21 CFR Part 11 vs EU GMP Annex 11: Was jede Fachkraft der Life Sciences wissen muss

Wenn Sie in der Pharma-, Biotech- oder Medizinproduktebranche tätig sind, sind Ihnen wahrscheinlich zwei regulatorische Rahmenwerke begegnet, die regeln, wie computerisierte Systeme und elektronische Daten verwaltet werden: 21 CFR Part 11 und EU-GMP Anhang 11. 

Diese beiden Richtlinien werden häufig verwechselt, weil sie sich in Themen wie elektronische Aufzeichnungen, Datenintegrität und Systemvalidierung überschneiden. Sie sind jedoch nicht identisch, und es ist entscheidend für jedes Unternehmen, das global tätig ist oder sich auf behördliche Inspektionen vorbereitet, zu verstehen, worin ihre Unterschiede liegen.

Beide Rahmenwerke existieren aus demselben grundlegenden Grund: sicherzustellen, dass Organisationen beim Übergang von papierbasierten Prozessen zu digitalen Systemen die Datenrichtigkeit, Produktqualität und Patientensicherheit nicht gefährden. Die beiden Richtlinien stammen jedoch von unterschiedlichen Aufsichtsbehörden, gelten in unterschiedlichen geografischen Bereichen, haben unterschiedliches rechtliches Gewicht und nähern sich dem Thema aus verschiedenen Blickwinkeln.

Dieser Blog führt Sie genau durch, was jedes Rahmenwerk abdeckt, wie sie nebeneinander zu vergleichen sind und welche praktischen Schritte Sie ergreifen können, um mit beiden konform zu bleiben.

Was ist 21 CFR Part 11?

21 CFR Part 11 ist eine von der U.S. Food and Drug Administration (FDA) herausgegebene Verordnung. Das „21 CFR“ steht für Title 21 of the Code of Federal Regulations, und Part 11 behandelt speziell elektronische Aufzeichnungen und elektronische Signaturen.

Die Verordnung wurde erstmals im März 1997 veröffentlicht und sollte Unternehmen dazu ermutigen, digitale Systeme einzuführen, ohne Schlupflöcher zu schaffen, die die Zuverlässigkeit von Daten beeinträchtigen könnten. Einfach ausgedrückt legt sie die Regeln fest, unter denen elektronische Aufzeichnungen und elektronische Signaturen rechtlich den Papierunterlagen und handschriftlichen Unterschriften gleichgestellt werden.

21 CFR Part 11 gilt für alle Aufzeichnungen, die gemäß FDA-Vorschriften erstellt, geändert, verwaltet, archiviert, abgerufen oder übertragen werden. Dazu gehören Pharmahersteller, Biotech-Unternehmen und Hersteller von Medizinprodukten, die Daten elektronisch an die FDA übermitteln oder elektronische Systeme in ihren regulierten Prozessen verwenden.

Die Verordnung ist in drei Unterabschnitte:

1. Unterabschnitt A – Allgemeine Bestimmungen: Dieser Abschnitt behandelt den Anwendungsbereich der Verordnung, Definitionen und deren Umsetzung. Er bildet die Grundlage für alles Weitere.
2. Unterabschnitt B – Elektronische Aufzeichnungen: Dies ist der detaillierteste Abschnitt. Er legt Anforderungen für geschlossene und offene Computersysteme fest, einschließlich Prüfpfaden, Systemzugangskontrollen, betrieblichen Prüfschritten, Berechtigungskontrollen, Geräteprüfungen und dem Schutz elektronischer Aufzeichnungen. Er beschreibt auch Anforderungen an die Darstellung von Signaturen, also wie eine elektronische Signatur mit einer elektronischen Aufzeichnung verknüpft ist.
3. Unterabschnitt C – Elektronische Signaturen: Dieser Abschnitt behandelt die allgemeinen Anforderungen an elektronische Signaturen, einschließlich der Verwendung von mindestens zwei unterschiedlichen Identifikationskomponenten (wie einer ID-Kennung und einem Passwort), Kontrollen für Identifikationskennungen und Passwörter sowie Anforderungen für nicht-biometrische und biometrische Signaturen.

Eines der wichtigsten Merkmale von 21 CFR Part 11 ist sein Detaillierungsgrad. Es sagt nicht nur in allgemeinen Zügen, was zu tun ist; es beschreibt genau, wie es zu tun ist, was die Auditierbarkeit erleichtert, aber die Umsetzung anspruchsvoller macht.

Was ist EU GMP Annex 11?

