Archivierung im Bereich der Biowissenschaften: Ein Überblick über GxP, FDA, EMA, EHDS und NIS2

Unternehmen im Bereich der Biowissenschaften haben keine Schwierigkeiten, weil ihnen Aufzeichnungen fehlen. Sie haben Schwierigkeiten, weil sie nachweisen müssen, dass diese Aufzeichnungen auch Jahre später noch vertrauenswürdig sind – trotz Audits, Inspektionen, Datenaustausch mit Partnern, Systemmigrationen und Sicherheitsvorfällen.

Diese Herausforderung wird immer schwieriger, nicht einfacher.

Jahrelang drehten sich die Diskussionen im Wesentlichen um GxP-Kontrollen, FDA 21 CFR Part 11, Anhang 11 sowie die Erwartungen der EMA hinsichtlich Datenintegrität und computergestützter Systeme. Diese Grundlagen sind nach wie vor von Bedeutung. Sie geben jedoch nicht mehr das vollständige Risikobild wieder. Neue europäische Rahmenwerke wie der European Health Data Space (EHDS) und NIS2 legen die Messlatte in Bezug auf Daten-Governance, Datenzugriff, Verfügbarkeit, Ausfallsicherheit und Cybersicherheit höher. Gleichzeitig hat die künstliche Intelligenz (KI) die digitale Fälschung erheblich erleichtert.

Diese Kombination setzt neue Maßstäbe für die Archivierung im Bereich der Biowissenschaften. Es reicht nicht mehr aus, Unterlagen lediglich für die vorgeschriebene Aufbewahrungsfrist zu speichern. Sie müssen deren Beweiskraft gewährleisten.

Warum die Archivierung im Bereich der Biowissenschaften mittlerweile ein schwierigeres Problem darstellt

In regulierten Umgebungen ist eine Aufzeichnung selten nur eine einfache Datei. Sie ist eine Kombination aus Inhalt, Kontext, Metadaten, Zeitstempeln, Beziehungen, Genehmigungen, Herkunftsnachweis und systemgenerierten Nachweisen. Klinische, fertigungstechnische, qualitätsbezogene, labortechnische und Pharmakovigilanz-Prozesse sind alle darauf angewiesen, nicht nur nachweisen zu können, was in einem Datensatz steht, sondern auch, warum dieser nach wie vor vertrauenswürdig ist.

Genau an dieser Stelle scheitern viele Archivierungsansätze.

Das Dokument kann in einem herkömmlichen Archiv, auf einer ECM-Plattform, in einem Backup-Repository oder in einem Dateispeicher aufbewahrt werden. Dadurch bleiben die Nachweise rund um das Dokument jedoch nicht automatisch erhalten. Wenn der Kontext verloren geht, die Prüfpfade unvollständig sind, die Metadaten fragmentiert sind oder die Integritätsprüfungen unzureichend sind, verfügt das Unternehmen zwar weiterhin über die Datei, verliert jedoch die Möglichkeit, diese zu verteidigen.

In Biowissenschaften, diese Lücke ist von Bedeutung, da Unterlagen oft zehn, fünfzehn oder fünfundzwanzig Jahre lang – manchmal sogar länger – nutzbar und glaubwürdig bleiben müssen. Die Systeme, mit denen sie erstellt wurden, werden sich ändern. Anbieter werden vom Markt verschwinden. Formate werden sich weiterentwickeln. Cyberbedrohungen werden zunehmen. Mitarbeiter werden das Unternehmen verlassen. Das Archiv muss dennoch bestehen bleiben.

Das Netz der Vorschriften: Was sich durch die einzelnen Rahmenwerke ändert

GxP bildet weiterhin die operative Grundlage

GxP ist nach wie vor die zentrale Disziplin für regulierte Aufzeichnungen in den Biowissenschaften. Unabhängig davon, ob es sich um GMP, GCP, GLP oder damit verbundene Qualitätsprozesse handelt, gelten stets dieselben grundlegenden Anforderungen: Aufzeichnungen müssen rückverfolgbar, lesbar, zeitnah, im Original, korrekt, vollständig, konsistent, dauerhaft und verfügbar sein.

Das bedeutet, dass die Archivierung nicht als reiner Speichervorgang betrachtet werden darf. Sie muss die langfristige Integrität, eine kontrollierte Aufbewahrungsdauer, einen nachvollziehbaren Zugriff sowie die Bereitschaft zur Überprüfung gewährleisten.

