E-Procurement für Pharma: ISO 27001 und Audit-Anforderungen

In regulierten Branchen scheitert die Auswahl einer Beschaffungsplattform selten am Funktionsumfang, sondern an der Lieferantenfreigabe. IT-Security fragt nach Zertifikaten, die Qualitätssicherung nach Nachvollziehbarkeit – und beide meinen etwas anderes. Dieser Artikel trennt die beiden Prüfungen und liefert Ihnen den Fragenkatalog, mit dem Sie jeden Anbieter belastbar bewerten.

Für Pharma, Chemie und Medizintechnik kommen E-Procurement-Systeme infrage, die zwei Nachweise getrennt erbringen: Informationssicherheit beim Anbieter, also ISO 27001 oder gleichwertig plus Auftragsverarbeitungsvertrag, und Auditfähigkeit im System, also lückenloser Audit-Trail, rollenbasierte Rechte und SSO. Fehlt einer davon, scheitert die Freigabe.

Das Wichtigste auf einen Blick:

• Die Zertifizierung des Anbieters und die Auditfähigkeit des Systems sind zwei verschiedene Prüfungen mit zwei verschiedenen Verantwortlichen.
• Ein ISO-27001-Zertifikat sagt wenig aus, solange Sie den Geltungsbereich nicht gelesen haben.
• Für den indirekten Bedarf ist meist nicht GxP die harte Anforderung, sondern Zugriffskontrolle und Nachvollziehbarkeit.
• Entscheidend ist, ob Audit-Trails auch dann erhalten bleiben, wenn ein Benutzer das Unternehmen verlässt.
• Verlangen Sie Nachweise als Dokument, nicht als Aussage im Verkaufsgespräch.

Wer in einem Pharma- oder Medizintechnikunternehmen eine Beschaffungsplattform einführen will, kennt den Ablauf: Der Einkauf ist überzeugt, dann kommt die Lieferantenfreigabe, und plötzlich liegt ein Fragebogen mit 80 Punkten auf dem Tisch. Wir begleiten diese Prüfungen regelmäßig und sehen dabei immer denselben Fehler – auf beiden Seiten. Im Folgenden zeigen wir, welche Anforderungen wirklich entscheidend sind, welche Sie sich sparen können und was Sie von einem Anbieter schriftlich verlangen sollten.

Zwei Nachweise, die in Ausschreibungen ständig verwechselt werden

Die häufigste Ursache für gescheiterte Freigaben ist eine Vermischung: Das Sicherheitsniveau des Anbieters wird mit der Auditfähigkeit des Systems gleichgesetzt. Beides muss erfüllt sein, aber es sind unterschiedliche Prüfungen.

Definition: Ein Informationssicherheits-Managementsystem (ISMS) nach ISO/IEC 27001 ist ein dokumentiertes Verfahren, mit dem ein Unternehmen Risiken für die Vertraulichkeit, Integrität und Verfügbarkeit von Informationen systematisch steuert. Aktuell gilt die Fassung ISO/IEC 27001:2022.

Ein Anbieter kann ein hervorragendes ISMS betreiben und trotzdem ein System liefern, dessen Protokollierung für Ihre interne Revision nicht ausreicht. Umgekehrt hilft der beste Audit-Trail nichts, wenn der Auftragsverarbeitungsvertrag nach DSGVO fehlt. Prüfen Sie beide Ebenen getrennt und mit getrennten Ansprechpartnern.

Was ein ISO-27001-Zertifikat tatsächlich aussagt – und was nicht

Das Zertifikat allein ist keine Antwort. Entscheidend ist der Geltungsbereich, der im Zertifikat ausgewiesen ist.

Ein Unternehmen kann ISO 27001 für den Rechenzentrumsbetrieb zertifiziert haben, nicht aber für die Softwareentwicklung. Oder für den Standort München, nicht für den Dienstleister, der den Support übernimmt. Wenn Sie das Zertifikat anfordern, fordern Sie deshalb immer den vollständigen Geltungsbereich mit an – nicht nur die Bestätigung, dass eines existiert.

