Den richtigen GxP‑SaaS‑Anbieter wählen: Was Sie wissen müssen!

Die Life-Sciences-Branche, bestehend aus Pharmazeutika, Biotechnologie und Medizinprodukten, verlagert sich zunehmend zu cloudbasierten Technologien, um Abläufe zu modernisieren, die Compliance zu stärken und die Effizienz zu steigern. Unter diesen Technologien hat sich Software as a Service (SaaS) aufgrund ihrer Flexibilität, Skalierbarkeit und Benutzerfreundlichkeit als eine der wirkungsvollsten Lösungen herauskristallisiert. 

Im Gegensatz zu herkömmlichen On-Premise-Systemen, die komplexe Installationen, lange Bereitstellungszyklen und erhebliche IT-Ressourcen erfordern, bieten SaaS-Plattformen sofortigen Zugriff über das Internet und ermöglichen es Organisationen, die Software nahezu sofort zu nutzen.

In GxP-regulierten Umgebungen bieten SaaS-Systeme den zusätzlichen Vorteil der zentralisierten Kontrolle über Daten, automatisierte Updates, erleichterte Zusammenarbeit und den Wegfall lokaler Systemwartung. 

Diese Fähigkeiten unterstützen die Einhaltung strenger globaler Vorschriften wie 21 CFR Part 11, EU Annex 11, GDPR, HIPAA, PCI DSS und verschiedener ISO-Normen. Die Auswahl des richtigen SaaS-Anbieters ist jedoch keine einfache Aufgabe. 

Ein Anbieter mag beeindruckende Funktionen bieten, kann aber in für GxP-Compliance kritischen Bereichen wie Audit-Trail-Funktionen, Validierungsunterstützung, Schutz der Datenintegrität, Backup-Systemen oder Change-Control-Praktiken Mängel aufweisen.

Um die Vorteile GxP-konformer SaaS-Lösungen zu maximieren, müssen Unternehmen sowohl verstehen, was die Cloud ermöglicht, als auch welche Verantwortlichkeiten bei ihnen verbleiben. 

Dieser Artikel erläutert alle wichtigen Kriterien, die Organisationen vor der Auswahl eines SaaS-Anbieters bewerten müssen, und erklärt, wie diese Faktoren mit den regulatorischen Erwartungen übereinstimmen. Mit dem richtigen Ansatz kann SaaS zu einem transformativen Werkzeug werden, das Compliance, Effizienz und langfristigen operativen Erfolg unterstützt.

Warum ist die Wahl des richtigen GxP-SaaS-Anbieters wichtig?

GxP-regulierte Organisationen müssen innerhalb strikter Rahmenbedingungen arbeiten, die den Schutz der Datenintegrität, die Patientensicherheit und die Produktqualität gewährleisten sollen. Cloudbasierte Systeme bieten einen großen Nutzen, bringen jedoch eine geteilte Verantwortung mit sich: Der SaaS-Anbieter verwaltet die Anwendung und Infrastruktur, während das regulierte Unternehmen sicherstellen muss, dass das System für die beabsichtigte GxP-Nutzung geeignet ist.

Wird der falsche Anbieter gewählt, können Organisationen mit Lücken in der Datenintegrität, Auditbefunden, behördlichen Beanstandungen, unerwarteten Ausfällen oder Sicherheitslücken konfrontiert werden. Ein starker Anbieter hingegen unterstützt die Compliance von Anfang an durch robuste Sicherheit, Transparenz, bewährte Entwicklungsprozesse und validierte Technologie.

Die Auswahl eines SaaS-Anbieters ist daher nicht nur eine technologische Entscheidung, sondern eine Qualitäts- und Compliance-Entscheidung, die nahezu jeden Aspekt der GxP-Aktivitäten beeinflusst.

In die Cloud zu wechseln ist das eine.

Das Qualitätssystem ohne Compliance-Lücken zu migrieren ist etwas anderes.

→ Lesen: eQMS-Migration in der Pharmaindustrie – Ein Schritt-für-Schritt-Leitfaden für Qualitätsverantwortliche

Klare Bewertungsmetriken festlegen

Bevor verschiedene SaaS-Lösungen verglichen werden, ist es wichtig, interne Bewertungsmetriken zu definieren. Vorgegebene Kriterien sorgen für Konsistenz und reduzieren subjektive Entscheidungen. Diese Metriken helfen dabei zu beurteilen, ob der Anbieter sowohl die betrieblichen Anforderungen als auch die regulatorischen Erwartungen erfüllt.

