Wat is GAMP?
GAMP (Good Automated Manufacturing Practice) is een richtlijn van de beroepsvereniging ISPE die beschrijft hoe u geautomatiseerde systemen in een GxP-omgeving risicogebaseerd specificeert, verifieert en in een gevalideerde staat houdt. De huidige versie heet voluit GAMP 5: A Risk-Based Approach to Compliant GxP Computerized Systems; de tweede editie verscheen in juli 2022. GAMP is geen wet en geen norm, maar toezichthouders en farmabedrijven gebruiken het wereldwijd als de gangbare invulling van computerized system validation (CSV).
GAMP helpt aantonen dat systemen en software geschikt, betrouwbaar en compliant zijn voor de productie van geneesmiddelen of medische hulpmiddelen.
GAMP hangt nauw samen met GMP, de eisen van de Amerikaanse FDA in 21 CFR Part 11 en de Europese EU GMP Annex 11. Die regels zeggen dat u moet valideren; GAMP beschrijft hoe.
🧠 Hoe is GAMP ontstaan?
GAMP begon in 1991 in het Verenigd Koninkrijk als initiatief van validatie-experts van onder meer Glaxo, Wellcome en ICI Pharmaceuticals. De aanleiding waren strenge FDA-inspecties van computersystemen eind jaren tachtig en begin jaren negentig. De naam werd voorgesteld door een inspecteur van de Britse Medicines Control Agency, de voorloper van de huidige MHRA.
| Versie | Jaar | Belangrijkste verandering |
|---|---|---|
| Supplier Guide (GAMP 1) | 1994 (concept), 1995 | Eerste richtlijn, gericht op leveranciers van systemen |
| GAMP 2 | 1996 | Herziene editie van de gids |
| GAMP 3 | 1998 | Editie in twee delen |
| GAMP 4 | 2001 | Reikwijdte verbreed van GMP naar alle GxP-systemen |
| GAMP 5 | 2008 | Risicogebaseerde, schaalbare levenscyclus; categorie 2 vervalt |
| GAMP 5, tweede editie | 2022 | Kritisch denken, iteratieve ontwikkeling, cloud, AI/ML, open source |
Sinds 2000 is GAMP onderdeel van ISPE (International Society for Pharmaceutical Engineering). Naast de hoofdgids verschijnen Good Practice Guides over specifieke onderwerpen, zoals data-integriteit en, sinds juli 2025, de GAMP Guide: Artificial Intelligence.
🎯 Wat is het doel van GAMP?
- Patiëntveiligheid en productkwaliteit - systemen die batches vrijgeven, recepten sturen of kwaliteitsdata opslaan, moeten aantoonbaar correct werken
- Data-integriteit - gegevens moeten volgens ALCOA+ toerekenbaar, leesbaar, gelijktijdig vastgelegd, origineel en accuraat zijn, en daarnaast volledig, consistent, duurzaam en beschikbaar
- Aantoonbare compliance - met EU GMP Annex 11 en, bij levering aan de Amerikaanse markt, 21 CFR Part 11
- Efficiënte validatie - inspanning richten op wat risico heeft, en hergebruiken wat leveranciers al hebben getest
🧱 Wat zijn de kernprincipes van GAMP 5?
GAMP 5 rust op vijf sleutelconcepten. De tweede editie voegt daar uitdrukkelijk kritisch denken door deskundigen aan toe: geen checklist, maar een onderbouwde keuze per systeem.
| Principe | Toelichting |
|---|---|
| Product- en procesbegrip | Weet welke functies invloed hebben op patiënt, product en data |
| Levenscyclus binnen het QMS | Validatie loopt van concept via project en gebruik tot buitengebruikstelling |
| Schaalbare activiteiten | Omvang van specificatie en test hangt af van risico, complexiteit en nieuwheid |
| Wetenschappelijk risicomanagement | Risico’s beoordelen op ernst, waarschijnlijkheid en detecteerbaarheid |
| Leveranciers benutten | Documentatie en tests van leveranciers hergebruiken na beoordeling |
🖥️ Welke softwarecategorieën kent GAMP 5?
