Im September 2025 (und erneut im Februar 2026) hat die FDA ihre Leitlinien zur „Computer Software Assurance“ (CSA) endgültig verabschiedet und damit einen risikobasierten Ansatz für die Validierung von Software, die in Produktions- und Qualitätssystemen eingesetzt wird, bekräftigt. Für Unternehmen, die sich nach wie vor auf traditionelle Verfahren der Computersystemvalidierung (CSV) stützen, bieten die Leitlinien mehr regulatorische Klarheit hinsichtlich der Anwendung risikobasierter Qualitätssicherung in modernen Softwareumgebungen.
Viele der Grundsätze, auf denen CSA basiert, sind nicht neu. Was sich jedoch ändert, ist die Art und Weise, wie Organisationen diese Grundsätze anwenden, da sich Technologien, Softwareplattformen und regulatorische Anforderungen ständig weiterentwickeln.
Dieser Artikel ist der erste Teil einer vierteiligen Serie, die sich mit der Entwicklung der Software-Sicherung in der Life-Sciences-Branche befasst. Wir werden die regulatorischen Triebkräfte hinter CSA, häufige Herausforderungen bei der Umsetzung, die organisatorische Bereitschaft sowie die Rolle untersuchen, die neue Technologien wie KI in der modernen Software-Sicherung spielen können.
Ganz gleich, ob Sie sich zum ersten Mal mit CSA befassen oder ein bestehendes Validierungsprogramm optimieren möchten – diese Reihe soll Ihnen praktische Einblicke in die Entwicklung eines nachhaltigen, risikobasierten Ansatzes für die Software-Sicherung vermitteln.
Warum das herkömmliche CSV-Format neu bewertet wird
Die Computersystemvalidierung (CSV) war bislang das Standardverfahren für Life-Sciences-Unternehmen, die GxP-Software einsetzen. Jedes System – vom einfachen elektronischen Logbuch bis hin zu einem umfassenden Manufacturing-Execution-System – durchlief in der Regel denselben starren Lebenszyklus.
Dieser Lebenszyklus erforderte umfangreiche Dokumentation, festgelegte Testfälle für jede Funktion – unabhängig vom Risiko – sowie Berge von unterschriebenen Belegen in Papierform. Die Validierung entwickelte sich in vielen Unternehmen zu einem der teuersten, zeitaufwendigsten und veränderungsresistentesten Prozesse.
Die Absicht hinter CSV war schon immer gut. Die Gewissheit, dass Software wie vorgesehen funktioniert, ist für die Patientensicherheit, die Produktqualität und die Einhaltung gesetzlicher Vorschriften von entscheidender Bedeutung.
Im Laufe der Zeit stellten viele Unternehmen fest, dass der Aufwand für die Validierung nicht mehr im Verhältnis zum Systemrisiko stand. Im Rahmen des klassischen CSV wurde für eine interne Nachverfolgungs-Tabelle mit geringem Risiko oft fast derselbe Dokumentationsaufwand betrieben wie für ein System, das einen kritischen Fertigungsschritt direkt steuerte. Die Teams verbrachten den Großteil ihrer Zeit damit, Unterlagen zu erstellen, um *nachzuweisen*, dass Tests durchgeführt wurden, anstatt tatsächlich die Tests *durchzuführen*, auf die es ankam.
Die seit 2011 vom CDRH geleitete FDA-Initiative „Case for Quality“ hat viele dieser Herausforderungen ebenfalls identifiziert: übermäßiger Dokumentationsaufwand, doppelte Herstellerprüfungen und eine Validierungskultur, die Unternehmen davon abhielt, neuere, sicherere und effizientere Technologien einzuführen – einfach weil deren Validierung auf dem Papier kostspielig erschien.
Die rechtlichen Grundlagen von CSA
CSA ersetzt die Validierungsanforderungen nicht. Es bietet einen risikobasierten Rahmen zur Erfüllung dieser Anforderungen.
Es lohnt sich, die rechtlichen Rahmenbedingungen zu verstehen, auf denen dies basiert:
21 CFR Teil 820
21 CFR Teil 820 legt die Qualitätssystemverordnung (QSR) der FDA für Hersteller von Medizinprodukten fest. Ab dem 2. Februar 2026 wirddie geänderte Verordnungstärker an die Norm ISO 13485:2016 angeglichen, indem die internationale Norm für die meisten Anforderungen durch Verweis einbezogen wird.
