Regulatorische Anforderungen

21 CFR Part 11 und elektronische Signaturen: Anforderungen, Geltungsbereich und Umsetzung

Stand: 5. November 2026

Kurzantwort: 21 CFR Part 11 legt fest, unter welchen Bedingungen die US-amerikanische Food and Drug Administration (FDA) elektronische Aufzeichnungen und elektronische Signaturen als vertrauenswürdig, zuverlässig und Papieraufzeichnungen mit handschriftlicher Unterschrift gleichwertig anerkennt.[1] Die Vorschrift greift nur für Aufzeichnungen, die eine andere FDA-Vorschrift (predicate rule) verlangt oder die der FDA elektronisch vorgelegt werden.[1][2] Konformität ist keine Eigenschaft einer Software: Die FDA zertifiziert keine Systeme, verantwortlich bleibt das regulierte Unternehmen mit seinem validierten System, seinen Verfahren und geschultem Personal.[3]

Was regelt 21 CFR Part 11 und für welche Aufzeichnungen gilt es?

Part 11 ist in drei Unterabschnitte gegliedert: Subpart A (allgemeine Bestimmungen und Definitionen), Subpart B (Electronic Records, §§ 11.10–11.70) und Subpart C (Electronic Signatures, §§ 11.100–11.300).[1] Die Regel wurde am 20. März 1997 veröffentlicht und trat am 20. August 1997 in Kraft.[1]

Entscheidend ist der Bezug zu den predicate rules, also den zugrunde liegenden GxP-Vorschriften wie 21 CFR 211 (GMP), 21 CFR 312 (klinische Prüfungen) oder 21 CFR 58 (GLP). Part 11 gilt für elektronische Records, die nach diesen Vorschriften geführt werden müssen, sowie für Records, die der FDA elektronisch übermittelt werden.[1] Mit der Guidance „Part 11, Electronic Records; Electronic Signatures – Scope and Application“ (August 2003) kündigte die FDA an, Part 11 eng auszulegen.[2] Für die Anforderungen an Validierung, Audit Trail, Aufbewahrung und Kopien von Records übt sie Enforcement Discretion aus, ebenso für Altsysteme, die vor dem 20. August 1997 in Betrieb waren.[2] Die predicate rules selbst und die übrigen Part-11-Anforderungen, etwa Zugriffskontrollen und sämtliche Signaturbestimmungen, setzt die FDA weiterhin durch.[2] Für den europäischen GMP-Kontext ergänzt der info-pharma-Artikel zur Guten Herstellungspraxis (GMP) diese Darstellung.

Welche Anforderungen gelten für elektronische Records?

§ 11.10 verlangt für geschlossene Systeme, also Systeme, deren Zugang von den für die Records Verantwortlichen kontrolliert wird, unter anderem folgende Kontrollen:[1]

  • Validierung zur Sicherstellung von Genauigkeit, Zuverlässigkeit und gleichbleibender Leistung sowie der Fähigkeit, ungültige oder veränderte Records zu erkennen (§ 11.10(a)).
  • Kopien für Inspektionen: genaue und vollständige Kopien in menschenlesbarer und elektronischer Form (§ 11.10(b)).
  • Schutz der Records über die gesamte Aufbewahrungsfrist, sodass sie korrekt und jederzeit abrufbar bleiben (§ 11.10(c)).
  • Zugriffskontrolle auf autorisierte Personen (§ 11.10(d)) sowie Berechtigungs-, Ablauf- und Geräteprüfungen (§ 11.10(f)–(h)).
  • Audit Trail: sicher, computergeneriert und mit Zeitstempel; er protokolliert unabhängig Datum und Uhrzeit von Eingaben und Aktionen, die Records erzeugen, ändern oder löschen. Änderungen dürfen frühere Einträge nicht verdecken, und der Audit Trail ist mindestens so lange aufzubewahren wie der Record (§ 11.10(e)).
  • Schulung, Verantwortlichkeit und Dokumentationslenkung: qualifiziertes Personal, schriftliche Regeln zur persönlichen Verantwortung für signierte Handlungen und Kontrolle der Systemdokumentation (§ 11.10(i)–(k)).

