FDA 21 CFR Part 11:
Wie der Übergang von papierbasierten zu computergestützten elektronischen Systemen in der Life-Science-Industrie gelingen kann
Effizienzsteigerung führt nicht nur zu wirtschaftlichem Wachstum und optimaler Nutzung vorhandener Ressourcen. Sie ist auch auch ein wesentlicher Bestandteil der Wettbewerbsfähigkeit. Automatisierungslösungen sind daher gefragter denn je. Jedoch handelt es sich hierbei um eine wesentlich komplexere Angelegenheit, als viele Unternehmen zunächst realisieren. Beispielsweise zählt eine digitalisierte Auftragsabwicklung und Produktion auch in der Medizintechnik zu den Garanten für mehr Effizienz. Hier ermöglicht das bereits seit 1997 in Kraft getretene Gesetz der amerikanischen Gesundheitsbehörde FDA 21 CRF Part 11, zu „Elektronischen Aufzeichnungen und elektronischen Unterschriften“ den Übergang von papierbasierten manuellen Prozessen zu computergestützten elektronischen Prozessen. Da es keine einheitliche Interpretation für den europäischen Raum gibt und für jedes Projekt individuell die Umsetzung seitens der Teilnehmer geklärt werden muss, haben wir uns näher mit dem Thema beschäftigt.
Die FDA, die US-amerikanische Food and Drug Administration, ist als Lebensmittelüberwachungs- und Arzneimittelbehörde dem amerikanischen Gesundheitsministerium unterstellt. Somit ist sie u.a. für die Kontrolle von pharmazeutischen Produkten, Medizinprodukten, biologischen Erzeugnissen, Lebensmitteln sowie strahlenemittierenden Geräten zuständig. Im Sinne der vereinfachten Überprüfung von Dokumenten, deren Archivierung und einem schnelleren Zulassungsverfahren für Produkte ist es auch im Interesse dieser Gesundheitsbehörde, eine Digitalisierung des Dokumentenmanagements zu forcieren. Bereits im August 1997 hat die Behörde daher das Gesetz FDA 21 CFR Part 11 auf den Weg gebracht. Seither ist dieses richtungsweisend für die internationale Medizintechnik. Denn es ermöglicht den Übergang von papierbasierten manuellen Prozessen zu regulierten computergestützten elektronischen Prozessen.
Hierfür definiert Part 11 Kriterien, die die Voraussetzungen für die Verlässlichkeit und Vertrauenswürdigkeit digitaler Dokumente analog zu traditionellen Aufzeichnungen aufzeigen. Obwohl dieses Gesetz einiges in der Life-Science-Industrie in Gang gesetzt hat, stellt es die Anwender auch vor eine nicht zu unterschätzende Herausforderung. Denn bisher gibt es keine einheitliche Interpretation. Tatsächlich hat die FDA sich hierdurch veranlasst gesehen, ein Begleitdokument zu veröffentlichen, um die eigenen Ansätze hinter dem Gesetz näher auszuführen. Obwohl das Dokument „Guidance for Industry Part 11, Electronic Records; Electronic Signatures – Scope and Application“ als informell gilt, wird es in der Medizintechnik weitgehend als Richtlinie anerkannt. Da auch wir in unserem Tagesgeschäft Orientierung in dieser Vorlage finden, haben wir von konplan uns näher mit den Inhalten beschäftigt.
Forderungen von FDA 21 CFR Part 11 im Überblick
Das «Competence Center Pharma» von Siemens hat die Kernpunkte von FDA 21 CFR Part 11 wie folgt zusammengefasst [1]:
- «21 CFR Part 11 trägt der Tatsache Rechnung, dass die Gefahr von Manipulation, Fehlinterpretationen und nicht nachvollziehbaren Änderungen bei elektronischen Aufzeichnungen und Unterschriften größer ist als bei herkömmlichen Papieraufzeichnungen und handschriftlichen Unterschriften, bzw. schwerer zu entdecken sind. Aus diesem Grund sind zusätzliche Maßnahmen notwendig.»