Allgemeine Grundsätze der Softwarevalidierung (GPSV)
Die im Januar 2002 veröffentlichten„General Principles of Software Validation“(GPSV)der FDAbieten grundlegende Leitlinien zu den Prinzipien der Softwarevalidierung. Sie konzentrierten sich in erster Linie auf in Medizinprodukte integrierte Software und behandelten nur in begrenztem Umfang die interne, nicht produktbezogene Software (Qualitätssysteme, Produktionswerkzeuge, Dokumentenmanagement usw.), auf die viele Organisationen heute zurückgreifen.
Leitfaden der FDA zur Qualitätssicherung bei Computersoftware
Die CSA-Leitlinien der FDA, die ursprünglich im September 2022 als Leitlinienentwurf veröffentlicht und am 24. September 2025 endgültig verabschiedet wurden (im Februar 2026 erneut aktualisiert), ersetzen direkt Abschnitt 6 des GPSV. Sie bieten Herstellern einen formellen, risikobasierten Rahmen für die Sicherung der in Produktions- und Qualitätsmanagementsystemen verwendeten Software.
21 CFR Teil 11
Die Vorschriften für elektronische Aufzeichnungen und elektronische Signaturen bleiben uneingeschränkt in Kraft. CSA lockert die Verpflichtungen gemäß Teil 11 nicht. Vielmehr hilft es den Teams dabei, die Kontrollen gemäß Teil 11 auf jene Aufzeichnungen zu konzentrieren, die tatsächlich als regulatorische Nachweise dienen, anstatt alles unterschiedslos zu protokollieren.
ISPE GAMP 5, zweite Auflage
GAMP 5 (2. Auflage)ist das seit langem etablierte risikobasierte Rahmenwerk der ISPE für die Validierung computergestützter Systeme. Es steht in engem Einklang mit der Philosophie der CSA und wird neben den Leitlinien der FDA häufig als praktische Umsetzungsmethodik eingesetzt.
Insbesondere geht der CSA-Leitfaden der FDA ausdrücklich auf moderne technologische Gegebenheiten ein, die in älteren Leitfäden nie berücksichtigt wurden: Cloud-Computing (SaaS, PaaS, IaaS), automatische Updates durch Anbieter und sogar den Einsatz von KI-Tools in Produktions- oder Qualitätssystemen. Allein diese Punkte zeigen, dass es sich um ein Rahmenwerk handelt, das auf die zukünftige Entwicklung der Branche ausgerichtet ist und nicht nur auf deren bisherige Entwicklung.
Was ändert sich im Rahmen des CSA?
Der wesentliche Unterschied besteht darin: Anstatt jedes System unabhängig vom Risiko einer einheitlichen, umfassenden Prüfung zu unterziehen, fordert die CSA die Teams auf, einen verhältnismäßigen, vierstufigen Prozess zu befolgen:
- Verwendungszweck definieren:Was soll diese Software in diesem konkreten Kontext eigentlich leisten?
- Bewerten Sie das Ausfallrisiko:Welche Auswirkungen hätte ein Ausfall dieser spezifischen Funktion in der Praxis? Ein hohes Prozessrisiko (direkte Auswirkungen auf die Produktqualität oder die Patientensicherheit) wird einer strengen Prüfung unterzogen. Bei Funktionen mit geringem Risiko werden Sicherungsmaßnahmen durchgeführt, die dem potenziellen Ausmaß der Auswirkungen angemessen sind.
- Maßnahmen zur Qualitätssicherung planen: Wählen Sie die für das Risikoniveau geeignete Methode aus. Dazu können skriptgesteuerte Tests, nicht skriptgesteuerte/explorative Tests, Ad-hoc-Tests oder die Nutzung von Herstellerdokumentation und systemgenerierten Nachweisen gehören.
- Dokumentieren Sie die Zuverlässigkeit, nicht nur die durchgeführten Maßnahmen: Die Aufzeichnungen sollten die Begründung für den Sicherungsansatz wiedergeben, nicht nur den Nachweis, dass eine Checkliste abgearbeitet wurde.
