Computer Software Assurance.
Die Computer Software Assurance (CSA) ist ein risikobasierter Ansatz der FDA für Software in der Produktion und im Qualitätsmanagementsystem (QMS) von Herstellern von Medizinprodukten.
Art, Umfang und Nachweistiefe der Assurance-Aktivitäten richten sich nach dem Intended Use und nach dem Risiko, das eine Fehlfunktion für Produktsicherheit und Produktqualität bedeutet. Pauschale Test- und Dokumentationsroutinen geben den Maßstab nicht vor.
Kein Kurswechsel. Die Bestätigung eines Wegs.
Risikobasierte Validierung ist älter als CSA. Der europäische GMP-Rahmen knüpfte Umfang und Tiefe der Validierung computergestützter Systeme schon vor 2002 an Risiko und Nutzung. ICH Q9 systematisierte das Qualitätsrisikomanagement ab 2005. Mit CSA führt die FDA diese Linie für den Medizinproduktebereich fort.
| Station | Beitrag zum risikobasierten Ansatz |
|---|---|
| EU GMP Annex 11 + Annex 15Erstfassungen 1992 / 2001, heute gültig 2011 / 2015 | Annex 11 etablierte die Validierung und die kontrollierte Nutzung GMP-relevanter computergestützter Systeme. Annex 15 koppelte Umfang und Tiefe („scope and extent“) der Validierung an eine Risikobewertung. |
| FDA „General Principles of Software Validation“01/2002 | Diese Leitlinie verankerte den risikobasierten Nachweis für Software auf FDA-Seite. Der Validierungsumfang folgt Komplexität und Risiko, der Nachweis schafft ein „Level of Confidence“. CSA löst seit 2025 nur Abschnitt 6 dieser Leitlinie ab. |
| FDA-Initiative „Pharmaceutical CGMPs for the 21st Century - A Risk-Based Approach“2002 / Final Report 2004 | Die Initiative machte Risiko und Wissenschaft zu Leitprinzipien für die gesamte Behörde. Moderne Qualitätssysteme wurden zum Maßstab der CGMP-Anwendung. Eine neue Verordnung entstand dafür nicht. |
| PIC/S PI 011in Kraft 09/2003 | Der PIC/S-Leitfaden für die Inspektion computergestützter Systeme übertrug Annex 11 in die risikobasierte Prüfpraxis. Mängel stuft er nach dem relativen Risiko und der Kritikalität der Anwendung ein. |
| ICH Q9 / Q9(R1)2005/2006 / 2023 | ICH Q9 harmonisierte das Qualitätsrisikomanagement (QRM) als systematischen Prozess aus Risikobewertung, Risikosteuerung, Risikokommunikation und Risikoüberprüfung. |
| GAMP 5 / 2nd Edition2008 / 2022 | GAMP 5 überführt den risikobasierten Lebenszyklus in eine praktische Methodik für GxP-relevante computergestützte Systeme. Die 2nd Edition von 2022 stärkt Critical Thinking und skalierte Nachweise. Als Good Practice der Industrie ist GAMP 5 keine Rechtsvorschrift. |
| FDA CSA Guidancefinal 09/2025 / QMSR-Fassung 02/2026 | Die Guidance konkretisiert den risikobasierten Nachweis für Software in Produktion und QMS von Medizinprodukteherstellern, vom Intended Use über das Prozessrisiko bis zur objektiven Evidenz. |
| GAMP GPG „Testing GxP Systems“3rd Edition, Juli 2026 | Der Leitfaden macht risikobasiertes Testen in der Praxis anwendbar, ebenfalls als Good Practice ohne Rechtskraft. Er behandelt skalierbare Testaktivitäten, Qualitätsrisikomanagement und Lieferantennachweise und widmet den computergestützten Testwerkzeugen ein eigenes Kapitel. Seinen Ansatz erklärt er ausdrücklich als vereinbar mit GAMP 5 (2nd Edition) und der FDA-CSA-Guidance. |
Erst Intended Use und Prozessrisiko bestimmen. Dann gezielt absichern.
