FDA 21 CFR Part 11 und GMP Annex 11:
Was ein MES in regulierter Fertigung leisten muss
In der pharmazeutischen und medizintechnischen Fertigung entscheidet nicht der Funktionsumfang eines Manufacturing Execution Systems (MES) über die Anschaffung, sondern die Frage, ob es in der Inspektion trägt. Zwei Regelwerke setzen den Rahmen: 21 CFR Part 11 der US-amerikanischen Food and Drug Administration (FDA), veröffentlicht am 20. März 1997 im Federal Register (62 FR 13430, kodifizierter Regeltext ab 62 FR 13464) und wirksam seit dem 20. August 1997, sowie Annex 11 des EU-GMP-Leitfadens (EudraLex Band 4), dessen Revision 1 zum 30. Juni 2011 in Kraft trat. Diese Seite klärt zuerst, welche MES-Datensätze überhaupt erfasst sind, stellt dann beide Regelwerke paragrafengenau nebeneinander und übersetzt jede Anforderung in eine MES-Funktion, die ein Fertigungsunternehmen im DACH-Raum im Anbietergespräch prüfen kann. Wer 2026 auswählt, kauft zudem in eine laufende Revision hinein: Die Europäische Kommission hat am 7. Juli 2025 einen vollständig neu gefassten Annex-11-Entwurf zur Konsultation gestellt.
Part 11 gilt nicht für jeden Datensatz.
Diese Frage kommt vor dem Lastenheft.
Die teuerste Entscheidung in einem MES-Projekt in regulierter Fertigung wird meist gar nicht bewusst getroffen: der Umfang. Wer alles im MES als Part-11-Record behandelt, validiert Schichtnotizen mit derselben Tiefe wie die Chargenfreigabe. Part 11 knüpft aber nicht am System an, sondern am Datensatz, und zwar über die sogenannten Predicate Rules, also die zugrunde liegenden Vorschriften, aus denen die Aufzeichnungspflicht überhaupt erst folgt.
Was eine Predicate Rule ist. § 11.1(b) stellt auf Aufzeichnungen ab, die unter Aufzeichnungspflichten aus FDA-Vorschriften erstellt, geändert, aufbewahrt, archiviert, abgerufen oder übermittelt werden. Diese anderen Vorschriften nennt die FDA in ihrer Leitlinie Part 11, Electronic Records; Electronic Signatures - Scope and Application (September 2003, Docket FDA-2003-D-0143) Predicate Rules. Für ein MES in der Arzneimittelherstellung sind das vor allem die CGMP-Vorschriften in 21 CFR Part 211, etwa § 211.68 zu automatischen und elektronischen Einrichtungen, § 211.186 zu Herstellvorschriften, § 211.188 zu Chargenprotokollen, § 211.192 zur Chargenprüfung und § 211.194 zu Laborаufzeichnungen. In derselben Leitlinie kündigt die FDA an, den Anwendungsbereich von Part 11 eng auszulegen: Erzeugt ein Rechner nur Papierausdrucke, erfüllen diese alle Anforderungen der zugrunde liegenden Vorschrift und stützt man sich für die regulierte Tätigkeit tatsächlich auf das Papier, wird Part 11 nicht ausgelöst.
| Datensatz im MES | Zugrunde liegende Vorschrift | Part-11-Record? | Was daraus für die Validierung folgt |
|---|---|---|---|
| Elektronische Chargenakte statt Papier-Chargenprotokoll | 21 CFR § 211.188 (Batch production and control records) | Erfasst | Voller Umfang: Audit Trail nach § 11.10(e), Signatur nach §§ 11.50 und 11.70, Kopien nach § 11.10(b), Aufbewahrung mindestens ein Jahr nach Verfalldatum der Charge nach § 211.180(a). |
| Elektronische Chargenfreigabe durch die Sachkundige Person | 21 CFR § 211.192 (Production record review), EU-seitig Annex 11 Abschnitt 15 | Erfasst | Part-11-Signatur mit allen Komponenten: §§ 11.50, 11.70, 11.100, 11.200. Das Rollenmodell muss die Sachkundige Person technisch abbilden. |
| Prüfmittel- und Waagenwerte, die in die Chargenentscheidung eingehen | 21 CFR §§ 211.188(b)(5) und 211.194 (Laboratory records) | Erfasst | Direktanbindung statt Abtippen, zusätzlich Richtigkeitsprüfung nach Annex 11 Abschnitt 6 durch zweiten Bediener oder validierte elektronische Mittel. |
| Reinigungsnachweis im MES statt Reinigungslogbuch an der Anlage | 21 CFR § 211.182 (Equipment cleaning and use log) | Erfasst | Wird oft übersehen, weil das Logbuch als Nebensache gilt. Es ist eine Aufzeichnung nach Part 211 und damit vollwertig nachweispflichtig. |
| Maschinendaten aus der Betriebsdatenerfassung, die ausschließlich Kennzahlen speisen | keine, Anlagenverfügbarkeit ist keine Aufzeichnungspflicht nach Part 211 | Nicht erfasst | Keine GxP-Validierung. Die Daten bleiben betrieblich relevant, brauchen aber weder Audit Trail noch Signatur, solange sie nicht in die Chargenakte laufen. |
| Schichtübergabe, Instandhaltungsauftrag, Werkzeugverwaltung ohne GMP-Bezug | keine | Nicht erfasst | Diese Module gehören ausdrücklich aus dem Validierungsumfang heraus. Die Abgrenzung muss dokumentiert und im Systeminventar nachvollziehbar sein. |
| Elektronischer Datensatz zusätzlich zum Ausdruck, auf den man sich faktisch stützt | Predicate Rule plus tatsächliche Arbeitspraxis | Erfasst | Die FDA berücksichtigt ausdrücklich die gelebte Arbeitspraxis. Wer im Alltag am Bildschirm entscheidet, kann sich nicht auf den abgehefteten Ausdruck berufen. |
| Rechnergestützte Berechnung, deren Ausdruck der einzige verwendete Datensatz ist | Predicate Rule wird durch den Ausdruck erfüllt | Nicht erfasst | Part 11 wird nicht ausgelöst. Das trägt aber nur, wenn der Ausdruck alle Anforderungen der zugrunde liegenden Vorschrift erfüllt und wirklich verwendet wird. |
Auf der EU-Seite funktioniert die Eingrenzung anders. Der Grundsatz des Annex 11 stellt klar, dass der Anhang für alle Formen computergestützter Systeme gilt, die im Rahmen GMP-regulierter Tätigkeiten eingesetzt werden. Eine enge Auslegung des Anwendungsbereichs gibt es dort nicht. Gesteuert wird stattdessen die Tiefe: Abschnitt 1 verlangt, Entscheidungen über den Umfang von Validierung und Datenintegritätskontrollen auf eine begründete und dokumentierte Risikobewertung des Systems zu stützen. Der US-Weg verkleinert also die Menge der erfassten Datensätze, der EU-Weg verkleinert den Prüfaufwand bei den unkritischen. Wer für beide Märkte fertigt, braucht beide Begründungen schriftlich, und zwar bevor die Anforderungen geschrieben werden. Wie Sie den Ausgangspunkt Ihres Werks dafür bestimmen, zeigt unsere Seite zum MES-Reifegrad der eigenen Fertigung.
Datensatzverzeichnis vor Anforderungsliste
Listen Sie jeden Datensatz auf, den das MES führen soll, und tragen Sie daneben die Vorschrift ein, aus der die Aufbewahrungspflicht folgt. Bleibt die Spalte leer, ist der Datensatz kein Part-11-Record. Dieses Verzeichnis ist später die Anlage zum Validierungsmasterplan und spart in jedem Folgeschritt Zeit.
Je Datensatz entscheiden: Papier oder elektronisch führend
Die FDA-Leitlinie von 2003 empfiehlt ausdrücklich, im Voraus festzulegen, ob Sie sich für die regulierte Tätigkeit auf den elektronischen oder den Papierdatensatz stützen, und diese Entscheidung zu dokumentieren, etwa in einer Verfahrensanweisung oder einem Spezifikationsdokument. Ohne diese Festlegung entscheidet im Zweifel die gelebte Praxis gegen Sie.
Hybridfälle benennen statt sie wegzudefinieren
Papier und elektronische Aufzeichnung dürfen nebeneinander bestehen, solange die zugrunde liegenden Vorschriften erfüllt sind und Inhalt und Bedeutung der Datensätze erhalten bleiben. Genau das steht in der Leitlinie von 2003. Teuer wird es erst, wenn niemand aufgeschrieben hat, welcher Teil wo geführt wird.
Aufbewahrungsfrist je Datensatz eintragen
§ 211.180(a) verlangt für chargenbezogene Produktions-, Kontroll- und Vertriebsaufzeichnungen mindestens ein Jahr nach dem Verfalldatum der Charge. § 211.180(c) verlangt, dass die Aufzeichnungen während der Aufbewahrungsfrist am Ort der Tätigkeit für die Inspektion ohne Weiteres verfügbar sind. Beides bestimmt die Archivstrategie und gehört in die Anforderungen.
Geltungsbereich in die URS schreiben, nicht in die Präambel
Was nicht validiert wird, muss genauso präzise benannt sein wie das, was validiert wird. Schreiben Sie den Ausschluss modulscharf in die User Requirements Specification und begründen Sie ihn mit der Risikobewertung. Ein Inspektor fragt nach der Begründung, nicht nach der Absicht.
Für Medizintechnik den neuen Rechtsstand prüfen
Die Predicate Rules für Medizinprodukte haben sich geändert. Mit der Quality Management System Regulation (89 FR 7496 vom 2. Februar 2024, wirksam seit 2. Februar 2026) hat die FDA 21 CFR Part 820 neu gefasst und ISO 13485:2016 durch Verweis einbezogen. Die früher zitierten §§ 820.181 und 820.184 zu Device Master Record und Device History Record existieren nicht mehr; an ihre Stelle treten § 820.10 und § 820.35 in Verbindung mit den ISO-Klauseln. Wer ein Lastenheft aus einer älteren Vorlage übernimmt, zitiert aufgehobene Paragrafen.
Rechtsstand August 2026. Regeltexte im Wortlaut geprüft gegen eCFR (21 CFR Part 11, Part 211, Part 820) und die FDA-Leitlinie Scope and Application vom September 2003.
Part 11 und Annex 11 nebeneinander.
Zwölf Anforderungen, paragrafengenau.