Dies ist eine völlig andere Denkweise als die, „alles auf dieselbe Weise und lückenlos zu validieren, nur für den Fall der Fälle“. Sie fordert Teams dazu auf, sich kritisch mit Risiken auseinanderzusetzen, anstatt standardmäßig auf eine möglichst umfassende Dokumentation als Sicherheitsnetz zurückzugreifen – und genau deshalb ist der Übergang zu CSA ebenso sehr ein kultureller und organisatorischer Wandel wie ein verfahrenstechnischer.
Warum das gerade jetzt wichtig ist
Mehrere Faktoren treiben diesen Wandel voran.
- Mit der Veröffentlichung der endgültigen Leitlinien vom September 2025 (und der Aktualisierung vom Februar 2026) ist CSA kein vorläufiges Konzept mehr, bei dem man zunächst abwartet. Es handelt sich um die von der FDA formulierte Erwartung, wie die Software für Produktions- und Qualitätssysteme künftig gesichert werden soll.
- Die Technologie hat die bisherigen Validierungsmodelle überholt. Cloud-basierte Plattformen, kontinuierliche Updates der Anbieter und KI-gestützte Tools lassen sich nicht ohne Weiteres in Validierungsrahmen einordnen, die für lokale, statische und nur selten aktualisierte Software konzipiert wurden.
- Der Druck auf die Ressourcen lässt nicht nach. Life-Science-Unternehmen müssen mit schlankeren Qualitäts- und IT-Teams immer mehr leisten. Ein Rahmenkonzept, das den Aufwand für wenig relevante Dokumentation reduziert und gleichzeitig die Genauigkeit dort erhöht, wo es wirklich darauf ankommt, ist eine direkte Antwort auf diesen Druck.
Ein Blick in die Zukunft
Das Verständnis der CSA-Grundsätze ist nur der erste Schritt. Die größere Herausforderung besteht darin, CSA im Unternehmen zu etablieren: die Mitarbeiter davon zu überzeugen, einer neuen Denkweise in Bezug auf Risiken zu vertrauen, die internen Kompetenzen für eine erfolgreiche Umsetzung aufzubauen und die Altsysteme und -prozesse, die auf der alten CSV-Denkweise basieren, zu modernisieren – und das alles, ohne die Einhaltung gesetzlicher Vorschriften oder die Patientensicherheit zu gefährden.
In Teil 2 werden wir uns mit der Herausforderung befassen, die mehr CSA-Übergänge zum Scheitern bringt als jede technische Lücke: kultureller Widerstand – und wie man eine echte organisatorische Akzeptanz für eine risikobasierte Denkweise schafft.
Wie RCM Life Sciences Ihnen helfen kann
RCM Life Sciencesunterstützt Unternehmen dabei, von einem traditionellen CSV-Modell zu einem effizienteren, risikobasierten CSA-Modell überzugehen, ohne dabei die Kontrolle über Compliance, Qualität oder Datenintegrität zu verlieren. Unser Team verfügt über praktische Erfahrung in den Bereichen Qualität, Zulassungsrecht, Validierung von Computersystemen, eQMS, Projektmanagement und Initiativen zur digitalen Transformation. Wir helfen unseren Kunden dabei, aktuelle Validierungspraktiken zu bewerten, SOPs und Vorlagen neu zu gestalten, risikobasierte Sicherungsstrategien zu definieren, funktionsübergreifende Teams zu schulen und eine inspektionsbereite Umsetzung zu gewährleisten.
Ganz gleich, ob Sie CSA zum ersten Mal prüfen oder ein bestehendes Validierungsprogramm optimieren möchten: RCM kann Ihnen dabei helfen, die Auswirkungen von Cloud- und KI-gestützten Systemen auf die Compliance zu bewerten und einen praktischen Fahrplan für eine risikobasierte Software-Sicherung zu entwickeln.Kontaktieren Sie unser Team, um mehr zu erfahren.
Nächster Teil der Reihe:Wie man erfolgreich von CSV zu CSA wechselt: Aufbau der organisatorischen Bereitschaft (in Kürze)