Wesentliche Bewertungskategorien umfassen:

• Cloud-Infrastruktur
• Softwareentwicklungslebenszyklus (SDLC) und Qualitätskontrollen
• Datenintegrität und Aufzeichnungsmanagement-Funktionen
• Audit-Trail-Kontrollen
• Validierungsunterstützung
• Change-Management-System
• Backup, Restore und Disaster Recovery
• Schulung und Dokumentation
• Service-Level-Agreements (SLAs)
• Vendor-Management-Praktiken

Jede dieser Kategorien spiegelt regulatorische Erwartungen wider und stellt sicher, dass der Softwareanbieter konforme, zuverlässige Abläufe unterstützen kann.

GxP-konforme Unterstützung der Cloud-Infrastruktur

Es gibt keine spezifischen GxP-Richtlinien, die die genaue Cloud-Infrastruktur vorschreiben; jedoch erwarten Aufsichtsbehörden, dass Unternehmen eine Infrastruktur wählen, die Vertraulichkeit, Integrität und Verfügbarkeit der Daten schützt.

Organisationen müssen bestimmen, welches Bereitstellungsmodell mit ihrer internen Cloud-Policy und Risikobereitschaft übereinstimmt:

• Private Cloud: Höchste Sicherheit und Kontrolle, erfordert jedoch erhebliche Ressourcen

• Public Cloud: Kosteneffektiv und skalierbar, jedoch mit geteilter Infrastruktur

• Hybrid Cloud: Kombination aus Private- und Public-Modellen

• Community Cloud: Geteilt von Gruppen mit ähnlichen Anforderungen

In stark regulierten Umgebungen wird in der Regel eine private Cloud bevorzugt, sofern die Organisation diese verwalten kann. Wichtige Bewertungsaspekte umfassen die physische Sicherheit von Rechenzentren, Überwachungssysteme, Verschlüsselung, Zugangskontrollen und die historische Zuverlässigkeit.

GxP-konformer Softwareentwicklungslebenszyklus

Eine SaaS-Lösung muss unter Anwendung guter Engineering- und Sicherheitspraktiken entwickelt werden. Der Anbieter sollte einen strukturierten SDLC nachweisen, der Designkontrollen, Tests, Dokumentation und Änderungssteuerung umfasst.

Wichtige zu bewertende Bereiche umfassen:

1) Physische & Umgebungssicherheit — Rechenzentren und Hosting-Umgebungen müssen strenge physische Schutzmaßnahmen, Klimakontrolle, Brandbekämpfung und überwachten Zugang aufweisen.

2) Logische Sicherheit — Es sollte starke Authentifizierung, Autorisierung, Verschlüsselung, Firewallsysteme und Eindringungserkennung geben, um unbefugten Zugriff zu verhindern.

3) Systemüberwachung & Wartung — Der Anbieter muss das System kontinuierlich überwachen, die Leistung verfolgen, Anomalien erkennen und Updates bereitstellen, ohne den Betrieb zu stören.

4) Datenaufbewahrung — Richtlinien sollten festlegen, wie lange Daten gespeichert werden und wie sie zur Erfüllung regulatorischer Anforderungen erhalten werden.

5) Datenklassifizierung — Daten müssen nach Sensitivität kategorisiert werden, um geeignete Sicherheits- und Zugriffsmaßnahmen anzuwenden.

6) Datenzugriffsrichtlinie — Anbieter sollten Kundendaten nicht ohne Autorisierung löschen oder ändern können. Die Verhinderung unbefugter Datenmanipulation ist für die Compliance wesentlich.

7) Datenschutz & Vertraulichkeit — Der Anbieter sollte starke Verschlüsselungs- und Vertraulichkeitsmechanismen in jeder Phase des Datenlebenszyklus implementieren.

8) Softwareentwicklungspraktiken — Codierungsstandards, Testprotokolle, Peer-Reviews und Qualitätssicherungs-Checkpoints müssen implementiert und dokumentiert sein.

9) Validierung von Computersystemen (CSV) — Der SaaS-Anbieter muss seine Software validieren, um sicherzustellen, dass sie wie vorgesehen funktioniert und regulatorische Erwartungen erfüllt.

10) Änderungsmanagement — Alle Änderungen an der Anwendung, einschließlich Updates, Patches und neuer Funktionen, müssen gesteuert, dokumentiert, auf Risiken bewertet und kommuniziert werden.