Beide Regelwerke beschreiben, welches Ergebnis nachzuweisen ist. Keines nennt eine MES-Funktion. Genau diese Übersetzung leistet die folgende Tabelle: links die Anforderung, in der Mitte der Wortlaut mit Paragraf und Abschnitt, rechts die Funktion, die Sie im Anbietergespräch tatsächlich sehen wollen. Den fachlichen Rahmen dazu liefern unsere Seiten zu MES für Pharma und Medizintechnik und zum Qualitätsmanagement im MES mit CAQ, SPC und Audit Trail.
| Anforderung | 21 CFR Part 11 (FDA) | EU-GMP Annex 11 (EudraLex Band 4) | Was das für das MES konkret bedeutet |
|---|---|---|---|
| Validierung | § 11.10(a) Validierung der Systeme, um Genauigkeit, Zuverlässigkeit, gleichbleibende bestimmungsgemäße Leistung und die Fähigkeit sicherzustellen, ungültige oder veränderte Datensätze zu erkennen. |
Grundsatz, 4.1, 4.3, 4.4 Die Anwendung ist zu validieren, die IT-Infrastruktur zu qualifizieren. Validierungsdokumentation und Berichte decken die relevanten Schritte des Lebenszyklus ab. Ein aktuelles Inventar aller relevanten Systeme mit ihrer GMP-Funktionalität muss vorliegen, für kritische Systeme zusätzlich eine Systembeschreibung mit Datenflüssen und Schnittstellen. |
Die Fähigkeit, ungültige oder veränderte Datensätze zu erkennen, ist eine Produktfunktion und keine Prozedur. Lassen Sie sie vorführen: Datensatz außerhalb der Anwendung verändern, Erkennung im MES zeigen. Verlangen Sie außerdem die Systembeschreibung mit Datenflussdiagramm als Liefergegenstand. |
| Audit Trail | § 11.10(e) Sichere, computergenerierte, mit Zeitstempel versehene Audit Trails, die Datum und Uhrzeit von Bedienereingaben und Aktionen unabhängig aufzeichnen, sofern diese Datensätze erzeugen, ändern oder löschen. Änderungen dürfen zuvor erfasste Informationen nicht überdecken. Die Aufbewahrung erfolgt mindestens so lange wie für den zugehörigen Datensatz gefordert. |
Abschnitt 9 Auf Basis einer Risikobewertung ist zu prüfen, ob das System einen Datensatz aller GMP-relevanten Änderungen und Löschungen erzeugt. Für Änderung oder Löschung GMP-relevanter Daten ist der Grund zu dokumentieren. Audit Trails müssen verfügbar, in eine allgemein verständliche Form überführbar und regelmäßig überprüft sein. |
Das sind zwei Funktionen, nicht eine: aufzeichnen und auswerten. Die Auswertung braucht Filter nach Zeitraum, Charge, Anwender, Arbeitsgang und Feld sowie ein Exception Reporting. Ohne diese Werkzeuge ist die von Annex 11 geforderte regelmäßige Überprüfung im Schichtbetrieb nicht leistbar. |
| Elektronische Signatur | §§ 11.50, 11.70, 11.200 Die signierte Aufzeichnung muss Klarname des Unterzeichners, Datum und Uhrzeit der Signatur sowie deren Bedeutung enthalten, etwa Prüfung, Freigabe, Verantwortung oder Urheberschaft, und zwar in jeder menschenlesbaren Darstellung (§ 11.50). Die Signatur ist so mit dem Datensatz zu verknüpfen, dass sie nicht mit gewöhnlichen Mitteln herausgelöst, kopiert oder übertragen werden kann (§ 11.70). Nicht-biometrische Signaturen brauchen mindestens zwei Identifikationskomponenten (§ 11.200(a)(1)). |
Abschnitte 14, 15 Elektronische Signaturen sollen innerhalb der Unternehmensgrenzen dieselbe Wirkung wie handschriftliche haben, dauerhaft mit dem jeweiligen Datensatz verknüpft sein und Zeit und Datum ihrer Anwendung enthalten (14 a bis c). Wird ein computergestütztes System für Zertifizierung und Chargenfreigabe genutzt, darf nur die Sachkundige Person zertifizieren, und das System muss die freigebende Person eindeutig ausweisen und aufzeichnen (15). |
Der Signaturdialog muss eine Bedeutung führen, auswählbar oder je Signaturpunkt fest hinterlegt, und diese in Ausdruck und PDF mit ausgeben. Die Rolle Sachkundige Person gehört in das technische Rollenmodell, nicht in eine Namensliste im Verfahren. Prüfen Sie zusätzlich, was bei einem Rollenwechsel mit bereits geleisteten Signaturen passiert. |
| Zugriffskontrolle | §§ 11.10(d), 11.10(g) Beschränkung des Systemzugangs auf autorisierte Personen. Berechtigungsprüfungen stellen sicher, dass nur autorisierte Personen das System nutzen, einen Datensatz elektronisch signieren, auf Ein- oder Ausgabegeräte zugreifen, einen Datensatz ändern oder den jeweiligen Vorgang ausführen. |
Abschnitte 12.1 bis 12.3 Physische und/oder logische Kontrollen beschränken den Zugang auf befugte Personen, geeignet sind etwa Schlüssel, Ausweiskarten, persönliche Codes mit Passwörtern, Biometrie und der beschränkte Zugang zu Rechner- und Datenspeicherbereichen (12.1). Der Umfang der Sicherheitskontrollen richtet sich nach der Kritikalität des Systems (12.2). Anlegen, Ändern und Entziehen von Zugangsberechtigungen ist aufzuzeichnen (12.3). |
Ein Rollenmodell auf Funktionsebene genügt nicht. Gefordert ist eine nachweisbare Historie darüber, wer wann welche Berechtigung hatte. Prüfen Sie, ob das MES diese Historie selbst führt oder ob sie in Active Directory oder einer Excel-Liste außerhalb gepflegt werden muss, denn Letzteres wird in der Inspektion zum Thema. |
| Datenintegrität und Prüfungen | §§ 11.10(f), 11.10(h) Betriebssystemprüfungen erzwingen, soweit angemessen, die zulässige Abfolge von Schritten und Ereignissen. Geräteprüfungen stellen, soweit angemessen, die Gültigkeit der Quelle einer Dateneingabe oder einer Betriebsanweisung fest. |
Abschnitte 5, 6 Systeme, die Daten elektronisch mit anderen Systemen austauschen, enthalten geeignete eingebaute Prüfungen für die korrekte und sichere Eingabe und Verarbeitung der Daten (5). Für kritische manuell eingegebene Daten ist eine zusätzliche Prüfung der Richtigkeit erforderlich, durch einen zweiten Bediener oder durch validierte elektronische Mittel; Kritikalität und mögliche Folgen fehlerhafter Eingaben sind über das Risikomanagement abzudecken (6). |
Erzwungene Schrittreihenfolge und Vier-Augen-Prüfung sind konfigurierbare Prozessfunktionen. Fragen Sie, ob sich beides je Arbeitsgang und je Datenfeld parametrieren lässt oder nur global für das ganze System. Ein pauschales Vier-Augen-Prinzip bremst die Linie, ein fehlendes fällt im Audit auf. |
| Kopien und Bereitstellung | §§ 11.10(b), 11.1(e) Die Fähigkeit, genaue und vollständige Kopien der Datensätze sowohl in menschenlesbarer als auch in elektronischer Form zu erzeugen, geeignet für Prüfung, Durchsicht und Kopieren durch die Behörde. Computersysteme, Kontrollen und zugehörige Dokumentation müssen für die FDA-Inspektion ohne Weiteres verfügbar sein. |
Abschnitte 8.1, 8.2 Es muss möglich sein, klare gedruckte Kopien elektronisch gespeicherter Daten zu erhalten (8.1). Für Datensätze, die die Chargenfreigabe stützen, muss es möglich sein, Ausdrucke zu erzeugen, die erkennen lassen, ob Daten seit der Ersterfassung geändert wurden (8.2). |
Abschnitt 8.2 ist der Punkt, an dem Standardreports regelmäßig scheitern. Der Chargenbericht muss Änderungen gegenüber der Ersterfassung sichtbar machen und nicht nur den Endstand drucken. Lassen Sie sich genau diesen Ausdruck im Anbietergespräch zeigen, an einer Charge mit nachträglicher Korrektur. |
| Speicherung, Backup, Archivierung | § 11.10(c) Schutz der Datensätze, um ihre genaue und rasche Wiederauffindbarkeit über die gesamte Aufbewahrungsfrist zu ermöglichen. Eine eigene Regelung zu Backup, Restore oder Archivierung enthält Part 11 nicht. |
Abschnitte 7.1, 7.2, 17 Daten sind physisch und elektronisch gegen Beschädigung zu sichern, gespeicherte Daten sind auf Zugänglichkeit, Lesbarkeit und Richtigkeit zu prüfen, der Zugriff ist über die gesamte Aufbewahrungsfrist sicherzustellen (7.1). Regelmäßige Sicherungen aller relevanten Daten sind vorzunehmen; Integrität, Richtigkeit und Wiederherstellbarkeit sind während der Validierung zu prüfen und danach periodisch zu überwachen (7.2). Archivierte Daten sind auf Zugänglichkeit, Lesbarkeit und Integrität zu prüfen (17). |
Der Nachweis ist das Restore, nicht das Backup. Verlangen Sie ein dokumentiertes Restore-Testprotokoll und klären Sie, wie ein Chargendatensatz nach einem Hauptversionswechsel des MES in fünf oder zehn Jahren noch les- und interpretierbar bleibt. |
| Systemzugang und Kennungen | § 11.300(a) bis (e) Kontrollen für Identifikationscodes in Verbindung mit Passwörtern: Einmaligkeit jeder Kombination (a), periodische Überprüfung, Rückruf oder Änderung der Ausgabe, etwa Passwortalterung (b), Verfahren zur Deaktivierung verlorener, gestohlener oder kompromittierter Token und Karten (c), Transaktionsschutz gegen unbefugte Nutzung mit unmittelbarer und dringlicher Meldung von Missbrauchsversuchen an die Systemsicherheit (d), sowie erst- und wiederkehrende Prüfung solcher Geräte (e). |
Abschnitt 12.4 Verwaltungssysteme für Daten und Dokumente sind so auszulegen, dass sie die Identität der Personen aufzeichnen, die Daten eingeben, ändern, bestätigen oder löschen, einschließlich Datum und Uhrzeit. |
Übersehen wird meist § 11.300(d): Missbrauchsversuche müssen unmittelbar und dringlich gemeldet werden. Ein Eintrag in einem Logfile, das niemand liest, erfüllt das nicht. Fragen Sie, ob das MES eine aktive Benachrichtigung an eine definierte Stelle auslösen kann. |
| Änderungskontrolle | § 11.10(k)(1) und (k)(2) Angemessene Kontrollen über die Systemdokumentation, einschließlich Kontrolle von Verteilung, Zugriff und Verwendung der Dokumentation für Betrieb und Wartung, sowie Revisions- und Änderungskontrollverfahren, die einen Audit Trail über die zeitliche Abfolge von Entwicklung und Änderung der Systemdokumentation führen. |
Abschnitte 10, 11 Änderungen an einem computergestützten System einschließlich der Systemkonfigurationen dürfen ausschließlich kontrolliert nach einem definierten Verfahren erfolgen (10). Computergestützte Systeme sind periodisch zu bewerten, um zu bestätigen, dass sie im validierten Zustand verbleiben und GMP-konform sind (11). |
Konfiguration ist Änderung. Klären Sie vor Vertragsschluss schriftlich, welche Einstellungen der Anbieter als reine Parametrierung ansieht und welche der Betreiber als validierungsrelevant führen muss. Diese Abgrenzung bestimmt Ihren Aufwand über die gesamte Laufzeit. |