Tipp: Fordern Sie bei jedem E-Procurement-Anbieter das ISO-27001-Zertifikat inklusive Geltungsbereich und Ausstellungsdatum an. Ein Zertifikat, dessen Scope die genutzte Plattform nicht abdeckt, hat für Ihre Lieferantenfreigabe keinen Wert.

Achten Sie außerdem auf die Formulierung. „Zertifiziert nach ISO 27001" bedeutet, dass eine akkreditierte Stelle geprüft hat. „An ISO 27001 ausgerichtet" oder „nach ISO-27001-Prinzipien betrieben" bedeutet, dass das Unternehmen die Anforderungen anwendet, ohne sich zertifizieren zu lassen. Das kann für Ihre Prüfung ausreichen – aber Sie müssen es wissen und intern begründen können.

Fehlt eine Zertifizierung, ist das kein automatisches Ausschlusskriterium. Viele Unternehmen belegen ihr Sicherheitsniveau über die Konzernstruktur, über technische Nachweise und über einen ausgefüllten Sicherheitsfragebogen. Entscheidend ist, dass die Auskunft belastbar und schriftlich ist.

Die Systemanforderungen, die in jedem Audit wirklich abgefragt werden

Wenn ein Auditor in den indirekten Einkauf schaut, prüft er nicht die Software, sondern die Nachvollziehbarkeit. Fünf Fragen kommen dabei praktisch immer.

Der letzte Punkt wird regelmäßig unterschätzt. Viele Systeme löschen mit dem Benutzerkonto auch dessen Historie – und genau daran scheitert dann die Prüfung, weil sich Bestellungen aus dem Vorjahr keiner Person mehr zuordnen lassen.

Gilt für den indirekten Bedarf überhaupt GxP?

In den meisten Fällen nicht – und diese Frage sollten Sie früh klären, weil sie über den Projektaufwand entscheidet.

Computergestützte Systeme, die GxP-relevante Daten verarbeiten, unterliegen Validierungsanforderungen, etwa nach EU-GMP Annex 11. Ein System für Büromaterial, Arbeitsschutz, MRO-Bedarf und C-Teile berührt die Produktqualität in der Regel nicht und fällt damit nicht in diesen Geltungsbereich. Anders sieht es aus, sobald Sie über dieselbe Plattform Primärpackmittel, Reinraumverbrauchsmaterial oder qualitätsrelevante Prüfmittel beschaffen.

Tipp: Legen Sie im Lastenheft schriftlich fest, welche Warengruppen über das E-Procurement-System laufen und welche ausdrücklich nicht. Diese Abgrenzung entscheidet darüber, ob eine Computersystemvalidierung erforderlich wird – und damit über einen erheblichen Teil des Projektbudgets.

Diese Einordnung ersetzt keine Bewertung durch Ihre Qualitätssicherung. Sie hilft Ihnen aber, das Gespräch mit der QA zu führen, bevor das Projekt aufgesetzt ist statt danach.

Wie simple system diese Anforderungen abdeckt

Wir beschreiben hier, was nachweisbar ist – und wo Sie nachfragen sollten.

Zur Anbieterebene: simple system ist Teil der Hoffmann SE und damit in die Compliance-Strukturen eines internationalen Konzerns eingebunden, einschließlich Verhaltenskodex, Lieferantenkodex und eines anonymen Hinweisgebersystems. Welche Regelungen das im Einzelnen sind, können Sie auf unserer Seite zur Unternehmens-Compliance nachlesen. Zum Stand der Informationssicherheits-Zertifizierung fordern Sie die aktuelle Auskunft bitte direkt an – wir stellen sie mit Geltungsbereich zur Verfügung.

