Wir haben unser gesamtes Vendor Assurance Pack veröffentlicht – einschließlich dessen, was wir noch nicht haben

So funktioniert Software-Beschaffung in einem regulierten Unternehmen tatsächlich. Der Betrieb wählt das Tool in Woche zwei aus. Qualität und IT-Sicherheit beginnen ihre Prüfung in Woche vier. Der Fragebogen erreicht den Anbieter in Woche sechs – vierzig Registerkarten und eine Anfrage nach einer GAMP-Kategorisierung, die der Anbieter nie schriftlich festgehalten hat. Irgendwo um Woche vierzehn herum einigt man sich, und was den Prozess aufgehalten hat, war nie das Produkt selbst.

Wir haben das oft genug aus der anderen Perspektive erlebt, um zu dem Schluss zu kommen, dass die Reihenfolge falsch ist. Deshalb veröffentlichen wir die Antworten von Anfang an.

*Aktualisiert am 23. August 2026: Das Paket wird als v1.1 neu herausgegeben, nachdem jeder Status vollständig gegen den Live-Produktionsbetrieb re-verifiziert wurde. Die Änderungen wirken in beide Richtungen – die Langzeit-Backup- und Restore-Drill-Punkte wurden abgeschlossen, die erste periodische Überprüfung abgeschlossen, der Punkt zum PDF pro Datensatz eingegrenzt, und der Zertifizierungsweg wird neu als ISO 27001 zuerst formuliert; der Firewall-Eintrag wurde nach oben korrigiert. Der Dokumentenkontrollabschnitt des Pakets listet alle Änderungen auf.*

Was enthalten ist

Achtzehn Abschnitte, so gegliedert, dass ein Prüfer direkt zu seinem jeweiligen Teil navigieren kann. Ein Qualitätsprüfer benötigt den QMS-Index, die GAMP-5-Kategorisierung sowie die Annex 11- und Part-11-Zuordnungen. Die IT-Sicherheit benötigt die Hosting-Topologie, die Sicherheitsarchitektur und das CAIQ-Lite. Ein DPO benötigt die Aufteilung zwischen Verantwortlichem und Auftragsverarbeiter, das Sub-Prozessor-Verzeichnis und den Abschnitt zur KI-Governance. Die Beschaffung benötigt den Zertifizierungsstatus, die Business-Continuity-Aufstellung und die Verantwortungsaufteilung. Das Paket beginnt mit einer Tabelle, die jedem dieser Leser anzeigt, welche Abschnitte für ihn relevant sind.

Die Klauselzuordnungen bilden den Kern des Dokuments. Jede Klausel von Annex 11 – alle siebzehn – mit unserer jeweiligen Umsetzung und dem Ort, an dem die Nachweise hinterlegt sind. Hinzu kommt 21 CFR Part 11: die Kontrollen gemäß §11.10, die Unterschriftsregelungen gemäß §11.50 und §11.70 sowie die Anforderungen an elektronische Unterschriften gemäß §11.100, §11.200 und §11.300. Zwei dieser Zeilen sind als *Ihre* Verpflichtung und nicht als unsere ausgewiesen, da sie nicht durch einen Anbieter erfüllt werden können – wer dies verschweigt, hinterlässt eine Lücke, die erst bei einer Inspektion sichtbar wird.

Und was nicht enthalten ist

Dies ist der Teil, der das Dokument überhaupt erst schreibenswert gemacht hat. §13 enthält eine Tabelle zum Zertifizierungsstatus und §17 eine vollständige Liste offener Punkte – gemeinsam stellen sie unmissverständlich fest:

