GMP och bilaga 11
Isolera system som inte längre kan uppdateras
EU:s regler för god tillverkningssed, GMP, ställer krav på datoriserade system i läkemedelsproduktionen. Kraven finns i bilaga 11. Ett nytt utkast kräver bland annat att system som inte kan uppdateras isoleras. Det är vad XoT gör.
Bilaga 11
Den gällande texten och ett nytt utkast
Bilaga 11 i EU:s riktlinjer för GMP handlar om datoriserade system. Den text som gäller i dag är från 2011.
EU-kommissionen, EMA och PIC/S publicerade ett helt nytt utkast i juli 2025. Utkastet var ute på remiss till oktober 2025. Den slutliga texten väntas tidigast i slutet av 2026. Därefter kommer en övergångstid.
Utkastet kan ändras innan det beslutas. Vi utgår ändå från det, eftersom det visar vart kraven är på väg. Två nya kapitel berör XoT direkt: ett om identitet och åtkomst och ett om säkerhet.
Utkastet från 2025
Kraven i utkastet där XoT hjälper till
Tabellen visar de krav i utkastet som handlar om åtkomst, nätverk och loggning. Den sista kolumnen visar om XoT hjälper till. Raderna där XoT hjälper till är markerade med grönt.
| Avsnitt | Krav | XoT |
|---|---|---|
| 11.1 | Personliga konton, inga delade konton | Delvis |
| 11.2 | Behörigheter ges och tas bort i tid | Ja |
| 11.3 | Användaren identifieras med hög säkerhet | Ja |
| 11.6 | Flerfaktorsinloggning vid fjärråtkomst till kritiska system | Ja |
| 11.8 | Utloggning efter en tid utan aktivitet | Delvis |
| 11.9 | En logg över inloggningar som går att söka i | Ja |
| 11.10 | Minsta möjliga behörighet och åtskilda arbetsuppgifter | Ja |
| 11.11 | Regelbunden granskning av behörigheter | Delvis |
| 15.8 | Uppdelade nätverk och strikta regler i brandväggen | Ja |
| 15.9 | Regelbunden granskning av reglerna i brandväggen | Delvis |
| 15.12 | Isolera system på plattformar som saknar support | Ja |
| 15.14 | Isolera system som inte har uppdaterats i tid | Ja |
| 15.20 | Krypterat protokoll för fjärranslutningar över internet | Ja |
| 12 | Audit trail för ändringar av GMP-data | Nej |
| 15.18 | Skydd mot virus | Nej |
Numren gäller utkastet och kan ändras i den slutliga texten. Beskrivningarna av kraven är våra förenklingar.
Krav för krav
Så hjälper XoT till
Isolera det som inte kan uppdateras – 15.12 och 15.14
Många system i produktionen körs på plattformar som tillverkaren inte längre stöder. Utkastet säger att sådana system ska isoleras. Låset gör systemet osynligt för alla som saknar behörighet. Systemet behåller sin adress, och nätverket behöver inte byggas om. Behöriga användare når det fortfarande, men bara genom låset.
Fjärråtkomst – 11.6 och 15.20
Leverantörer och tekniker som ansluter utifrån loggar in med certifikat och flerfaktorsinloggning. Förbindelsen krypteras med WireGuard. Ingen VPN-förbindelse in i nätverket behövs.
Behörigheter – 11.2, 11.10 och 11.11
Varje regel gäller en viss person, viss utrustning och en viss tid. En behörighet kan dras in direkt. I Policy Graph ser ni vem som når vad. Det gör granskningen enkel, men själva granskningen står ni för.
Logg och sessioner – 11.8 och 11.9
XMS loggar varje anslutning med vem, vad och när. Loggen går att söka i och kan skickas till ert SIEM-system. En administratör kan ställa in hur länge en session får pågå. Annars stängs sessionen när biljetten går ut. Utloggning vid inaktivitet i själva GMP-systemet hanterar ni i systemet.
Personliga konton – 11.1
Varje person och varje enhet har en egen identitet i XoT. Kontona i själva GMP-systemet hanterar ni där.
Texten från 2011
Bilaga 11 som gäller i dag
Tills utkastet har beslutats gäller texten från 2011. Tabellen visar de avsnitt där XoT hjälper till.
| Avsnitt | Krav | XoT |
|---|---|---|
| 12.1 | Fysiska eller logiska kontroller begränsar åtkomsten till behöriga | Ja |
| 12.2 | Skyddet anpassas efter hur kritiskt systemet är | Ja |
| 12.3 | Att behörigheter skapas, ändras och tas bort registreras | Ja |
| 3 | Leverantörer och tjänsteleverantörer | Delvis |
| 7.1 | Data skyddas både fysiskt och elektroniskt | Delvis |
| 16 | Kontinuitet i verksamheten | Delvis |
| 9 | Audit trail för ändringar av GMP-data | Nej |
| 14 | Elektroniska underskrifter | Nej |
Dataintegritet
Loggar som håller vid en inspektion
GMP bygger på dataintegritet. Uppgifter ska gå att spåra till en person och en tidpunkt. De får inte ändras i efterhand utan att det syns.
Det gäller också åtkomstkontrollen. Granskningsloggen i XMS, på engelska audit log, visar varje ändring av regler och behörigheter. Den visar vem som gjorde ändringen, när och vad som ändrades. Loggen är skyddad mot ändringar i efterhand.
Händelseloggen visar varje anslutning. Sessioner via webbläsaren spelas in automatiskt, så att ni kan se vad en leverantör gjorde. Hur länge loggarna sparas i XMS ställer ni in. För lång lagring skickar ni dem till ert SIEM-system, till exempel Splunk, IBM QRadar eller Wazuh.
XoT ersätter inte audit trail i era GMP-system. Den loggar ändringar av data i systemet. XoT loggar vem som fick nå systemet.
Leverantör och kvalificering
Underlag när ni bedömer oss som leverantör
XoT skapar och lagrar inga GMP-data. XoT är infrastruktur som skyddar era system. Därför kvalificerar ni XoT som en del av infrastrukturen. Ni validerar det inte som ett GMP-system.
När ni bedömer oss som leverantör kan ni få det här på begäran:
- Quality at Xertified, vår beskrivning av kvalitetsarbetet
- en förteckning över programvarans delar (SBOM)
- rapporter från penetrationstester
- en beskrivning av loggar och telemetri i XMS
Programvaran får en långtidsversion varje år. Det gör det lättare att planera ändringar och ny kvalificering.
Vanliga frågor
Är XoT validerat för GMP?
Nej. Validering gäller ett system i sin miljö, och den gör ni. XoT kan ingå i en validerad miljö som en del av infrastrukturen.
Gäller det nya utkastet redan nu?
Nej. Texten från 2011 gäller tills utkastet har beslutats. Utkastet visar ändå vad inspektörerna kommer att fråga efter.
Kan leverantörer fortfarande ge support på distans?
Ja. Leverantören når bara sin egen maskin, under den tid som regeln gäller. Anslutningen loggas, och en session via webbläsaren spelas in.
Har ni erfarenhet av life science?
Ja. Vi har skrivit en rapport tillsammans med Cytiva Testa Center i Uppsala. Det är en testanläggning där företag kan prova att skala upp biologiska processer.
Det vi skriver här är vår tolkning av bilaga 11 och av utkastet. Det är ingen validering.
Be om underlag till kvalificeringen
Vi skickar gärna det underlag ni behöver för att bedöma oss som leverantör.