Gesundheitswesen

Kliniken mit mindestens 30.000 vollstationären Fällen pro Jahr fallen unter die KRITIS-Verordnung und gelten als Kritische Infrastruktur. Sie müssen nach § 8a BSI-Gesetz IT-Sicherheits-Maßnahmen nach Stand der Technik umsetzen, alle zwei Jahre einen Nachweis gegenüber dem BSI erbringen und Vorfälle melden. Typische Anforderungen: Netzwerk-Segmentierung, SIEM, Notfallplan, B3S-Konformität (Branchenspezifischer Sicherheitsstandard Gesundheit).

Die Telematik-Infrastruktur ist das sichere Netzwerk des deutschen Gesundheitswesens, betrieben durch die gematik. Sie verbindet Arztpraxen, Apotheken, Krankenhäuser und Krankenkassen. Pflicht-Anwendungen: eGK (elektronische Gesundheitskarte), VSDM (Versichertenstammdaten-Management), eAU (Arbeitsunfähigkeit), eRezept, ePA. Der Anschluss erfolgt über Konnektor und spezifisch zertifizierte Karten-Lesegeräte.

DiGA (Digitale Gesundheits-Anwendungen, „App auf Rezept") sind vom BfArM gelistete Medizinprodukte der Klassen I/IIa nach § 139e SGB V. Zulassung erfordert: MDR-CE-Kennzeichnung, DSGVO- und Datensicherheits-Nachweise, positiver Versorgungseffekt (durch klinische Studie oder Plausibilitäts-Nachweis mit 12-monatiger Evaluations-Pflicht). Nach Listung dürfen Ärzte sie verordnen, die GKV erstattet sie.

Eine KIS-Einführung in einem mittelgroßen Krankenhaus dauert typischerweise 18–36 Monate: ca. 6 Monate Analyse und Auswahl, 12–24 Monate Implementierung, Schulung, schrittweiser Rollout, gefolgt von einer Stabilisierungsphase. Gründe für die lange Dauer: Prozess-Individualität, Schnittstellen-Dichte (50+ Subsysteme), Betriebsrats-Einbindung, parallele Patienten-Versorgung, oft Multi-Vendor-Landschaft.

Nicht jede – aber viele. Nach MDR Artikel 2 ist Software ein Medizinprodukt, wenn sie eine medizinische Zweckbestimmung hat (Diagnose, Prävention, Überwachung, Behandlung, Linderung von Krankheiten). Reine Administrations-Tools (Terminbuchung, Abrechnung) sind meist keine Medizinprodukte. Entscheidungs-Unterstützung, Bild-Analyse, KI-basierte Diagnose-Hilfen hingegen fast immer – mit entsprechender CE-Kennzeichnung nach Klasse (IIa, IIb, III).

Das Digital-Gesetz (DigiG), in Kraft seit März 2024, verpflichtet Leistungserbringer zur Nutzung der TI und ePA. Ab Januar 2025 ist die ePA für alle (opt-out) Pflicht – Kliniken und Praxen müssen sie befüllen und lesen können. Zusätzlich: eRezept verpflichtend seit 2024, eAU seit 2023. Software muss FHIR-R4-Schnittstellen beherrschen, da zukünftige gematik-Spezifikationen auf diesem Standard basieren.