GAMP 5 deelt software in vier categorieën in. Categorie 2 (firmware) uit GAMP 4 is vervallen; de nummering bleef gelijk. Firmware valt nu in de categorie die bij de aard ervan past.
| Categorie | Type software | Voorbeelden | Typische validatie |
|---|---|---|---|
| 1 - Infrastructuur | Platformsoftware zonder GxP-functie | Besturingssysteem, databaseserver, middleware | Vastleggen versie, juiste installatie |
| 3 - Niet-geconfigureerd | Standaardproduct, alleen parameters ingesteld | Software van laboratoriuminstrumenten, standaardpakket | Leverancier beoordelen, testen tegen gebruikerseisen |
| 4 - Geconfigureerd | Product ingericht via configuratie, zonder codewijziging | LIMS, MES, SCADA, DCS, ERP, WMS, BMS | Configuratie specificeren en testen, plus risicogebaseerde functietests |
| 5 - Maatwerk | Zelf geschreven of sterk aangepaste code | Eigen applicaties, scripts, macro’s, PLC-applicatiecode | Volledige levenscyclus met ontwerp, codereview en uitgebreide tests |
Voor hardware kent GAMP standaardhardware (zoals servers, netwerkapparatuur en standaard-PLC’s) en maatwerkhardware. De tweede editie benadrukt dat categorieën een continuüm zijn en geen vaste risiconiveaus: een eenvoudige categorie 4-toepassing kan minder werk vragen dan een kritische categorie 3-module.
🔧 Hoe valideert u een systeem volgens GAMP 5?
GAMP 5 werkt met specificatie en verificatie: elke eis krijgt een passende test, en een traceerbaarheidsmatrix koppelt beide. De tweede editie stelt expliciet dat die aanpak niet lineair hoeft te zijn; iteratieve en incrementele ontwikkelmethoden zijn toegestaan.
- Bepaal de GxP-relevantie - beoordeel of het systeem invloed heeft op patiëntveiligheid, productkwaliteit of data-integriteit, en kies de softwarecategorie.
- Leg gebruikerseisen vast - een User Requirements Specification (URS) beschrijft wat het proces nodig heeft, inclusief audit trail, elektronische handtekeningen en toegangsbeheer.
- Voer een functionele risicobeoordeling uit - GAMP gebruikt een vijfstappenmodel: eerste impactbeoordeling, kritische functies identificeren, risico’s per functie beoordelen, maatregelen implementeren en verifiëren, en risico’s periodiek herzien. Ernst maal waarschijnlijkheid geeft een risicoklasse; gecombineerd met detecteerbaarheid ontstaat een prioriteit.
- Beoordeel de leverancier - via een audit of vragenlijst; goed gedocumenteerde leveranciertests, zoals een FAT, mogen worden hergebruikt.
- Specificeer en test - functionele specificaties, configuratie- en ontwerpspecificaties, gevolgd door verificatie. In de praktijk heten die tests vaak nog IQ, OQ en PQ (installatie-, operationele en prestatiekwalificatie), aangevuld met de SAT op locatie.
- Rapporteer en geef vrij - een validatierapport bevestigt dat het systeem geschikt is voor het beoogde gebruik.
- Houd de gevalideerde staat vast - met change management, configuratiebeheer, back-ups, incidentbeheer en periodieke reviews.
🔄 Wat is het verschil tussen GAMP en CSV?
| GAMP | Computerized System Validation (CSV) |
|---|---|
| Richtlijn van ISPE over de aanpak | Activiteit die GMP-regelgeving verplicht stelt |
| Niet juridisch bindend | Vereist door Annex 11 en 21 CFR Part 11 |
| Levert categorieën, risicomodel en levenscyclus | Levert het bewijs per systeem: plan, tests, rapport |
| Schaalt inspanning naar risico | Wordt vaak volgens GAMP uitgevoerd |
De FDA zette in september 2025 met de definitieve guidance Computer Software Assurance (CSA) dezelfde koers voort: test grondig waar de impact hoog is en houd bewijs beperkt bij laag risico. CSA is geschreven voor medische hulpmiddelen, maar sluit naadloos aan bij de tweede editie van GAMP 5.
🔐 Hoe verhoudt GAMP zich tot OT-cybersecurity?
Voor OT-teams in de farma botst GAMP regelmatig met beveiliging. Elke patch of firmware-update op een gevalideerd systeem is een wijziging die beoordeeld en soms opnieuw getest moet worden. Daardoor blijven kwetsbare systemen soms jaren ongepatcht.
