Fragen und Antworten zum Digital-Gesetz

elektronische Patientenakte (ePA)

• Ab wann kommt die ePA für alle?

  Die Einführung der ePA für alle wird Anfang 2025 in einem gestuften Verfahren erfolgen. Bevor die ePA für alle durch alle Versicherten und Ärztinnen und Ärzte deutschlandweit genutzt werden kann, wird diese in ausgewählten Modellregionen erprobt und getestet. Nachdem dieser Test erfolgreich abgeschlossen wurde, kommt die ePA dann bundesweit zum Einsatz. Auf diese Weise kann ein stabiler und verlässlicher Betrieb aller Systeme und die Benutzbarkeit der ePA für alle im Versorgungsalltag gewährleistet werden.

• Was muss die bzw. der Krankenversicherte tun, um die ePA ab Anfang 2025 nutzen zu können?

  Die ePA wird jedem Versicherten, der nicht widersprochen hat, zur Verfügung gestellt. Man kann der ePA für alle aber jederzeit widersprechen. Ob er oder sie die ePA nutzen möchten oder nicht, ist die Entscheidung der bzw. des Versicherten. Um die ePA auch selbst einsehen zu können, müssen sich Versicherte die entsprechende App ihrer Krankenkasse herunterladen und den ePA-Zugang darin einrichten.

• Warum brauchen wir überhaupt eine ePA?

  Je besser Ärztinnen und Ärzte und andere Leistungserbringer die Krankengeschichte ihrer Patientinnen und Patienten kennen, desto besser können diese die für ihre Patientinnen und Patienten geeignete Behandlung wählen. Oftmals liegen wichtige Befund- oder Behandlungsberichte aus vorhergehenden Behandlungen der Patientinnen und Patienten oder auch Informationen zur aktuellen Medikation nicht zeitgerecht und vollständig vor. Die ePA setzt genau da an: Sie vernetzt Versicherte mit Ärztinnen und Ärzten, Apotheken und Krankenhäusern. Viele bisher analog ablaufende Arbeitsschritte werden durch die ePA digitalisiert und vereinfacht. Statt einer Blatt-Sammlung zu Hause oder einzelnen Befunden in den Softwaresystemen verschiedener Praxen stehen Ärztinnen und Ärzten sowie Versicherten die relevanten Informationen und Dokumente sicher und auf einen Blick zur Verfügung. So können unnötige, belastende Mehrfachuntersuchungen oder auch unerwünschte Arzneimittelwechselwirkungen vermieden werden - und es bleibt mehr Zeit für die Behandlung der Patientinnen und Patienten.

• Wobei hilft die ePA?

  Die ePA für alle wird den Versorgungsalltag für Versicherte und Leistungserbringer vereinfachen und verbessern. Wichtig dafür sind die sogenannten Anwendungsfälle der ePA für alle, die verpflichtend von den behandelnden Ärztinnen und Ärzten zu befüllen sind und schrittweise eingeführt werden. Der erste Anwendungsfall der ePA ist der digital gestützte Medikationsprozess (dgMP). Mit dem dgMP erhalten Versicherte von Beginn an eine vollständige, weitestgehend automatisiert erstellte, digitale Medikationsübersicht in ihrer ePA. Ärztinnen und Ärzte können so besser nachvollziehen, welche Medikamente eingenommen werden. Das erhöht die Patientensicherheit.

  Darüber hinaus sind Ärztinnen und Ärzte verpflichtet, mit Einführung der ePA für alle auch Befundberichte aus medizinischen Untersuchungen, Behandlungen und Maßnahmen sowie Arztbriefe und Krankenhaus-Entlassbriefe, die ihnen im Rahmen der aktuellen Behandlung ihrer Patientinnen und Patienten vorliegen, in der ePA zu speichern. Damit wird gleich zum Start der ePA für alle ein größtmöglicher Versorgungsnutzen erreicht.

  Weitere Anwendungsfälle, wie beispielsweise die elektronische Patientenkurzakte, werden in späteren Ausbaustufen der ePA eingeführt werden.

• Wer erhält eine ePA?

  Ab Anfang des Jahres 2025 wird die ePA für alle gesetzlich Versicherten eingerichtet, wenn sie dem nicht widersprochen haben. Alle bis zu diesem Zeitpunkt bereits angelegten elektronischen Patientenakten können weiterhin genutzt werden. Auch private Krankenversicherungen können eine ePA anbieten.