| Lieferantenbewertung | § 11.10(i) Part 11 enthält keine eigene Lieferantenregelung. Gefordert ist die Feststellung, dass Personen, die Systeme für elektronische Datensätze und elektronische Signaturen entwickeln, warten oder nutzen, über die Ausbildung, Schulung und Erfahrung für ihre zugewiesenen Aufgaben verfügen. Das schließt Personal des Anbieters ein, das am System arbeitet. |
Abschnitte 3.1 bis 3.4 Bei Dritten, die ein System bereitstellen, installieren, konfigurieren, integrieren, validieren, warten, ändern oder Daten verarbeiten, müssen formale Vereinbarungen mit klaren Verantwortlichkeiten bestehen; interne IT-Abteilungen sind analog zu behandeln (3.1). Kompetenz und Zuverlässigkeit des Lieferanten sind Schlüsselfaktoren, der Auditbedarf richtet sich nach einer Risikobewertung (3.2). Die mit Standardprodukten gelieferte Dokumentation ist vom regulierten Anwender auf Erfüllung der Benutzeranforderungen zu prüfen (3.3). Qualitätssystem- und Auditinformationen zu Lieferanten sind Inspektoren auf Anfrage zugänglich zu machen (3.4). |
Abschnitt 3.4 ist vertragsrelevant und wird beim Kauf regelmäßig vergessen. Vereinbaren Sie schriftlich, dass der Anbieter Qualitätssystem- und Auditunterlagen auf behördliche Anfrage bereitstellt und ein Lieferantenaudit zulässt. Nachverhandeln lässt sich das nach der Unterschrift kaum noch. |
| Notfallbetrieb und Vorfälle | keine eigene Regelung Part 11 regelt den Ausfallbetrieb nicht. Die FDA-Leitlinie Part 11, Electronic Records; Electronic Signatures - Scope and Application vom September 2003 akzeptiert Hybridsituationen aus Papier- und elektronischen Datensätzen, solange die zugrunde liegenden Vorschriften erfüllt bleiben und Inhalt und Bedeutung der Datensätze erhalten sind. |
Abschnitte 13, 16 Alle Vorfälle, nicht nur Systemausfälle und Datenfehler, sind zu melden und zu bewerten; bei kritischen Vorfällen ist die Grundursache zu ermitteln und zur Grundlage von Korrektur- und Vorbeugemaßnahmen zu machen (13). Für Systeme, die kritische Prozesse stützen, sind Vorkehrungen zur Fortführung dieser Prozesse bei einem Systemausfall zu treffen, etwa ein manuelles oder alternatives System; die Umschaltzeit ist risikobasiert festzulegen, die Vorkehrungen sind angemessen zu dokumentieren und zu testen (16). |
Ein Offline-Modus im Terminal ist kein Rückfallverfahren. Nötig sind freigegebene Papierformulare, eine definierte Überbrückungsfrist, eine geregelte Nacherfassung mit Audit-Trail-Eintrag und ein dokumentierter Test des Ganzen. Genau hier lohnt der Blick auf die papierlose Fertigung, denn das Rückfallverfahren bleibt auch dort auf Papier. |
| Risikomanagement | Leitlinie 2003 Part 11 kennt keinen Risikoparagrafen. Die FDA-Leitlinie von 2003 empfiehlt, Umfang und Tiefe von Validierung und Audit Trail auf eine begründete und dokumentierte Risikobewertung zu stützen. Für Validierung (§ 11.10(a)), Audit Trail (§ 11.10(e) und (k)(2)), Aufbewahrung (§ 11.10(c)) und Kopien (§ 11.10(b)) übt die FDA seither Ermessen bei der Durchsetzung aus, wobei Part 11 ausdrücklich in Kraft bleibt und die zugrunde liegenden Vorschriften vollständig durchgesetzt werden. |
Abschnitt 1 Risikomanagement ist über den gesamten Lebenszyklus des computergestützten Systems anzuwenden, unter Berücksichtigung von Patientensicherheit, Datenintegrität und Produktqualität. Entscheidungen über den Umfang von Validierung und Datenintegritätskontrollen beruhen auf einer begründeten und dokumentierten Risikobewertung des Systems. |
Die Risikoklasse steuert alles Folgende: Testtiefe, Reviewfrequenz, Auditbedarf, Umfang der Datenintegritätskontrollen. Legen Sie sie fest, bevor Sie das MES-Lastenheft erstellen, nicht danach. Andernfalls schreiben Sie Anforderungen, deren Nachweisaufwand Sie noch nicht kennen. |
Wo die Regelwerke wirklich auseinandergehen. Part 11 ist geltendes Recht mit verbindlichen shall-Formulierungen, Annex 11 ist ein Auslegungsleitfaden zur GMP-Richtlinie mit should-Formulierungen und durchgehendem Risikobezug. Vier Themen regelt ausschließlich Annex 11: Lieferantenverträge (Abschnitt 3), Backup und Wiederherstellung (7.2), Incident Management (13) und Notfallbetrieb (16). Umgekehrt hat nur Part 11 einen eigenen Regelungsblock zu Signaturkomponenten und Passwortkontrollen (§§ 11.200 und 11.300). Aktuell hinzugekommen ist die FDA-Leitlinie Computer Software Assurance for Production and Quality System Software, final veröffentlicht im September 2025 (Docket FDA-2022-D-0795, CDRH und CBER); sie beschreibt einen risikobasierten Ansatz für Software in Produktion und Qualitätssystem und ersetzt Abschnitt 6 der Leitlinie General Principles of Software Validation. Rechtsstand August 2026. Für die Auslegung im konkreten Fall ziehen Sie Ihre Qualitätssicherung hinzu.
Annex 11 wird gerade neu geschrieben.
Wer 2026 auswählt, kauft in den Entwurf hinein.
Am 7. Juli 2025 hat die Europäische Kommission, Generaldirektion Gesundheit und Lebensmittelsicherheit, drei zusammenhängende Entwürfe zu EudraLex Band 4 zur Stakeholder-Konsultation gestellt: einen vollständig neu gefassten Annex 11 zu computergestützten Systemen, ein überarbeitetes Kapitel 4 zur Dokumentation und einen völlig neuen Annex 22 zu künstlicher Intelligenz. Die Konsultation lief bis zum 7. Oktober 2025. Erarbeitet wurden die Texte von der GMDP-Inspectors-Working-Group der Europäischen Arzneimittel-Agentur (EMA) gemeinsam mit dem Pharmaceutical Inspection Co-operation Scheme (PIC/S). Der Entwurf ist noch nicht in Kraft, geltend bleibt Revision 1 von 2011. Für eine MES-Auswahl, deren Vertragslaufzeit über zehn Jahre reicht, ist er dennoch die wichtigere Vorlage: Er zeigt, was Inspektoren in wenigen Jahren erwarten werden.
Alle 17 Abschnitte neu nummeriert
Der Entwurf behält die Zahl 17, ordnet die Themen aber komplett neu. Jede Referenz in Ihren Verfahrensanweisungen, URS-Dokumenten und Lieferantenverträgen zeigt danach auf die falsche Stelle.
- Audit Trails: bisher 9, im Entwurf 12
- Periodische Bewertung: bisher 11, im Entwurf 14
- Sicherheit: bisher 12, im Entwurf 15
- Backup: bisher Teil von 7.2, im Entwurf eigener Abschnitt 16
- Elektronische Signatur: bisher 14, im Entwurf 13
Alarme werden ein eigener Regelungsblock
Bisher kommt der Begriff Alarm im Annex 11 nicht vor. Der Entwurf widmet ihm sieben Unterabschnitte, weil Bediener sich darauf verlassen, dass das System sie über Ereignisse informiert.
- Grenzwerte, Verzögerungen und Vorwarnungen begründet und innerhalb validierter Spezifikationen
- Quittierung kritischer Alarme nur mit passender Berechtigung und mit Begründungstext
- Alarmprotokoll mit Name, Zeitpunkt, Quittierungszeitpunkt, Anwender und Rolle
- Protokoll durchsuchbar und sortierbar oder exportierbar
- Periodische Auswertung auf Trends
Identity and Access Management wird ausbuchstabiert
Aus dem knappen Sicherheitsabschnitt 12 der Fassung von 2011 wird ein detaillierter Anforderungskatalog, der konkrete Produktfunktionen beschreibt statt nur Ziele.
- Geteilte Konten gelten ausdrücklich als Verstoß gegen die Datenintegrität, außer bei reinem Lesezugriff
- Mehrfaktor-Authentisierung bei Fernzugriff auf kritische Systeme von außerhalb kontrollierter Perimeter
- Automatische Sperre nach fehlgeschlagenen Anmeldeversuchen
- Inaktivitäts-Logout, vom Anwender weder verlängerbar noch abschaltbar
- Zugriffsprotokoll mit An- und Abmeldung, sortier- und durchsuchbar
- Funktionstrennung und Prinzip der geringsten Rechte als ausdrückliche Leitprinzipien
Audit-Trail-Durchsicht vor der Chargenfreigabe
Aus der allgemeinen Erwartung einer regelmäßigen Überprüfung wird im Entwurf ein terminierter, unabhängiger und dokumentierter Vorgang mit klarer Zuordnung im Freigabeprozess.
- Durchsicht grundsätzlich vor der Chargenfreigabe, spätere Prüfung nur mit Begründung
- Durchsicht durch Personen, die an der geprüften Tätigkeit nicht unmittelbar beteiligt waren
- Ergebnisse mit Bezug zur Freigabe müssen der Sachkundigen Person zum Freigabezeitpunkt vorliegen
- Das System fordert beim Ändern eines Werts aktiv den Änderungsgrund an
- Alter Wert, neuer Wert, Rolle und gegebenenfalls Zeitzone gehören in den Eintrag
Flache, gesperrte Exportdateien reichen nicht mehr
Der Entwurf verlangt eine vollständige elektronische Kopie der Systemdaten einschließlich Audit Trail und stellt ausdrücklich klar, dass flache und gesperrte Dateien nicht akzeptabel sind. Die Kopie muss durchsuchbar und sortierbar bleiben.
Ein PDF-Sammelausdruck über 4.000 Seiten erfüllt das nicht. Gefragt ist ein strukturiertes Exportformat, das ein Prüfer selbst filtern kann.
Prüffrage: In welchem Format exportiert das MES den Audit Trail?Künstliche Intelligenz bekommt einen eigenen Anhang
Der neue Annex 22 regelt Auswahl, Training und Validierung von KI- und Machine-Learning-Modellen in der Herstellung von Wirkstoffen und Arzneimitteln: definierter Verwendungszweck, festgelegte Leistungskennzahlen, Qualität der Trainingsdaten, Umgang mit Testdaten, laufende Überwachung der Modellleistung und Verfahren für die menschliche Prüfung.
Wer heute ein MES mit KI-gestützter Ausschussprognose oder automatischer Fehlerklassifizierung einkauft, sollte die Anforderungen bereits kennen. Der Reifegrad der einzelnen Anwendungsfälle steht auf unserer Seite zu KI im MES.
Betrifft: Prognose, Bildprüfung, AnomalieerkennungWas das für ein Anbietergespräch im Jahr 2026 heißt. Verhandeln Sie nicht über den Entwurf, sondern über Nachrüstbarkeit. Drei Fragen genügen: Erstens, welche der oben genannten Punkte kann das Produkt heute schon, ohne Eigenentwicklung? Zweitens, wie geht der Anbieter mit einer Änderung des Regelwerks um, liefert er die Anpassung im Wartungsvertrag oder als kostenpflichtiges Projekt? Drittens, welche der Funktionen sind an eine Cloud-Betriebsart gebunden und welche laufen auch On-Premise? Der Entwurf nennt Cloud-Dienste ausdrücklich als einen der Gründe für die Überarbeitung; die Betriebsartfrage behandelt unsere Seite Cloud-MES gegen On-Premise. Halten Sie die Antworten schriftlich fest, denn sie werden in zwei bis drei Jahren zur Anspruchsgrundlage. Stand August 2026: Der Entwurf ist konsultiert, aber nicht verabschiedet.
ALCOA+ auf MES-Funktionen übersetzt.
Neun Prinzipien, neun Prüffragen.
