Konformität mit 21 CFR Part 11: Was tatsächlich erforderlich ist

Wichtigste Erkenntnisse

• Die Konformität mit 21 CFR Part 11 ergibt sich aus den Kontrollen rund um ein System (Validierung, Zugriffskontrollen und Audit-Trails) und nicht aus der Technologie selbst. Kein Produkt ist „von Haus aus“ konform.
• Die Regel lässt sich auf einen Grundgedanken reduzieren: Jede Aktion an einem Datensatz hat einen Namen, einen Zeitstempel und einen Grund – auch ohne Papier.
• Part 11 ist nicht HIPAA. HIPAA regelt den Datenschutz und die Sicherheit von Gesundheitsdaten, während Part 11 die Integrität und Nachvollziehbarkeit von FDA-regulierten Datensätzen und Signaturen regelt. Ein Unternehmen kann die eine Vorschrift erfüllen und die andere nicht.
• Part 11 gilt seit 1997 und bleibt eine zentrale Anforderung für Pharma-, Biotech-, Medizinprodukte- und klinische Organisationen.

‍

Die Konformität mit 21 CFR Part 11 ist keine Eigenschaft einer einzelnen Technologie. Sie besteht aus der Gesamtheit der Kontrollen, die belegen, dass einem elektronischen Datensatz vertraut werden kann: ein validiertes System, Zugriffskontrollen und ein Audit-Trail, der jede Aktion einer namentlich bekannten Person, einem Zeitstempel und einem Grund zuordnet. Die FDA (die US-amerikanische Food and Drug Administration) zertifiziert keine Produkte als Part-11-konform. Die Organisation, die ein System einsetzt, ist für die Schutzmaßnahmen rund um das System verantwortlich. Deshalb können zwei Unternehmen dieselbe Software nutzen und nur eines davon ist konform.

‍

Was ist 21 CFR Part 11?

21 CFR Part 11 ist die FDA-Vorschrift, die festlegt, wie elektronische Datensätze und elektronische Signaturen verwaltet werden müssen – und zwar in FDA-regulierten Branchen wie Pharma, Biotech, Medizinprodukte und klinische Forschung. Als elektronischer Datensatz gelten alle Daten, die in elektronischer Form erstellt, geändert, geführt, archiviert, abgerufen oder übermittelt werden, und eine elektronische Signatur ist das elektronische Äquivalent einer handschriftlichen Unterschrift. Das Ziel lässt sich einfach formulieren: elektronische Datensätze und Signaturen so vertrauenswürdig und nachvollziehbar zu machen wie Papier und Tinte. Die Vorschrift wurde am 20. März 1997 veröffentlicht und trat am 20. August 1997 in Kraft. Fast drei Jahrzehnte später ist sie weiterhin uneingeschränkt gültig. Sie können den Text von 21 CFR Part 11 im eCFR nachlesen.

‍

Was verlangt die Konformität mit 21 CFR Part 11 tatsächlich?

Die Vorschrift besteht aus drei Unterabschnitten, doch die praktischen Anforderungen von 21 CFR Part 11 lassen sich auf eine kurze Checkliste herunterbrechen. Am einfachsten merken Sie sich Folgendes: Jede Aktion hat einen Namen, einen Zeitstempel und einen Grund – auch ohne Papier. Ein Audit-Trail ist das mit Zeitstempeln versehene, einzelnen Benutzern zugeordnete Protokoll jedes Erstellens, Bearbeitens oder Löschens, das dies möglich macht.

‍

‍

Für wen gilt 21 CFR Part 11?

Part 11 gilt für FDA-regulierte Organisationen, die vorgeschriebene Datensätze elektronisch führen oder elektronische Signaturen anstelle handschriftlicher Unterschriften verwenden. Der Geltungsbereich richtet sich nach dem Datensatz, nicht nach der Abteilung: Sobald eine regulierte Organisation ein FDA-reguliertes elektronisches Dokument erstellt, speichert oder übermittelt, fällt das System, das es verarbeitet, in den Geltungsbereich. Das schließt Übertragungssysteme ein. Ein sicherer Online-Faxdienst wie Fax.Plus müsste daher mit Audit-Trails und Zugriffskontrollen betrieben werden, wenn er regulierte Dokumente überträgt. Wie weit die Regelung reicht, beschreibt die FDA in ihrem Leitfaden zu Geltungsbereich und Anwendung.