Für offene Systeme, deren Zugang die Verantwortlichen nicht kontrollieren, fordert § 11.30 zusätzliche Maßnahmen wie Verschlüsselung und geeignete Standards für digitale Signaturen.[1]

Welche Anforderungen gelten für elektronische Signaturen?

  • Signaturmanifestation (§ 11.50): Signierte Records zeigen den Namen in Klarschrift, Datum und Uhrzeit sowie die Bedeutung der Signatur (z. B. Prüfung, Freigabe, Verantwortung), auch in Ausdrucken und Bildschirmanzeigen.[1]
  • Verknüpfung Signatur–Record (§ 11.70): Signaturen müssen so mit ihren Records verbunden sein, dass sie nicht mit üblichen Mitteln entfernt, kopiert oder übertragen werden können, um einen Record zu fälschen.[1]
  • Eindeutigkeit (§ 11.100(a), (b)): Jede Signatur gehört genau einer Person und wird nicht wiederverwendet oder neu vergeben; die Identität ist vor der Vergabe zu verifizieren.[1]
  • Certification an die FDA (§ 11.100(c)): Vor oder bei Erstverwendung bestätigt die Organisation der FDA schriftlich, dass ihre elektronischen Signaturen rechtlich bindend wie handschriftliche Unterschriften gelten sollen; die Erklärung wird auf Papier mit handschriftlicher Unterschrift eingereicht.[1]
  • Zwei-Komponenten-Identifikation (§ 11.200(a)): Nicht biometrische Signaturen bestehen aus mindestens zwei unterschiedlichen Komponenten, etwa Benutzerkennung und Passwort. Innerhalb einer durchgehenden Sitzung sind bei der ersten Signatur alle Komponenten erforderlich, danach mindestens eine; außerhalb einer solchen Sitzung bei jeder Signatur alle.[1]
  • Biometrische Signaturen (§ 11.200(b)): Sie müssen so gestaltet sein, dass nur ihr tatsächlicher Inhaber sie verwenden kann.[1]
  • Kontrollen für Kennungen und Passwörter (§ 11.300): Eindeutigkeit der Kombinationen, regelmäßige Überprüfung, Verfahren bei Verlust, Schutz vor unbefugter Nutzung und Meldung von Missbrauchsversuchen.[1]

Wie wird Part 11 in klinischen Studien angewendet?

Für klinische Prüfungen konkretisiert die finale FDA-Guidance „Electronic Systems, Electronic Records, and Electronic Signatures in Clinical Investigations – Questions and Answers“ (Oktober 2024) die Anwendung von Part 11; die Bekanntmachung im Federal Register erfolgte am 2. Oktober 2024.[3][4] Sie richtet sich an Sponsoren, Prüfer, IRBs und CROs und beantwortet 29 Fragen zu elektronischen Records, von regulierten Unternehmen eingesetzten Systemen, IT-Dienstleistern, digitalen Gesundheitstechnologien und elektronischen Signaturen.[3] Zentrale Aussagen sind ein risikobasierter Validierungsansatz, die Verantwortung des regulierten Unternehmens auch bei ausgelagerten IT-Diensten und der Grundsatz, dass die FDA elektronische Systeme und Signaturverfahren nicht zertifiziert.[3] Wie Part 11 im Studienalltag mit dem Trial Master File zusammenwirkt, beschreibt der Artikel TMF und eTMF; den übergeordneten Rahmen erläutert der Artikel zu Good Clinical Practice.

Wie unterscheiden sich Part 11, EU GMP Annex 11 und eIDAS?