• Wir besitzen kein SOC 2 Type II. Dies ist bewusst nach ISO 27001 angeordnet — für eine europäische Kundenbasis ist ISO 27001 das Zertifikat, das Lieferantenprüfungen verlangen — und wird ergänzt, sobald ein Kunde es fordert.
• Wir besitzen noch kein ISO 27001-Zertifikat. Das ISMS wurde im August 2026 formell eröffnet; die Zertifizierung durch eine akkreditierte Stelle ist für Ende 2026 bis Anfang 2027 geplant. Bis zur Ausstellung des Zertifikats vermerkt das Paket *nicht vorhanden*.
• Unsere Web Application Firewall betreibt fünf benutzerdefinierte Rate-Limiting-Regeln, jedoch kein verwaltetes OWASP-Regelwerk. Der Standard-Front-Door-Tarif unterstützt dies nicht — dafür wäre Premium erforderlich. *Korrektur vom 2. August 2026: In diesem Abschnitt hieß es zuvor, die Firewall habe keinerlei Regeln und filtere nichts auf Schicht 7. Das war falsch und hat die Schutzmaßnahme untertrieben. Zwei WAF-Richtlinien existieren im Profil, und wir hatten diejenige geprüft, die nicht an die öffentliche Domain gebunden ist. Wir korrigieren dies hier aus demselben Grund, aus dem wir das Original veröffentlicht haben — eine Aussage, die zu unseren Gunsten falsch ist, und eine Aussage, die zu unseren Ungunsten falsch ist, sind beide schlicht falsch.*
• Hohe Verfügbarkeit ist für die Datenbank nicht aktiviert, und unsere RTO- und RPO-Werte sind interne Ziele und keine vertraglichen Zusagen. Was sich seit v1.0 geändert HAT: Die Wiederherstellungsübung wird durchgeführt und dokumentiert (eine vollständige Produktionswiederherstellung wurde mit unter 7 Minuten gemessen), und monatliche Langzeit-Backups werden nun in georedundantem zonenredundantem Speicher unter einer 7-jährigen Write-Once-Unveränderlichkeitsrichtlinie gespeichert.
• Unser Penetrationstest wurde nicht von einem CREST-akkreditierten Drittanbieter durchgeführt. Der Test vom April 2026 ergab null Befunde über zehn OWASP-Kategorien hinweg; er war kein akkreditierter unabhängiger Test – und wir weisen ausdrücklich darauf hin, wo ein Prüfer nachschaut.

Zum Unterschied zwischen konform und zertifiziert

Ein Unterschied, dem die Dokumentenmappe einen eigenen Absatz widmet, weil er in diesem Markt regelmäßig verwischt wird. Annex 11 und 21 CFR Part 11 sind regulatorische Anforderungen, keine Zertifizierungsschemata. Keine Behörde stellt ein „Annex 11-Zertifikat" aus, und ein Anbieter, der eines anbietet, verkauft etwas, das nicht existiert. Was sich tatsächlich belegen lässt, ist eine Implementierung, die Klausel für Klausel mit Nachweisen hinter jeder Zeile dokumentiert ist – genau das enthält die Mappe.

SOC 2 und ISO 27001 *sind* Zertifizierungsschemata. Wir besitzen diese Zertifizierungen nicht. Daher bezeichnen wir uns nicht als zertifiziert, und die Zertifizierungen unseres Infrastrukturanbieters werden als seine Zertifizierungen aufgeführt – nicht stillschweigend als unsere präsentiert.

Alle Inhalte wurden verifiziert, nicht kopiert

Compliance-Dokumente veralten. Eine Hosting-Region ändert sich, eine Lücke wird geschlossen, eine Kontrolle umbenannt – und das Dokument behauptet weiterhin mit der Zuversicht des laufenden Jahres die Architektur des Vorjahres. Bei uns hatte dieser Prozess bereits begonnen: Ein internes QMS-Dokument beschrieb noch immer einen Hosting-Anbieter, von dem wir bereits migriert waren, und eine Seite unserer eigenen Website nannte die falschen Azure-Regionen.

Jeder Status im Paket wurde am Tag der Veröffentlichung gegen die live-Produktionsinfrastruktur und den live-Quellcode geprüft – Regionen aus dem Abonnement ausgelesen, die Residency-Richtlinie aus ihrer Zuweisung, die Edge-Konfiguration aus live-Response-Headern, das Audit-Trail- und Signaturverhalten aus dem implementierenden Code. Wo die Verifizierung einem bestehenden Dokument widersprach, hatte die Verifizierung Vorrang. So haben wir auch den Firewall-Regelsatz gefunden.

Das Paket ist datiert und enthält eine Überprüfungsverpflichtung: mindestens alle sechs Monate sowie bei jeder Änderung eines Status in der Zertifizierungstabelle oder der Liste offener Punkte.

Wenn Sie derjenige sind, der die Bewertung durchführen muss

Dazu gibt es ein ergänzendes Dokument. Die GMP-Audit-Bereitschafts-Checkliste für den Hofbetrieb umfasst 101 Prüfpunkte für eine Selbstinspektion der Hofgrenze – der letzte Bereich behandelt die Lieferantenqualifizierung Ihres Yard-System-Anbieters. Dieses Paket ist darauf ausgelegt, diesen Bereich zu beantworten, unabhängig davon, ob der von Ihnen bewertete Anbieter wir sind oder nicht.

Falls Sie etwas benötigen, das das Paket nicht enthält – den vollständigen QMS-Satz unter NDA, ausgeführte Testnachweise, eine Software-Stückliste für ein bestimmtes Release oder ein CAIQ in Ihrer eigenen Vorlage – kontaktieren Sie uns unter admin@yardtwin.com. Die Liste der auf Anfrage verfügbaren Unterlagen finden Sie in §18.