21 CFR Part 11 ist eine US-Vorschrift über elektronische Aufzeichnungen und elektronische Signaturen. Sie legt die Kriterien fest, unter denen die FDA solche Aufzeichnungen und Signaturen unter bestimmten Umständen als gleichwertig zu papierbasierten Aufzeichnungen und handschriftlichen Unterschriften anerkennt. Ihr Anwendungsbereich knüpft an die zugrunde liegenden gesetzlichen und regulatorischen Aufzeichnungspflichten an.
Geltungsbereich neben den zugrunde liegenden Regeln
Part 11 gilt für elektronische Aufzeichnungen, die nach FDA-Vorschriften erstellt, geändert, aufbewahrt, archiviert, abgerufen oder übermittelt werden. Die FDA bezeichnet die außerhalb von Part 11 liegenden Pflichten aus Gesetzen und sonstigen FDA-Regeln als „predicate rules“. Part 11 schafft daher nicht erst die Pflicht, einen bestimmten Prüfbericht oder Datensatz aufzubewahren, sondern regelt die Voraussetzungen für dessen elektronische Führung und Signatur.
Die FDA-Guidance zur Anwendung erläutert, dass ihre Auslegung alle FDA-Programmbereiche betrifft. Elektronische Aufzeichnungen können auch dann in den Bereich fallen, wenn sie zusätzlich zu Papier geführt und zur Ausführung regulierter Tätigkeiten herangezogen werden. Ob ein konkretes klinisches System unter Part 11 fällt, hängt folglich von Funktion, Aufzeichnungspflicht und tatsächlicher Nutzung ab, nicht allein vom Produktnamen der Software.
Kontrollen geschlossener Systeme
Für geschlossene Systeme verlangt 21 CFR 11.10 unter anderem Verfahren und Kontrollen, die die Authentizität, Integrität und gegebenenfalls Vertraulichkeit elektronischer Aufzeichnungen sicherstellen. Dazu gehört die Validierung von Systemen, um Genauigkeit, Zuverlässigkeit, vorhersehbare Leistung und die Fähigkeit zur Erkennung ungültiger oder veränderter Aufzeichnungen zu gewährleisten. Die Vorschrift verbindet technische Kontrollen mit dokumentierten Verfahren und Rollen.
Besonders prägend ist der sichere, computergenerierte und zeitgestempelte Audit Trail. Er muss unabhängig aufzeichnen, wann Bedienhandlungen zur Erstellung, Änderung oder Löschung erfolgten, und darf frühere Informationen nicht verdecken. Die Aufbewahrung des Trails muss mindestens so lange erfolgen wie die zugehörige elektronische Aufzeichnung. Zusätzlich sind unter anderem Zugriffsbeschränkungen, Schulung und Kontrollen über Systemdokumentation vorgesehen.
Abgrenzung zu Audit Trail und Systemvalidierung
21 CFR Part 11 ist eine Vorschrift, kein Validierungsprojekt und keine einzelne Softwarefunktion. Ein Audit Trail ist eine der in einem System umzusetzenden Kontrollen, sofern die konkreten Anforderungen greifen. Computerized System Validation ist der Prozess, mit dem die Eignung eines Systems für seinen Zweck belegt wird; Part 11 benennt hingegen den regulatorischen Rahmen, an dem sich bestimmte Erwartungen für elektronische Aufzeichnungen orientieren.
Ein vorhandener Audit Trail bedeutet deshalb nicht automatisch Part-11-Konformität. Ebenso kann ein Validierungsnachweis unzureichend sein, wenn der Trail nicht unabhängig, zeitgestempelt oder ausreichend lange verfügbar ist. Die Beurteilung muss alle einschlägigen Kontrollen und die zugrunde liegenden Aufzeichnungspflichten einbeziehen.
Elektronische Signaturen haben einen eigenen Regelungsbereich innerhalb von Part 11. Die Vorschrift behandelt unter anderem die Verbindung der Signatur mit der zugehörigen Aufzeichnung sowie Kontrollen zur eindeutigen Identifikation. In einem Studienprozess kann dies etwa die elektronische Bestätigung einer Prüfung, Freigabe oder Genehmigung betreffen. Die Systemkonfiguration muss deshalb zwischen einer bloßen Benutzeraktion und einer rechts- oder qualitätsrelevanten Signatur unterscheiden, statt jede Schaltfläche als gleichwertigen Nachweis zu behandeln.
Für global geführte Studien ist zudem wichtig, dass Part 11 nicht als allgemeiner Ersatz für europäische oder nationale Anforderungen verstanden wird. Ein System kann auf einen FDA-relevanten Einsatz vorbereitet sein und dennoch zusätzliche Datenschutz-, GCP- oder Archivierungspflichten erfüllen müssen. Die einschlägigen Regelwerke sollten nach Datenfluss und Einreichungsregion getrennt bewertet werden.
Bedeutung für klinische Studien
Für Studien mit US-Einreichungsbezug betrifft Part 11 häufig EDC, ePRO, eTMF, elektronische Signaturen und Systeme, die regulatorisch verlangte Informationen verwalten. Bereits bei der Systemauswahl sollte geklärt werden, welche Aufzeichnungen elektronisch geführt werden, welche Signaturhandlungen vorgesehen sind und wie Audit Trails für Datenänderungen sowie Benutzerrechte nachgewiesen werden. Spätere Nachbesserungen an Authentifizierung oder Archivierung können erheblichen Revalidierungsaufwand auslösen.
Full-Service-CROs wie Mediconomics unterstützen bei der Part-11-bezogenen Systembewertung, bei Benutzeranforderungen für Audit Trails und elektronische Signaturen sowie bei der Zusammenstellung von Validierungs- und Lieferantennachweisen. Sie können den Datenfluss zwischen Prüfzentrum, EDC und eTMF prüfen, rollenbasierte Zugriffe dokumentieren und die für einen US-Studienbetrieb relevanten Nachweise mit Qualitätsmanagement und Regulatory Affairs abstimmen.
Häufig gestellte Fragen (FAQ)
Gilt 21 CFR Part 11 automatisch für jedes elektronische Studienwerkzeug?
Nein. Maßgeblich ist unter anderem, ob damit Aufzeichnungen geführt oder übermittelt werden, die nach den zugrunde liegenden FDA-Anforderungen erforderlich sind, und wie das System in der regulierten Tätigkeit verwendet wird.
Was bedeutet „geschlossenes System“ in diesem Zusammenhang?
Part 11 unterscheidet Systeme, bei denen die für den Inhalt der elektronischen Aufzeichnungen verantwortlichen Personen den Zugang kontrollieren, von offenen Systemen. Für geschlossene Systeme nennt § 11.10 konkrete Kontrollen.
Ersetzt Part 11 die Anforderungen aus ICH E6(R3)?
Nein. Part 11 ist ein US-Regelwerk für elektronische Aufzeichnungen und Signaturen. ICH E6(R3) regelt Good Clinical Practice und Daten-Governance in klinischen Prüfungen aus einer anderen Perspektive.
Regulatorische Referenzen
- 21 CFR Part 11, Electronic Records; Electronic Signatures – enthält die US-Anforderungen an elektronische Aufzeichnungen und Signaturen.
- FDA, Part 11 Scope and Application – erläutert den Bezug zu den zugrunde liegenden Aufzeichnungspflichten.
- FDA Study Data Technical Conformance Guide – beschreibt technische Erwartungen für standardisierte elektronische Studiendaten bei CDER und CBER.