21 CFR Part 11 mit Microsoft 365 und SharePoint

Microsoft 365 und SharePoint werden häufig genutzt, um Dokumente zu verwalten, die unter die FDA 21 CFR Part 11 fallen — Standardarbeitsanweisungen, Validierungsdokumente, Qualitätsaufzeichnungen und kontrollierte Formulare. Für sich genommen sind sie nicht 21-CFR-Part-11-konform. Die Plattform liefert die Bausteine für konforme elektronische Aufzeichnungen und Signaturen; die Part-11-Konformität entsteht durch die Konfiguration dieser Kontrollen für einen definierten Einsatz und deren Validierung — und durch die korrekte Aufteilung der Verantwortung zwischen Microsoft und Ihrem Unternehmen.

Dieser Beitrag behandelt, was SharePoint und Microsoft 365 nativ leisten und was nicht, die Verantwortungsaufteilung und wie eine belastbare Konfiguration aussieht. Er konzentriert sich auf den Dokumenten- und Content-Stack (SharePoint, Microsoft 365, Word); zu den Part-11-Kontrollen im ERP selbst siehe 21 CFR Part 11 und Business Central.

Was 21 CFR Part 11 verlangt

Part 11 gilt, wenn elektronische Aufzeichnungen eine FDA-Anforderung erfüllen, die sonst auf Papier erfüllt würde. Für eine Dokumentenplattform sind die Kernanforderungen:

• Zuordenbarer, manipulationssicherer Audit-Trail — wer hat was wann getan, automatisch erfasst und vor Änderung oder Löschung geschützt.
• Elektronische Signaturen, die eindeutig einer Person zugeordnet, nicht wiederverwendet oder neu zugewiesen, mit der signierten Aufzeichnung verknüpft sind und die Bedeutung der Signatur erfassen.
• Zugriffskontrollen und Berechtigungsprüfungen — geringste Rechte, keine geteilten Konten und Kontrolle darüber, wer welche Aktion ausführen darf.
• Integrität und Aufbewahrung der Aufzeichnungen über den gesamten Lebenszyklus — Erstellung, Änderung, Aufbewahrung und kontrollierte Vernichtung.
• Validierung, die belegt, dass das System für seinen Einsatz konsistent und wie vorgesehen funktioniert.

Was Microsoft 365 und SharePoint nativ bieten

Die Plattform liefert die Grundkontrollen, um diese Anforderungen umzusetzen:

• Identität — Microsoft Entra ID als einziger Identitätsanbieter, mit Conditional Access und Multi-Faktor-Authentifizierung, beseitigt geteilte Anmeldungen und untermauert die Zuordenbarkeit.
• Versionsverlauf — SharePoint speichert Haupt- und Nebenversionen eines Dokuments, sodass die Änderungshistorie eines kontrollierten Dokuments nachvollziehbar bleibt.
• Freigabe und Signatur — Power-Automate-Freigabeflüsse und SharePoint eSignature erfassen authentifizierte Freigaben; Integrationen mit Adobe Acrobat Sign und DocuSign ergänzen die Semantik einer Signaturseite.
• Überwachungsprotokoll — das einheitliche Überwachungsprotokoll von Microsoft Purview erfasst Zugriffe und Aktivitäten über SharePoint und Microsoft 365 hinweg.
• Aufbewahrung und Records Management — Purview-Aufbewahrungsbezeichnungen und -richtlinien sowie die Records-Management-Funktionen (Deklaration von Elementen als Datensätze, Preservation Lock) steuern Aufbewahrung und Vernichtung.
• Informationsschutz — Vertraulichkeitsbezeichnungen und Data Loss Prevention begrenzen die Weitergabe kontrollierter Inhalte.

