Wir haben unser gesamtes Vendor Assurance Pack veröffentlicht – einschließlich dessen, was wir noch nicht haben

So funktioniert Software-Beschaffung in einem regulierten Unternehmen tatsächlich. Der Betrieb wählt das Tool in Woche zwei aus. Qualität und IT-Sicherheit beginnen ihre Prüfung in Woche vier. Der Fragebogen erreicht den Anbieter in Woche sechs – vierzig Registerkarten und eine Anfrage nach einer GAMP-Kategorisierung, die der Anbieter nie schriftlich festgehalten hat. Irgendwo um Woche vierzehn herum einigt man sich, und was den Prozess aufgehalten hat, war nie das Produkt selbst.

Wir haben das oft genug aus der anderen Perspektive erlebt, um zu dem Schluss zu kommen, dass die Reihenfolge falsch ist. Deshalb veröffentlichen wir die Antworten von Anfang an.

*Aktualisiert am 12. Oktober 2026: Das Paket wird als v1.2 neu herausgegeben, nachdem jeder Status gegen den in der Produktion laufenden Quellcode, die aktive Azure-Konfiguration und unsere öffentlichen Seiten verifiziert wurde. Version 1.1 (23. August 2026) und ihre nur redaktionell überarbeitete Ausgabe 1.1.1 haben mehrere Maßnahmen übertrieben dargestellt; v1.2 korrigiert diese und listet jede Korrektur auf. Wo eine Verifizierung nicht möglich war, kennzeichnet das Paket dies und formuliert den Sachverhalt in seiner schwächeren Form.*

Was enthalten ist

Achtzehn Abschnitte, so gegliedert, dass ein Prüfer direkt zu seinem jeweiligen Teil navigieren kann. Ein Qualitätsprüfer benötigt den QMS-Index, die GAMP-5-Kategorisierung sowie die Annex 11- und Part-11-Zuordnungen. Die IT-Sicherheit benötigt die Hosting-Topologie, die Sicherheitsarchitektur und das CAIQ-Lite. Ein DPO benötigt die Aufteilung zwischen Verantwortlichem und Auftragsverarbeiter, das Sub-Prozessor-Verzeichnis und den Abschnitt zur KI-Governance. Die Beschaffung benötigt den Zertifizierungsstatus, die Business-Continuity-Aufstellung und die Verantwortungsaufteilung. Das Paket beginnt mit einer Tabelle, die jedem dieser Leser anzeigt, welche Abschnitte für ihn relevant sind.

Die Klauselzuordnungen bilden den Kern des Dokuments. Jede Klausel von Annex 11 – alle siebzehn – mit unserer jeweiligen Umsetzung und dem Ort, an dem die Nachweise hinterlegt sind. Hinzu kommt 21 CFR Part 11: die Kontrollen gemäß §11.10, die Unterschriftsregelungen gemäß §11.50 und §11.70 sowie die Anforderungen an elektronische Unterschriften gemäß §11.100, §11.200 und §11.300. Zwei dieser Zeilen sind als *Ihre* Verpflichtung und nicht als unsere ausgewiesen, da sie nicht durch einen Anbieter erfüllt werden können – wer dies verschweigt, hinterlässt eine Lücke, die erst bei einer Inspektion sichtbar wird.

Und was nicht enthalten ist

Dies ist der Teil, der das Dokument überhaupt erst schreibenswert gemacht hat. §13 enthält eine Tabelle zum Zertifizierungsstatus und §17 eine vollständige Liste offener Punkte – gemeinsam stellen sie unmissverständlich fest:

