GxP

Wat is GxP?

GxP is de verzamelnaam voor de ‘Good Practice’-richtlijnen en -regels, zoals GMP, GLP, GCP en GDP, die in gereguleerde sectoren als farma, biotech, medische hulpmiddelen en voeding vastleggen hoe u producten, onderzoek en gegevens aantoonbaar veilig, kwalitatief en traceerbaar beheert. De “G” staat voor Good, de “P” voor Practice en de “x” is een plaatshouder voor het domein, zoals Manufacturing, Laboratory of Clinical. GxP is dus geen afzonderlijke wet, maar een familie van regels en richtlijnen die toezichthouders zoals de FDA en de Nederlandse Inspectie Gezondheidszorg en Jeugd (IGJ) handhaven. Voor IT en OT is GxP vooral relevant omdat SCADA, MES, LIMS en de historian de gegevens vastleggen waarop een batch wordt vrijgegeven.

🧠 Welke richtlijnen vallen onder GxP?

De meeste GxP-richtlijnen dekken een fase van de levenscyclus van een product, terwijl GDocP voor alle fasen geldt: van laboratoriumonderzoek en klinische studies tot productie, distributie en bewaking na markttoelating.

Let op de dubbele betekenis van GDP: in de farma bedoelt men meestal Good Distribution Practice, maar sommige organisaties gebruiken dezelfde afkorting voor Good Documentation Practice. Buiten de farma zijn er nog meer varianten, zoals Good Agricultural Practice in de landbouw.

GAMP wordt vaak in hetzelfde rijtje genoemd, maar is van een andere orde. GAMP 5 is een good-practice-gids van de beroepsvereniging ISPE die beschrijft hoe u gecomputeriseerde systemen valideert; de tweede editie verscheen in juli 2022. De wettelijke eis om te valideren komt uit GMP en de andere GxP-regels zelf.

🎯 Waarom is GxP belangrijk?

GxP bestaat omdat fouten in geneesmiddelen of onderzoeksdata direct patiënten kunnen schaden. De regels dwingen af dat elke stap herhaalbaar, gecontroleerd en achteraf te reconstrueren is.

• Patiëntveiligheid en volksgezondheid - een verkeerde dosering, besmetting of verwisseling moet worden voorkomen, en als het toch gebeurt moet u het kunnen traceren
• Betrouwbare gegevens - klinische resultaten, laboratoriumuitslagen en batchrecords moeten voldoen aan de principes van data-integriteit (ALCOA+)
• Markttoegang - zonder positieve GMP-inspectie geen fabrikantenvergunning, zonder GCP-conforme studie geen registratie
• Controleerbaarheid - GxP maakt audits, inspecties, validatie en traceerbaarheid mogelijk
• Fundament voor systemen - GxP bepaalt de eisen aan QMS, LIMS, DMS en MES

De gevolgen van non-compliance zijn concreet: een FDA-warning letter, een importverbod, een geschorste vergunning of batches die niet vrijgegeven mogen worden. Ook een cyberincident raakt GxP: de wiper NotPetya verstoorde in 2017 de productie van geneesmiddelen en vaccins bij Merck.

🏛️ Wie houdt toezicht op GxP?

Sinds juli 2019 erkennen de EU en de VS elkaars GMP-inspecties voor humane geneesmiddelen, zodat een IGJ-inspectie in veel gevallen volstaat. GMP-inspecties worden in de EU doorgaans ten minste eens per drie jaar herhaald. Klinische studies worden in Nederland vooraf getoetst door een erkende medisch-ethische toetsingscommissie of de CCMO, sinds 31 januari 2022 via het Europese portaal van Verordening 536/2014.

🔧 Wat betekent GxP voor IT- en OT-systemen?

Elk gecomputeriseerd systeem dat productkwaliteit beïnvloedt of GxP-gegevens vastlegt, moet gevalideerd zijn en in een gecontroleerde staat blijven. In Europa staat dat in Annex 11 van EudraLex Volume 4 (2011), in de VS in 21 CFR Part 11 voor elektronische records en handtekeningen, sinds 1997 van kracht.

Typische inspectiebevindingen in OT zijn gedeelde accounts op een HMI, een uitgeschakelde audit trail, operators met beheerrechten en systeemklokken die niet gesynchroniseerd zijn. De concept-herziening van Annex 11 van 7 juli 2025 wil beveiliging, identiteits- en toegangsbeheer en patching tot expliciete eisen maken, en introduceert een nieuw Annex 22 over AI. Tot de definitieve versie van kracht wordt, geldt de tekst uit 2011.

🛠 Hoe pakt u GxP-compliance in een OT-omgeving aan?

