GMP

Wat is GMP?

GMP (Good Manufacturing Practice) is het geheel van wettelijke eisen en richtlijnen dat garandeert dat geneesmiddelen en andere gevoelige producten consequent worden geproduceerd en gecontroleerd volgens vastgelegde kwaliteitsnormen, zodat elke batch veilig, werkzaam en herleidbaar is. GMP richt zich niet op het eindproduct alleen, maar op het hele productieproces: personeel, ruimtes, apparatuur, grondstoffen, documentatie en vrijgave. Het principe is voorkomen in plaats van corrigeren: kwaliteit kun je niet in een product testen, die moet je erin produceren. Omdat steeds meer van dat proces in MES, SCADA, DCS en LIMS plaatsvindt, is GMP een van de belangrijkste raakvlakken tussen kwaliteitsregelgeving en OT.

🧱 Is GMP een richtlijn of een wettelijke eis?

Voor geneesmiddelen is GMP in de EU en de VS geen vrijblijvende richtlijn maar wetgeving. GMP is onderdeel van de bredere familie GxP-regels, naast onder meer Good Laboratory Practice en Good Distribution Practice.

De FDA publiceerde de eerste cGMP-regels in 1963; de huidige regels voor geneesmiddelen in 21 CFR 211 gaan terug op een grote herziening uit 1978. De “c” van current betekent dat de FDA verwacht dat u actuele technologie en inzichten toepast, niet alleen de letter van de regel. In de EU verplicht Richtlijn 2017/1572 elke fabrikant tot een farmaceutisch kwaliteitssysteem waarbij ook het senior management actief betrokken is.

Buiten de farma wordt de term breder gebruikt. Cosmetica moeten volgens de Europese Cosmeticaverordening (EG) 1223/2009 onder GMP worden gemaakt; de norm ISO 22716 geldt daarbij als vermoeden van overeenstemming. In de voedingsmiddelenindustrie vormen GMP-programma’s de basis onder HACCP en legt Verordening (EG) 2023/2006 GMP wettelijk vast voor verpakkingen en andere materialen die met levensmiddelen in contact komen, en medische hulpmiddelen vallen onder een kwaliteitssysteem volgens ISO 13485, dat de FDA sinds 2 februari 2026 via de QMSR ook in de VS heeft overgenomen.

🔧 Wat regelt GMP concreet?

De EU GMP Guide is opgebouwd uit negen hoofdstukken in deel I, aangevuld met deel II voor werkzame stoffen (gelijk aan ICH Q7) en een reeks annexen. De kern:

• Kwaliteitssysteem - een farmaceutisch kwaliteitssysteem volgens ICH Q10, met risicomanagement volgens ICH Q9(R1) uit 2023
• Personeel - training, hygiëne en duidelijke verantwoordelijkheden; productie en kwaliteitscontrole zijn gescheiden functies
• Ruimtes en apparatuur - geschikt, schoon, gekwalificeerd en gekalibreerd
• Documentatie - specificaties, voorschriften en batchrecords; wat niet is vastgelegd, is niet gebeurd
• Productie - gevalideerde processen volgens vastgestelde voorschriften, met elke batch herleidbaar via een batchnummer
• Kwaliteitscontrole - bemonstering en testen van grondstoffen, tussenproducten en eindproducten
• Uitbesteding, klachten en recalls - afspraken met contractpartijen en procedures om een product snel terug te halen
• Zelfinspectie - interne audits om afwijkingen zelf te vinden voordat een inspecteur dat doet

Voor OT zijn vooral vier annexen relevant:

🔄 Hoe raakt GMP aan automatisering en OT?

Elk systeem dat een GMP-beslissing ondersteunt, moet aantoonbaar doen wat het moet doen. Dat geldt voor de besturing die een sterilisatiecyclus uitvoert net zo goed als voor de software die een batch vrijgeeft.

Twee regelsets bepalen hoe die systemen moeten worden ingericht. In Europa is dat Annex 11, in de VS 21 CFR Part 11 voor elektronische records en handtekeningen. Hoe u valideert, staat in GAMP 5 van ISPE, waarvan de tweede editie in juli 2022 verscheen. GAMP deelt software in naar categorie (van infrastructuur en standaardsoftware tot maatwerk) en schaalt de validatie-inspanning mee met het risico voor patiënt, product en data.

🔐 Wat betekent data-integriteit onder GMP?

Inspecteurs toetsen niet alleen of een proces goed verliep, maar ook of de vastgelegde gegevens betrouwbaar zijn. Data-integriteit wordt beoordeeld volgens de ALCOA+-principes:

• Attributable - toe te rekenen aan een persoon of systeem
• Legible - leesbaar en blijvend
• Contemporaneous - vastgelegd op het moment van de handeling
• Original - de originele gegevens of een gewaarmerkte kopie
• Accurate - juist en foutloos
• + Complete, Consistent, Enduring, Available - volledig, consistent, duurzaam bewaard en beschikbaar

Klassieke bevindingen in OT zijn gedeelde accounts op een HMI, een uitgeschakelde audit trail, operators met beheerrechten en systeemklokken die niet via NTP zijn gesynchroniseerd. Ook cybersecurity raakt aan GMP: de wiper NotPetya verstoorde in 2017 de productie van geneesmiddelen en vaccins bij Merck. De concept-herziening van Annex 11 uit juli 2025 wil beveiliging, identiteits- en toegangsbeheer en patching tot expliciete eisen maken; tot de definitieve versie van kracht wordt, geldt de Annex 11-tekst uit 2011.