ALCOA+ bezeichnet die neun Attribute, die GxP-Daten erfüllen müssen. Die maßgebliche Definition steht in Abschnitt 6.1 der GXP Data Integrity Guidance der britischen Medicines and Healthcare products Regulatory Agency (MHRA), veröffentlicht am 9. März 2018: Attributable, Legible, Contemporaneous, Original, Accurate, ergänzt um Complete, Consistent, Enduring und Available. Weder 21 CFR Part 11 noch Annex 11 nennen das Akronym, beide setzen die Attribute inhaltlich jedoch voraus. Die Tabelle ordnet jedem Prinzip die MES-Funktion zu, die es trägt, und die Frage, mit der Sie deren Existenz im Anbietergespräch prüfen. Wie weit die Datenkette dabei reichen muss, zeigt unsere Seite zur Traceability im MES; Begriffe wie Chargenakte oder Master Batch Record sind im MES-Glossar definiert.
| Prinzip | Bedeutung nach MHRA 6.1 | Erfüllende MES-Funktion | Prüffrage im Anbietergespräch |
|---|---|---|---|
| Attributable Zuordenbar |
Zuordenbar zu der Person, die die Daten erzeugt. | Persönliche Kennung für jeden Anwender, keine Sammelkonten am Terminal, jede Buchung mit Anwender-ID und wirksamer Rolle. Für Fälle, in denen ein Zweiter dokumentiert, ein Schreiberverfahren, das erfassende und ausführende Person getrennt ausweist. | Gibt es im Auslieferungszustand Sammelkonten wie „Schicht1“ oder „Bediener“, und lässt sich deren Anlage technisch unterbinden statt nur per Verfahrensanweisung verbieten? |
| Legible Lesbar |
Lesbar und dauerhaft. | Klartext statt interner Codes in Anzeige und Ausdruck, Änderungen mit Vorgängerwert, neuem Wert, Anwender, Zeit und Grund in einer Ansicht, Export in ein ohne Herstellerwerkzeug lesbares Format. | Zeigen Sie einen nachträglich korrigierten Messwert in der Chargenakte. Sind alter Wert, neuer Wert, Anwender, Zeitpunkt und Änderungsgrund gemeinsam sichtbar, ohne dass jemand ein Protokoll auf der Datenbank öffnen muss? |
| Contemporaneous Zeitgleich |
Zeitgleich mit der Handlung erfasst. | Erfassung am Ort der Handlung über Terminal, Handgerät oder Maschinenanbindung, Serverzeitstempel statt Clientzeit, kein Sammeleintrag am Schichtende. Die MHRA nennt in Abschnitt 3 ausdrücklich den Zugang zu Aufzeichnungsmöglichkeiten dort, wo die Tätigkeit stattfindet. | Welchen Zeitstempel schreibt das System, den des Clients oder den des Servers? Und wie wird eine Nacherfassung nach Netzausfall gekennzeichnet, damit Erfassungszeit und Ereigniszeit unterscheidbar bleiben? |
| Original Original |
Originalaufzeichnung oder beglaubigte Kopie. | Der Erstwert bleibt in der Datenbank erhalten, eine Korrektur erzeugt eine zusätzliche Version. Das ist keine Komfortfunktion, sondern die technische Umsetzung von § 11.10(e): Änderungen dürfen zuvor erfasste Informationen nicht überdecken. | Wird der Erstwert beim Korrigieren physisch überschrieben oder als Version behalten? Lassen Sie sich das Datenmodell dahinter erklären, nicht nur die Oberfläche. |
| Accurate Richtig |
Richtig. | Direkte Anbindung von Maschinen, Waagen und Prüfmitteln statt Abtippen, Plausibilitätsgrenzen je Feld, Vier-Augen-Prüfung für kritische manuelle Eingaben nach Annex 11 Abschnitt 6, wahlweise durch zweiten Bediener oder validierte elektronische Mittel. | Lässt sich die zweite Prüfung je Datenfeld aktivieren, oder gilt sie pauschal für den ganzen Arbeitsgang? Eine globale Einstellung bremst die Linie und wird nach wenigen Wochen umgangen. |
| Complete Vollständig |
Die Daten müssen ein vollständiger Satz sein. | Auch verworfene Ergebnisse, Wiederholmessungen und abgebrochene Arbeitsgänge bleiben im Datensatz und in der Chargenakte sichtbar. Kein stilles Verwerfen von Testläufen, kein Probelauf außerhalb der Aufzeichnung. | Was passiert mit einem abgebrochenen Prüfvorgang? Bleibt er mit Abbruchgrund in der Chargenakte oder verschwindet er aus der Ansicht, sobald der Vorgang wiederholt wird? |
| Consistent Widerspruchsfrei |
Die Daten müssen in sich widerspruchsfrei sein. | Eine gemeinsame Zeitquelle für Server, Terminals und angebundene Maschinen, einheitliche Einheiten und Rundungsregeln über alle Module, eine chronologisch geschlossene Ereigniskette über Arbeitsgangs- und Systemgrenzen hinweg. | Aus welcher Quelle beziehen Server, Terminals und Maschinensteuerungen ihre Uhrzeit, wie wird die Synchronisation überwacht, und was passiert mit Buchungen, wenn eine Komponente abweicht? |
| Enduring Dauerhaft |
Dauerhaft über den gesamten Datenlebenszyklus. | Archivierung mit Prüfung auf Zugänglichkeit, Lesbarkeit und Integrität nach Annex 11 Abschnitt 17. Der Abschnitt verlangt ausdrücklich, dass bei relevanten Änderungen am System die Wiederauffindbarkeit der Daten sichergestellt und getestet wird. | Wie lesen wir eine Charge aus dem Jahr 2026 im Jahr 2036, wenn das MES bis dahin drei Hauptversionen weiter ist? Gibt es ein herstellerunabhängiges Archivformat oder nur den Rückgriff auf eine alte Systemumgebung? |
| Available Verfügbar |
Für Durchsicht und Inspektion unmittelbar verfügbar. | Chargenbezogene Recherche über alle Arbeitsgänge, Anlagen und Prüfungen in Minuten, dazu der Ausdruck nach Annex 11 Abschnitt 8.2, der erkennen lässt, ob Daten seit der Ersterfassung geändert wurden. | Zeigen Sie eine vollständige Chargenakte im Inspektionsmodus. Wie lange dauert es von der Eingabe der Chargennummer bis zum fertigen Ausdruck, und wie viele Systeme sind daran beteiligt? |
Der validierte Bereich endet nicht an der Lizenzgrenze.
Er endet dort, wo der Datenfluss endet.
Ein MES steht nie allein. Aufträge kommen aus dem ERP, Prüfergebnisse aus dem LIMS, Gewichte von der Waage, Prozesswerte aus der Steuerung, Etikettendaten gehen an die Serialisierung. Jede dieser Strecken transportiert GMP-relevante Daten, und für jede muss geklärt sein, wer die Integrität der übergebenen Daten verantwortet. Annex 11 Abschnitt 5 verlangt für Systeme, die Daten elektronisch mit anderen Systemen austauschen, geeignete eingebaute Prüfungen für die korrekte und sichere Eingabe und Verarbeitung. 21 CFR § 11.10(h) fordert Geräteprüfungen zur Feststellung der Gültigkeit der Datenquelle, und § 211.68(b) verlangt, Ein- und Ausgaben des Rechnersystems auf Richtigkeit zu prüfen, mit einer Prüftiefe, die sich nach Komplexität und Zuverlässigkeit des Systems richtet. Wie die Systeme fachlich zueinander stehen, ordnet unsere Seite zur Systemlandschaft aus MES, ERP, SCADA und MOM ein.
| Strecke | Was übergeben wird | Typische Verantwortungslücke | Was im Abnahmetest belegt sein muss |
|---|---|---|---|
| ERP an MES | Fertigungsauftrag, Stückliste, Chargennummer, Materialfreigabestatus | Der Materialstatus wird beim Übertragen still auf einen Standardwert gesetzt, wenn das Feld leer ist. Niemand merkt es, weil der Auftrag trotzdem startet. | Negativtest mit gesperrtem Material: Der Auftrag darf nicht startbar sein, und die Ablehnung muss im Audit Trail beider Systeme stehen. |
| MES an ERP | Rückmeldung von Mengen, Verbräuchen, Ausschuss, Chargenstatus | Rundungs- und Einheitenkonflikte, etwa Kilogramm gegen Gramm oder drei gegen zwei Nachkommastellen. Die Differenz taucht erst in der Bestandsabweichung auf. | Grenzwerttest je Feld mit dokumentierter Einheiten- und Rundungsregel. Die Regel gehört in die Schnittstellenspezifikation, nicht in den Code. |
| LIMS an MES | Prüfergebnis, Freigabe- oder Sperrentscheidung, Prüfstatus der Charge | Das MES übernimmt nur das Ergebnis, nicht dessen Status. Ein nachträglich im LIMS geänderter Wert erreicht die Chargenakte nicht mehr. | Änderungstest: Wert im LIMS nach der Übergabe korrigieren und zeigen, wie das MES die Korrektur erkennt, übernimmt oder blockiert. |
| Waage und Prüfmittel an MES | Einwaage, Messwert, Gerätekennung, Kalibrierstatus | Das Gerät liefert eine Zahl ohne Identität. Die Zuordnung zum Prüfmittel entsteht erst durch die Verkabelung und ist damit nicht überprüfbar. | Nachweis nach § 11.10(h): Das System weist die Quelle der Eingabe aus und lehnt Werte von Geräten mit abgelaufener Kalibrierung ab. |
| Steuerung, SCADA oder Prozessleitsystem an MES | Prozesswerte, Alarme, Chargenschritte, Start- und Endzeiten | Die Strecke wird vom Automatisierungsteam betreut und fällt zwischen zwei Validierungsverantwortungen. Genau das ist Befund 06 weiter unten. | Datenflussdiagramm mit eingezeichneter Validierungsgrenze nach Annex 11 Abschnitt 4.3, plus Nachweis der Übertragungsprüfung an einer echten Charge. |
| MES an Etikettendruck und Serialisierung | Chargennummer, Verfalldatum, Seriennummer, Druckfreigabe | Der Ausdruck erfolgt aus einem Zwischenspeicher, der nach einem Abbruch alte Daten enthält. Das fällt nur bei genauer Prüfung auf. | Abbruch- und Wiederanlauftest mit Beleg, dass kein Etikett mit Daten der Vorcharge gedruckt werden kann. |
| Zeitquelle an alle Beteiligten | Systemzeit für Server, Terminals, Steuerungen und Drucker | Die Zeit gilt als Infrastruktur und steht deshalb in keiner Anforderungsliste. Abweichungen fallen erst auf, wenn eine Ereigniskette rekonstruiert werden soll. | Zeitquelle, Synchronisationsintervall und Überwachung in der IQ dokumentiert. Die MHRA erwartet in Abschnitt 5.1 kontrollierte und synchronisierte Uhren an der Erfassungsstelle. |
| MES an Archiv oder Dokumentenmanagement | Abgeschlossene Chargenakte, Audit-Trail-Auszug, Signaturbelege | Beim Export gehen Metadaten verloren, etwa die Rolle des Signierenden oder der Änderungsgrund. Der Datensatz bleibt lesbar, verliert aber seine Bedeutung. | Nachweis nach Annex 11 Abschnitt 4.8, dass Daten bei der Übertragung weder im Wert noch in der Bedeutung verändert werden. Die MHRA verlangt in Abschnitt 6.8 zusätzlich einen Audit Trail über den Transfervorgang selbst. |
Die Systemgrenze wird nach Datenfluss gezogen, nicht nach Zuständigkeit
Annex 11 Abschnitt 4.3 verlangt für kritische Systeme eine Systembeschreibung mit physischer und logischer Anordnung, Datenflüssen und Schnittstellen zu anderen Systemen. Wer diese Beschreibung zeichnet, sieht sofort, welche Strecken bisher niemandem gehören.
