„Ist Ihre Software eigentlich GxP-konform?“ Diese Frage begleitet nahezu jedes Projekt im Life-Sciences-Umfeld. Sie klingt zunächst wie eine technische Rückfrage, doch sie berührt einen ganzen Regelapparat aus Behörden, Gesetzen, Leitfäden und Standards, der über Jahrzehnte gewachsen ist. Regulatorisch geht es dabei nicht um Software im Allgemeinen, sondern um computergestützte Systeme und deren Validierung in CSV-Projekten. Wer diesen Apparat nur als lose Sammlung von Abkürzungen wahrnimmt, tut sich schwer, konkrete Anforderungen daraus abzuleiten.
Welche Behörden welche Rolle spielen, wie Gesetze und Guidelines aufeinander aufbauen und warum ein einzelnes veraltetes Dokument ein Produkt vom Markt nehmen kann, erfahren Sie in diesem Beitrag.
Wenn ein Dokument zum Qualitätsrisiko wird – zwei typische Fallkonstellationen
In der Diskussion um computergestützte Systeme im regulierten Umfeld geht es häufig um einzelne Funktionen. Wird eine Aufgabe zuverlässig zugestellt? Hat eine Benutzerrolle zu weit gefasste Berechtigungen? Diese Fragen sind berechtigt, greifen aber zu kurz. Zwei Fallkonstellationen, wie sie in der Praxis regelmäßig auftreten, verdeutlichen die Tragweite:
- Veraltete SOP-Version bei Produktionsparametern: Eine SOP wird zwar aktualisiert, die alte Fassung bleibt im Produktionssystem jedoch lesbar. Mitarbeitende arbeiten weiter nach der überholten Version. Der Wirkstoffgehalt liegt außerhalb der Spezifikation, eine Unterdosierung ist möglich. Neben dem Chargenrückruf steht die verpflichtende Überarbeitung des Dokumentenmanagementsystems an.
- Falsche Herstellanweisung bei sterilen Arzneimitteln: Eine GMP-Inspektion stellt fest, dass eine ältere Version der Herstellanweisung mit nicht aktualisierten Prozessparametern verwendet wurde. Das Sterilitätsrisiko und damit die Gefahr mikrobieller Kontamination steigen. Chargenrückruf und Produktionsstopp bis zur Ursachenklärung sind die Konsequenz.
In beiden Fällen steht am Ende nicht die Diskussion über ein Feature, sondern die Frage, ob ein Produkt überhaupt noch auf dem Markt sein darf. Genau deshalb lohnt sich der Blick auf den Aufbau der Regularien.
Die Regel-Macher – welche Behörde wofür zuständig ist
In Deutschland teilen sich zwei Bundesoberbehörden die Zuständigkeiten nach Produktkategorien. Das Bundesinstitut für Arzneimittel und Medizinprodukte (BfArM) verantwortet klassische Arzneimittel und einen großen Teil der Medizinprodukte, einschließlich Zulassung, Kontrolle und Überwachung. Das Paul-Ehrlich-Institut (PEI) ist für Impfstoffe, Blutprodukte, Arzneimittel für neuartige Therapien (ATMP), Allergene und Antikörper zuständig. Beide arbeiten eng zusammen, etwa bei klinischen Studien und in der regulatorischen Beratung.
Auf europäischer Ebene koordiniert die EMA (European Medicines Agency) die Bewertung, Überwachung und Sicherheit von Arzneimitteln und steuert damit den Zugang zum europäischen Markt. In den USA nimmt die FDA (Food and Drug Administration) eine deutlich breiter gefasste Rolle ein: Sie verantwortet Sicherheit, Wirksamkeit und Qualität von Arzneimitteln, Medizinprodukten und Lebensmitteln, und zwar sowohl in der Zulassung als auch in der Marktüberwachung.
Ergänzend sind zwei Behörden relevant, die regelmäßig in Projekten auftauchen. Swissmedic kombiniert für die Schweiz Zulassung, Aufsicht und Überwachung von Arzneimitteln und Medizinprodukten. Seit dem Brexit ist für das Vereinigte Königreich nicht mehr die EMA zuständig, sondern die MHRA (Medicines and Healthcare products Regulatory Agency). Sie ist inhaltlich eng an die EU-Regularien angelehnt, sodass in der Sache kaum Abweichungen zu erwarten sind. In einzelnen Bereichen können jedoch eigene Formulare und Detailanforderungen hinzukommen.