Was standardmäßig nicht erfüllt ist

Die Lücke sind stets Konfiguration, Kontrolle und Nachweis:

• Der Audit-Trail muss abgegrenzt und geschützt werden. Das einheitliche Überwachungsprotokoll existiert, aber Sie müssen definieren, welche Aktivitäten Part-11-relevant sind, die Aufbewahrung des Protokolls selbst bestätigen und sicherstellen, dass es nicht geändert werden kann — auch nicht durch hochprivilegierte Administratoren. Ein Websitesammlungsadministrator mit ungesteuerten Rechten ist eine Audit-Feststellung, keine Kontrolle.
• Versionsverlauf ist kein Audit-Trail. Der Versionsverlauf kann von einem Benutzer mit den entsprechenden Berechtigungen deaktiviert oder gekürzt werden; ein Part-11-Audit-Trail muss automatisch und manipulationssicher sein. Beide wirken zusammen, sind aber nicht dieselbe Kontrolle.
• Signaturen müssen auf Part-11-Semantik konfiguriert werden. Erneute Authentifizierung beim Signieren, die erfasste Bedeutung der Signatur und der Schutz der signierten Aufzeichnung vor späterer Änderung sind Konfigurationsergebnisse, keine Standardeinstellungen.
• Die Aufbewahrung muss gesperrt werden. Aufbewahrungsbezeichnungen lassen sich ändern, sofern nicht Records Management und Preservation Lock angewendet werden; eine belastbare Konfiguration nimmt die Möglichkeit, eine GxP-Aufzeichnung unbemerkt zu verkürzen oder zu löschen.
• Eine Word-Datei allein ist keine Aufzeichnung. Word wird nur innerhalb einer kontrollierten Bibliothek mit den obigen Kontrollen Teil einer konformen Aufzeichnung; die Konformität trägt das Dokumentenmanagementsystem, nicht das Autorenwerkzeug.

Wer ist verantwortlich — Microsoft oder Sie

Part 11 in Microsoft 365 ist eine geteilte Verantwortung:

• Microsoft stellt die Plattform sowie deren Rechenzentrums-, Sicherheits- und Verfügbarkeitskontrollen bereit und qualifiziert sie und dokumentiert dies. Das ist Eingang in die Lieferantenqualifizierung, kein Ersatz für Ihre Validierung.
• Ihr Unternehmen ist verantwortlich dafür, wie der Dienst für seine GxP-Aufzeichnungen konfiguriert, kontrolliert, genutzt und validiert wird: Umfang des Audit-Trails, Zugriffsmodell, Aufbewahrungssperren, Signaturkontrollen, Benutzerschulung und der dokumentierte Nachweis, dass das konfigurierte System wie vorgesehen funktioniert.

Behandeln Sie die Plattformkontrollen von Microsoft als Eingang in Ihre Lieferantenbewertung und validieren Sie Ihre Konfiguration und den vorgesehenen Einsatz darauf aufbauend.

Eine belastbare Konfiguration in Kürze

• Entra ID als einziger Identitätsanbieter, geringste Rechte, keine geteilten Konten, privilegierter Zugriff überprüft.
• Purview-Überwachungsprotokoll bestätigt aktiv, auf Part-11-relevante Aktivität abgegrenzt, mit ausreichender und geschützter Aufbewahrung.
• Kontrollierte Dokumentbibliotheken mit Versionsverlauf, dort über Records Management gesteuert, wo der Inhalt eine GxP-Aufzeichnung ist.
• Aufbewahrung und Vernichtung über Purview-Aufbewahrungs-/Records-Richtlinien gesteuert, mit Preservation Lock, wo Löschung verhindert werden muss.
• Elektronische Signaturen (SharePoint eSignature, Freigabeflüsse oder ein integrierter Signaturanbieter) konfiguriert für Eindeutigkeit, erneute Authentifizierung, Verknüpfung mit der Aufzeichnung und erfasste Bedeutung.
• Ein Validierungspaket — Anforderungen, Risikobeurteilung und Test — das die Konfiguration und ihren vorgesehenen Einsatz abdeckt.

Weiterführende Beiträge

• 21 CFR Part 11 und Business Central — dieselben Anforderungen, angewandt auf ERP-Aufzeichnungen in Business Central.
• GxP-Validierung für Business Central — der Validierungslebenszyklus, gegen den diese Kontrollen validiert werden.
• Ist Business Central 21-CFR-Part-11-konform? — die Kurzantwort für die ERP-Ebene.

Part 11 über eine gemischte Microsoft-Landschaft hinweg abzubilden — ERP, SharePoint und Microsoft 365 — ist ebenso eine Architektur- und Dokumentationsaufgabe wie eine Konfigurationsaufgabe. Eine fokussierte Architektur-Governance-Beratung kann vor einer Inspektion festlegen, wo die Kontrollen und ihre Nachweise liegen.