Cloud Computing: Regelungen zur Rückübermittlung der Daten bei Betriebsaufgabe

Problemstellung

Der Trend zum Cloud Computing führt dazu, dass eine Vielzahl von Daten bei Cloud Providern gespeichert sind. Aber wie kommt man an seine vollständigen Daten bei einer Betriebsaufgabe oder gar einer Insolvenz des Cloud Service Providers?

Was fordern die Regularien und wie kann man diese umsetzen?

Sowohl die AMWHV als auch der EU GMP-Leitfaden sehen die Verantwortung beim RU (Regulated User). Die AMWHV fokussiert dabei auf die Aufbewahrung der Dokumentation, also die Verfügbarkeit der GxP-kritischen Daten. Gem. § 20 AMWHV hat für den Fall einer Schließung des Hersteller- oder Prüfbetriebs, in dem die Aufbewahrung der Dokumentation nach Satz 1 erfolgt, der pharmazeutische Unternehmer Vorsorge zu treffen, dass die Dokumentation während der gesamten Aufbewahrungszeit vorgehalten wird.

Der EU GMP-Leitfaden fokussiert auf den Geschäftsprozess und somit auf die GxP-kritische Applikation und die Daten. Gem. Annex 11 des EU GMP-Leitfadens, Kapitel 16 - "Kontinuität des Geschäftsbetriebes" - sollten Vorkehrungen getroffen sein, um im Falle eines Systemausfalls die fortlaufende Unterstützung dieser Prozesse sicherzustellen (z.B. durch ein manuelles oder ein alternatives System), wenn computergestützte Systeme kritische Prozesse unterstützen. Der erforderliche Zeitaufwand zur Inbetriebnahme dieser alternativen Verfahren sollte jeweils für ein bestimmtes System und die unterstützten Prozesse risikoabhängig festgelegt werden. Diese Verfahren sollten angemessen dokumentiert und getestet werden.

Diese Aufgabe / Verpflichtung könnte im Dienstleistungsvertrag mit dem CSP (Cloud Service Provider) aufgenommen werden, indem dieser verpflichtet wird, die Verfügbarkeit von Daten und ggf. Applikation über einen weiteren Unterauftragnehmer sicherzustellen. Der RU sollte jedoch im Rahmen einer Risikobeurteilung evaluieren, ob es nicht sinnvoll wäre, einen Backup-Standort on premise vorzuhalten.