- «Die Begriffe ‹elektronische Aufzeichnung›/‹elektronisches Dokument› meinen jede Kombination von Text, Graphik, Daten, Audio, bildliche oder andere Formen von Informationen in digitaler Form, die mit einem Computersystem erstellt, modifiziert, gewartet, archiviert, zurückgewonnen oder verteilt werden.»
- «Der Begriff ‹elektronische Unterschrift› meint eine Umsetzung in Computerdaten eines jeden Symbols oder einer Serie von Symbolen, die von einer Person ausgeführt, angenommen oder autorisiert wird, um ein rechtlich bindendes Äquivalent einer handschriftlichen Unterschrift zu sein.» [2]
| Forderung | Beschreibung |
| Validierung | Alle GMP-relevanten automatisierten Systeme müssen validiert werden, um eine präzise, zuverlässige und durchgängige Datenaufbereitung entsprechend den Vorgaben zu gewährleisten. |
| Audit-Trails | Alle Bedienereinträge, die elektronische Aufzeichnungen erstellen, ändern oder löschen, müssen in einem sicheren, mit Zeitstempel versehenen, computergenerierten Audit-Trail aufgezeichnet werden. |
| Aufbewahrung, Schutz, Reproduzierbarkeit und Abrufbarkeit | Die Systeme müssen in der Lage sein, während der (konfigurierbaren) Aufbewahrungsdauer die Aufzeichnungen zu archivieren, zu schützen und auf Abruf bereitstellen zu können. Die Systeme müssen fähig sein, elektronische Aufzeichnungen sowohl in einer menschenlesbaren als auch in elektronischer Form zu reproduzieren. |
| Dokumentenlenkung | Für die Systembetriebs- und Wartungsdokumentation muss es Kontrollen im Hinblick auf ihren Zugang, Überprüfung, Verteilung und Verwendung geben. |
| Zugriffsschutz | Der Zugriff auf elektronische Aufzeichnungen muss ausschließlich auf autorisierte und qualifizierte Personen beschränkt sein. Innerhalb von offenen Systemen müssen zusätzliche Sicherheitsmaßnahmen implementiert werden, um dies zu gewährleisten (siehe auch 21 CFR 11.30). |
| Elektronische Unterschrift | Die Systeme müssen Maßnahmen anbieten, die sicherstellen, dass die Benutzung der elektronischen Unterschrift nur auf die echten Eigentümer beschränkt ist. Zusätzlich wird eine versuchte Benutzung durch Dritte sofort entdeckt und aufgezeichnet. Nicht biometrische Systeme müssen zwei unterschiedliche Identifizierungsmechanismen einsetzen (Benutzerkennung/Passwort). Benutzerkennung und Passwort müssen vor dem Signieren eingegeben werden und zumindest das Passwort ist bei jeder nachfolgenden Signierungshandlung während der gleichen Sitzung einzugeben. Die elektronische Unterschrift darf nicht wiederverwendet oder weitergegeben werden. Der Zweck der elektronischen Unterschrift muss klar und deutlich angegeben sein. Schließlich soll das System Funktionen enthalten, um eine Fälschung der elektronischen Unterschrift durch Standardtools zu vermeiden. Es müssen schriftliche Bestimmungen vorhanden sein, um die Personen für die Handlungen zur Verantwortung ziehen zu können, die unter ihrer elektronischen Unterschrift getätigt wurden. |
| Bescheinigung für die FDA (einmal pro Unternehmen) | Eine schriftliche Bescheinigung muss dem regionalen FDA-Büro übergeben werden mit der Bestätigung, dass die elektronischen Unterschriften mit den herkömmlichen handschriftlichen Unterschriften übereinstimmen und demnach ebenso rechtlich bindend sind. |
Letztlich zeigt uns diese Darstellung, dass Unternehmen umfassende Voraussetzungen schaffen müssen, um elektronische Aufzeichnungen bzw. elektronische Unterschriften in den unter GxP fallenden computerisierten Systemen einsetzen zu dürfen. Dabei sind sowohl technische als auch organisatorische Massnahmen zu ergreifen.
