Elektronische Signatur Version 1.0 Oktober 2007 - APV

APV-Empfehlung: Elektronische Signaturen, Version 1.0
3.1.2 Rechtsverbindlichkeit im Verhältnis Firma – Behörde (hier: FDA)
Eine Besonderheit ergibt sich für diejenigen Organisationen, welche die Anforderungen des 21 CFR Part 11 erfüllen müssen.
Die Anforderung gemäß § 11.100 (c) (1) nach einem Zertifizierungsschreiben an die FDA kann durch ein formloses Schreiben
erfüllt werden. Ein Beispiel hierzu gibt Abb. 3.
To whom it may concern:
In reference to electronic signatures pursuant to Title 21 Code of Federal Regulations, Part 11.100 (c), this letter is to certify
that all electronic signatures executed to electronic records in , used on or after pertaining to records
relevant to Federal Food an Drug Administration regulations, are intended to be the legally binding equivalent of traditional
hand written signatures
Abb. 3: Zertifizierungsschreiben an die FDA.
Die Benachrichtigung der FDA ist nur erforderlich, wenn nach „predicate rules“ geforderte Unterschriften (siehe Kapitel 2.3.2)
durch elektronische Signaturen ersetzt werden.
Das bedeutet nicht, dass ab diesem Zeitpunkt die elektronische Signatur verwendet werden muss, sondern lediglich, dass
diese als gleichberechtigt zur handschriftlichen Unterschrift angesehen wird und als solche eingesetzt werden kann. Letzt -
endlich wird in den Nutzeranforderungen festgelegt, ob überhaupt und in welcher Form eine rechtsverbindliche Unterschrift
erfolgt (elektronisch oder handschriftlich auf einem Ausdruck).
3.2 Manipulationsschutz
Das System, in dem die elektronischen Signaturen eingesetzt werden, muss über einen ausreichenden Manipulationsschutz
verfügen. Manipulationen an signierten Daten (z. B. signierte Dokumente) müssen verhindert werden bzw. klar erkennbar
sein. Neben den technischen Maßnahmen zum Manipulationsschutz (siehe Kapitel 4.1.2) sind auch organisatorische Maßnahmen
zu treffen. Dazu gehören das Berechtigungskonzept für die Ausführung der Signatur und das Berechtigungskonzept
für die Nutzung des Systems. Auch das Thema Administratorenrechte muss adäquat reguliert werden.
3.3 Regelungen zum Betrieb
Um den gesetzlichen und vom Prozess vorgegebenen Anforderungen gerecht zu werden, sind verbindliche Regelungen zum
Betrieb des Systems zu etablieren. Details hierzu siehe im Kapitel 4 „Anforderungen an die Validierung“.
22 APVnews 04/07 copyright apv