Die Schiedsrichter – wie die Überwachung in Deutschland organisiert ist
Eine Instanz macht die Regeln, eine andere kontrolliert sie. In Deutschland liegt die praktische Überwachung der Industrie fast vollständig bei den Bundesländern, koordiniert über die Zentralstelle der Länder für Gesundheitsschutz bei Arzneimitteln und Medizinprodukten (ZLG) mit Sitz in Bonn. Zu den typischen Aufgaben zählen:
- GMP-Inspektionen bei Herstellern
- GDP-Inspektionen bei Großhändlern
- Apothekenüberwachung, auch bei herstellenden Apotheken
- Überwachung klinischer Prüfstellen nach GCP
- Marktüberwachung und Rückrufe
Entscheidend für das Verständnis der Zuständigkeiten: Die Inspektorinnen und Inspektoren arbeiten für Landesbehörden, nicht für BfArM oder PEI. Die Zuständigkeitskette verläuft damit von der EU über das Bundesministerium für Gesundheit und die Bundesoberbehörden bis zu den Landesbehörden, die vor Ort prüfen. Welche GxP-Ausprägung dabei im Vordergrund steht, ob GMP, GDP oder GCP, ändert an dieser Struktur nichts.
Die Spielregeln für Arzneimittel – vom EU-GMP-Leitfaden bis 21 CFR
Für Arzneimittel bildet der EU-GMP-Leitfaden (EudraLex Volume 4) die Grundlage. Er definiert verbindliche Anforderungen an Qualitätsmanagement, Herstellprozesse, Dokumentation und Kontrolle. Drei Bestandteile sind für elektronische Qualitätsmanagementsysteme besonders relevant:
- Kapitel 4 Dokumentation: regelt den Umgang mit Dokumenten und ist die Quelle zahlreicher Anforderungen an die Dokumentenlenkung.
- Annex 11 Computergestützte Systeme: beschreibt ausführlich, welche Anforderungen an validierte Systeme gelten, darunter Audit Trails und der Umgang mit Daten. Der Annex befindet sich derzeit in Überarbeitung.
- Annex 22 Künstliche Intelligenz: adressiert als neuer Entwurf den Einsatz von KI im pharmazeutischen Umfeld und die daraus abzuleitenden Anforderungen.
Auf nationaler Ebene steckt das Arzneimittelgesetz (AMG) den Rahmen für Entwicklung, Herstellung, Zulassung, Abgabe und Überwachung ab. Konkreter wird die Arzneimittel- und Wirkstoffherstellungsverordnung (AMWHV), die Herstellung, Prüfung, Lagerung und Vertrieb regelt und dabei ausdrücklich auf die EU-GMP-Guidelines verweist. Sie ist damit das Bindeglied, das den EU-Leitfaden für die Herstellung in Deutschland verbindlich macht.
In den USA übernimmt der 21 Code of Federal Regulations (21 CFR) diese Rolle. Part 210 und 211 regeln die Arzneimittelherstellung nach cGMP, Part 820 die Anforderungen an das Qualitätsmanagementsystem und Part 11 die Anforderungen an elektronische Aufzeichnungen und Signaturen. Gerade die Part-11-Konformität begegnet uns im Tagesgeschäft mit Kunden regelmäßig, weil dort die Grundlage für elektronische Freigaben und Signaturprozesse liegt. Dabei bleibt eine Aufgabe stets beim Unternehmen selbst: festzulegen, welche Aufzeichnungen überhaupt aufzeichnungspflichtig sind.
Die Spielregeln für Medizinprodukte – MDR, IVDR und ISO 13485
Für Medizinprodukte gilt eine parallel aufgebaute Struktur. Die MDR (Medical Device Regulation, Verordnung 2017/745) regelt europaweit Sicherheit, Leistungsfähigkeit, klinische Bewertung, Rückverfolgbarkeit und Marktüberwachung. Letztere reicht weiter, als man zunächst erwartet: Hersteller müssen ihr Produkt am Markt beobachten und auf Hinweise reagieren, bis hin zu Beobachtungen in Social-Media-Kanälen. Für In-vitro-Diagnostika, also alles, was außerhalb des Körpers untersucht wird, gilt die IVDR (Verordnung 2017/746) mit Leistungsbewertung, Risikoklassifizierung und Konformitätsbewertung. Beide Verordnungen überführt das Medizinprodukterecht-Durchführungsgesetz (MPDG) in deutsches Recht und regelt dort Zuständigkeiten, Überwachung und Marktaufsicht.
Hinzu kommen zwei Normen: ISO 13485 für das Qualitätsmanagementsystem in der Herstellung von Medizinprodukten, ISO 14971 für das Risikomanagement. Eine unmittelbare gesetzliche Anwendungspflicht besteht nicht, doch beide gelten als anerkannter Stand der Technik und werden in den Regularien referenziert. In den USA hat die FDA QMSR (Quality Management System Regulation) diesen Zusammenhang seit 2025 formalisiert und die Anforderungen an Qualitätsmanagementsysteme für Medizinproduktehersteller stärker an ISO 13485 angeglichen.