Übersicht: Begrifflichkeiten aus FDA 21 CFR Part 11 für das Tagesgeschäft
Für eine leichtere Umsetzung in die Praxis haben wir Ihnen folgende Tabelle zusammengestellt, an der auch wir uns bei konplan im Tagesgeschäft orientieren. Hier finden Sie eine kompakte Übersicht über Begrifflichkeiten, die zum einfacheren Verständnis von Part 11 beitragen sollen.
| Frage | Antwort / Erläuterungen |
| Was genau muss aus regulatorischer Sicht im Audit-Trail aufgezeichnet werden? | Jede in der SW veränderbare Einstellung, die einen direkten Einfluss auf das Ergebnis „gut/schlecht“ des zu messenden Gegenstandes hat, ist qualitätsrelevant. Jede Änderung dieser qualitätsrelevanten Einstellung ist im Audit-Trail festzuhalten. Der Umkehrschluss gilt hier auch. Einstellungen ohne qualitätsrelevanten Einfluss auf das Produkt brauchen und sollten aus Gründen der Übersicht und des Platzbedarfs nicht im Audit-Trail stehen. Das Audit-Trail (abgeleitet aus dem lat. auditus = das Anhören; wörtlich Prüfpfad) hält fest, wer wann was getan hat. |
| Welche Daten fallen aus regulatorischer Sicht unter elektronische Aufzeichnungen (electronic record)? | Elektronische Aufzeichnungen sind nur dort nötig, wo es die FDA explizit fordert, und zwar in den sogenannten „Predicate Rules“, den GxP Regulierungen, wie z.B. für Medizingerätehersteller die FDA 21 CFR 820. Medizingerätehersteller sind dazu verpflichtet, die Qualität der hergestellten Produkte belegen zu können und darüber Statistiken zu führen. Um z.B. die Prozessstabilität beurteilen zu können, müssen alle Messungen, auch wiederholte abgelegt werden – gute und schlechte. Hersteller haben früher Produktionsdaten auf Papier festgehalten, heutzutage dagegen machen sie es zunehmend elektronisch. Auch die Nachverfolgbarkeit ist ein wichtiges Thema, z.B. für Produktrückrufe. Produktionsdaten, die die Qualität der hergestellten Teile belegen, stellen also elektronische Aufzeichnungen dar. Dazu zählen auch qualitätsbeeinflussende Einstellungen/ Konfigurationen. Weiterhin muss der Produzent eine Akte über die Kalibration von Sensoren, Mess- und Analysegeräten führen. Die Tendenz geht dahin, dass ein Teil dieser Daten, z.B. Sensor-ID, zusammen mit den Messergebnissen in der Produktionsdatenbank gespeichert werden. |
| Was ist eine elektronische Unterschrift (electronic signature) und was nicht? | Eine elektronische Unterschrift ist das Pendant zu einer handschriftlichen Unterschrift mit Datum / Unterschrift, Name oder Kürzel. Eine Unterschrift ist eine rechtlich relevante Willenserklärung. Zum Beispiel gibt ein QM Mitarbeiter, nach Prüfung der Ordnungsmässigkeit, eine neu produzierte Arzneimittelcharge durch seine Unterschrift zum Verkauf frei. Wenn der Benutzername eines Computersystems in der Produktionsdatenbank oder einem Log steht, dann ist das keine Willenserklärung und somit auch keine Unterschrift. Beispielsweise würde dann eine elektronische Unterschrift vorliegen, wenn der Bediener bzw. optional der QM-Mitarbeiter eine Ansicht vom Produktions-Report auf dem Bildschirm sehen würde, auf dem er alle Daten kontrollieren kann. Der Report trägt ein Unterschriftenfeld mit Bediener-Namen bzw. /-Kennzeichen und Rolle, in dem der Bediener durch Eingabe von seinem Passwort elektronisch unterschreibt. Die SW muss noch Datum und Uhrzeit in das PDF hinzufügen. Der Report kann nun ausgedruckt und/oder elektronisch abgelegt werden. Bemerkung: Im regulierten Umfeld sind bei Reports auch Kommentarfelder beliebt, um auf Besonderheiten hinzuweisen, die ebenfalls unterschrieben werden. |