EU GMP Annex 11 (Computerised Systems) gilt in seiner Fassung von 2011 seit dem 30. Juni 2011 für alle computergestützten Systeme in GMP-regulierten Tätigkeiten.[5] Annex 11 verlangt Audit Trails auf Basis einer Risikobewertung und legt fest, dass elektronische Signaturen innerhalb des Unternehmens dieselbe Wirkung wie handschriftliche haben, dauerhaft mit dem Record verknüpft sind sowie Datum und Uhrzeit enthalten.[5] Am 7. Juli 2025 veröffentlichten die Europäische Kommission und PIC/S einen Entwurf für einen vollständig überarbeiteten Annex 11, zusammen mit einem neuen Annex 22 (künstliche Intelligenz) und einem revidierten Kapitel 4; die Konsultation endete am 7. Oktober 2025.[6] Mit Stand November 2026 ist die Revision nicht in Kraft; maßgeblich bleibt die Fassung von 2011, der Text von 2025 ist ein Entwurf.[6] Ergänzend beschreiben die PIC/S-Dokumente PI 011 (computergestützte Systeme) und PI 041 (Datenmanagement und Datenintegrität) die Erwartungen der Inspektorate.[9][10]

Die eIDAS-Verordnung (EU) Nr. 910/2014 unterscheidet die einfache, die fortgeschrittene und die qualifizierte elektronische Signatur. Eine fortgeschrittene Signatur ist eindeutig dem Unterzeichner zugeordnet, ermöglicht seine Identifizierung, wird mit Mitteln unter seiner alleinigen Kontrolle erstellt und macht nachträgliche Änderungen erkennbar (Art. 26); nur die qualifizierte Signatur hat die gleiche Rechtswirkung wie eine handschriftliche (Art. 25 Abs. 2).[7] Die Änderungsverordnung (EU) 2024/1183 (eIDAS 2.0) ist am 20. Mai 2024 in Kraft getreten und führt unter anderem die European Digital Identity Wallet ein.[8]

Übersicht: 21 CFR Part 11, EU GMP Annex 11 und eIDAS
Merkmal21 CFR Part 11EU GMP Annex 11eIDAS (VO 910/2014, 2024/1183)
RechtsnaturUS-BundesverordnungGMP-Leitlinie (EudraLex Vol. 4)EU-Verordnung, unmittelbar geltend
GegenstandElektronische Records und Signaturen unter predicate rulesLebenszyklus computergestützter Systeme in GMPElektronische Identifizierung und Vertrauensdienste
SignaturbegriffElektronische Signatur mit Manifestation, Verknüpfung, zwei KomponentenElektronische Signatur mit Wirkung wie handschriftlich im UnternehmenEinfache, fortgeschrittene, qualifizierte Signatur
Audit TrailPflicht (§ 11.10(e)), Enforcement Discretion laut Guidance 2003Auf Basis einer RisikobewertungNicht geregelt
ValidierungPflicht (§ 11.10(a))Pflicht, lebenszyklusbasiertNicht geregelt; Konformitätsbewertung für qualifizierte Dienste
Aktueller StandIn Kraft seit 1997Fassung 2011 in Kraft; Revision als Entwurf (Juli 2025)In Kraft; eIDAS 2.0 seit 20.05.2024

Welche Fehlannahmen und Inspektionsbefunde sind typisch?

  • „Die Software ist Part-11-zertifiziert.“ Die FDA zertifiziert keine elektronischen Systeme; maßgeblich ist der validierte Einsatz beim regulierten Unternehmen.[3]
  • „Part 11 gilt für jedes elektronische Dokument.“ Der Geltungsbereich ist auf Records unter predicate rules und elektronische Einreichungen begrenzt.[1][2]
  • „Enforcement Discretion heißt, ein Audit Trail ist entbehrlich.“ Die predicate rules bleiben voll durchsetzbar, und Annex 11 verlangt Audit Trails auf Basis einer Risikobewertung.[2][5]
  • „Eine qualifizierte elektronische Signatur erfüllt Part 11 automatisch.“ eIDAS regelt die Rechtswirkung der Signatur, nicht Validierung, Audit Trail oder Signaturbedeutung im Sinne von Part 11.[1][7]