EU GMP Annex 11 ist ein Leitfaden, der von der European Medicines Agency (EMA) als Teil der EU-Good-Manufacturing-Practice (GMP)-Richtlinien veröffentlicht wurde. Während 21 CFR Part 11 eine gesetzliche Verordnung ist, ist Annex 11 ein ergänzender Leitfaden, was bedeutet, dass er nicht im gleichen strengen Sinne rechtlich bindend ist. Dennoch wird erwartet, dass jedes Unternehmen, das innerhalb der Europäischen Union tätig ist oder in diese exportiert, ihm folgt.

Annex 11 wurde zuletzt im Januar 2011 aktualisiert und gilt für alle computerisierten Systeme, die in GMP-regulierten Tätigkeiten verwendet werden. Ziel ist es sicherzustellen, dass beim Ersatz eines manuellen Prozesses durch ein computerisiertes System keine Einbußen bei Produktqualität, Prozesskontrolle oder Qualitätssicherung auftreten.

Der Leitfaden ist in vier Abschnitte:

1. Abschnitt 1 – Allgemeine Anleitung: Behandelt Risikomanagement, Verantwortlichkeiten des Personals sowie das Management von Zulieferern und Dienstleistern. Er legt die Grundlage für einen risikobasierten Ansatz im gesamten Dokument.
2. Abschnitt 2 – Projektphase: Konzentriert sich auf die Validierung computerisierter Systeme, einschließlich User Requirement Specifications, Systemdesign und der während der Systementwicklung und -implementierung erforderlichen Dokumentation.
3. Abschnitt 3 – Betriebsphase: Dies ist der umfangreichste Abschnitt und behandelt die tägliche Nutzung von Systemen. Er umfasst Anforderungen für Datenprüfungen, Datenspeicherung, Ausdrucke, Prüfpfade, Änderungs- und Konfigurationsmanagement, periodische Bewertungen, Sicherheitsmaßnahmen, Vorfallmanagement, elektronische Signaturen, Chargenfreigabe, Business-Continuity-Planung und Archivierung.
4. Abschnitt 4 – Glossar: Definiert Schlüsselbegriffe, die im gesamten Dokument verwendet werden.

Im Gegensatz zu 21 CFR Part 11, das eng auf elektronische Aufzeichnungen und Unterschriften ausgerichtet ist, nimmt Annex 11 eine breitere, systembezogene Perspektive ein. Er betrachtet den gesamten Lebenszyklus eines computergestützten Systems, von Anschaffung und Installation bis zur Außerbetriebnahme, und behandelt organisatorische, prozessuale und technische Kontrollen zusammen.

Direkter Vergleich: Wesentliche Unterschiede zwischen 21 CFR Part 11 und EU GMP Annex 11

Die folgende Tabelle fasst die wichtigsten Unterschiede zwischen den beiden Rahmenwerken zusammen:

Wo die beiden Rahmenwerke zusammenlaufen

Trotz ihrer Unterschiede verfolgen 21 CFR Part 11 und EU GMP Annex 11 ein gemeinsames Ziel: den Schutz Datenintegrität und die Gewährleistung der Zuverlässigkeit elektronischer Systeme in regulierten Umgebungen. Beide Rahmenwerke verlangen:

1. Prüfprotokolle, die erfassen, wer was, wann und warum getan hat
2. Gesteuerter Zugriff auf Systeme mittels eindeutiger Benutzeridentifizierung
3. Kontrollen elektronischer Signaturen, die die Signatur mit dem entsprechenden Datensatz verknüpfen
4. Systemvalidierung, um zu bestätigen, dass computerisierte Systeme konsistent und wie beabsichtigt funktionieren
5. Verfahren und Schulungen zur Unterstützung der konformen Nutzung von Systemen

Unternehmen, die Produkte sowohl in die USA als auch in die EU exportieren, wie die meisten großen Pharmahersteller, müssen beide Rahmenwerke gleichzeitig erfüllen. Obwohl es erhebliche Überschneidungen gibt, bestehen Lücken, insbesondere bei Lieferantenqualifizierung, Geschäftskontinuität und dem Umfang der geforderten Validierungsdokumentation.

Beide Rahmenwerke verlangen prüfungsbereite Validierung.

Sehen Sie, wie IQ OQ PQ die Beweiskette aufbaut, die einer Prüfung durch FDA und EMA standhält.