Ein höheres Prozessrisiko erfordert grundsätzlich mehr Nachweistiefe. Die Testmethode folgt jedoch nicht mechanisch einer Risikoklasse, das stellt die Guidance selbst klar. Sie unterscheidet geskriptetes und ungeskriptetes Testen. Zum Einsatz kommt die Methode, die die Eignung der jeweiligen Funktion am wirksamsten nachweist. Auch kombinierte Tests folgen diesem Kriterium. Intended Use und Prozessrisiko lassen sich nur aus dem Geschäftsprozess ableiten, in dem die Software arbeitet. Prozess, Anwender, Betriebsumgebung und Daten gehören deshalb zur Betrachtung. Beschreibung und Pflege dieses Prozesses sind Thema unserer Seite zum Prozessmanagement.
CSA oder CSV: Was ist der Unterschied?
CSA ersetzt die CSV nicht. Die Guidance ergänzt die FDA-Leitlinie „General Principles of Software Validation“ und löst allein deren Abschnitt 6 ab. Ihre allgemeinen Validierungsprinzipien gelten weiterhin auch für Produktions- und QMS-Software. Die Guidance sieht nicht mehr Aufwand vor als nötig (Least Burdensome) und grenzt sich damit von einer Praxis ab, die jede Funktion nach demselben Schema mit geskripteten Tests und umfangreichen Protokollen belegte. Die erste Frage gilt dem Intended Use, die zweite der Fehlfunktion: Kann sie ein Qualitätsproblem verursachen, das vorhersehbar die Sicherheit beeinträchtigt? Maßgeblich sind Fehler, die „reasonably foreseeable“ sind, nicht nur wahrscheinliche. Nur dann liegt ein hohes Prozessrisiko vor, und der Aufwand bemisst sich am Medizinprodukterisiko, sonst am Prozessrisiko. Bei hohem Prozessrisiko nennt die Guidance eher geskriptete Tests, sonst ungeskriptete Tests, Lieferantennachweise und laufende Überwachung. Verbindlich ist diese Zuordnung nicht, sie beschreibt den Regelfall. Der Nachweis bleibt objektive Evidenz und wird als Aufzeichnung festgehalten.
Methodik
CSA und GAMP 5 folgen einer vergleichbaren Grundlogik:
- Intended Use verstehen
- Risiken analysieren
- geeignete Aktivitäten auswählen
- ausreichende Evidenz erzeugen
Geltungsbereich
CSA betrifft mehr als das Testen einzelner Funktionen. Die Guidance umfasst:
- Intended Use und risikobasierte Analyse
- Änderungen im Lebenszyklus
- Lieferantennachweise, Prozesskontrollen und laufende Überwachung
- objektive Evidenz und elektronische Aufzeichnungen
- die Einbeziehung von Automatisierungswerkzeugen, etwa Bots und automatischen Arbeitsabläufen, sowie von Datenanalyse- und KI/ML-Werkzeugen und Cloud Computing
Formal gilt CSA für Medizinproduktehersteller. Das Kernprinzip wirkt darüber hinaus, ersetzt dort aber keine anwendbaren Anforderungen.
Begriff
„Assurance“ ist ein neuer Begriff für einen bekannten Nachweisgegenstand: Zu belegen ist, dass die Software für den im Prozess definierten Intended Use geeignet ist und über den Lebenszyklus geeignet bleibt. Wer das sauber belegt, braucht die Begriffsdebatte nicht.
An den Pflichten ändert CSA nichts: Welche Aufzeichnungen zu führen sind, ergibt sich unverändert aus den predicate rules. Neu ist die Klarheit über den Assurance-Nachweis selbst. Die Guidance beschreibt, welche Angaben darin festgehalten werden:
Die Dokumentation soll ausreichen, um die Eignung für den Intended Use in einer Tiefe zu belegen, die dem identifizierten Risiko entspricht. Wie sich derselbe risikobasierte Ansatz auf KI-Systeme übertragen lässt, zeigt unsere Seite zur Validierung von KI im GxP-Umfeld.
Der Nachweis bleibt. Formalität ohne Nachweiswert entfällt.