In der Praxis zitiert die FDA Datenintegritätsmängel überwiegend unter den predicate rules. Sakara Digital (Amie Harpe, 6. Oktober 2026) hat die 96 Warning Letters des CDER zur Herstellungsqualität ausgewertet, die 2026 ausgestellt und bis 29. September veröffentlicht wurden. Davon betrafen 24 Schreiben die Datenintegrität („one in four“), 8 davon mit Befunden zu Systemzugriff, Audit Trail oder elektronischer Datenaufbewahrung; keines der 24 Schreiben zitierte Part 11 selbst.[11] Im Bioresearch-Monitoring-Programm wurden im Geschäftsjahr 2024 insgesamt 609 Inspektionen bei klinischen Prüfern abschließend klassifiziert, davon 484 als NAI, 110 als VAI und 15 als OAI.[12]

Softwarelösungen für Part-11-konforme elektronische Signaturen

Die folgenden Lösungen sind alphabetisch sortiert und ohne Wertung beschrieben; alle Angaben stammen von den Herstellern.

Cygnature (Cygnet, CFR-Modul): Das CFR-Modul von Cygnature ist laut Hersteller auf 21 CFR Part 11, EU Annex 11 und GAMP 5 ausgelegt.[13] Genannt werden Zugriff ausschließlich für autorisierte Personen, ein computergenerierter Audit Trail mit Zeitstempel, eine Signaturmanifestation mit Name, Datum, Uhrzeit und Grund sowie die Authentifizierung beim Signieren mit Zugangscode und Passwort.[13] Signierte Dokumente werden nach Herstellerangabe zusätzlich blockchainbasiert gegen Manipulation gesichert.[13]

DocuSign (Life Sciences Module): Das Part 11 Module ist laut Hersteller eine Erweiterung von DocuSign eSignature für regulierte Life-Sciences-Prozesse.[14] Es umfasst eine vorkonfigurierte Kontoeinrichtung, Authentifizierung auf Signaturebene, einen Signaturgrund, eine Signaturmanifestation mit Name, Zeitstempel und Grund, einen detaillierten Audit Trail und eine manipulationsevidente digitale Signatur.[14] Der Hersteller beschreibt das Modul als Bestandteil einer offenen Systemlösung im Sinne von Part 11.[15]

Docuply: Docuply ist ein eQMS eines Anbieters aus Mannheim, dessen elektronische Signatur laut Hersteller auf 21 CFR Part 11 und EU GMP Annex 11 ausgelegt ist.[16] Der Hersteller nennt einen Audit Trail mit verketteten Einträgen sowie eine kontinuierliche Vorvalidierung mit enthaltener IQ/OQ-Dokumentation und einer PQ/UAT-Vorlage.[16] Das Hosting erfolgt nach Herstellerangabe in der EU (Deutschland).[16]

Hinweis: Part-11-Konformität hängt vom validierten Einsatz beim Anwender ab, nicht vom Werkzeug allein. Intended-Use-Bewertung, Validierung im eigenen Prozess, SOPs, Schulung, Benutzerverwaltung und die Certification nach § 11.100(c) verbleiben beim regulierten Unternehmen.[1][3]

Häufige Fragen (FAQ)

Ist jede elektronische Signatur Part-11-konform?

Nein. Eine Signatur erfüllt Part 11 nur, wenn Manifestation, Verknüpfung mit dem Record, Eindeutigkeit, Identitätsprüfung, die Anforderungen an Identifikationskomponenten und die Certification an die FDA erfüllt sind und das System validiert betrieben wird.[1]

Gilt Part 11 auch für europäische Unternehmen?

Ja, sofern sie Records führen oder einreichen, die unter FDA-Vorschriften fallen, etwa als Hersteller für den US-Markt oder als Sponsor oder Prüfstelle einer Studie unter einem IND.[1][3]

Was ist der Unterschied zwischen Part 11 und Annex 11?

Part 11 ist eine US-Verordnung für elektronische Records und Signaturen unter predicate rules; Annex 11 ist eine EU-GMP-Leitlinie für den gesamten Lebenszyklus computergestützter Systeme, deren Revision derzeit als Entwurf vorliegt.[1][5][6]

Braucht eine Part-11-Signatur eine Zwei-Faktor-Authentifizierung?