- Ein Diagramm für die gesamte Kette, nicht eines je Abteilung
- Validierungsgrenze als Linie eingezeichnet, nicht im Text beschrieben
- Als Liefergegenstand vereinbaren, nicht selbst rekonstruieren
Für jede Strecke eine benannte Person auf beiden Seiten
Annex 11 Abschnitt 3.1 verlangt formale Vereinbarungen mit klaren Verantwortlichkeiten, wenn Dritte ein System bereitstellen, integrieren oder Daten verarbeiten, und stellt interne IT-Abteilungen ausdrücklich gleich. Die eigene Automatisierungsabteilung ist damit kein Sonderfall.
- Je Schnittstelle ein fachlicher und ein technischer Verantwortlicher
- Auch für interne Abteilungen schriftlich, nicht mündlich
- Eskalationsweg bei Übertragungsfehlern definiert
Der Übergabepunkt braucht eine Quittung, keine Annahme
Eine Schnittstelle ohne Rückmeldung ist eine Hoffnung. Gefordert sind eingebaute Prüfungen nach Annex 11 Abschnitt 5 und eine Reaktion auf deren Ergebnis: Was passiert mit einem Datensatz, den die Gegenseite ablehnt, und wer erfährt davon?
- Positiv- und Negativquittung je Übertragung
- Fehlerwarteschlange mit Bearbeiter und Frist
- Kein stilles Verwerfen, jeder abgelehnte Satz bleibt sichtbar
Kritische Schritte einzeln buchen, nicht sammeln
Die MHRA beschreibt in Abschnitt 6.12, dass Metadaten wie Anwender, Datum und Zeit erst mit dem Speichern der Transaktion in den Audit Trail gelangen. Sie erwartet deshalb, mehrere Arbeitsschritte nicht zu einer einzigen Transaktion zusammenzufassen und die Zeit bis zum Speichern gering zu halten.
- Kritische Schritte in der URS benennen und einzeln speichern
- Keine Sammelbuchung am Ende eines Arbeitsgangs
- Erfassungszeit und Ereigniszeit getrennt führen
Das Protokoll der Maschinenanbindung gehört zum Nachweis
Ob über OPC UA, einen Feldbus-Gateway oder eine Datei: Die verwendete Protokollversion, die Sicherheitsprofile und das Verhalten bei Verbindungsverlust sind Teil der Qualifizierung. Die Details dazu stehen auf unserer Seite zu OPC UA für MES, Anbindung und Sicherheit.
- Protokollversion und Sicherheitsprofil in der IQ dokumentiert
- Pufferverhalten bei Verbindungsabbruch getestet
- Nacherfassung nach Wiederanlauf als solche gekennzeichnet
Bei ERP-Kopplung die Rollen im Freigabeprozess klären
Wenn Chargenstatus in beiden Systemen geführt wird, braucht es ein führendes System je Feld. Sonst entstehen zwei Wahrheiten, und in der Inspektion zeigt man auf die falsche. Szenarien und Aufwände beschreibt unsere Seite zur MES-SAP-Integration, die Grundlagen der Datenerfassung unsere Seite zu MDE und BDE.
- Je Feld ein führendes System, schriftlich festgelegt
- Abgleichlauf mit Abweichungsbericht statt stiller Überschreibung
- Freigabe nur aus dem System, das die Signatur trägt
Regelwerksbezüge im Wortlaut geprüft gegen Annex 11 Revision 1 (Europäische Kommission), 21 CFR Part 11 und Part 211 (eCFR) sowie die MHRA GXP Data Integrity Guidance, Revision 1 vom 9. März 2018.
Das System war konform.
Der Nachweis war es nicht.
Die folgenden sechs Konstellationen tauchen in Inspektionen und internen Audits regelmäßig auf. Keine davon setzt ein schlechtes MES voraus. Alle sechs entstehen dort, wo eine Funktion vorhanden ist, aber niemand ihre Nutzung geregelt, geprüft oder dokumentiert hat. Die Bewertung stützt sich auf die veröffentlichten Erwartungen von MHRA und Europäischer Kommission sowie auf Sectorlens-Auswahlprojekte seit 2022. Anbieter werden bewusst nicht genannt, weil die Ursache in aller Regel im Betrieb liegt und nicht im Produkt.
Audit Trail vorhanden, aber nie ausgewertet
Der Audit Trail läuft seit der Inbetriebnahme und hat noch nie jemand geöffnet. Annex 11 Abschnitt 9 verlangt jedoch nicht nur, dass Audit Trails verfügbar und in eine allgemein verständliche Form überführbar sind, sondern ausdrücklich, dass sie regelmäßig überprüft werden. Die MHRA konkretisiert das: Die routinemäßige Datendurchsicht soll eine dokumentierte Audit-Trail-Durchsicht einschließen, wo eine Risikobewertung dies ergibt.
Aufzeichnen und Auswerten sind zwei getrennte Fähigkeiten. Die zweite fehlt in Lastenheften fast immer.
- Ursache: Die Auswertung wurde nie als Anforderung formuliert, nur die Aufzeichnung
- Folge: Ohne Filter und Exception Reporting ist die Durchsicht im Schichtbetrieb nicht leistbar
- Gegenmaßnahme: Exception Report als Abnahmekriterium in die OQ aufnehmen, nicht in eine Verfahrensanweisung
Administratoren mit Änderungsrechten auf Produktivdaten
Die Systemadministration liegt bei denselben Personen, die fachlich mit den Daten arbeiten, oft aus Personalgründen in kleineren Werken. Die MHRA formuliert dazu in Abschnitt 6.16 unmissverständlich: Administratorrechte, die Datenlöschung, Datenbankänderung oder Konfigurationsänderungen erlauben, sollen nicht an Personen mit direktem Interesse an den Daten vergeben werden, also nicht an Personen aus Datenerzeugung, Datenprüfung oder Freigabe.
Ebenso erwartet wird, dass das generische Administratorkonto nicht im Routinebetrieb genutzt wird und Administratoren sich mit eindeutigen persönlichen Zugangsdaten anmelden.
- Ursache: Rollentrennung scheitert an der Personaldecke, nicht am System
- Folge: Änderungen bleiben zwar protokolliert, aber nicht mehr unabhängig kontrolliert
- Gegenmaßnahme: Administration organisatorisch trennen, ersatzweise Vier-Augen-Freigabe für administrative Eingriffe technisch erzwingen
Zeitstempel ohne gesicherte Zeitquelle
Terminals, MES-Server und Maschinensteuerungen beziehen ihre Uhrzeit aus unterschiedlichen Quellen, die Abweichung fällt erst auf, wenn eine Ereigniskette rekonstruiert werden soll. 21 CFR § 11.10(e) verlangt sichere, computergenerierte, mit Zeitstempel versehene Audit Trails, die Datum und Uhrzeit unabhängig aufzeichnen. Die MHRA ergänzt in Abschnitt 3 die Erwartung, dass an der Erfassungsstelle angemessen kontrollierte und synchronisierte Uhren verfügbar sind und die Zeitzone bekannt und festgelegt ist, wenn Daten über mehrere Standorte hinweg genutzt werden.
- Ursache: Zeitsynchronisation gilt als IT-Infrastrukturthema und steht deshalb in keiner URS
- Folge: Ereignisse lassen sich nicht mehr zweifelsfrei in eine Reihenfolge bringen
- Gegenmaßnahme: Zeitquelle, Synchronisationsintervall und Überwachung in die IQ aufnehmen und im Systemdokument festhalten
Validierung einmalig statt lebenszyklusbegleitend
Der Validierungsbericht trägt das Datum des Go-live, seither sind vier Releases eingespielt und zwei Linien angebunden worden. Annex 11 Abschnitt 11 verlangt eine periodische Bewertung, die bestätigt, dass das System weiterhin im validierten Zustand und GMP-konform ist, einschließlich Upgrade-Historie, Abweichungen, Vorfällen, Leistung, Zuverlässigkeit und Sicherheit. Abschnitt 4.1 stellt zudem klar, dass Validierungsdokumentation und Berichte die relevanten Schritte des gesamten Lebenszyklus abdecken sollen.
- Ursache: Validierung wurde als Projektphase budgetiert, nicht als Betriebsaufgabe
- Folge: Der validierte Stand und der produktive Stand fallen mit jedem Release weiter auseinander
- Gegenmaßnahme: Bewertungszyklus risikobasiert festlegen, im Validierungsmasterplan begründen und mit festem Personalanteil hinterlegen
Elektronische Signatur ohne Bedeutungserklärung
Der Signaturdialog fragt Kennung und Passwort ab und quittiert mit einem Häkchen. Was genau bestätigt wurde, steht nirgends. 21 CFR § 11.50(a)(3) verlangt jedoch, dass die signierte Aufzeichnung die Bedeutung der Signatur eindeutig erkennen lässt, etwa Prüfung, Freigabe, Verantwortung oder Urheberschaft. Nach § 11.50(b) muss diese Angabe zusammen mit Klarname sowie Datum und Uhrzeit in jeder menschenlesbaren Darstellung erscheinen, also auch im Ausdruck.
Häufige Variante: Die Bedeutung erscheint im Dialogfenster, fehlt aber im PDF und im Papierausdruck.
- Ursache: Geprüft wurde der Bildschirmdialog, nicht die Ausgabe
- Folge: Der Ausdruck belegt, dass jemand signiert hat, aber nicht wofür er einsteht
- Gegenmaßnahme: Signierten Ausdruck als Testfall in die OQ aufnehmen und vor Vertragsschluss vorführen lassen
Schnittstellendaten außerhalb des validierten Bereichs
Das MES ist validiert, die Strecke von der Maschinensteuerung über das Prozessleitsystem bis zur MES-Datenbank ist es nicht, weil sie das Automatisierungsteam betreut. Annex 11 Abschnitt 5 verlangt aber, dass Systeme, die Daten elektronisch mit anderen Systemen austauschen, geeignete eingebaute Prüfungen für die korrekte und sichere Eingabe und Verarbeitung enthalten. Abschnitt 4.3 fordert für kritische Systeme eine Systembeschreibung, die physische und logische Anordnung, Datenflüsse und Schnittstellen zu anderen Systemen ausweist.
Die Systemgrenze in der Validierung ist damit die Datenflussgrenze, nicht die Lizenzgrenze.
- Ursache: Die Validierungsgrenze wurde nach Zuständigkeit gezogen, nicht nach Datenfluss
- Folge: Für einen Teil der GMP-relevanten Daten fehlt der Nachweis vollständig
- Gegenmaßnahme: Datenflussdiagramm mit eingezeichneter Validierungsgrenze als Liefergegenstand vereinbaren
Sechs Schritte in den validierten Zustand.
Und einer, um dort zu bleiben.
Den methodischen Rahmen setzt GAMP 5, der Leitfaden A Risk-Based Approach to Compliant GxP Computerized Systems der International Society for Pharmaceutical Engineering (ISPE), einer 1980 gegründeten technisch-wissenschaftlichen Vereinigung der Pharmaindustrie mit Sitz in North Bethesda, Maryland. Die zweite Auflage erschien im Juli 2022. Die regulatorischen Erwartungen an die einzelnen Schritte stehen in Annex 11 und in Annex 15 des EU-GMP-Leitfadens, der Qualifizierung und Validierung regelt. Die Dauerangaben sind Erfahrungswerte aus Sectorlens-Auswahlprojekten seit 2022 für ein MES mittlerer Risikoklasse in einem Werk mit zwei bis fünf Linien.
Risikoanalyse und Lieferantenbewertung
Bewerten Sie das MES nach Patientensicherheit, Datenintegrität und Produktqualität, wie Annex 11 Abschnitt 1 es verlangt. Parallel wird der Anbieter bewertet, denn Annex 11 Abschnitt 3.2 macht den Bedarf an einem Lieferantenaudit von genau dieser Risikobewertung abhängig. Ergebnis sind Risikoklasse, festgelegter Validierungsumfang und die begründete Entscheidung über ein Audit beim Anbieter.