| Was ist der Unterschied zwischen einem geschlossenen und einem offenen System? | Ein geschlossenes System bedeutet eine Umgebung, in welcher der Systemzugang durch Personen kontrolliert wird, die für die Inhalte der auf dem System befindlichen Aufzeichnungen verantwortlich sind. Andernfalls ist es ein offenes System. Ein Beispiel für ein geschlossenes System ist ein Build- und Test-System im Intranet, auf das nur die verantwortlichen Tester oder Entwickler zugreifen können. Ein System, das Daten über das Internet überträgt, zählt zu den offenen Systemen. |
FDA 21 CFR Part 11: Anforderungen zum Audit-Trail
- 11.10 (e) Das Audit-Trail soll vor Veränderung sicher sein und über Jahre für Menschen lesbar zur Verfügung stehen. Dabei ist ferner seine anwachsende Grösse und Archivierung zu berücksichtigen. Üblich sind x Jahre Produktion sowie danach weitere 10 Jahre der Aufbewahrung. Es ist genauso lange zu archivieren, wie die damit verknüpften elektronischen Aufzeichnungen.
Das Audit-Trail ist auch eine elektronische Aufzeichnung, bei der nach §11.10 die Echtheit und Integrität gezeigt werden soll. In der Praxis bedeutet dies, dass es vollständig, unveränderbar und schreibgeschützt sein soll und nicht gelöscht werden darf. Aus Sicherheitsgründen muss es der Betreiber regelmässig in einem Backup sichern können.
Einstellungen, die das Audit-Trail ändern, sollen nur mit Administrator-Rechten möglich sein.
Kontaktieren Sie uns bei Fragen zu FDA 21 CFR Part 11
Wir hoffen, dass Ihnen unsere Ausführungen und Zusammenfassungen des Gesetzes FDA 21 CFR Part 11 zu „Elektronischen Aufzeichnungen und elektronischen Unterschriften“ der amerikanischen Gesundheitsbehörde FDA wertvolle Orientierung bietet. Für weitere Fragen und bei Diskussionsbedarf wenden Sie sich gerne an unseren Autor!
Auch im nächsten Blog widmen wir uns einem weiteren Aspekt der Automatisierung in der Medizintechnik. Wir werden Ihnen das Vorgehensmodell „Medizintechnik Assessment – Produktionsequipment für Medizingerätehersteller“ vorstellen. Eine Entwicklung von konplan systemhaus ag, um die Produkte von Lieferanten, wie z.B. intelligente Produktions-, Montage- und Messtechniksysteme, in Bezug auf die Einhaltung von Medizingeräterichtlinien zu beurteilen.
FDA 21 CFR Part 11 – Quellen:
[1] „21 CFR Part 11 Konformität für SIMATIC WinCC V6.2“, Siemens AG, Automation and Drives, Competence Center Pharma, D-76187 Karlsruhe
https://www.industry.siemens.com/verticals/global/de/pharma-industries/gmp-validierung/gmp-produkte/Documents/SIMATIC_WinCC_V62_de.pdf.
[2] Gute Praxis und Erfüllung der Anforderungen an Elektronische Aufzeichnungen und Unterschriften; Teil 2 „Erfüllung der Anforderungen des 21 CFR Part 11, Elektronische Aufzeichnungen und Elektronische Unterschriften“; ISPE und PDA 2001/2002
Autor: Martin Penckwitt, Quality Engineer
Wir sind für Sie da – senden Sie uns Ihre Anfrage!
gemeinsames entwickeln! Wir setzen Ihre Ideen in die Tat um und begleiten Ihre Vorhaben bis zur Marktreife. Nehmen Sie jetzt Kontakt mit unseren Experten auf.
