ERP für Pharma und Medizintechnik – validiert und auditfähig

GxP-Validierung bedeutet, dass ein Pharma-ERP dokumentiert nachweisbar genau so funktioniert wie spezifiziert, bevor es GMP-relevante Daten verarbeiten darf. In der Praxis folgt sie meist dem V-Modell mit Anforderungsspezifikation (URS), Design- und Risikobewertung sowie den Qualifizierungsstufen IQ, OQ und PQ, die alle revisionssicher belegt werden. Methodischer Standard dafür ist GAMP 5 in der zweiten Auflage von 2022, das ERP-Systeme typischerweise als Kategorie 4 (konfigurierte Standardprodukte) einordnet und den Validierungsaufwand auf Konfiguration und Workflows fokussiert statt auf die Basisplattform. Damit lässt sich auch Lieferanten-Dokumentation nutzen, um bereits vom Hersteller validierte Funktionen nicht erneut vollständig testen zu müssen.

Annex 11 ist die EU-GMP-Leitlinie für computergestützte Systeme und gilt für jedes ERP, das GMP-relevante Daten erzeugt oder speichert. Kernforderungen sind eine validierte Anwendung, ein nicht editierbarer Audit-Trail über alle Datenänderungen sowie die Einhaltung der ALCOA+-Datenintegritätsprinzipien (attributierbar, lesbar, gleichzeitig, original, korrekt und vollständig). Der im Juli 2025 veröffentlichte Entwurf der überarbeiteten Annex-11-Fassung erweitert den Standard von rund fünf auf etwa 19 Seiten und ergänzt unter anderem periodische Validierungs-Reviews sowie Cybersecurity-Aspekte mit Bezug auf Rahmenwerke wie ISO 27001 und die NIS2-Richtlinie. Die finale Version wird für 2026 erwartet, sodass Hersteller die zusätzlichen Anforderungen bei der Systemauswahl bereits berücksichtigen sollten.

21 CFR Part 11 ist die US-Regelung der FDA, die elektronische Aufzeichnungen und elektronische Signaturen rechtlich mit Papier und handschriftlicher Unterschrift gleichstellt; sie wird relevant, sobald in die USA exportiert oder dort vermarktet wird. Sie verlangt unter anderem manipulationssichere, zeitgestempelte Audit-Trails sowie nicht-biometrische elektronische Signaturen mit mindestens zwei eindeutigen Identifikationskomponenten wie Benutzerkennung und Passwort. Jede signierte Aufzeichnung muss den ausgedruckten Namen des Unterzeichners, Datum und Uhrzeit sowie die Bedeutung der Signatur (etwa Freigabe oder Prüfung) klar erkennbar enthalten. Inhaltlich überschneiden sich Part 11 und Annex 11 stark, weshalb viele ERP-Lösungen beide Regelwerke gemeinsam adressieren.

Die Falsified Medicines Directive verpflichtet Hersteller verschreibungspflichtiger Arzneimittel, jede Packung mit einem eindeutigen 2D-DataMatrix-Code und einem Originalitätsverschluss zu versehen. Der Code enthält vier Datenelemente: Produktkennung (GTIN), Seriennummer, Charge sowie Verfallsdatum, und die Seriennummern müssen in das europäische Verifizierungssystem EMVS eingespielt werden. Aufzeichnungen zu jeder Operation mit dem eindeutigen Identifikator sind nach der Delegierten Verordnung (EU) 2016/161 mindestens ein Jahr über das Verfallsdatum hinaus oder fünf Jahre nach Freigabe aufzubewahren, je nachdem, welcher Zeitraum länger ist. Ein Pharma-ERP muss diese Serialisierung und die EMVS-Datenübermittlung daher prozessseitig abbilden können.

Ab dem 28. Mai 2026 werden die ersten vier EUDAMED-Module verpflichtend, darunter die Akteurs-Registrierung und die UDI-/Produktregistrierung für Medizinprodukte und IVD. Neue Produkte müssen vor dem Inverkehrbringen registriert werden, während bereits vor diesem Stichtag in Verkehr gebrachte Produkte bis zum 28. November 2026 nachzutragen sind. Die UDI-Informationen müssen über Kennzeichnung, Verpackung, Produktion, ERP, Distribution und EUDAMED-Meldungen hinweg konsistent sein, weshalb Hersteller mit großem Portfolio oft Machine-to-Machine-Schnittstellen zwischen ERP/PLM und EUDAMED einsetzen. Ein medizintechnik-taugliches ERP sollte UDI-Verwaltung und diese Datenkonsistenz daher von Haus aus unterstützen.

Mittelständische ERP-Einführungen im Pharma-Sektor dauern realistisch typischerweise rund 6 bis 18 Monate, große Multi-Site- oder On-Premise-Projekte eher 18 bis 36 Monate, da die Validierung nach Annex 11 und 21 CFR Part 11 die Laufzeit gegenüber nicht regulierten Branchen meist um einige Wochen bis mehrere Monate verlängert. Die Gesamtkosten liegen über die ersten drei bis fünf Jahre je nach Anwenderzahl und Anpassungstiefe oft zwischen rund 500.000 und mehreren Millionen Euro. Die GAMP-5-konforme Validierung mit URS-, IQ-, OQ- und PQ-Dokumentation schlägt dabei häufig mit zusätzlichen 80.000 bis 320.000 Euro zu Buche und kann in komplexen Fällen die Lizenzkosten übersteigen. Hinzu kommen jährliche Wartung von etwa 18 bis 22 Prozent der Lizenzsumme bei On-Premise oder eine Cloud-Subscription, die je nach Plattform grob mit 100 bis 350 Euro pro Anwender und Monat skaliert.