FDA 21 CFR Teil 11 legt den Schwerpunkt auf vertrauenswürdige elektronische Aufzeichnungen

FDA 21 CFR Teil 11 spielt nach wie vor eine zentrale Rolle, wo immer elektronische Unterlagen und elektronische Signaturen sind Teil regulierter Prozesse. Dies veranlasst Organisationen dazu, über die reine Aufbewahrung von Dokumenten hinauszudenken und sich mit Kontrollmaßnahmen in Bezug auf Authentizität, Prüfpfade, Benutzeraktionen, den Schutz von Unterlagen und deren zuverlässige Reproduktion zu befassen.

Für die Archivierung ergibt sich daraus eine einfache praktische Konsequenz: Wenn auf eine Akte auch noch Jahre später zurückgegriffen werden muss, muss das Archiv mehr als nur die sichtbare Akte selbst aufbewahren. Es muss auch die Begleitunterlagen aufbewahren, die das Vertrauen in diese Akte untermauern.

Die Anforderungen der EMA und der EU an die Datenintegrität erhöhen den Druck hinsichtlich der Nachvollziehbarkeit

EMA Die Erwartungen an computergestützte Systeme und die Datenintegrität gehen ebenfalls in diese Richtung. Die Aufsichtsbehörden legen zunehmend Wert auf Rückverfolgbarkeit, Prüfpfade, Metadaten und die Kontrolle des Lebenszyklus – nicht nur auf die Endergebnisse. Sie möchten die Gewissheit haben, dass die Daten während ihres gesamten Lebenszyklus zuverlässig geblieben sind.

Dies ist von Bedeutung, da Organisationen häufig erst bei der Archivierung feststellen, dass sie zwar die Inhalte aufbewahrt, jedoch nicht genügend Informationen zum betrieblichen Kontext gesichert haben. Kann das Archiv die Herkunft, die Integritätshistorie und die Belege nicht auf klare Weise rekonstruieren, steigt der Erklärungsaufwand bei einer Überprüfung erheblich an.

EHDS legt einen stärkeren Fokus auf Datenverwaltung und Datenzugänglichkeit

Die Europäischer Gesundheitsdatenraum Es handelt sich dabei nicht um eine Archivierungsvorschrift im engeren Sinne. Dennoch ist sie für die Archivierung im Bereich der Lebenswissenschaften von Bedeutung, da sie Erwartungen hinsichtlich der Verwaltung, des Zugangs, des Austauschs und der Wiederverwendung elektronischer Gesundheitsdaten innerhalb eines europäischen Rahmens weckt.

Dies hat unmittelbare Auswirkungen auf die Archivierungsstrategie.

Wenn gesundheitsbezogene Aufzeichnungen und Datensätze über einen längeren Zeitraum hinweg nutzbar, geregelt und gemeinsam nutzbar bleiben sollen, muss das Archiv die Struktur, die Qualität der Metadaten, die Zugriffskontrollen und die Auffindbarkeit gewährleisten. Ein Repository, das lediglich Dateien ohne ausreichenden Kontext speichert, wird zu einem Engpass. Je mehr grenzüberschreitende Datennutzung, strukturierter Datenaustausch und langfristige Verwaltung an Bedeutung gewinnen, desto deutlicher treten die Schwächen eines mangelhaften Archivierungskonzepts zutage.

NIS2 wirft zudem Probleme hinsichtlich der Ausfallsicherheit und der Verfügbarkeit bei der Archivierung auf

NIS2 Es handelt sich ebenfalls nicht um ein speziell auf die Archivierung ausgerichtetes Rahmenwerk, doch es verändert das Umfeld, in dem die Archivierung stattfindet. Es weckt Erwartungen hinsichtlich des Managements von Cybersicherheitsrisiken, der betrieblichen Widerstandsfähigkeit, des Vorfallmanagements, der Risiken in der Lieferkette sowie der Verfügbarkeit für betroffene Einrichtungen, darunter auch Teile des Gesundheits- und Pharmasektors.

Das ist von Bedeutung, da ein Archiv keinen Nutzen hat, wenn es zwar theoretisch intakt ist, aber bei Bedarf nicht verfügbar ist, schwer wiederherstellbar ist oder zu eng mit anfälligen Altplattformen verknüpft ist.

Mit anderen Worten: Verfügbarkeit, Wiederherstellbarkeit, Trennung sowie nachvollziehbare Betriebskontrollen sind mittlerweile Teil der Diskussion um die Archivierung. Bei der Archivierung geht es nicht mehr nur um die Aufbewahrung, sondern auch um die Widerstandsfähigkeit unter Druck.