Mit CSA verschiebt sich der Schwerpunkt von der Menge der Dokumente zur Qualität der Evidenz. Das Testformat wählt der Hersteller nach der Funktion, die geprüft wird. Vorhandene Lieferantennachweise lassen sich anrechnen. Über den Lebenszyklus hinweg sichern wirksame Kontrollen die Eignung, die bei der Inbetriebnahme nachgewiesen wurde. Die FDA empfiehlt als Nachweis digitale Aufzeichnungen wie System-Logs, Audit Trails und automatisch erzeugte Aufzeichnungen anstelle redundanter Screenshots.
So bringen wir CSA in Ihre Validierungspraxis.
Frank Henrichmann (QFINITY) hat den GAMP Good Practice Guide „Testing GxP Systems“ (2026) als Reviewer des ISPE Editorial Review Board begutachtet. An diesem Leitfaden haben auch Mitglieder des FDA-Industrie-CSA-Teams (FICSA) mitgewirkt.
Aufwand, Formalität und Dokumentation am Risiko bemessen.
„The level of effort, formality and documentation of the quality risk management process should be commensurate with the level of risk.“
ICH Q9, Kapitel 3. Seit 2005/2006 ist dieser Satz der internationale Maßstab. Die Revision Q9(R1) von 2023 hat ihn nicht verändert. CSA überträgt dieselbe Proportionalitätslogik auf Software in Produktion und QMS.
CSA lässt das Ziel der Validierung unverändert. Sie korrigiert eine Praxis, in der Dokumentationsvolumen zu häufig mit Validierung verwechselt wurde.
Häufige Fragen zur CSA.
CSA steht für Computer Software Assurance. So heißt die FDA-Guidance für Software in Produktion und QMS von Medizinprodukteherstellern, finalisiert im September 2025 und seit Februar 2026 an die QMSR angepasst. Die Produktsoftware selbst ist nicht Gegenstand der Guidance, für sie gilt die GPSV-Leitlinie weiter. Der Begriff steht zugleich für den Ansatz: Nachweistiefe nach Intended Use und Prozessrisiko, nicht nach Schema.
Nein. Eine FDA-Guidance beschreibt die aktuelle Auffassung der Behörde und begründet keine Verpflichtung. Verbindlich sind die anwendbaren Anforderungen, in den USA seit dem 2. Februar 2026 die QMSR mit den einbezogenen Anforderungen der ISO 13485:2016. CSA beschreibt eine anerkannte risikobasierte Vorgehensweise, mit der sich diese Anforderungen erfüllen lassen. Alternative Ansätze bleiben zulässig, solange sie dieselben Anforderungen abdecken.
CSA ist eine FDA-Guidance, GAMP 5 ein ISPE-Leitfaden als Good Practice. Beide setzen beim Intended Use an, aus dem sich Risiko und Nachweistiefe ergeben. Seit Februar 2026 nennt die CSA-Guidance GAMP 5 2nd Edition genau einmal, in einer Fußnote zu den Testmethoden. Critical Thinking ist eine allgemeine Fähigkeit, im Validierungskontext von den GAMP-Leitfäden verankert. Die Guidance verwendet den Begriff nicht.
Nicht möglichst wenig prüfen, sondern nicht mehr Aufwand und Evidenz erzeugen, als die Beherrschung des identifizierten Risikos erfordert. In der Praxis heißt das: vorhandene Lieferantennachweise nutzen, digitale Systemnachweise statt redundanter Screenshots führen, automatisierte Tests wiederverwenden und ungeskriptet testen, wo das wirksamer ist. Bei hohem Risiko bleibt die Nachweistiefe hoch.
Nein. Die Guidance ordnet keine pauschale Wiederholung an. Bei der nächsten Änderung, beim periodischen Review oder bei einer bewussten Neubewertung der Nachweistiefe werden vorhandene Evidenz, Intended Use und aktuelles Risiko erneut beurteilt. Dort lässt sich der Prüfaufwand künftig am Risiko ausrichten.
Stand:
CSA braucht den Gesamtkontext.
Prüfaufwand legitim senken.
Wir legen mit Ihnen fest, welche Funktionen Ihrer Produktions- und QMS-Software kritisch sind. Daraus leiten wir Teststrategie und Nachweistiefe ab und dokumentieren beides so, dass ein Inspektor die Begründung nachvollziehen kann. Im kostenfreien Erstgespräch benennen wir die Stellen, an denen Sie heute mehr prüfen, als das Risiko erfordert.
Erstgespräch vereinbaren