Von der Vorschrift zur Praxis – die verbindenden Guidelines
Gesetze beschreiben, was gilt, nicht wie es umzusetzen ist. Diese Lücke füllen harmonisierende Organisationen und praxisorientierte Guidelines.
PIC/S (Pharmaceutical Inspection Co-operation Scheme) ist ein internationaler Zusammenschluss von GMP-Überwachungsbehörden mit derzeit 56 Mitgliedstaaten. Die veröffentlichten Guides reichen von Herstellprozessen über Lagerhaltung und Rohstoffauswahl bis zur Validierung computergestützter Systeme. Die ICH (International Council for Harmonisation) arbeitet eng mit PIC/S zusammen. Besonders häufig begegnen uns dabei ICH Q9 zum Qualitätsrisikomanagement und ICH Q10 zum pharmazeutischen Qualitätssystem mit Elementen wie Monitoring, CAPA, Change Management und Management Review.
Für computergestützte Systeme ist die ISPE die maßgebliche Adresse. Neben dem etablierten ISPE GAMP®5, 2nd Edition sind der GAMP Good Practice Guide Data Integrity by Design mit dem ALCOA+-Prinzip, der Good Practice Guide Digital Validation und der neue GAMP AI Guide für KI-gestützte GxP-Systeme relevant. Diese Guidelines werden regelmäßig an Gesetzesänderungen angepasst und ersetzen die verbindlichen Vorgaben nicht, sondern machen sie risikobasiert, transparent und praxisnah anwendbar.
Zurück zum Ausgangsfall – welche Anforderungen hier greifen
Was hätte im Fall der veralteten Herstellanweisung bei sterilen Arzneimitteln gegriffen? Der Blick in die Regularien zeigt eine bemerkenswerte Übereinstimmung über die Rechtsräume hinweg:
In allen großen regulatorischen Systemen gilt damit dieselbe Grundregel: Arzneimittel müssen genau nach der genehmigten Herstellanweisung produziert werden. Wird eine alte Version verwendet, gilt der Herstellprozess regulatorisch als nicht kontrolliert.
Aufschlussreich ist dabei der Blick auf die Verantwortlichkeiten. Die AMWHV benennt mit der Herstellungsleitung ausdrücklich eine Rolle, die für die Genehmigung zuständig ist. In Projekten begegnet uns regelmäßig die Frage, wer ein Dokument freigeben muss und an welchen Stellen eine Unterschrift erforderlich ist. Auch diese Antwort lässt sich aus den Regularien ableiten.
Was daraus für ein elektronisches Qualitätsmanagementsystem folgt
Aus der beschriebenen Hierarchie ergeben sich unmittelbare Anforderungen an computergestützte Systeme im regulierten Umfeld:
- Dokumentenlenkung: Es muss technisch ausgeschlossen sein, dass eine überholte Version am Arbeitsplatz weiter lesbar und verwendbar bleibt.
- Audit Trail: Änderungen an GxP-relevanten Daten müssen lückenlos und unveränderbar nachvollziehbar sein, wie es Annex 11 verlangt.
- Elektronische Signaturen: Freigaben müssen den Anforderungen aus 21 CFR Part 11 genügen und die regulatorisch benannten Verantwortlichkeiten abbilden.
- Datenintegrität: Die ALCOA+-Prinzipien müssen im System verankert sein, nicht nur in begleitenden Verfahrensanweisungen.
- Kontrollierte Prozesse: Abweichungen müssen erfasst, bewertet und dokumentiert werden können.
- Validierbarkeit: Das System muss sich in CSV-Projekten nach anerkannten Ansätzen wie ISPE GAMP®5 validieren und über Änderungen hinweg im validen Zustand halten lassen.
Mit engamp® adressieren wir genau diese Anforderungen und bilden Dokumentenlenkung, Freigabeprozesse und Nachweisführung sicher, effizient und nachvollziehbar ab.
Fazit: Regulatorik als Hierarchie verstehen
Die regulatorische Landschaft im Life-Sciences-Umfeld wirkt auf den ersten Blick unübersichtlich. Wer sie jedoch als Hierarchie liest, gewinnt Orientierung: Behörden setzen und überwachen den Rahmen, Gesetze und Verordnungen formulieren verbindliche Anforderungen, harmonisierende Organisationen und Guidelines machen diese Anforderungen praxistauglich. Für Arzneimittel und Medizinprodukte gelten dabei unterschiedliche, aber miteinander verknüpfte Regelwerke.