→ Lesen: IQ OQ PQ in der Pharmaindustrie | Grundlagen der Anlagenqualifizierung

Compliance-Checkliste: Erfüllung von 21 CFR Part 11 und EU GMP Annex 11

Verwenden Sie diese Checkliste als Ausgangspunkt zur Bewertung der aktuellen Compliance-Situation Ihrer Organisation:

Systemvalidierung

1. User Requirement Specifications (URS) für alle computerisierten Systeme dokumentiert
2.  Validierungspläne und -berichte abgeschlossen und genehmigt
3.  Periodische Überprüfung validierter Systeme durchgeführt

Elektronische Aufzeichnungen und Signaturen

1.  Elektronische Signaturen sind eindeutig einzelnen Personen zugeordnet
2.  Zwei-Faktor-Authentifizierung implementiert, wo erforderlich (21 CFR Part 11)
3.  Signaturmanifestationen enthalten Datum, Uhrzeit und die Bedeutung der Signatur
4.  Aufzeichnungen gegen unbefugte Änderung oder Löschung geschützt

Prüfprotokolle

1.  Prüfprotokolle für alle kritischen Datenfelder aktiviert
2.  Die Häufigkeit der Prüfprotokollprüfung ist in Verfahren definiert
3.  Prüfprotokollaufzeichnungen werden gemäß der geltenden Aufbewahrungsrichtlinie aufbewahrt

Zugriffssteuerung

1.  Eindeutige Benutzer-IDs werden allen Systembenutzern zugewiesen
2.  Rollenbasierte Zugriffskontrollen implementiert und regelmäßig überprüft
3.  Verfahren zum Kontenmanagement vorhanden (Erstellung, Änderung, Deaktivierung)

Datenintegrität

1.  Data-Integrity-Risikoanalyse (DIRA) abgeschlossen
2.  Kontrollen vorhanden, um Rückdatierung oder Datenmanipulation zu verhindern
3.  Backup- und Desaster-Recovery-Verfahren etabliert und getestet

Lieferanten- und IT-Infrastruktur-Management

1.  Lieferantenqualifizierung für Anbieter computerisierter Systeme durchgeführt (Anhang 11)
2.  IT-Infrastruktur-Qualifizierung abgeschlossen
3.  Verträge mit Lieferanten enthalten GMP-/Datenintegritätsanforderungen

Betriebliche Kontrollen

1.  SOPs für Systemnutzung, Änderungssteuerung und Vorfallmanagement vorhanden
2.  Personalschulungsnachweise werden geführt und sind aktuell
3.  Business-Continuity-Plan dokumentiert und getestet (Anhang 11)

Warum globale Unternehmen beide Rahmenwerke erfüllen müssen

Für ein Unternehmen, das in Europa produziert und in den USA verkauft oder umgekehrt, reicht die Einhaltung nur eines Rahmenwerks schlicht nicht aus. Ein Unternehmen, das zwar Annex 11 erfüllt, sich aber nicht mit den spezifischen Anforderungen von 21 CFR Part 11 (wie der Zwei-Komponenten-Regel für elektronische Signaturen oder den genauen Anforderungen an die Kontrolle offener Systeme) auseinandergesetzt hat, kann bei einer FDA-Inspektion in Gefahr geraten. Ebenso kann ein Unternehmen, das alle Punkte von 21 CFR Part 11 abhakt, aber die Anforderungen von Annex 11 an Lieferantenqualifizierung, Business Continuity und periodische Systembewertung ignoriert, bei einer EMA-nahen Inspektion Beanstandungen erfahren.

Die gute Nachricht ist, dass der Aufbau eines Compliance-Programms, das beide Rahmenwerke abdeckt, erreichbar ist. Da die beiden Rahmenwerke mehr Gemeinsamkeiten als Unterschiede aufweisen, wird ein gut gestaltetes Qualitätsmanagementsystem (QMS), das um Prinzipien der Datenintegrität, gründliche Validierung, robuste Zugriffskontrollen und stringente Dokumentationspraktiken herum aufgebaut ist, die Kernanforderungen beider erfüllen.

Praktische Hinweise zur Einhaltung beider Rahmenwerke

1. Verfolgen Sie einen risikobasierten Ansatz. Beide Rahmenwerke unterstützen die Verwendung von Risikoanalysen zur Priorisierung von Maßnahmen. Beginnen Sie damit, Ihre computerisierten Systeme nach GMP-Kritikalität zu klassifizieren und richten Sie die strengsten Kontrollen auf die Systeme mit dem höchsten Risiko.

2. Bauen Sie Validierung in den Systemlebenszyklus ein. Behandeln Sie Validierung nicht als einmaliges Ereignis. Beide Rahmenwerke erwarten, dass Sie einen validierten Zustand während der gesamten Lebensdauer des Systems beibehalten, auch nach Änderungen und Upgrades.

3. Schulen Sie Ihre Mitarbeitenden regelmäßig. Ihre Systeme sind nur so zuverlässig wie die Personen, die sie bedienen. Schulungen zu Datenintegrität, Systemnutzung und GMP-Erwartungen sollten dokumentiert, rollenbezogen und periodisch aufgefrischt werden.