Een praktische aanpak volgt de levenscyclus uit GAMP 5. Ook de risicobenadering uit de definitieve FDA-guidance Computer Software Assurance (CSA) van september 2025 is bruikbaar: die is geschreven voor productie- en kwaliteitssoftware van medische hulpmiddelen, maar dient ook in de farma als referentie. De stappen:

1. Inventariseer en classificeer - maak een systeemlijst en bepaal per systeem de GxP-impact; een energiedashboard valt er meestal buiten, een batchrecept niet
2. Voer een risicobeoordeling uit - richt de validatie-inspanning op functies met hoge impact op patiënt, product en data, in lijn met risicomanagement volgens ICH Q9(R1)
3. Specificeer en kwalificeer - van gebruikerseisen (URS) via installatie-, operationele en prestatiekwalificatie (IQ, OQ, PQ), zoals Annex 15 sinds 1 oktober 2015 beschrijft
4. Borg de operationele fase - change control, versiebeheer van PLC- en recepturen, periodieke review en back-up met geteste restore
5. Beveilig het systeem - zones en conduits volgens IEC 62443, omdat een aanval op de beschikbaarheid of integriteit van data ook een GxP-probleem is
6. Plan voor de hele levensduur - levenscyclusbeheer tot en met de buitengebruikstelling, inclusief leesbare archieven

Enkele typische waarden uit de praktijk: koelketenproducten worden doorgaans bewaard en vervoerd bij 2–8 °C, kamertemperatuurproducten bij 15–25 °C, en de EU GDP-richtlijnen eisen voor temperatuurgevoelige producten gekwalificeerde transportmiddelen en temperatuurmapping. Batchdocumentatie bewaart u volgens EU GMP ten minste een jaar na de vervaldatum van de batch of vijf jaar na certificering door de Qualified Person, welke termijn het langst is. Sinds 9 februari 2019 moeten de meeste receptgeneesmiddelen in de EU bovendien een uniek identificatiekenmerk en een verzegeling hebben, wat track-and-trace tot een vast onderdeel van de verpakkingslijn maakt.

Farmaceutische producenten kunnen daarnaast onder NIS2 en de Cyberbeveiligingswet vallen, die sinds 15 augustus 2026 van kracht is. GxP en cybersecurity versterken elkaar: dezelfde maatregelen voor toegang, logging en wijzigingsbeheer dienen beide kaders.

✅ Wat levert werken volgens GxP op?

• Hogere productkwaliteit en patiëntveiligheid - minder afwijkingen, terugroepacties en klachten
• Compliance met internationale wet- en regelgeving - één aanpak voor EU, VS en PIC/S-landen
• Gestandaardiseerde procedures en processen - vastgelegd in SOP’s en een QMS
• Beheersing van risico’s en afwijkingen - via CAPA en risicogebaseerde validatie
• Ondersteuning bij audits en inspecties - aantoonbaar bewijs in plaats van mondelinge uitleg

❓ Veelgestelde vragen

Waar staat de x in GxP voor?

De x in GxP is een plaatshouder voor het domein waarop de good practice betrekking heeft. Zo staat GMP voor Good Manufacturing Practice, GLP voor Good Laboratory Practice en GCP voor Good Clinical Practice. GxP is daarmee de verzamelnaam voor al deze richtlijnen samen.

Is GxP wettelijk verplicht?

GxP is als verzamelnaam geen wet, maar de onderliggende regels zijn dat wel. EU GMP is verankerd in Europese richtlijnen en de Geneesmiddelenwet, en in de VS staan GMP, GLP en Part 11 in de Code of Federal Regulations. Begeleidende gidsen zoals GAMP 5 zijn niet bindend, maar inspecteurs accepteren ze als onderbouwde invulling.

Wat is het verschil tussen GxP en ISO 9001?

ISO 9001 is een vrijwillige, algemene norm voor kwaliteitsmanagement die elke organisatie kan laten certificeren. GxP-regels zijn sectorspecifiek, worden door overheidsinspecties gehandhaafd en stellen veel concretere eisen aan validatie, documentatie en data-integriteit. Een farmabedrijf kan ISO 9001-gecertificeerd zijn en toch niet aan GMP voldoen.

Welke OT-systemen vallen onder GxP?

Onder GxP vallen alle OT-systemen die productkwaliteit beïnvloeden of gegevens vastleggen die voor vrijgave of onderzoek worden gebruikt. Denk aan SCADA, DCS, MES met elektronische batchrecords, LIMS, historians en systemen voor omgevingsmonitoring. Systemen zonder GxP-impact, zoals een gebouwdashboard voor energie, vallen er meestal buiten.

Wat is GxP-validatie?

GxP-validatie is het gedocumenteerde bewijs dat een systeem of proces consequent doet wat het moet doen. Voor gecomputeriseerde systemen gebeurt dat risicogebaseerd volgens Annex 11, 21 CFR Part 11 en GAMP 5, met kwalificatiestappen als IQ, OQ en PQ. Na ingebruikname blijft het systeem via change control en periodieke review in een gevalideerde staat.

Wie controleert GxP in Nederland?

In Nederland controleert de Inspectie Gezondheidszorg en Jeugd (IGJ) of fabrikanten, groothandels, laboratoria en onderzoekers aan GxP voldoen. De IGJ is ook de Nederlandse monitoringautoriteit voor Good Laboratory Practice. Vergunningen voor fabrikanten en groothandels worden verleend door Farmatec, onderdeel van het CIBG.

📌 Samengevat

GxP omvat alle ‘Good Practice’-richtlijnen, van GLP en GCP tot GMP en GDP, die kwaliteit, veiligheid en traceerbaarheid borgen in farma, biotech, medische hulpmiddelen en voeding.

Voor IT en OT betekent GxP dat systemen die productkwaliteit raken gevalideerd, beveiligd en ALCOA+-proof moeten zijn, met audit trails, toegangsbeheer en gecontroleerde wijzigingen. Wie GxP, data-integriteit en cybersecurity als één samenhangend geheel aanpakt, staat sterk bij elke inspectie.