🧭 Hoe richt u een OT-systeem GMP-conform in?

Een nieuw MES, SCADA- of historian-systeem in een farmaceutische fabriek doorloopt grofweg deze stappen:

1. Bepaal de GMP-relevantie - beïnvloedt het systeem productkwaliteit, patiëntveiligheid of data die voor vrijgave worden gebruikt? Zo nee, dan volstaat goede engineeringpraktijk.
2. Schrijf een User Requirements Specification (URS) - inclusief eisen voor audit trail, rollen, elektronische handtekeningen en bewaartermijnen.
3. Voer een risicoanalyse uit - volgens ICH Q9(R1) en GAMP 5; test grondig waar het risico hoog is en houd het bewijs beperkt waar het laag is.
4. Kwalificeer en test - benut leveranciersdocumentatie en de FAT en SAT, gevolgd door installatie-, operationele en prestatiekwalificatie (IQ, OQ, PQ).
5. Beveilig en scheid - Netwerksegmentatie volgens IEC 62443, persoonlijke accounts, gesynchroniseerde tijd en een geteste back-up.
6. Beheer de gevalideerde status - elke wijziging via change management, getest in een OTAP-straat, plus periodieke review van audit trails en toegangsrechten.

Typische bewaartermijnen voor batchdocumentatie in de EU zijn minimaal één jaar na de vervaldatum van de batch of vijf jaar na certificering door de QP, wat het langst is. Voor een historian betekent dat jaren aan procesdata die leesbaar en ongewijzigd moeten blijven, ook na een migratie naar nieuwe software.

🏭 Waar wordt GMP toegepast?

In Nederland houdt de Inspectie Gezondheidszorg en Jeugd (IGJ) periodiek GMP-inspecties bij alle geneesmiddelenfabrikanten, meestal gecombineerd met een inspectie op Good Distribution Practice. Een fabrikantenvergunning vraagt u aan via Farmatec; bij een positieve inspectie geeft de IGJ een GMP-certificaat af, dat in de Europese databank EudraGMDP wordt gepubliceerd. Exporteert u naar de VS, dan inspecteert ook de FDA uw fabriek, vaak naast de Europese inspectie.

❓ Veelgestelde vragen

Wat is het verschil tussen GMP en cGMP?

cGMP staat voor current Good Manufacturing Practice en is de Amerikaanse term uit 21 CFR 210 en 211. De “c” benadrukt dat fabrikanten actuele technologie en inzichten moeten toepassen. Inhoudelijk streven GMP en cGMP hetzelfde doel na: consequente productkwaliteit die aantoonbaar is vastgelegd.

Is GMP een ISO-norm?

GMP is geen ISO-norm maar wetgeving en overheidsrichtlijnen, zoals de EU GMP Guide en 21 CFR 211. ISO 9001 is een algemene norm voor kwaliteitsmanagement en volstaat niet voor GMP. Voor cosmetica en medische hulpmiddelen bestaan wel ISO-normen (ISO 22716 en ISO 13485) die GMP-eisen invullen.

Wie controleert of een bedrijf aan GMP voldoet?

In Nederland controleert de Inspectie Gezondheidszorg en Jeugd (IGJ) of geneesmiddelenfabrikanten aan GMP voldoen en geeft zij GMP-certificaten af. In de VS doet de FDA dat, ook bij buitenlandse fabrieken die naar de Amerikaanse markt exporteren. Binnen de EU worden GMP-inspecties doorgaans ten minste eens per drie jaar herhaald.

Moet een SCADA- of MES-systeem gevalideerd worden onder GMP?

Een SCADA- of MES-systeem moet onder GMP worden gevalideerd zodra het productkwaliteit beïnvloedt of gegevens vastlegt die voor batchvrijgave worden gebruikt. Validatie gebeurt risicogebaseerd volgens Annex 11 en GAMP 5. Systemen zonder GMP-impact, zoals een energiedashboard, vallen er meestal buiten.

Wat is een Qualified Person onder GMP?

Een Qualified Person (QP) is de wettelijk aangewezen deskundige die in de EU elke batch geneesmiddelen certificeert voordat die mag worden vrijgegeven. De QP verklaart dat de batch volgens de handelsvergunning en GMP is gemaakt en gecontroleerd. Elke fabrikant met een fabrikantenvergunning moet ten minste één QP beschikbaar hebben.

Welke rol speelt cybersecurity binnen GMP?

Cybersecurity is binnen GMP een voorwaarde voor betrouwbare en beschikbare productiedata en daarmee voor data-integriteit. Annex 11 eist al toegangsbeheer en back-ups, en de concept-herziening uit 2025 stelt expliciete eisen voor voor beveiliging en patching. Een cyberaanval die batchrecords onleesbaar maakt, kan betekenen dat batches niet meer vrijgegeven kunnen worden.

📌 Samengevat

GMP is het wettelijke kwaliteitskader dat fabrikanten van geneesmiddelen en andere gevoelige producten dwingt tot gevalideerde processen, volledige documentatie en aantoonbare controle over elke batch. Voor OT betekent dat: systemen als MES, LIMS, SCADA en de historian moeten gevalideerd, beveiligd en ALCOA+-proof zijn, zodat compliance met EU GMP, Annex 11 en 21 CFR Part 11 aantoonbaar blijft.