Warum KI die Spielregeln verändert

An dieser Stelle gewinnt die Diskussion deutlich an Dringlichkeit.

Künstliche Intelligenz erleichtert es, überzeugende Dokumente zu fälschen, Bilder zu verändern, Aufzeichnungen umzuschreiben, plausible Begleitinhalte zu generieren und Manipulationen auf eine Weise zu verschleiern, die vor einigen Jahren noch weitaus schwieriger gewesen wäre. Dies stellt nicht nur ein Sicherheitsproblem dar, sondern auch ein Beweisproblem.

Wenn Manipulation kostengünstig und in großem Maßstab durchführbar wird, bricht das auf dem äußeren Anschein beruhende Vertrauen zusammen. Ein Datensatz, der lediglich den Anschein erweckt, korrekt zu sein, reicht nicht aus.

Aus diesem Grund benötigen Unternehmen im Bereich der Biowissenschaften zuverlässigere Modelle zur Datenaufbewahrung. Sie benötigen Möglichkeiten, um nachzuweisen, dass eine Aufzeichnung im Laufe der Zeit unverändert geblieben ist, dass ihre Herkunft nachvollziehbar ist, dass Änderungen erkennbar sind und dass der Nachweis nicht ausschließlich vom Vertrauen in die zugehörigen Anwendungssysteme abhängt.

Die praktische Frage lautet nicht mehr: “Verfügen wir noch über die Akte?”, sondern: “Können wir diese Unterlagen auch bei genauer Prüfung noch verteidigen – selbst in einer Welt, in der Fälschungen leicht möglich sind?”

Warum herkömmliche ECM- und Backup-Ansätze nicht ausreichen

Viele Unternehmen setzen nach wie vor auf eine Kombination aus ECM-Repositorien, Kollaborationsplattformen, Backups, WORM-Speicherlösungen oder anwendungsinternen Aufbewahrungsfunktionen. Diese Tools können zwar alle eine Rolle spielen, reichen jedoch für sich genommen in der Regel nicht aus.

Der Grund dafür ist ganz einfach.

• Aufbewahrung ist nicht gleichbedeutend mit Konservierung.
• Unveränderlichkeit ist nicht dasselbe wie Beweisvollständigkeit.
• Der Begriff „Beibehaltung“ ist nicht gleichbedeutend mit „langfristiger Verteidigungsfähigkeit“.
• Systemsicherheit ist nicht dasselbe wie ein unabhängiger Nachweis.

Ein typischer Schwachpunkt besteht darin, dass das Vertrauen innerhalb des Systems gefangen bleibt. Um den Aufzeichnungen Glauben zu schenken, müssen Sie zunächst dem gesamten Umfeld vertrauen, in dem sie entstehen: der Anwendung, dem Berechtigungsmodell, den Protokollen, den Integrationen, den Administrationskontrollen und der Betriebshistorie. Dies führt zu Reibungsverlusten bei Audits, Untersuchungen, der Weitergabe an Partner und der Stilllegung des Systems.

Aufsichtsbehörden, Wirtschaftsprüfer und externe Prüfer möchten nicht jedes Mal, wenn sie sich von der Richtigkeit eines Datensatzes überzeugen müssen, den gesamten historischen IT-Stack überprüfen. Mit der Zeit wird dies zu kostspielig, zu anfällig und zu stark vom institutionellen Gedächtnis abhängig.

Was ein tragfähiges Archivierungsmodell für die Biowissenschaften beinhalten sollte

Ein umfassenderer Archivierungsansatz für die Biowissenschaften vereint in der Regel mehrere Funktionen:

• Aufbewahrung des Dokuments zusammen mit seinen Metadaten und seinem geschäftlichen Kontext
• dauerhafte Integritätsmechanismen, die Manipulationen im Laufe der Zeit nachweisbar machen
• zuverlässige Herkunftsnachweise und Prüfungsnachweise
• kontrollierte Aufbewahrung und kontrollierter Zugriff
• Exportierbarkeit zur Überprüfung durch vertrauenswürdige Dritte
• Ausfallsicherheit, unabhängig von der ursprünglichen Quellanwendung
• Unterstützung bei der Validierung und der Vorbereitung auf Inspektionen in regulierten Umgebungen

Das ist der eigentliche Wandel. Das Archiv muss zu einer Vertrauensschicht werden und darf nicht nur ein Speicherendpunkt sein.

