Häufig gestellte Fragen
Wer fällt unter 21 CFR Part 11?
21 CFR Part 11 betrifft Unternehmen aus FDA-regulierten Branchen – also Pharma, Biotechnologie, Medizintechnik und teils auch Lebensmittel und Kosmetik –, sobald sie Produkte für den US-Markt herstellen, dorthin liefern oder klinische Studien in den USA durchführen. Maßgeblich ist nicht der Firmensitz, sondern ob qualitätsrelevante Aufzeichnungen elektronisch geführt werden, die eine sogenannte Predicate Rule (etwa cGMP-Vorschriften) vorschreibt. Auch europäische Mittelständler können daher in den Anwendungsbereich fallen, wenn sie die USA beliefern. Der konkrete Umfang hängt immer von den individuellen Prozessen und davon ab, welche Daten überhaupt der FDA gegenüber nachweispflichtig sind.
Welche zentralen Anforderungen stellt 21 CFR Part 11 an ein System?
Die Vorschrift verlangt im Kern, dass elektronische Aufzeichnungen so vertrauenswürdig und zuverlässig sind wie Papierdokumente. Dazu gehören ein lückenloser, nachträglich unveränderbarer Audit-Trail (wer hat wann was mit welcher Begründung geändert), eine granulare Zugriffskontrolle über eindeutige Benutzerkennungen sowie elektronische Signaturen, die fest mit dem Datensatz verknüpft und einer Person eindeutig zugeordnet sind. Hinzu kommen die dauerhafte Lesbarkeit und Exportierbarkeit der Daten über die Aufbewahrungsfrist sowie der dokumentierte Nachweis, dass das System validiert ist. Nicht-biometrische Signaturen müssen dabei nach § 11.200 mindestens zwei Komponenten nutzen, etwa Benutzerkennung und Passwort.
Ist ein ERP-System automatisch "21 CFR Part 11-konform"?
Nein. Part 11 ist kein Software-Feature, das man aktivieren kann, sondern ein Anforderungskatalog, dessen Konformität erst im Zusammenspiel von korrekt konfigurierter Software, dokumentierten Prozessen (SOPs) und nachgewiesener Validierung entsteht. Werbeaussagen wie "Part-11-ready" bedeuten lediglich, dass die technischen Voraussetzungen wie Audit-Trail und Rollenkonzept vorhanden sind – nicht, dass das betreibende Unternehmen die Vorschrift erfüllt. Die regulatorische Verantwortung bleibt stets beim Betreiber, nicht beim Hersteller. Funktionen sind notwendig, aber nicht hinreichend; entscheidend ist, wie sie konfiguriert, validiert und betrieben werden.
Brauche ich neben dem ERP ein eigenes eQMS?
Das hängt von Risikoklasse, Produktart und Tiefe der bereits im ERP abgebildeten Qualitätsprozesse ab. Viele Hersteller setzen ein dediziertes elektronisches Qualitätsmanagementsystem (eQMS) ein, weil dieses Dokumentenlenkung, CAPA, Abweichungs- und Änderungsmanagement spezialisierter abbildet als ein klassisches ERP; verbreitete Lösungen sind etwa Veeva Vault QMS oder MasterControl. Wo das ERP qualitätsrelevante Vorgänge wie Chargenfreigabe oder Sperrung selbst übernimmt, müssen auch dessen Funktionen Part-11-konform betrieben und validiert werden. Bei niedrigeren Risikoklassen kann ein gut konfiguriertes ERP ausreichen – eine pauschale Antwort gibt es nicht, die Entscheidung sollte risikobasiert getroffen werden.
Was ist der Unterschied zwischen 21 CFR Part 11 und dem EU-GMP-Annex 11?
Beide Regelwerke zielen auf die Integrität computergestützter Aufzeichnungen ab, unterscheiden sich aber in Status und Schwerpunkt: 21 CFR Part 11 ist eine rechtsverbindliche FDA-Vorschrift, die spezifisch elektronische Aufzeichnungen und Signaturen regelt, während Annex 11 ein Anhang des EU-GMP-Leitfadens ist und computergestützte Systeme ganzheitlicher im Qualitätsmanagement betrachtet. Annex 11 verlangt ausdrücklich eine dokumentierte Risikobewertung, die auch Umfang und Prüffrequenz von Audit-Trails festlegt, sowie Lieferantenqualifizierung und periodische Systemüberprüfungen, während Part 11 (§ 11.10(e)) Audit-Trails grundsätzlich für alle predicate-rule-relevanten elektronischen Aufzeichnungen verlangt. Unternehmen, die beide Märkte bedienen, müssen daher beide Regelwerke parallel beachten, da sie sich überschneiden, aber nicht identisch sind.
Wie aufwendig ist die Validierung eines ERP-Systems für Part 11?
Der Aufwand richtet sich nach Systemkomplexität und Risiko und folgt typischerweise dem Schema aus Installations-, Funktions- und Leistungsqualifizierung (IQ/OQ/PQ), abgeleitet aus einer User Requirements Specification und einer Risikobewertung. Branchenüblich orientiert man sich am Standard ISPE GAMP 5, der intensives Testen dort vorsieht, wo das Risiko für Datenintegrität, Produktqualität oder Patientensicherheit am höchsten ist. Die FDA hat ihre Computer-Software-Assurance-Guidance (CSA) im September 2025 finalisiert; dieser risikobasierte Ansatz löst die frühere, stärker dokumentenlastige CSV-Praxis ab und kann den Validierungsaufwand spürbar reduzieren. Wichtig bleibt ein Change-Control-Prozess, der bei jedem Update, Patch oder jeder Integration prüft, ob eine Revalidierung nötig ist.