11) Vorfallmanagement — Der Anbieter muss Verfahren zur Meldung und Behebung von Systemvorfällen, Sicherheitsverletzungen oder Ausfällen haben und diese umgehend bearbeiten.

12) Risikomanagement — Risiken müssen während des gesamten Entwicklungslebenszyklus identifiziert, bewertet und gemindert werden.

13) Dokumentation & Schulung — Umfassende Dokumentation für Verfahren, Richtlinien, Arbeitsabläufe und technische Informationen muss vorhanden sein, begleitet von ausreichender Benutzerschulung.

14) Asset- & Inventarverwaltung — Der Anbieter muss Softwarekomponenten, Abhängigkeiten und Infrastrukturassets nachverfolgen.

15) Datensicherung — Regelmäßige Backups sind unerlässlich, um Datenverlust durch Korruption, Systemausfälle oder Cybersecurity-Vorfälle zu verhindern.

16) Wiederherstellung nach Katastrophen — Es muss klare Strategien geben, um Daten und Dienste im Falle einer schwerwiegenden Störung wiederherzustellen.

17) Geschäftskontinuität — Der Anbieter muss in der Lage sein, während und nach kritischen Ereignissen weiterhin Dienstleistungen zu erbringen.

18) Lieferantenmanagement — Wenn der Anbieter auf Drittanbieter angewiesen ist, muss er alle Drittparteien bewerten, überwachen und deren Einhaltung sicherstellen.

GxP-konformes Datenintegritäts- & Aufzeichnungsmanagement

Für Systeme, die GxP elektronische Aufzeichnungen speichern, ist die Einhaltung von 21 CFR Part 11 und EU Annex 11 unerlässlich. Der SaaS-Anbieter muss nachweisen, dass sein System Datenrichtigkeit, Vollständigkeit, Schutz und Rückverfolgbarkeit gewährleistet.

Da die Verantwortung für Datenintegrität zwischen Kunde und Anbieter geteilt wird, müssen beide Parteien die Rollen klar definieren. Eine detaillierte Rollen- und Verantwortlichkeitsmatrix sollte die Zuständigkeit für Prozesse wie Datenerstellung, Prüfung, Freigabe, Berichterstattung, Archivierung und Abruf festlegen.

Audit-Trail-Kontrollen (vereinfachte Erklärung)

Audit-Trails sind eine Kernanforderung in jedem GxP-konformen System, da sie eine vollständige und verlässliche Historie aller im System ausgeführten Aktionen liefern. Einfach ausgedrückt fungiert ein Audit-Trail wie ein „digitales Logbuch“, das aufzeichnet, wer was getan hat, wann es getan wurde und was genau geändert wurde.

Damit ein Audit-Trail den regulatorischen Erwartungen entspricht, muss er mehrere wesentliche Merkmale enthalten:

a) Automatisch erfasst:

Das System sollte Audit-Trail-Einträge eigenständig erzeugen, wann immer ein Datensatz erstellt, geändert oder gelöscht wird. Benutzer sollten diese Informationen nicht manuell eingeben müssen.

b) Sicher & manipulationssicher:

Sobald Audit-Trail-Daten aufgezeichnet sind, müssen sie so geschützt werden, dass kein Benutzer sie bearbeiten, überschreiben oder löschen kann. Dies stellt sicher, dass die Informationen vertrauenswürdig bleiben.

c) Zeitstempel genau:

Jede Aktion muss mit Datum und Uhrzeit basierend auf einer kontrollierten Systemuhr aufgezeichnet werden. Benutzer sollten Zeitstempel nicht ändern können, und die Zeitzone sollte klar definiert sein.

d) Klar rückverfolgbar:

Der Audit-Trail sollte sowohl die alten als auch die neuen Werte anzeigen, wann immer Daten geändert werden. Er sollte auch erfassen, wer die Änderung vorgenommen hat und, wo erforderlich, den Grund für die Änderung.

e) Ordnungsgemäß aufbewahrt & archiviert:

Audit-Trail-Aufzeichnungen müssen für die gleiche Dauer wie die Originaldaten gespeichert werden, um sicherzustellen, dass sie für zukünftige Referenzen verfügbar sind.

f) Leicht zugänglich für Prüfungen:

Während Audits, Inspektionen oder Untersuchungen sollte der Audit-Trail einfach abzurufen, zu prüfen und zu exportieren sein, ohne Schwierigkeiten.

Ein gut gestalteter Audit-Trail gewährleistet Transparenz, Verantwortlichkeit und Datenintegrität. Fehlen Audit-Trails, sind sie unvollständig oder bearbeitbar, erfüllt das System nicht die GxP-Compliance-Anforderungen.