User Requirements Specification und Traceability
Die URS beschreibt nach Annex 11 Abschnitt 4.4 die geforderten Funktionen auf Basis der dokumentierten Risikobewertung und der GMP-Relevanz. Jede Anforderung erhält eine eindeutige Nummer und wird in einer Traceability Matrix bis zum einzelnen Testfall verfolgt. Ohne diese Rückverfolgbarkeit lässt sich der Validierungsnachweis in einer Inspektion nicht führen.
Installationsqualifizierung (IQ)
Die IQ ist nach Annex 15 die dokumentierte Verifizierung, dass das System wie installiert der genehmigten Auslegung entspricht. Geprüft werden Server, Datenbank, Clients, Netzwerkpfade, Versionsstände, Schnittstellenkomponenten und die Vollständigkeit der Lieferantendokumentation. Abweichungen werden aufgenommen und vor Beginn der OQ abgearbeitet.
Funktionsqualifizierung (OQ)
Die OQ weist nach, dass das System über den vorgesehenen Betriebsbereich hinweg wie spezifiziert arbeitet. Getestet werden Berechtigungsmatrix, Audit-Trail-Einträge, Signaturdialog mit Bedeutungserklärung, Grenzwerte, Fehlerbehandlung und Schnittstellen. Annex 11 Abschnitt 4.7 verlangt ausdrücklich den Nachweis geeigneter Testmethoden und Testszenarien einschließlich Parametergrenzen, Datengrenzen und Fehlerbehandlung.
Leistungsqualifizierung (PQ)
Die PQ prüft das System im realen Prozess mit echten Aufträgen, echten Rollen und echten Stammdaten. Hier zeigt sich, ob Rollenmodell, Freigabelogik und Ausnahmefälle auch im Schichtbetrieb tragen. Erst nach abgeschlossener PQ und freigegebenem Validierungsbericht geht das MES produktiv.
Periodische Bewertung im Betrieb
Annex 11 Abschnitt 11 verlangt eine periodische Bewertung, die bestätigt, dass das System weiterhin im validierten Zustand und GMP-konform ist. Bewertet werden aktueller Funktionsumfang, Abweichungen, Vorfälle, Probleme, Upgrade-Historie, Leistung, Zuverlässigkeit, Sicherheit und Validierungsstatusberichte. Der Zyklus wird risikobasiert festgelegt und im Validierungsmasterplan begründet.
Neu im Rahmenwerk: Computer Software Assurance. Die FDA hat am 30. September 2025 die finale Leitlinie Computer Software Assurance for Production and Quality System Software veröffentlicht (Docket FDA-2022-D-0795, herausgegeben von CDRH und CBER). Sie beschreibt einen risikobasierten Ansatz für Software, die in der Medizinprodukteherstellung oder im Qualitätssystem eingesetzt wird, und ersetzt Abschnitt 6 der Leitlinie General Principles of Software Validation. Der Kern: Prüfaufwand dorthin verlagern, wo ein Softwarefehler die Produktqualität oder die Patientensicherheit tatsächlich gefährdet, statt jeden Testfall gleich tief zu dokumentieren. Für die Auswahl heißt das, den Anbieter nach Testautomatisierung und maschinell erzeugten Testnachweisen zu fragen, und nicht nur nach der Zahl der Testskripte. Die Reihenfolge Risikoanalyse, URS, IQ, OQ, PQ bleibt davon unberührt.
Eine Charge, sieben Abfragen.
So sieht die Prüfung im Raum tatsächlich aus.
Die Anforderung, Audit Trails regelmäßig zu überprüfen, steht in einem einzigen Satz in Annex 11 Abschnitt 9. Was daraus im Inspektionsgespräch wird, steht nirgends. Deshalb hier der konkrete Ablauf: Ein Inspektor sitzt mit der Qualitätssicherung und einem Anwender vor einem Terminal, nennt eine Chargennummer und stellt eine Folge von Fragen. Beantwortet werden sie nicht mit einer Erklärung, sondern mit einer Abfrage im laufenden System. Die folgende Tabelle listet die sieben Abfragen, die in der Praxis am häufigsten kommen, und was das MES dafür können muss. Wer diese Liste vor dem Anbietergespräch ausdruckt, hat einen Testplan statt eines Fragenkatalogs.
| Abfrage des Inspektors | Was das MES dafür leisten muss | Zeitziel | Woran es in der Praxis scheitert |
|---|---|---|---|
| Zeigen Sie mir den vollständigen Audit Trail zu Charge B-2026-0417. | Chronologischer Auszug über alle Arbeitsgänge, Anlagen, Anwender und beteiligten Systeme in einer Ansicht, exportierbar in ein durchsuchbares Format. | unter 5 Min | Der Auszug muss aus MES, LIMS und Prozessleitsystem zusammengesucht und manuell in eine Reihenfolge gebracht werden. |
| Wer hat zwischen dem 3. und 5. März welchen Sollwert an Linie 2 geändert, und mit welcher Begründung? | Filter nach Zeitraum, Anlage, Anwender und Datenfeld gleichzeitig, mit Anzeige von Altwert, Neuwert, wirksamer Rolle und Änderungsgrund in einer Zeile. | unter 3 Min | Filter nur nach Anwender und Datum. Der Feldbezug fehlt, also muss man mehrere hundert Zeilen durchsehen. |
| Welche Einträge in dieser Charge wurden nach der Ersterfassung geändert? | Ausdruck nach Annex 11 Abschnitt 8.2, der erkennen lässt, ob Daten seit der Ersterfassung geändert wurden, nicht nur der Endstand. | unter 5 Min | Der Standard-Chargenbericht druckt den gültigen Wert. Die Änderungshistorie steht in einem getrennten Bericht ohne Chargenbezug. |
| Zeigen Sie alle Vorgänge, bei denen die Zweitprüfung fehlt oder von derselben Person geleistet wurde. | Exception Report mit vordefinierter Abweichungsregel, der genau diese Konstellation herausfiltert und dokumentiert. | unter 10 Min | Es gibt keinen Exception Report, nur eine Volltextliste. Damit ist die Frage praktisch unbeantwortbar. |
| Wer hatte am 12. Februar die Berechtigung, Prüfergebnisse freizugeben? | Historie der Zugangsberechtigungen zum Stichtag, wie sie Annex 11 Abschnitt 12.3 für Anlegen, Ändern und Entziehen verlangt. | unter 10 Min | Das MES kennt nur den heutigen Stand. Die Historie liegt im Verzeichnisdienst oder in einer Tabelle außerhalb des validierten Systems. |
| Wurde der Audit Trail dieser Anlage im Berichtszeitraum abgeschaltet oder in den Einstellungen verändert? | Eigener Eintrag über jede Änderung an den Audit-Trail-Einstellungen und jeden administrativen Eingriff, im Audit Trail selbst und nicht im Datenbanklog. | unter 5 Min | Einstellungsänderungen landen im Systemlog der Datenbank, das kein Anwender einsehen kann und das keine Aufbewahrungsregel hat. |
| Legen Sie mir den dokumentierten Nachweis der letzten Audit-Trail-Durchsicht für diese Linie vor. | Reviewprotokoll mit Prüfer, geprüftem Zeitraum, Prüfumfang, Befunden, abgeleiteten Maßnahmen und Freigabe. | sofort | Es wurde nie eine Durchsicht dokumentiert. Die Funktion war vorhanden, die Pflicht war niemandem zugewiesen. |
Der Exception Report ist selbst validierungspflichtig. Die MHRA definiert ihn in Abschnitt 6.13 ihrer GXP Data Integrity Guidance als validiertes Suchwerkzeug, das vordefinierte auffällige Daten oder Handlungen identifiziert und dokumentiert, die eine nähere Betrachtung durch den Prüfer erfordern. Zwei Konsequenzen folgen daraus: Erstens genügt eine frei konfigurierbare Suchmaske nicht, die Abweichungsregeln müssen festgelegt, begründet und getestet sein. Zweitens gehört jeder Exception Report als Testfall in die Funktionsqualifizierung, nicht in eine Verfahrensanweisung. Dieselbe Passage stellt klar, dass eine Durchsicht nicht jede Systemaktivität umfassen muss, An- und Abmeldungen oder Tastatureingaben etwa sind nicht erforderlich. Der Umfang wird über die Risikobewertung begründet, nicht über Vollständigkeit. Der Entwurf des Annex 11 vom 7. Juli 2025 zieht diese Erwartung weiter an: Er verlangt eine gezielte, risikobasierte Durchsicht durch Personen, die an der geprüften Tätigkeit nicht unmittelbar beteiligt waren, und zwar grundsätzlich vor der Chargenfreigabe.
Die Trockenübung an einer echten Charge
Nehmen Sie eine abgeschlossene Charge mit mindestens einer nachträglichen Korrektur und lassen Sie einen Anwender die sieben Abfragen durchspielen, während jemand die Zeit misst. Das Ergebnis ist belastbarer als jede Anbieterzusage und deckt in der Regel zwei bis drei Lücken auf.
- Charge mit Korrektur, nicht die saubere Musterakte
- Bediener am Terminal, nicht der Administrator
- Zeiten notieren und als Ausgangswert festhalten
Die Durchsicht bekommt einen Namen und einen Takt
Legen Sie schriftlich fest, wer prüft, was geprüft wird und wann. Ohne diese drei Angaben ist die Anforderung aus Annex 11 Abschnitt 9 nicht erfüllt, auch wenn die Funktion vorhanden ist. Die Frequenz leiten Sie aus der Risikoklasse ab, nicht aus der verfügbaren Zeit.
- Prüfer benannt, Vertretung geregelt
- Umfang je Linie und Risikoklasse definiert
- Befunde mit Maßnahme und Frist, nicht nur zur Kenntnis
Die Exportdatei einem Dritten geben
Exportieren Sie den Audit Trail und geben Sie die Datei jemandem, der das MES nicht kennt. Kann diese Person darin filtern und sortieren, erfüllen Sie die Erwartung des Entwurfs von 2025 an eine vollständige elektronische Kopie. Ein flaches, gesperrtes PDF erfüllt sie nicht. Die durchgängige Datenkette dahinter beschreibt unsere Seite zur Traceability im MES.
- Strukturiertes Format statt Sammelausdruck
- Spaltenüberschriften ohne internes Kürzelwissen verständlich
- Datei ohne Herstellerwerkzeug les- und filterbar
Die Zeitziele sind Erfahrungswerte aus Sectorlens-Auswahlprojekten seit 2022 und beschreiben, was in einem Inspektionsgespräch als souverän gilt. Sie sind keine regulatorische Vorgabe. Die Regelwerksbezüge sind gegen den jeweiligen Originaltext geprüft.
Die Validierung kostet mehr Zeit
als die technische Einführung.
