Inspektion?
Nein. Die Validierung führen Sie oder Ihre Dienstleister durch, die Bewertung trifft die zuständige Behörde. Complass gibt die Struktur vor, erklärt die Anforderungen in eigenen Worten und hält Ihre Nachweise für die Inspektion bereit.
Complass mit Ihren eigenen Daten testen
Legen Sie Ihren Testzugang selbst an, auf Wunsch mit einem Beispielprojekt je Regelwerk. Wenn Sie Complass lieber erst gezeigt bekommen, fragen Sie eine Demo an.