4. Managen Sie Ihre Lieferanten proaktiv. Annex 11 verlangt ausdrücklich, dass Sie Ihre Lieferanten computerisierter Systeme bewerten und managen. Gehen Sie nicht davon aus, dass die Compliance-Aussagen eines Anbieters ausreichen; führen Sie Audits durch und prüfen Sie deren Dokumentation.

5. Halten Sie Ihre Audit-Trails aussagekräftig. Ein Audit-Trail, der existiert, aber nie überprüft wird, bringt wenig Wert. Definieren Sie, wer Audit-Trails überprüft, wie oft und was eine meldepflichtige Feststellung darstellt.

6. Dokumentieren Sie alles. Beide Rahmenwerke honorieren gut geführte Dokumentation. Ihre Validierungsunterlagen, Änderungssteuerungen, Abweichungsprotokolle und Schulungsnachweise sind der Nachweis, den Sie bei Inspektionen vorlegen werden.

Compliance ohne Fähigkeit ist ein Papierschild.

Darum scheitern Qualitätssysteme in der Pharma, wenn die Menschen nicht befähigt sind, sie zu tragen.

→ Lesen: Warum Qualitätssysteme in der Pharma ohne Capability Building scheitern

Abschließende Gedanken

21 CFR Part 11 und EU GMP Annex 11 sind nicht austauschbar; sie sind komplementäre Rahmenwerke, die dasselbe übergeordnete Ziel aus zwei unterschiedlichen regulatorischen Perspektiven verfolgen. 21 CFR Part 11 ist eine detaillierte, vorschreibende US-Regelung, die sich speziell auf elektronische Aufzeichnungen und Signaturen konzentriert. EU GMP Annex 11 ist eine breiter angelegte, prinzipienbasierte europäische Leitlinie, die den gesamten Lebenszyklus computerisierter Systeme in GMP-Betrieben abdeckt.

Die Gemeinsamkeiten und Unterschiede zwischen beiden zu verstehen, ist nicht nur akademisch. Für Life-Sciences-Unternehmen, die auf dem heutigen globalen Markt tätig sind, ist es eine praktische Notwendigkeit. Beides richtig umzusetzen schützt Patienten, bewahrt Produktqualität und hält Ihre Organisation auf beiden Seiten des Atlantiks inspectionsbereit.

Häufig gestellte Fragen (FAQs)

F1. Was ist der Hauptunterschied zwischen 21 CFR Part 11 und EU GMP Annex 11?

21 CFR Part 11 ist eine rechtlich bindende FDA-Regelung, die sich in den USA auf elektronische Aufzeichnungen und Signaturen konzentriert. EU GMP Annex 11 ist hingegen ein GMP-Leitdokument der EMA, das den gesamten Lebenszyklus computerisierter Systeme abdeckt, die in der pharmazeutischen Herstellung innerhalb der EU verwendet werden.

F2. Ist EU GMP Annex 11 rechtlich verbindlich?

Anhang 11 ist ein Leitdokument und keine eigenständige gesetzliche Vorschrift. Dennoch erwarten die EU-Zulassungsbehörden die Einhaltung, und Abweichungen von seinen Prinzipien können zu Inspektionsergebnissen oder Einfuhrbeschränkungen führen.

F3. Müssen Pharmaunternehmen beiden Rahmenwerken entsprechen?

Unternehmen, die Produkte sowohl auf den US- als auch auf den EU-Märkten herstellen oder vertreiben, werden erwartet, die Anforderungen beider Märkte zu erfüllen. Da sich die Rahmenwerke erheblich überschneiden, kann ein gut strukturiertes QMS in der Regel beide gleichzeitig abdecken.

F4. Was bedeutet „Datenintegrität“ im Kontext dieser beiden Vorschriften? 

Datenintegrität bedeutet sicherzustellen, dass elektronische Aufzeichnungen während ihres gesamten Lebenszyklus vollständig, genau, konsistent und vertrauenswürdig sind. Beide Rahmenwerke verlangen Kontrollen wie Audit-Trails, Zugriffsbeschränkungen und Validierung, um die Datenintegrität zu schützen.

F5. Wie oft sollten computerisierte Systeme auf Konformität überprüft werden?

Beide Rahmenwerke erwarten regelmäßige Überprüfungen computerisierter Systeme, um zu bestätigen, dass sie weiterhin validiert sind und die regulatorischen Anforderungen erfüllen. Die Häufigkeit sollte risikobasiert sein und in Ihren Qualitätsverfahren dokumentiert werden.