Zugriff auf Vorproduktionsumgebungen

In vielen GxP-regulierten SaaS-Anwendungen müssen Organisationen Workflows konfigurieren, Systemeinstellungen anpassen oder Funktionen an ihre internen Prozesse anpassen. 

Um dies sicher zu tun, sollte der SaaS-Anbieter Zugang zu einer Vorproduktionsumgebung anbieten, einem separaten Bereich, in dem Unternehmen kommende Änderungen testen können, ohne Live-Daten oder den täglichen Betrieb zu beeinflussen. 

Diese Umgebung fungiert wie eine „Übungszone“, in der Teams experimentieren, Updates bewerten und sicherstellen können, dass alles korrekt funktioniert, bevor die Änderungen in das Produktionssystem eingeführt werden.

Eine Vorproduktionsumgebung ist entscheidend, um die Auswirkungen neuer Funktionen zu bewerten, Validierungsaktivitäten durchzuführen und Probleme frühzeitig zu identifizieren. Sie ermöglicht Teams, Regressionstests durchzuführen, um sicherzustellen, dass neue Releases bestehende Funktionen nicht beeinträchtigen. 

Sie bietet außerdem einen kontrollierten Bereich für Benutzerschulungen, damit Mitarbeiter mit Updates vertraut werden können, bevor diese live gehen. Dies reduziert das Risiko erheblich und verbessert die Systembereitschaft.

Bei der Bewertung eines SaaS-Anbieters sollten Unternehmen sorgfältig prüfen, wie gut diese Umgebung verwaltet wird. Wichtige zu berücksichtigende Faktoren sind:

• Häufigkeit der Updates vom Anbieter veröffentlichte
• Zeit zur Verfügung gestellt zum Prüfen, Testen und Validieren von Änderungen
• Anzahl der Fehler oder Probleme während Tests in der Vorproduktion festgestellt
• Geschwindigkeit und Zuverlässigkeit der Bereitstellung von Updates
• Dauer der Wartungsausfallzeiten während Release-Zyklen
• Verfügbarkeit von Release-Notes und Auswirkungenseinschätzungen zur Überprüfung
• Stabilität der Testumgebung, insbesondere während größerer Releases

Insgesamt sorgt der Zugang zu einer gut unterstützten Vorproduktionsumgebung für reibungslosere Übergänge, hilft dabei, die Compliance aufrechtzuerhalten, und minimiert das Risiko unerwarteter Störungen, wenn Updates die Produktionsumgebung erreichen.

Service Level Agreements (SLA)

In GxP-regulierten Branchen ist ein Service Level Agreement (SLA) eines der wichtigsten Dokumente, das mit einem SaaS-Anbieter geschlossen werden sollte. 

Da Compliance, Datenintegrität und Systemzuverlässigkeit unerlässlich sind, fungiert das SLA als rechtsverbindlicher Vertrag, der klar definiert, wofür der Anbieter verantwortlich ist und wie er die Qualität, Leistung und Sicherheit des Systems aufrechterhält. 

Es stellt sicher, dass der SaaS-Anbieter die regulatorischen Erwartungen des regulierten Unternehmens erfüllt und sich verpflichtet, Dienstleistungen zu erbringen, die GxP-Betriebe vollständig unterstützen.

Während der SaaS-Anbieter seine Verpflichtungen darlegen muss, ist das regulierte Unternehmen dafür verantwortlich, zu bestätigen, dass diese Zusagen ausreichend sind. Beide Parteien müssen sich über ihre gemeinsamen und individuellen Verantwortlichkeiten einigen, um Lücken zu vermeiden, die die Compliance beeinträchtigen könnten. 

Ein gut formuliertes SLA beseitigt Unklarheiten, schützt das Unternehmen bei Audits und stellt sicher, dass die Software validiert, sicher und ordnungsgemäß gewartet bleibt.

Um hohe Servicequalität und kontinuierliche Compliance zu gewährleisten, sollte das SLA mehrere wesentliche Bereiche abdecken. Diese Punkte helfen, Erwartungen zu klären, Zeitpläne zu definieren und Transparenz darüber zu schaffen, wie Updates, Änderungen und Supportaktivitäten gehandhabt werden.

Wesentliche Komponenten, die im SLA enthalten sein sollten, sind:

• Das SLA sollte eindeutig angeben, ob die Software bereits validiert ist und welche unterstützenden Dokumente vom Anbieter bereitgestellt werden.