Was dies in der Praxis bedeutet

Für viele Organisationen liegen die größten Risiken im Bereich der Archivierung in vier Bereichen.

1. Stilllegung von Altsystemen

Wichtige Unterlagen bleiben häufig in veralteten LIMS-, QMS-, DMS-, eTMF-, ERP- oder maßgeschneiderten Labor- und Fertigungssystemen eingeschlossen. Diese Systeme allein zum Zweck der Aufrechterhaltung des Zugriffs auf historische Daten am Laufen zu halten, ist kostspielig und riskant.

Eine tragfähige Archivierungsstrategie sollte es ermöglichen, diese Datensätze zu extrahieren, zusammen mit ihrem Kontext zu bewahren und für die langfristige Nutzung zu validieren, ohne dabei dauerhaft von der ursprünglichen Anwendung abhängig zu sein.

2. Aufbewahrung von Prüfpfaden und Metadaten

Werden lediglich die sichtbaren Unterlagen aufbewahrt und die Metadaten oder der Prüfungskontext vernachlässigt, sinkt der Beweiswert. Archive müssen die begleitenden Belege aufbewahren, nicht nur den Inhalt des Dokuments.

3. Vertrauen in Dritte

Unternehmen im Bereich der Biowissenschaften müssen häufig Unterlagen an Aufsichtsbehörden, Wirtschaftsprüfer, Partner, Auftragsforschungsinstitute (CROs) oder Käufer weitergeben. Dieser Austausch wird wesentlich vereinfacht, wenn das Archiv Unterlagen zusammen mit den Nachweisen exportieren kann, die zur Überprüfung der Integrität und Herkunft erforderlich sind.

4. Gewährleistung der Integrität im Zeitalter der KI

Angesichts des steigenden Fälschungsrisikos benötigen Archive wirksamere Mechanismen, um nachzuweisen, dass ein Dokument im Laufe der Zeit nicht unbemerkt verändert wurde. Hier gewinnen kryptografische Integritätsprüfungen, Nachweisdokumente und überprüfbare Aufbewahrung strategische Bedeutung.

Wo Docbyte zum Einsatz kommt

Docbyte unterstützt Unternehmen dabei, von einer passiven Aufbewahrung zu einer kontrollierten, nachvollziehbaren, Langzeitkonservierung.

Für den Bereich der Biowissenschaften bedeutet dies, zur Aufbewahrung regulierter Unterlagen in einer Weise beizutragen, die Integrität, Verfügbarkeit, Nachvollziehbarkeit und eine vertrauenswürdige externe Überprüfung gewährleistet und gleichzeitig die Abhängigkeit von veralteten Quellsystemen verringert. Es bedeutet zudem, eine besser begründbare Reaktion auf eine Welt zu ermöglichen, in der Cybersicherheitsrisiken, grenzüberschreitende Datenverwaltung und KI-gestützte Fälschungen den Druck auf das Archiv erhöhen.

Wenn Ihr derzeitiger Ansatz darauf beruht, zu sagen: “Vertrauen Sie dem System”, verliert dieses Modell zunehmend an Wirksamkeit.

Das überzeugendere Modell lautet wie folgt: Bewahren Sie die Aufzeichnung auf, bewahren Sie den Kontext auf, bewahren Sie die Beweise auf.

Abschließender Gedanke

Die Archivierung im Bereich der Biowissenschaften wurde früher vor allem als Aufbewahrungs- und Compliance-Verpflichtung betrachtet. Diese Sichtweise ist mittlerweile zu eng gefasst.

Heute befindet sich das Thema an der Schnittstelle zwischen GxP-Vorgaben, Kontrollen elektronischer Aufzeichnungen, Anforderungen an die Datenintegrität, der Governance von Gesundheitsdaten, Cyberresilienz und der Vertrauenswürdigkeit von Nachweisen. EHDS und NIS2 ersetzen nicht die Anforderungen von GxP, der FDA oder der EMA. Sie erfordern zusätzliche Anstrengungen in den Bereichen Governance, Zugriff, Resilienz und Verfügbarkeit. Künstliche Intelligenz (KI) erhöht zudem die Kosten für unzureichende Nachweise noch weiter.

Deshalb lautet die richtige Frage nicht mehr, ob Ihre Unterlagen aufbewahrt werden, sondern ob sie noch vertretbar sind.