Zur Systemebene: Die Authentifizierung läuft über Single Sign-On per SAML 2.0. simple system speichert für SSO-Benutzer keine Passwörter, die Mehr-Faktor-Authentifizierung wird zentral über Ihren Identity Provider gesteuert, und die Anbindung funktioniert mit Azure AD, Okta, Google Workspace, Ping Identity und Keycloak. Wird ein Benutzer im Verzeichnisdienst deaktiviert, ist der Zugang unmittelbar gesperrt – die Bestelldaten und Audit-Trail-Dateien dieses Benutzers bleiben dabei erhalten. Genau diese Kombination fragen Auditoren ab.

Alle Login-Versuche werden protokolliert, erfolgreich wie fehlgeschlagen, mit Benutzer, Zeitstempel und Angaben zum Identity Provider. Die Protokolle lassen sich über einen Log-Export in Ihr SIEM überführen.

Zu Regeln und Freigaben: Budgetgrenzen, Freigabehierarchien sowie lieferanten- und warengruppenbezogene Bestellrechte liegen als Systemregeln fest. Eine Bestellung, die dagegen verstößt, wird gestoppt – unabhängig davon, wer sie auslöst. Wie sich Genehmigungsworkflows im Einkauf abbilden lassen, ohne den Prozess zu verlangsamen, behandeln wir gesondert.

Wie eine solche Prüfung in der Praxis aussieht, zeigt der Use-Case zur Auditsicherheit bei der Vergabe: Ein Health-Tech-Unternehmen musste gegenüber einem Auditor belegen, wer wann auf welche Daten zugegriffen hatte und ob der Account eines ausgeschiedenen Mitarbeiters tatsächlich sofort gesperrt worden war.

Fragenkatalog für die Anbieterprüfung

Diese neun Fragen decken beide Prüfebenen ab. Verlangen Sie schriftliche Antworten, bevor Sie in die Detailverhandlung gehen.

1. Zertifizierung: Liegt ein ISO-27001-Zertifikat vor, und welchen Geltungsbereich weist es aus?
2. Datenverarbeitung: Existiert ein Auftragsverarbeitungsvertrag nach DSGVO, und welche Subunternehmer sind benannt?
3. Serverstandort: Wo werden die Daten gespeichert und verarbeitet?
4. Audit-Trail: Werden Bestellung, Änderung und Freigabe einzeln mit Benutzer und Zeitstempel protokolliert?
5. Aufbewahrung: Bleiben Protokolle und Bestelldaten nach Deaktivierung eines Benutzers erhalten, und wie lange?
6. Authentifizierung: Wird SSO über SAML 2.0 unterstützt, und lässt sich Mehr-Faktor-Authentifizierung erzwingen?
7. Offboarding: Sperrt die Deaktivierung im Verzeichnisdienst den Zugang unmittelbar?
8. Export: Lassen sich Protokolle in ein SIEM oder Log-Management überführen?
9. Abgrenzung: Welche Warengruppen laufen über das System, und ist eine Validierung erforderlich?

Wenn ein Anbieter mehr als zwei dieser Fragen nur mündlich beantwortet, ist das Ergebnis für Ihre Freigabe nicht verwertbar.

Fazit: Prüfen Sie zwei Ebenen, nicht ein Zertifikat

In Pharma, Chemie und Medizintechnik entscheidet nicht der Funktionsumfang über die Einführung, sondern die Freigabe. Wer Anbieterprüfung und Systemprüfung von Anfang an trennt und beide Ebenen schriftlich belegen lässt, verkürzt den Prozess von Monaten auf Wochen.

→ 15-Minuten-Termin: Anforderungen gegen Ihre Compliance-Vorgaben abgleichen
Sie schildern Ihre Prüfkriterien, wir sagen Ihnen offen, welche wir erfüllen und welche nicht.

FAQ – Häufige Fragen zu E-Procurement in regulierten Branchen