• Wir besitzen kein SOC 2. Ein SOC-2-Engagement kann auf Kundenwunsch in Betracht gezogen werden, sobald ISO 27001 vorliegt – für eine europäische Kundenbasis ist ISO 27001 das Zertifikat, das Lieferantenbewertungen zuerst einfordern.
• Wir besitzen noch kein ISO 27001. Das ISMS wurde im August 2026 eröffnet; das Stage-2-Zertifizierungsaudit ist für Februar 2027 geplant, und das Zertifikat wird für Q1 2027 angestrebt. Bis das Zertifikat vorliegt, vermerkt das Paket *nicht vorhanden*.
• Unsere Web Application Firewall verfügt über fünf benutzerdefinierte Rate-Limiting-Regeln, jedoch kein verwaltetes OWASP-Regelwerk. Der Standard-Front-Door-Tarif unterstützt kein solches – dafür ist Premium erforderlich, das mit dem Produktions-Rebuild geplant ist.
• Hochverfügbarkeit ist auf der Datenbank nicht aktiviert, und unsere RTO- und RPO-Werte sind interne Ziele und keine vertraglichen Zusagen; die monatliche Verfügbarkeit von 99,5 % bei kostenpflichtigen Tarifen ist vertraglich. Das Wiederherstellungs-Drill wird durchgeführt und dokumentiert (eine vollständige Produktionswiederherstellung wurde mit unter 7 Minuten gemessen), und monatlich verschlüsselte Backups werden bis zu 7 Jahre lang im Rahmen einer zeitbasierten Unveränderlichkeitsrichtlinie aufbewahrt, die Löschung und Überschreiben verhindert (Richtlinie noch nicht gesperrt).
• Es wurde noch kein unabhängiger Penetrationstest durchgeführt. Einer ist geplant, einschließlich Retest, und der Scope ist vorbereitet. Unser internes White-Box-Code-Audit im Oktober 2026 hat Schwachstellen gefunden, darunter zwei kritische; beide kritischen Befunde sind in der Produktion behoben. Die Arbeiten vom April 2026 waren internes funktionales Sicherheitstesting, kein Penetrationstest.

Zum Unterschied zwischen konform und zertifiziert

Ein Unterschied, dem die Dokumentenmappe einen eigenen Absatz widmet, weil er in diesem Markt regelmäßig verwischt wird. Annex 11 und 21 CFR Part 11 sind regulatorische Anforderungen, keine Zertifizierungsschemata. Keine Behörde stellt ein „Annex 11-Zertifikat" aus, und ein Anbieter, der eines anbietet, verkauft etwas, das nicht existiert. Was sich tatsächlich belegen lässt, ist eine Implementierung, die Klausel für Klausel mit Nachweisen hinter jeder Zeile dokumentiert ist – genau das enthält die Mappe.

SOC 2 und ISO 27001 *sind* Zertifizierungsschemata. Wir besitzen diese Zertifizierungen nicht. Daher bezeichnen wir uns nicht als zertifiziert, und die Zertifizierungen unseres Infrastrukturanbieters werden als seine Zertifizierungen aufgeführt – nicht stillschweigend als unsere präsentiert.

Alle Inhalte wurden verifiziert, nicht kopiert

Compliance-Dokumente veralten. Eine Hosting-Region ändert sich, eine Lücke wird geschlossen, eine Kontrolle umbenannt – und das Dokument behauptet weiterhin mit der Zuversicht des laufenden Jahres die Architektur des Vorjahres. Bei uns hatte dieser Prozess bereits begonnen: Ein internes QMS-Dokument beschrieb noch immer einen Hosting-Anbieter, von dem wir bereits migriert waren, und eine Seite unserer eigenen Website nannte die falschen Azure-Regionen.

Jeder Status im Paket wurde am Tag der Veröffentlichung gegen den in der Produktion laufenden Quellcode, die Live-Azure-Konfiguration und unsere öffentlichen Seiten geprüft – Regionen wurden aus dem Abonnement ausgelesen, die Residenzrichtlinie aus ihrer Zuweisung, die Edge-Konfiguration aus den Live-Response-Headern, das Audit-Trail- und Signaturverhalten aus dem implementierenden Code. Widersprach die Prüfung einem vorhandenen Dokument, hatte die Prüfung Vorrang. So entstand v1.2: Die erneute Prüfung von v1.1 förderte Aussagen zutage, die nie zutreffend waren, und diese Ausgabe korrigiert sie.

Das Paket ist datiert und enthält eine Überprüfungsverpflichtung: mindestens alle sechs Monate sowie bei jeder Änderung eines Status in der Zertifizierungstabelle oder der Liste offener Punkte.

Wenn Sie derjenige sind, der die Bewertung durchführen muss

Dazu gibt es ein ergänzendes Dokument. Die GMP-Audit-Bereitschafts-Checkliste für den Hofbetrieb umfasst 101 Prüfpunkte für eine Selbstinspektion der Hofgrenze – der letzte Bereich behandelt die Lieferantenqualifizierung Ihres Yard-System-Anbieters. Dieses Paket ist darauf ausgelegt, diesen Bereich zu beantworten, unabhängig davon, ob der von Ihnen bewertete Anbieter wir sind oder nicht.

Falls Sie etwas benötigen, das das Paket nicht enthält – den vollständigen QMS-Satz unter NDA, ausgeführte Testnachweise, eine Software-Stückliste für ein bestimmtes Release oder ein CAIQ in Ihrer eigenen Vorlage – kontaktieren Sie uns unter admin@yardtwin.com. Die Liste der auf Anfrage verfügbaren Unterlagen finden Sie in §18.