- Patchmanagement - leg in de validatie vooraf vast welke soorten updates met een beperkte regressietest mogen worden doorgevoerd
- Beveiliging als eis - neem in de URS eisen op uit IEC 62443, zoals segmentatie, persoonlijke accounts en logging
- Testomgeving - een representatieve OTAP-straat maakt het mogelijk updates eerst buiten productie te verifiëren
- Regelgeving - de concept-herziening van Annex 11 uit juli 2025 wil beveiliging, identiteits- en toegangsbeheer en patching tot expliciete eisen maken; tot de definitieve versie van kracht wordt, geldt de tekst uit 2011
In Nederland houdt de Inspectie Gezondheidszorg en Jeugd (IGJ) toezicht op GMP. Farmaceutische producenten kunnen daarnaast onder NIS2 en de Cyberbeveiligingswet vallen, die sinds 15 augustus 2026 van kracht is.
❓ Veelgestelde vragen
Is GAMP 5 verplicht?
GAMP 5 is niet wettelijk verplicht: het is een good-practice-richtlijn van ISPE. Wettelijk verplicht is dat gecomputeriseerde systemen in een GMP-omgeving gevalideerd zijn, onder meer via EU GMP Annex 11 en 21 CFR Part 11. Inspecteurs accepteren GAMP 5 breed als onderbouwde manier om aan die eis te voldoen.
In welke GAMP-categorie valt een SCADA-systeem?
Een SCADA-systeem valt meestal in GAMP-categorie 4, omdat een standaardproduct via configuratie wordt ingericht. Zelf geschreven scripts of uitbreidingen binnen dat SCADA-pakket vallen in categorie 5 en vragen extra specificatie en tests. De uiteindelijke indeling volgt uit een risicobeoordeling, niet alleen uit het producttype.
Waarom bestaat GAMP-categorie 2 niet meer?
GAMP-categorie 2 was in GAMP 4 gereserveerd voor firmware, maar werd in GAMP 5 (2008) geschrapt. Firmware is zo divers geworden dat ze nu wordt ingedeeld naar haar aard: als niet-geconfigureerd, geconfigureerd of maatwerk. De nummering 1, 3, 4 en 5 bleef behouden om verwarring te voorkomen.
Wat is er nieuw in de tweede editie van GAMP 5?
De tweede editie van GAMP 5 verscheen in juli 2022 en behoudt de principes van 2008. Nieuw zijn de nadruk op kritisch denken, ruimte voor iteratieve en incrementele ontwikkeling, meer hergebruik van leveranciersdocumentatie en bijlagen over cloud, AI/machine learning, blockchain en open source. Ook legt ze de link met Computer Software Assurance van de FDA.
Moet een gevalideerd systeem opnieuw gevalideerd worden na een patch?
Na een patch hoeft een systeem onder GAMP niet volledig opnieuw gevalideerd te worden, maar de wijziging moet wel via change control worden beoordeeld. De omvang van de hertest hangt af van het risico van de wijziging voor GxP-functies. Een vooraf afgesproken aanpak voor beveiligingsupdates voorkomt dat patching jarenlang blijft liggen.
Geldt GAMP ook voor AI-toepassingen?
GAMP geldt ook voor AI-toepassingen die GxP-beslissingen ondersteunen. ISPE publiceerde in juli 2025 een aparte GAMP Guide: Artificial Intelligence, bedoeld om naast GAMP 5 te gebruiken. Daarnaast bevat de concept-herziening van de EU GMP-richtlijnen een nieuw Annex 22 over AI.
📌 Samengevat
GAMP is in ruim dertig jaar uitgegroeid van een Britse leveranciersgids tot de gangbare aanpak voor computervalidatie in de farma en life sciences. Met softwarecategorieën, een functionele risicobeoordeling en hergebruik van leverancierswerk schaalt het de validatie-inspanning naar het werkelijke risico. Voor OT betekent dat: auditbare systemen, beheerste wijzigingen en een vooraf geregelde route voor beveiligingsupdates.
GAMP 5 is de risicogebaseerde ISPE-richtlijn voor het valideren van geautomatiseerde GxP-systemen, en helpt aantonen dat uw systemen veilig, betrouwbaar en compliant zijn.