KI-Reallabore: EU macht Begleitung für KMU kostenlos
Eva Mickler
Die EU-Kommission hat gemeinsame Regeln für KI-Reallabore beschlossen, ab 1. Dezember gelten sie. Kleine ...
Zum Beitrag
3 Min. Lesezeit
Krankenhäuser müssen die elektronische Patientenakte bereits nutzen. Zugleich bereitet der Europäische Gesundheitsdatenraum den grenzüberschreitenden Austausch weiterer Gesundheitsdaten vor. Für betroffene Einrichtungen gelten außerdem Anforderungen an das IT-Risikomanagement und die Meldung erheblicher Sicherheitsvorfälle. CIOs können diese Aufgaben in einem gemeinsamen Architekturprogramm koordinieren.
Das Wichtigste in Kürze
- Die ePA ist im Klinikalltag Pflicht. Krankenhäuser müssen sie seit dem 1. Oktober 2025 nutzen und gesetzlich festgelegte Daten einstellen.
- Der EHDS wird schrittweise anwendbar. Für den grenzüberschreitenden Austausch gelten unterschiedliche Termine ab 2029 und 2031.
- NIS2 verlangt klare Zuständigkeiten. Betroffene Einrichtungen müssen erhebliche Sicherheitsvorfälle früh melden und ihr IT-Risikomanagement organisieren.
ePA im laufenden Betrieb absichern
Die ePA für alle wird seit April 2025 bundesweit eingeführt. Seit dem 1. Oktober 2025 sind Krankenhäuser zur Nutzung verpflichtet. Zu den gesetzlich festgelegten Daten gehören etwa Befunde und Arztbriefe. Versicherte können der ePA oder der Speicherung von Daten widersprechen.
Für die IT-Leitung geht es damit um verlässliche Abläufe zwischen Krankenhausinformationssystem und ePA: Wer stellt welche Dokumente ein? Wie werden Fehler erkannt? Und wie sind Zugriffsrechte und Vertretungen geregelt? Diese Fragen gehören in den Betrieb und in die Planung künftiger Schnittstellen.
EHDS-Anforderungen nach Datenarten planen
Die EHDS-Verordnung ist seit März 2025 in Kraft. Ab März 2029 sollen Patientenkurzakten sowie elektronische Verschreibungen und Abgaben EU-weit grenzüberschreitend ausgetauscht werden können. Für medizinische Bilder, Laborergebnisse und Entlassberichte folgt die nächste Stufe im März 2031.
Die Termine betreffen den Aufbau entsprechender Dienste in den Mitgliedstaaten. Sie bedeuten nicht, dass jedes Krankenhaus schon 2029 sämtliche Gesundheitsdaten austauschen muss. Für Anbieter elektronischer Patientendatensysteme sieht der EHDS harmonisierte Komponenten für Interoperabilität und Zugriffsprotokollierung vor. Technische Details werden durch weitere Rechtsakte konkretisiert.
Bei Beschaffungen lohnt sich deshalb eine konkrete Frage an den Hersteller: Wie lassen sich Daten exportieren und welche Anpassungen an kommende europäische Vorgaben sind vorgesehen? Zusagen zu Formaten, Schnittstellen und Verantwortlichkeiten sollten im Vertrag nachvollziehbar sein.
NIS2-Pflichten für die eigene Einrichtung prüfen
Das deutsche NIS2-Umsetzungsgesetz gilt seit dem 6. Dezember 2025. Ob ein Krankenhaus oder ein Hersteller als wichtige oder besonders wichtige Einrichtung erfasst ist, ergibt sich aus den Kriterien des BSI-Gesetzes. Eine pauschale Einordnung allein nach der Zahl der Beschäftigten reicht nicht aus.
Für erfasste Einrichtungen verlangt das Gesetz geeignete und verhältnismäßige Maßnahmen zum IT-Risikomanagement. Dazu gehören unter anderem die Sicherheit der Lieferkette und Verfahren zur Bewältigung von Sicherheitsvorfällen. Die Geschäftsleitung muss die Maßnahmen umsetzen und überwachen. Außerdem muss sie regelmäßig an Schulungen teilnehmen.
Bei einem erheblichen Sicherheitsvorfall ist unverzüglich und spätestens 24 Stunden nach Kenntnis eine frühe Erstmeldung abzugeben. Spätestens nach 72 Stunden folgt grundsätzlich eine weitere Meldung mit einer ersten Bewertung. Das setzt voraus, dass Klinik, IT-Dienstleister und Geschäftsleitung auch außerhalb der üblichen Arbeitszeiten wissen, wer einen Vorfall bewertet und meldet.
Ein Programm mit getrennten Pflichten
Ein gemeinsames Programm kann die Abhängigkeiten sichtbar machen: Die ePA benötigt funktionierende Prozesse im Krankenhaus. Der EHDS stellt zusätzliche Anforderungen an den Austausch von Gesundheitsdaten. NIS2 betrifft das Risikomanagement der erfassten Einrichtung und die Behandlung erheblicher Sicherheitsvorfälle.
Für die Umsetzung bietet sich ein gemeinsames Verzeichnis der Systeme, Schnittstellen und Dienstleister an. Darauf aufbauend können CIO und Geschäftsleitung Zuständigkeiten, Sicherheitsmaßnahmen und Investitionen abstimmen. Entscheidend ist, für jede Pflicht einen eigenen Nachweis und einen verantwortlichen Bereich festzulegen. Eine gemeinsame technische Plattform erfüllt die jeweiligen Vorgaben nicht automatisch.
Häufig gestellte Fragen
Seit wann müssen Krankenhäuser die ePA nutzen?
Die Nutzungspflicht gilt seit dem 1. Oktober 2025. Versicherte können der ePA und der Übermittlung oder Speicherung von Daten widersprechen.
Welche EHDS-Termine sind für die Architekturplanung relevant?
Ab März 2029 ist die erste Stufe für Patientenkurzakten und elektronische Verschreibungen vorgesehen. Ab März 2031 folgen unter anderem medizinische Bilder, Laborergebnisse und Entlassberichte.
Muss jeder Cybervorfall innerhalb von 24 Stunden gemeldet werden?
Nein. Die Frist für die frühe Erstmeldung gilt für erhebliche Sicherheitsvorfälle bei den entsprechend verpflichteten Einrichtungen. Sie beginnt mit der Kenntnis des Vorfalls.
Weiterlesen auf Digital Chiefs
Digital ChiefsCIOs unter Druck: 62 Prozent bei KI-GovernanceDigital ChiefsKI-Budget-Paradoxon: Wachstum allein reicht nicht mehrDigital ChiefsChief AI Officer: Braucht Deutschland diese Rolle?Mehr aus dem MBF Media Netzwerk
cloudmagazinPlatform Engineering für Compliance: IDPs erzwingen NIS2 und DORA mybusinessfutureNIS2-Umsetzung: Checkliste für den Mittelstand jetzt securitytodayDORA und NIS2 gleichzeitig: Wie Finanzdienstleister den Compliance-Doppeldruck managenBildquelle: KI-generiert (November 2026)