21 CFR Part 11
Skydda systemen som omfattas av Part 11
21 CFR Part 11 är USA:s regler för elektroniska journaler och elektroniska underskrifter. Reglerna gäller företag som har krav från FDA, den amerikanska läkemedelsmyndigheten. XoT omfattas inte själv, men skyddar de system som gör det.
Reglerna
Vad Part 11 gäller
Part 11 ingår i avdelning 21 i USA:s federala regelverk. Reglerna kom 1997. De gäller system som skapar, ändrar, lagrar eller skickar journaler som FDA kräver. Det kan vara ett system för batchdokumentation, ett LIMS eller ett styrsystem som sparar data.
Avsnitt 11.10 räknar upp kontroller för slutna system. Det är system där åtkomsten styrs av dem som ansvarar för innehållet.
XoT skapar och lagrar inga sådana journaler. Därför är XoT inte ett system som omfattas av Part 11. Men flera av kontrollerna i 11.10 handlar om åtkomst. Där hjälper XoT till.
Kontrollerna
Kontrollerna där XoT hjälper till
Tabellen visar de kontroller i Part 11 som berör åtkomst och skydd. Den sista kolumnen visar om XoT hjälper till. Raderna där XoT hjälper till är markerade med grönt.
| Avsnitt | Kontroll | XoT |
|---|---|---|
| 11.10(d) | Bara behöriga personer får åtkomst till systemet | Ja |
| 11.10(g) | Kontroll av att bara behöriga kan använda systemet | Delvis |
| 11.10(h) | Kontroll av att data kommer från en giltig källa | Delvis |
| 11.10(c) | Journalerna skyddas under hela lagringstiden | Delvis |
| 11.30 | Extra kontroller för öppna system | Delvis |
| 11.10(a) | Validering av systemet | Nej |
| 11.10(e) | Audit trail för journalerna | Nej |
| 11.50–11.300 | Elektroniska underskrifter | Nej |
Beskrivningarna av kontrollerna är våra förenklingar.
Kontroll för kontroll
Så hjälper XoT till
Åtkomst – 11.10(d) och (g)
Låset släpper bara fram behöriga personer till systemet. Varje regel gäller en viss person, viss utrustning och en viss tid. Inloggningen i själva systemet finns kvar. Där kontrolleras också vad personen får göra.
Giltig källa – 11.10(h)
Kontrollen handlar om att data ska komma från en giltig källa. I XoT har varje enhet ett eget certifikat. När ett instrument och en server sitter bakom var sitt lås, når bara data från identifierade enheter fram till servern.
Skydd av journalerna – 11.10(c)
Systemet syns inte för den som saknar behörighet. Det skyddar journalerna mot åtkomst via nätverket. Säkerhetskopiering och arkivering står ni för.
Öppna system – 11.30
Ett system räknas som öppet när åtkomsten inte styrs av dem som ansvarar för innehållet. Då krävs extra åtgärder, till exempel kryptering. Med XoT styr systemägaren även fjärråtkomsten, och förbindelsen krypteras med WireGuard.
Audit trail – 11.10(e)
Audit trail för journalerna finns i ert system och visar ändringar av data. XoT ersätter den inte. XMS loggar däremot vem som nådde systemet och när. XMS loggar också varje ändring av regler och behörigheter, i en logg som är skyddad mot ändringar i efterhand. Det kompletterar systemets egen audit trail.
Validering
Validering efter risk
FDA publicerade i september 2025 en slutlig vägledning om Computer Software Assurance. Den gäller programvara i produktion och kvalitetssystem för medicintekniska produkter. Vägledningen säger att valideringen ska stå i proportion till risken. Leverantören kan bedömas utifrån bland annat certifieringar och säkerhetsarbete.
XoT kvalificerar ni som en del av infrastrukturen. Vår beskrivning av kvalitetsarbetet, en förteckning över programvarans delar (SBOM) och rapporter från penetrationstester får ni på begäran.
Vanliga frågor
Är XoT godkänt enligt Part 11?
XoT omfattas inte av Part 11, eftersom det inte skapar eller lagrar journaler. XoT kan ingå i infrastrukturen kring de system som omfattas.
Gör XoT elektroniska underskrifter?
Nej. Underskrifterna görs i ert system. XoT ser till att bara behöriga personer når det.
Behöver vi kvalificera XoT?
Ja, som en del av infrastrukturen. Hur omfattande kvalificeringen blir avgör ni utifrån risken. Vi bidrar med underlag.
Hur hänger Part 11 ihop med bilaga 11?
Båda handlar om datoriserade system. Part 11 gäller krav från FDA i USA. Bilaga 11 gäller GMP i EU. Många företag behöver följa båda.
Det vi skriver här är vår tolkning av Part 11. Det är inte juridisk rådgivning.
Be om underlag
Vi beskriver gärna hur XoT passar in i er miljö och vilket underlag ni behöver.