In Angeboten steht die Software, in der Projektplanung steht die Einführung, und die Validierung erscheint als Zeile ohne Zahl. In regulierten Betrieben ist sie jedoch regelmäßig der längere und personalintensivere Teil: Während Installation, Konfiguration und Maschinenanbindung eines mittelgroßen MES nach unserer Projekterfahrung typischerweise vier bis sechs Monate beanspruchen, laufen Risikoanalyse, URS, Testerstellung, IQ, OQ, PQ und Berichtswesen über sechs bis zwölf Monate, in weiten Teilen parallel, aber mit eigenem Personalbedarf. Die Tabelle nennt die Positionen, die in Kalkulationen am häufigsten fehlen. Die allgemeinen Systemkosten außerhalb der Validierung behandelt unsere Seite zu den MES-Kosten.
| Position | Was dahintersteckt | Aufwand | Worauf zu achten ist |
|---|---|---|---|
| Risikoanalyse und Lieferantenbewertung | Risikoklassifizierung des Systems nach Patientensicherheit, Datenintegrität und Produktqualität, Bewertung des Anbieters, begründete Entscheidung über ein Lieferantenaudit. | 8 bis 20 PT | Wird zu spät gemacht. Die Risikoklasse bestimmt den Umfang aller folgenden Positionen, gehört also vor die Anforderungserhebung. |
| URS und Traceability Matrix | Anforderungen mit eindeutiger Nummer, GMP-Relevanz je Anforderung, Verknüpfung bis zum einzelnen Testfall. | 15 bis 40 PT | Ein bestehendes Lastenheft ist keine URS. Die Rückverfolgbarkeit fehlt und muss nachträglich hergestellt werden. |
| Testerstellung IQ und OQ | Testpläne, Testskripte, Testdaten, Akzeptanzkriterien, Reviewschleifen mit der Qualitätssicherung. | 25 bis 70 PT | Der größte Einzelposten. Klären Sie schriftlich, welche Testskripte der Anbieter beisteuert und welche Sie selbst schreiben. |
| Testdurchführung IQ, OQ, PQ | Ausführung, Protokollierung, Nachweisführung, Abweichungsbearbeitung und Nachtests, PQ mit echten Aufträgen und echten Rollen. | 30 bis 80 PT | Die PQ bindet Produktionspersonal in der Linie. Diesen Anteil in der Schichtplanung berücksichtigen, sonst verschiebt sich der Go-live. |
| Validierungsdokumentation | Validierungsmasterplan, Systembeschreibung mit Datenflüssen und Schnittstellen nach Annex 11 Abschnitt 4.3, Validierungsbericht, Freigaben. | 10 bis 25 PT | Die Systembeschreibung mit Datenflussdiagramm als Liefergegenstand des Anbieters vereinbaren, nicht selbst rekonstruieren. |
| Lieferantenaudit | Vorbereitung, Durchführung vor Ort oder remote, Auditbericht, Nachverfolgung der Maßnahmen. Nach Annex 11 Abschnitt 3.2 risikobasiert. | 5 bis 15 PT | Das Auditrecht muss im Vertrag stehen. Nach Unterschrift lässt es sich kaum noch durchsetzen. |
| Change Control im Betrieb | Bewertung, Teilvalidierung und Dokumentation je Änderung an System oder Konfiguration nach Annex 11 Abschnitt 10. | 2 bis 12 PT je Änderung | Die Spanne hängt allein davon ab, was vertraglich als Parametrierung und was als validierungsrelevante Änderung gilt. |
| Periodische Bewertung | Wiederkehrende Bewertung nach Annex 11 Abschnitt 11 mit Funktionsumfang, Abweichungen, Vorfällen, Upgrade-Historie, Sicherheit. | 5 bis 15 PT je Zyklus | Läuft dauerhaft und gehört ins Betriebsbudget, nicht ins Projektbudget. Wird bei der TCO-Rechnung fast immer vergessen. |
Wie Sie die Spanne für Ihr Werk eingrenzen. Der untere Rand gilt für ein weitgehend parametriertes Standard-MES mit einer Linie, geringer Risikoklasse und einem Anbieter, der ein vollständiges Validierungspaket mitliefert. Der obere Rand gilt für mehrere Linien, kundenspezifische Schnittstellen zu Waagen, Prüfmitteln und ERP, eigenentwickelte Reports und eine hohe Risikoklasse. Zwei Stellschrauben verschieben den Aufwand am stärksten: der Anteil kundenspezifischer Entwicklung und die Frage, ob Sie ein Anbieterpaket übernehmen und ergänzen können oder alles selbst schreiben. Erfahrungswerte aus Sectorlens-Auswahlprojekten seit 2022, keine Listenpreise. Wie Sie die Anforderungen so formulieren, dass der Nachweisaufwand kalkulierbar bleibt, steht auf unserer Seite zum MES-Lastenheft erstellen.
Zwölf Fragen an den MES-Anbieter.
Antworten, die Sie sehen wollen, nicht hören.
Jeder Anbieter im regulierten Umfeld bejaht die Frage nach Part-11-Konformität. Die Frage bringt Sie deshalb nicht weiter. Nützlich sind Fragen, die eine Vorführung, ein Dokument oder eine Vertragszusage nach sich ziehen. Die folgenden zwölf Fragen sind so formuliert, dass die Antwort prüfbar ist. Nehmen Sie sie in die Agenda des zweiten Termins auf, wenn die Funktionsdemo bereits gelaufen ist. Das methodische Gesamtvorgehen beschreibt unsere Seite MES auswählen: Vorgehen, Kriterien und typische Fehler.
Zeigen Sie mir einen signierten Ausdruck, nicht den Signaturdialog.
21 CFR § 11.50(b) verlangt Klarname, Datum, Uhrzeit und Bedeutung der Signatur in jeder menschenlesbaren Darstellung. Viele Systeme zeigen die Bedeutung nur im Dialogfenster. Fehlt sie im PDF und im Papierausdruck, ist der Nachweis lückenhaft.
Wie erkennt das System einen außerhalb des MES veränderten Datensatz?
§ 11.10(a) fordert die Fähigkeit, ungültige oder veränderte Datensätze zu erkennen. Das ist eine Produktfunktion, keine Verfahrensanweisung. Lassen Sie es vorführen: Datensatz auf Datenbankebene verändern, Erkennung im MES zeigen.
Welche Filter und Exception Reports gibt es für die Audit-Trail-Durchsicht?
Annex 11 Abschnitt 9 verlangt eine regelmäßige Überprüfung. Ohne Filter nach Zeitraum, Charge, Anwender, Arbeitsgang und Feld sowie ein Exception Reporting ist diese Durchsicht im Schichtbetrieb nicht leistbar und wird faktisch unterbleiben.
Kann ein Administrator den Audit Trail abschalten, und wird das protokolliert?
Die MHRA erwartet, dass Anwender den Audit Trail weder ändern noch abschalten können und dass ein Eingriff durch einen Systemadministrator selbst aufgezeichnet wird. Fragen Sie nach, ob das technisch ausgeschlossen oder nur über eine Berechtigung geregelt ist.
Führt das MES selbst die Historie der Zugangsberechtigungen?
Annex 11 Abschnitt 12.3 verlangt, dass Anlegen, Ändern und Entziehen von Berechtigungen aufgezeichnet wird. Die MHRA ergänzt: Erfasst das System diese Historie nicht, muss sie außerhalb geführt werden. Genau diese Nebenliste wird in Inspektionen zum Thema.
Erzeugt der Chargenbericht den Ausdruck nach Annex 11 Abschnitt 8.2?
Der Ausdruck muss erkennen lassen, ob Daten seit der Ersterfassung geändert wurden. Standardreports drucken meist nur den Endstand. Lassen Sie sich den Bericht an einer Charge mit nachträglicher Korrektur zeigen, nicht an einer sauberen Musterakte.
Welche Zeitquelle nutzen Server, Terminals und Maschinenanbindung?
§ 11.10(e) verlangt sichere, computergenerierte Zeitstempel, die Datum und Uhrzeit unabhängig aufzeichnen. Klären Sie, ob eine gemeinsame Quelle genutzt wird, wie die Synchronisation überwacht wird und ob Anwender die Systemzeit verstellen können.
Wo verläuft die Validierungsgrenze zur Maschinenanbindung?
Annex 11 Abschnitt 5 verlangt eingebaute Prüfungen für den elektronischen Datenaustausch mit anderen Systemen. Lassen Sie die Grenze in ein Datenflussdiagramm einzeichnen und vereinbaren Sie dieses Diagramm nach Abschnitt 4.3 als Liefergegenstand.
Was gilt vertraglich als Parametrierung, was als validierungsrelevante Änderung?
Annex 11 Abschnitt 10 unterstellt jede Änderung an System und Konfiguration einem definierten Verfahren. Diese Abgrenzung bestimmt Ihren laufenden Aufwand über die gesamte Laufzeit und gehört schriftlich in den Vertrag, nicht in ein Gesprächsprotokoll.
Welche GAMP-Kategorie hat welches Modul, und welche Ihrer Erweiterungen?
Ein MES besteht fast immer aus konfigurierbarem Standard plus kundenspezifischen Schnittstellen und Reports mit unterschiedlicher Einstufung. Eine pauschale Kategorie für das Gesamtprodukt ist kein belastbarer Ausgangspunkt für die Aufwandsplanung.
Stellen Sie Qualitätssystem- und Auditunterlagen auf behördliche Anfrage bereit?
Annex 11 Abschnitt 3.4 verlangt, dass diese Informationen Inspektoren auf Anfrage zugänglich gemacht werden. Zusammen mit dem Auditrecht nach Abschnitt 3.2 gehört die Zusage in den Vertrag. Nachverhandeln lässt sich das nach der Unterschrift kaum noch.
Wie sieht das dokumentierte und getestete Rückfallverfahren aus?
Annex 11 Abschnitt 16 verlangt Vorkehrungen zur Fortführung kritischer Prozesse bei Systemausfall, mit risikobasiert festgelegter Umschaltzeit, dokumentiert und getestet. Ein Offline-Modus im Terminal allein erfüllt das nicht, weil er den Ausfall des Servers nicht abdeckt.
Wann ein MES nicht die richtige Antwort ist. Nicht jeder regulierte Betrieb braucht ein vollwertiges MES, um Part 11 und Annex 11 zu erfüllen. Bei einer einzelnen Linie, geringer Variantenzahl und wenigen kritischen Prüfschritten sind ein validiertes elektronisches Chargenprotokoll und eine saubere Prüfmittelanbindung häufig der schnellere und dauerhaft günstigere Weg, weil der Validierungsaufwand mit dem Funktionsumfang steigt, nicht mit dem Nutzen. Ein MES lohnt sich dort, wo Auftragssteuerung, Materialverfolgung, Prüfplanung und Freigabe zusammengeführt werden müssen und die Zahl der Übergabepunkte zwischen Systemen sonst selbst zum Risiko wird. Wer den Papierprozess parallel weiterführen will, verdoppelt dagegen den Nachweisaufwand statt ihn zu senken; die Abwägung dazu steht auf unserer Seite zur papierlosen Fertigung.
Part 11, Annex 11 und das MES.
Zwölf Fragen aus Auswahlprojekten.
Die folgenden Fragen stellen sich in Auswahl- und Validierungsprojekten regelmäßig. Die Antworten benennen jeweils den Paragrafen oder Abschnitt, aus dem sich die Anforderung ergibt. Rechtsstand August 2026.
Gilt 21 CFR Part 11 auch für ein MES in einem deutschen Werk?
Ja, sobald das Werk Arzneimittel, Wirkstoffe oder Medizinprodukte für den US-Markt herstellt oder Aufzeichnungen an die FDA übermittelt. 21 CFR § 11.1(b) stellt auf die Aufzeichnungen ab, nicht auf den Standort: Die Vorschrift gilt für elektronische Aufzeichnungen, die unter Aufzeichnungspflichten aus FDA-Vorschriften erstellt, geändert, aufbewahrt, archiviert, abgerufen oder übermittelt werden. Ein Werk in Deutschland, das in die USA liefert, unterliegt damit parallel dem EU-GMP-Leitfaden Annex 11 und Part 11. In der Praxis führen Betriebe deshalb eine kombinierte Anforderungsliste und validieren einmal gegen beide Regelwerke.