‍

21 CFR Part 11 und HIPAA: Worin liegt der Unterschied?

Die beiden werden oft verwechselt, dabei ist die Unterscheidung wichtig. HIPAA (der Health Insurance Portability and Accountability Act) schützt die Privatsphäre und Sicherheit geschützter Gesundheitsinformationen (PHI), also der individuell identifizierbaren Gesundheitsdaten, die eine betroffene Einrichtung verarbeitet. 21 CFR Part 11 schützt die Integrität und Nachvollziehbarkeit FDA-regulierter elektronischer Datensätze und Signaturen. Ein gängiges HIPAA-Instrument ist das Business Associate Agreement (BAA), der Vertrag, der es einem Anbieter erlaubt, PHI in Ihrem Auftrag zu verarbeiten. Beide lösen unterschiedliche Probleme, und ein System kann das eine erfüllen, ohne das andere zu erfüllen.

‍

‍

So gehen Sie die Einhaltung von 21 CFR Part 11 an

Betrachten Sie Compliance als eine Reihe von Kontrollen, die Sie nachweisen können, und nicht als ein Etikett, das Sie kaufen. In der Praxis bedeutet das: ein validiertes System mit Anbieterdokumentation, Zugriffskontrollen und eindeutige Benutzerkonten, vollständige Audit-Trails, eindeutige und verifizierte elektronische Signaturen sowie definierte Aufbewahrungsfristen für Datensätze. Wo sich eine Aussage nicht belegen lässt, formulieren Sie sie vorsichtiger, statt sie zu übertreiben, denn Aufsichtsbehörden bewerten, was Sie nachweisen können, nicht was Sie behaupten.

‍

FAQ

‍

Wann ist 21 CFR Part 11 in Kraft getreten?

Die endgültige Regelung wurde 1997 erlassen und trat am 20. August 1997 in Kraft. Sie gilt bis heute und findet weiterhin auf FDA-regulierte elektronische Datensätze und Signaturen Anwendung.

‍

Für wen gilt 21 CFR Part 11?

Sie gilt für FDA-regulierte Organisationen (etwa aus Pharma, Biotechnologie, Medizintechnik und klinischem Betrieb), die vorgeschriebene Datensätze elektronisch erstellen, ändern, führen, archivieren, abrufen oder übermitteln oder die elektronische Signaturen anstelle handschriftlicher Unterschriften verwenden.

‍

Was ist der Zweck von 21 CFR Part 11?

Ihr Zweck ist es, elektronische Datensätze und Signaturen so vertrauenswürdig wie Papier zu machen, sodass man sich darauf verlassen kann, dass ein FDA-regulierter Datensatz korrekt, zuordenbar und manipulationssicher ist.

‍

Ist ein Produkt von Haus aus „21-CFR-Part-11-konform“?

Nein. Compliance ergibt sich aus Kontrollen und daraus, wie ein System validiert und betrieben wird, nicht allein aus dem Produkt. Ein Anbieter kann Part 11 unterstützen, aber die nutzende Organisation ist dafür verantwortlich, die Einhaltung nachzuweisen.

‍

Kann eine elektronische Signatur 21-CFR-Part-11-konform sein?

Eine elektronische Signatur kann Part 11 unterstützen, wenn jede Signatur einer einzigen Person eindeutig zugeordnet ist, die Identität verifiziert wird (häufig mit zwei Faktoren) und die Signatur den Namen der unterzeichnenden Person, Datum und Uhrzeit sowie den Grund der Unterzeichnung festhält. Ob ein bestimmtes Tool diese Anforderungen erfüllt, hängt davon ab, wie es konfiguriert und validiert wird.

‍

Dürfen Sie cloud-Software gemäß 21 CFR Part 11 verwenden?

Ja. cloud-Software kann gemäß Part 11 verwendet werden, wenn das System validiert ist, der Zugriff kontrolliert wird, die Audit-Trails vollständig sind und der Anbieter Dokumentation bereitstellt, die Ihre eigene Validierung unterstützt.