Die beiden eingangs geschilderten Fallkonstellationen zeigen, wie kurz der Weg von einem unkontrollierten Dokument zu einem Qualitäts- und Patientensicherheitsrisiko ist. Ein durchgängig gelenktes, validiertes Qualitätsmanagementsystem ist deshalb kein administratives Beiwerk, sondern ein zentraler Baustein der Produktsicherheit. Mit dem Annex 22 zur künstlichen Intelligenz zeichnet sich bereits das nächste Kapitel ab, das Betreiber und Anbieter computergestützter Systeme gemeinsam gestalten werden.
Gerne ordnen wir mit Ihnen gemeinsam ein, welche regulatorischen Anforderungen für Ihre Prozesse gelten und wie sich diese in einem elektronischen Qualitätsmanagementsystem abbilden lassen.
Häufig gestellte Fragen (FAQ´s)
- Welche Behörden sind im Life-Sciences-Umfeld für Deutschland zuständig?
In Deutschland teilen sich das BfArM und das Paul-Ehrlich-Institut die Zuständigkeiten nach Produktkategorien. Das BfArM verantwortet klassische Arzneimittel und einen Großteil der Medizinprodukte, das PEI Impfstoffe, Blutprodukte, ATMP, Allergene und Antikörper. Die praktische Überwachung durch Inspektionen erfolgt über die Landesbehörden, koordiniert durch die ZLG.
- Was regelt der EU-GMP-Leitfaden und wo ist er für computergestützte Systeme relevant?
Der EU-GMP-Leitfaden (EudraLex Volume 4) definiert Anforderungen an Qualitätsmanagement, Herstellprozesse, Dokumentation und Kontrolle. Für elektronische Qualitätsmanagementsysteme sind vor allem Kapitel 4 (Dokumentation), Annex 11 (computergestützte Systeme) und der neue Annex 22 (künstliche Intelligenz) maßgeblich.
- Worin unterscheiden sich AMG und AMWHV?
Das Arzneimittelgesetz steckt den übergeordneten Rahmen für Entwicklung, Herstellung, Zulassung, Abgabe und Überwachung von Arzneimitteln ab. Die Arzneimittel- und Wirkstoffherstellungsverordnung wird konkreter und regelt Herstellung, Prüfung, Lagerung und Vertrieb. Sie verweist dabei ausdrücklich auf die EU-GMP-Guidelines und macht diese für die Herstellung in Deutschland verbindlich.
- Sind ISO 13485 und ISO 14971 gesetzlich verpflichtend?
Eine unmittelbare gesetzliche Pflicht zur Anwendung besteht nicht. Beide Normen gelten jedoch als anerkannter Stand der Technik und werden in den regulatorischen Anforderungen referenziert. Die Verpflichtung ergibt sich damit indirekt, und in der Praxis führt an ihrer Anwendung kaum ein Weg vorbei.
- Was ist der Unterschied zwischen Gesetzen und Guidelines?
Gesetze und Verordnungen sind verbindlich und beschreiben, was gilt. Guidelines von Organisationen wie PIC/S, ICH oder ISPE beschreiben, wie sich diese Anforderungen risikobasiert und praxisnah umsetzen lassen. Sie ersetzen die verbindlichen Vorgaben nicht, sondern ergänzen sie.
- Was bedeutet 21 CFR Part 11 für elektronische Signaturen?
21 CFR Part 11 regelt die Anforderungen der FDA an elektronische Aufzeichnungen und elektronische Signaturen. Unternehmen legen fest, welche Aufzeichnungen GxP-pflichtig sind. Das eingesetzte System muss anschließend sicherstellen, dass Signaturen eindeutig zuordenbar, nachvollziehbar und unveränderbar dokumentiert werden.
- Warum ist eine veraltete Dokumentenversion ein regulatorisches Problem?
Weil die Herstellung nur nach der genehmigten, aktuellen Anweisung erfolgen darf. Wird eine überholte Version verwendet, gilt der Herstellprozess regulatorisch als nicht kontrolliert. Daraus können Abweichungen von der Spezifikation, Chargenrückrufe und im Extremfall ein Produktionsstopp folgen.
- Welche Anforderungen ergeben sich daraus an ein eQMS?
Ein elektronisches Qualitätsmanagementsystem muss die Dokumentenlenkung so abbilden, dass überholte Versionen nicht weiterverwendet werden können. Hinzu kommen ein lückenloser Audit Trail, Part-11-konforme elektronische Signaturen, die Verankerung der ALCOA+-Prinzipien zur Datenintegrität sowie die Validierbarkeit nach anerkannten Ansätzen wie ISPE GAMP®5.