• Es sollte erklären, welche Umgebungen verfügbar sind, wie Test- oder Produktionsumgebungen, und beschreiben, wie Updates und Releases verwaltet werden.

• Es sollte festlegen, wie häufig Updates veröffentlicht werden, sicherstellen, dass detaillierte Release Notes geteilt werden, erklären, welche Änderungen vorgenommen werden, und genügend Zeit für das Unternehmen bieten, um Tests durchzuführen und Benutzer zu schulen, bevor Updates live gehen.

• Der Anbieter sollte das Unternehmen stets im Voraus über geplante Systemausfallzeiten für Wartungsarbeiten informieren.

• Bei größeren oder mittleren Updates sollte der Anbieter eine Vorankündigungsfrist von 45–60 Tagen geben, damit das Unternehmen genügend Zeit hat, die Änderungen zu testen und zu validieren.

• Der Kundensupport sollte jederzeit verfügbar sein, idealerweise 24 Stunden am Tag und 7 Tage die Woche, um Probleme schnell zu bearbeiten.

• Der Anbieter sollte klar erläutern, wie Daten gesichert werden, wie sie wiederhergestellt werden können und wie das System im Falle von Ausfällen oder Katastrophen wiederhergestellt wird.

• Alle Datenverarbeitung, -übertragung und -zugriffe sollten der DSGVO und anderen anwendbaren Datenschutzgesetzen entsprechen.

• Es sollte einen klaren Prozess für das Löschen oder Zurückgeben von Daten geben, sobald der Vertrag mit dem Anbieter endet.

• Der Anbieter muss sicherstellen, dass alle Daten vertraulich behandelt und mit geeigneten Sicherheitsmaßnahmen geschützt werden.

• Der Anbieter sollte transparent sein und bereit, Audits zu unterstützen, wann immer dies erforderlich ist.

• Etwaige gemeinsame Verantwortlichkeiten oder Abhängigkeiten zwischen dem Anbieter und dem Unternehmen sollten im Vertrag klar definiert sein.

Insgesamt dient das SLA als wichtige Grundlage für die Partnerschaft zwischen dem regulierten Unternehmen und dem SaaS-Anbieter. Es stellt sicher, dass Erwartungen abgeglichen, Risiken minimiert und alle Parteien während des gesamten Lebenszyklus des Systems über ihre Verantwortlichkeiten informiert sind.

Validierung vorvalidierter SaaS-Lösungen

Selbst wenn ein SaaS-Anbieter behauptet, sein System sei „vorvalidiert“, bleibt das regulierte Unternehmen dafür verantwortlich, sicherzustellen, dass das System für seine beabsichtigte GxP-Nutzung geeignet ist. Eine vorvalidierte Lösung kann den Arbeitsaufwand erheblich reduzieren, ersetzt jedoch nicht die Validierungsverpflichtungen des Kunden.

Ein risikobasierter Ansatz wird empfohlen, abgestimmt auf GAMP 5:

• GAMP-Kategorie 3: Konfigurierte Software

• GAMP-Kategorie 4: Konfiguriert mit zusätzlichen Workflows

Das regulierte Unternehmen muss das System bewerten, die beabsichtigte Verwendung verifizieren, kritische Funktionen testen, Validierungsnachweise dokumentieren und bestätigen, dass die regulatorischen Erwartungen erfüllt werden.

Vorvalidiert bedeutet nicht, dass Ihre Arbeit erledigt ist. 

Der FDA-CSA-Rahmen hat die Regeln geändert.

→ Lesen: CSV vs CSA — Was die Umstellung für Ihre GxP-Systemvalidierungsstrategie bedeutet

Fazit

Die Auswahl eines GxP-konformen SaaS-Anbieters ist eine entscheidende Entscheidung, die Datenintegrität, Compliance, operative Effizienz und langfristiges technologisches Wachstum beeinflusst. 

Durch die Etablierung eines klaren Bewertungsrahmens, die Bewertung von Infrastruktur- und Entwicklungspraktiken, die Prüfung von Maßnahmen zur Datenintegrität und das Bestehen auf starken SLAs können Organisationen einen Anbieter auswählen, der regulatorische Erwartungen und geschäftliche Anforderungen unterstützt. 

Mit dem richtigen Partner und dem richtigen Ansatz wird SaaS-Technologie zu einem leistungsstarken Enabler für Compliance, Innovation und nachhaltigen Erfolg von Unternehmen in regulierten Branchen.