Part 11 verlangt für nicht biometrische Signaturen mindestens zwei unterschiedliche Identifikationskomponenten, etwa Benutzerkennung und Passwort; eine Zwei-Faktor-Authentifizierung im heutigen Sinn schreibt die Verordnung nicht ausdrücklich vor.[1] Der Entwurf des revidierten Annex 11 sieht dagegen eine Multi-Faktor-Authentifizierung für den Fernzugriff vor.[6]

Weiterführende Artikel

Literaturverzeichnis

  1. 21 CFR Part 11 – Electronic Records; Electronic Signatures. eCFR. https://www.ecfr.gov/current/title-21/chapter-I/subchapter-A/part-11 (abgerufen am 05.11.2026)
  2. FDA. Guidance for Industry: Part 11, Electronic Records; Electronic Signatures – Scope and Application. August 2003. https://www.fda.gov/regulatory-information/search-fda-guidance-documents/part-11-electronic-records-electronic-signatures-scope-and-application (abgerufen am 05.11.2026)
  3. FDA. Electronic Systems, Electronic Records, and Electronic Signatures in Clinical Investigations: Questions and Answers. Guidance for Industry, Oktober 2024. https://www.fda.gov/media/166215/download (abgerufen am 05.11.2026)
  4. Federal Register. Notice of Availability, Dokument 2024-22562, 2. Oktober 2024. https://www.federalregister.gov/documents/2024/10/02/2024-22562/electronic-systems-electronic-records-and-electronic-signatures-in-clinical-investigations-questions (abgerufen am 05.11.2026)
  5. Europäische Kommission. EudraLex Volume 4, Annex 11: Computerised Systems (2011). https://health.ec.europa.eu/system/files/2016-11/annex11_01-2011_en_0.pdf (abgerufen am 05.11.2026)
  6. Europäische Kommission. EudraLex Volume 4 – Good Manufacturing Practice Guidelines (inkl. Konsultation zum Entwurf von Annex 11, Annex 22 und Kapitel 4, Juli 2025). https://health.ec.europa.eu/medicinal-products/eudralex/eudralex-volume-4_en (abgerufen am 05.11.2026)
  7. Verordnung (EU) Nr. 910/2014 (eIDAS). https://eur-lex.europa.eu/eli/reg/2014/910/oj (abgerufen am 05.11.2026)
  8. Verordnung (EU) 2024/1183 zur Änderung der Verordnung (EU) Nr. 910/2014. https://eur-lex.europa.eu/eli/reg/2024/1183/oj (abgerufen am 05.11.2026)
  9. PIC/S. PI 011-3: Good Practices for Computerised Systems in Regulated „GxP“ Environments. https://picscheme.org/en/publications (abgerufen am 05.11.2026)
  10. PIC/S. PI 041-1: Good Practices for Data Management and Integrity in Regulated GMP/GDP Environments. https://picscheme.org/en/publications (abgerufen am 05.11.2026)
  11. Harpe A. Data Integrity Warning Letters in 2026: The Patterns Behind the Numbers. Sakara Digital, 6. Oktober 2026. https://sakaradigital.com/blog/data-integrity-warning-letters-2026-patterns/ (abgerufen am 05.11.2026)
  12. FDA. Bioresearch Monitoring (BIMO) Fiscal Year 2024 Metrics. https://www.fda.gov/media/192870/download (abgerufen am 05.11.2026)
  13. Cygnet.One. Cygnature’s 21 CFR – How to stay compliant with 21 CFR part 11 regulation? https://www.cygnature.io/blog/cygnatures-21-cfr-how-to-stay-compliant-with-21-cfr-part-11-regulation/ (abgerufen am 05.11.2026)
  14. Docusign. Docusign Part 11 Module Overview. https://support.docusign.com/s/document-item?bundleId=tja1628891649386&topicId=jku1583277398949.html (abgerufen am 05.11.2026)
  15. Docusign. Contract Management and eSignature for Life Sciences. https://www.docusign.com/solutions/industries/life-sciences (abgerufen am 05.11.2026)
  16. Docuply. 21 CFR Part 11 Electronic Signatures: Compliance-Guide und Anbietervergleich 2026. https://docuply.io/21-cfr-part-11-electronic-signatures-guide/ (abgerufen am 05.11.2026)