Was ist der wichtigste Unterschied zwischen Part 11 und Annex 11?
Part 11 ist eine Rechtsvorschrift mit verbindlichen shall-Formulierungen, Annex 11 ist ein Auslegungsleitfaden zur GMP-Richtlinie mit should-Formulierungen und einem durchgehend risikobasierten Ansatz. Part 11 ist stark auf elektronische Signaturen fokussiert und widmet ihnen mit Subpart C und den §§ 11.100, 11.200 und 11.300 einen eigenen Regelungsblock. Annex 11 deckt dafür Themen ab, die Part 11 gar nicht regelt: Lieferantenverträge in Abschnitt 3, Backup und Wiederherstellung in Abschnitt 7.2, Incident Management in Abschnitt 13 und Notfallbetrieb in Abschnitt 16. Wer nur gegen Part 11 validiert, hat für eine EU-Inspektion Lücken, und umgekehrt.
Muss der Audit Trail im MES immer eingeschaltet sein?
Annex 11 Abschnitt 9 formuliert die Audit-Trail-Pflicht risikobasiert: Auf Grundlage einer Risikobewertung soll geprüft werden, ob das System einen Datensatz aller GMP-relevanten Änderungen und Löschungen erzeugt. Für GMP-relevante Daten lautet die Antwort in der Praxis immer ja, und der Grund für Änderung oder Löschung ist zu dokumentieren. Die MHRA verlangt in ihrer GXP-Data-Integrity-Guidance von 2018 zusätzlich, dass Anwender den Audit Trail weder ändern noch abschalten können und dass eine Abschaltung durch einen Systemadministrator selbst aufgezeichnet wird. Prüfen Sie im Anbietergespräch konkret, ob die Abschaltbarkeit technisch ausgeschlossen oder lediglich über eine Berechtigung geregelt ist.
Reicht eine Benutzerkennung mit Passwort als elektronische Signatur?
Für nicht-biometrische Signaturen fordert 21 CFR § 11.200(a)(1) mindestens zwei unterschiedliche Identifikationskomponenten, typischerweise Benutzerkennung und Passwort. Innerhalb einer einzigen durchgehenden Sitzung mit kontrolliertem Systemzugang genügt ab der zweiten Signatur eine Komponente, die ausschließlich vom Unterzeichner ausgeführt werden kann. Außerhalb einer solchen Sitzung sind bei jeder Signatur alle Komponenten erneut einzugeben. Hinzu kommt § 11.50: Die Signatur muss den Klarnamen, Datum und Uhrzeit sowie die Bedeutung der Unterschrift anzeigen, also etwa Prüfung, Freigabe, Verantwortung oder Urheberschaft.
Was bedeutet die Bedeutungserklärung bei der elektronischen Signatur?
21 CFR § 11.50(a)(3) verlangt, dass der signierten Aufzeichnung die Bedeutung der Signatur zu entnehmen ist, beispielsweise Prüfung, Freigabe, Verantwortung oder Urheberschaft. Nach § 11.50(b) muss diese Angabe zusammen mit Klarname sowie Datum und Uhrzeit in jeder menschenlesbaren Darstellung des Datensatzes erscheinen, also auch im Ausdruck und in der PDF-Ansicht. Viele MES-Signaturdialoge zeigen die Bedeutung im Dialogfenster an, geben sie aber im Ausdruck nicht mit aus. Lassen Sie sich im Anbietergespräch deshalb einen signierten Ausdruck zeigen, nicht nur den Bildschirmdialog.
Wie oft muss ein validiertes MES neu bewertet werden?
Annex 11 Abschnitt 11 fordert eine periodische Bewertung, die bestätigt, dass das System weiterhin im validierten Zustand und GMP-konform ist. Der Leitfaden nennt keine feste Frist, sondern listet die Inhalte auf: aktueller Funktionsumfang, Abweichungen, Vorfälle, Probleme, Upgrade-Historie, Leistung, Zuverlässigkeit, Sicherheit und Validierungsstatusberichte. In Sectorlens-Auswahlprojekten seit 2022 setzen Betriebe für ein MES üblicherweise einen Zyklus zwischen einem und drei Jahren an, abhängig von der Risikoklasse des Systems. Die Frist selbst und ihre Begründung gehören in den Validierungsmasterplan.
Löst jede Konfigurationsänderung im MES eine neue Validierung aus?
Nicht zwingend eine vollständige, aber eine dokumentierte Bewertung mit anschließender Teilvalidierung im betroffenen Umfang. Annex 11 Abschnitt 10 verlangt, dass Änderungen an einem computergestützten System einschließlich der Systemkonfiguration nur kontrolliert nach einem definierten Verfahren erfolgen. Annex 15 Abschnitt 11.4 ergänzt, dass mit Qualitätsrisikomanagement zu bewerten ist, welche Validierungs-, Verifizierungs- oder Requalifizierungsmaßnahmen eine geplante Änderung nach sich zieht. Praktisch heißt das: Ein neuer Prüfplan, eine geänderte Freigabelogik oder ein zusätzliches Signaturfeld sind Änderungen mit Testbedarf und kein beiläufiges Customizing.
Was ist die GAMP-Kategorie und warum fragt man den Anbieter danach?
GAMP 5 ist der Leitfaden A Risk-Based Approach to Compliant GxP Computerized Systems der ISPE, dessen zweite Auflage im Juli 2022 mit 404 Seiten erschienen ist. Er ordnet Software nach Art und Anpassungstiefe ein und leitet daraus den angemessenen Validierungsaufwand ab: Für Standardsoftware, die nur parametriert wird, ist der Nachweisaufwand geringer als für individuell programmierte Erweiterungen. Ein MES besteht fast immer aus mehreren Anteilen mit unterschiedlicher Einstufung, etwa konfigurierbarer Standard plus kundenspezifische Schnittstellen und Reports. Fragen Sie den Anbieter deshalb nicht nach einer Kategorie für das ganze Produkt, sondern nach der Einstufung je Modul und je Erweiterung.
Gilt Part 11 auch für Daten, die eine Maschine automatisch an das MES liefert?
Ja, sobald es sich um Aufzeichnungen handelt, die nach einer zugrunde liegenden Vorschrift zu führen sind und elektronisch statt auf Papier geführt werden. Annex 11 Abschnitt 5 verlangt zusätzlich, dass Systeme, die Daten elektronisch mit anderen Systemen austauschen, eingebaute Prüfungen für die korrekte und sichere Eingabe und Verarbeitung der Daten enthalten. Die Strecke zwischen Maschinensteuerung, Prozessleitsystem und MES gehört damit in den validierten Bereich und ist nicht bloße Infrastruktur ohne Nachweispflicht. In der Praxis fällt genau hier der Nachweis am häufigsten aus, weil die Schnittstelle vom Automatisierungsteam betreut wird und nicht vom Validierungsteam.
Was fordern die Regelwerke zum Zeitstempel?
21 CFR § 11.10(e) verlangt sichere, computergenerierte und mit Zeitstempel versehene Audit Trails, die Datum und Uhrzeit von Bedienereingaben und Aktionen unabhängig aufzeichnen. Die FDA-Leitlinie zu Scope and Application von 2003 stellt in Fußnote 5 klar, dass bei zeitzonenübergreifenden Systemen nicht die Ortszeit des Unterzeichners erwartet wird, die Zeitzonenreferenz aber in der Systemdokumentation erklärt sein muss. Die MHRA erwartet zusätzlich, dass an der Erfassungsstelle kontrollierte und synchronisierte Uhren verfügbar sind. Für das MES heißt das: eine definierte Zeitquelle, dokumentierte Synchronisation und keine Möglichkeit für Anwender, die Systemzeit zu verstellen.
Ersetzt eine Herstellererklärung zur Part-11-Konformität die eigene Validierung?
Nein. Die MHRA formuliert es in Abschnitt 6.19 ihrer GXP-Data-Integrity-Guidance eindeutig: Die Übernahme von Validierungsdaten des Lieferanten losgelöst von der eigenen Systemkonfiguration und dem eigenen Verwendungszweck ist nicht akzeptabel, weil Lieferantentests in der Regel auf funktionale Verifizierung beschränkt bleiben. Annex 11 Abschnitt 3.3 verlangt, dass die mit Standardprodukten gelieferte Dokumentation vom regulierten Anwender daraufhin geprüft wird, ob die eigenen Benutzeranforderungen erfüllt sind. Herstellerdokumentation ist damit eine erhebliche Arbeitserleichterung für IQ und OQ, aber kein Ersatz für die PQ im eigenen Prozess.
Was passiert, wenn das MES ausfällt und die Produktion weiterlaufen muss?
Annex 11 Abschnitt 16 verlangt für computergestützte Systeme, die kritische Prozesse unterstützen, Vorkehrungen zur Fortführung dieser Prozesse bei einem Systemausfall, beispielsweise ein manuelles oder alternatives System. Die Zeit bis zur Aktivierung der Ersatzlösung ist risikobasiert festzulegen und für das jeweilige System und den unterstützten Geschäftsprozess angemessen zu wählen. Diese Vorkehrungen sind ausreichend zu dokumentieren und zu testen. Part 11 enthält hierzu keine eigene Regelung, weshalb der Nachweis in Betrieben mit reiner Part-11-Orientierung häufig fehlt.
Die Anforderungen stehen fest.
Unsicher, welches MES sie tatsächlich erfüllt?
Part 11 und Annex 11 lassen sich vollständig auflisten, das haben Sie auf dieser Seite. Die schwierige Frage ist die nächste: Welcher Anbieter erfüllt diese Punkte im Produkt und nicht in der Verfahrensanweisung, und was kostet der Nachweis in Ihrem Werk? Wir arbeiten herstellerneutral und erhalten keine Provision von MES-Anbietern.
MES-Matching für regulierte Fertigung
URL eingeben, KI analysiert die Fertigung anhand öffentlicher Daten und gleicht sie gegen 64 Kriterien mit dem Anbietermarkt ab.
- Erkennt Pharma-, Medizintechnik- und GxP-Bezug aus dem öffentlichen Profil
- Shortlist mit Match-Score statt einer alphabetischen Anbieterliste
- Ohne Registrierung, ohne Formular, ohne Rückruf
Selection Portal mit Compliance-Anforderungen
Anforderungs-Workshop, Lastenheft aus über 150 Anforderungen und moderierter Anbieter-Dialog bis zur Entscheidungsmatrix.
- Compliance-Anforderungen paragrafengenau im Lastenheft, nicht als Sammelposten
- Prüffragen zu Audit Trail, Signatur und Rückfallverfahren im Anbieter-Dialog
- Entscheidungsmatrix mit gewichteter Bewertung und dokumentierter Begründung
Zweitmeinung zum Validierungsumfang
Über 50 Projekte seit 2022, herstellerneutral, keine Provision. Wir prüfen mit Ihnen, wo der geplante Aufwand nicht zur Risikoklasse passt.
- Abgleich von Risikoklasse, geplantem Testumfang und Angebotsposition des Anbieters
- Prüfung der Abgrenzung zwischen Parametrierung und validierungsrelevanter Änderung
- 30 Minuten Erstgespräch kostenlos und unverbindlich
Compliance ist eine Anforderungsliste.
Die Auswahl ist eine Entscheidung.
Geben Sie Ihre Unternehmens-URL ein. Die Engine analysiert Ihre Fertigung anhand öffentlich zugänglicher Informationen und zeigt Ihnen, welche MES-Anbieter zu Ihrer Fertigungsart, Ihrer Größe und Ihrem regulatorischen Umfeld passen. Ohne Registrierung, ohne Formular, in etwa sechs Minuten.