• Wer ist für die Aufklärung der Versicherten über die ePA verantwortlich?

  Die Krankenkassen sind verpflichtet, ihre Versicherten über die Funktionsweise der ePA, über die mit ihr speicherbaren Informationen sowie über die Rechte und Ansprüche, die die Versicherten im Zusammenhang mit der Nutzung der ePA haben, ausführlich und umfassend zu informieren.

  Ärztinnen und Ärzte sind verpflichtet, ihre Patientinnen und Patienten über die Daten, die sie im Rahmen ihrer Befüllungspflichten in der ePA für alle speichern, zu informieren und diese auf ihr Widerspruchsrecht hinzuweisen.

  Eine besondere Hinweispflicht auf das Widerspruchsrecht gilt vor der Speicherung von potenziell diskriminierenden oder stigmatisierenden Daten, wie beispielsweise zu sexuell übertragbaren Infektionen, psychischen Erkrankungen und Schwangerschaftsabbrüchen.

  Darüber hinaus haben Ärztinnen und Ärzte ihre Patientinnen und Patienten auch auf den Anspruch auf eine Befüllung mit weitergehenden Daten hinzuweisen.

• Ist die ePA eine Zwangs-ePA?

  Nein, die ePA bleibt freiwillig; Ihrer Anlage und späteren Nutzung kann jederzeit widersprochen werden (Opt-out).

• Wie kann ich der Einrichtung der ePA widersprechen?

  Die Krankenkassen werden verpflichtet, für alle gesetzlich Versicherten eine ePA anzulegen, sofern die Versicherten nicht widersprochen haben. Über die Möglichkeiten des Widerspruchs informieren die Krankenkassen ihre Versicherten. In diesem Rahmen haben die Krankenkassen einfache und barrierefreie Verfahren vorzusehen, durch die Versicherte widersprechen können. Ein Widerspruch ist auch nach Bereitstellung der ePA möglich und führt dann zu deren Löschung.

• Sollen auch Kinder bzw. Jugendliche automatisch eine ePA erhalten?

  Alle gesetzlich Versicherten haben einen Anspruch auf eine ePA. Das gilt auch für Kinder und Jugendliche. Einen möglichen Widerspruch erklärt in diesem Fall der gesetzliche Vertreter, also in der Regel die Eltern. Ab Vollendung des 15. Lebensjahrs können Jugendliche ihre Widerspruchsrechte auch selber ausüben.

• Wie kann ich auf die ePA zugreifen?

  Versicherte können über die ePA-App ihrer Krankenkasse auf ihre ePA zugreifen und ihre Daten verwalten. Es ist auch möglich, einer Stellvertreterin oder einem Stellvertreter (z. B. nahen Angehörigen) den Zugriff auf die ePA zu ermöglichen. Für Menschen ohne Smartphone wird darüber hinaus eine Einsichtnahme der ePA in ausgewählten Apotheken ermöglicht werden.

• Wie kann ich mich einloggen?

  Die ePA bietet Zugang zu sensiblen Gesundheitsdaten. Dementsprechend sicher muss der Zugang gestaltet werden. Versicherte müssen sich bei erstmaliger Anmeldung in der ePA-App ihrer Krankenkasse entweder mit ihrem elektronischen Personalausweis und PIN oder ihrer elektronischen Gesundheitskarte (eGK) und der dazugehörigen PIN authentifizieren. Alternativ wird die Erstauthentifizierung auch in der Apotheke möglich sein. Für nachfolgende Logins können Versicherte aktiv entscheiden, welche Identifizierung sie nutzen (z. B. Gesichtserkennung). So wird der Login ähnlich benutzerfreundlich sein, wie dies bei anderen sicheren Apps der Fall ist.

• Wo gibt es die PIN zur Gesundheitskarte?

  Die PIN für ihre elektronische Gesundheitskarte (eGK) erhalten Versicherte nach Beantragung von ihrer Krankenkasse in der Regel per Post-Ident. Damit die Zustellung nur an die richtige Person erfolgt, müssen Versicherte dafür in ihrer Postfiliale mit einem Personalausweis oder Reisepass ihre Identität nachweisen. Zukünftig wird dies auch in einer Apotheke möglich sein.

• Wie erhalte ich eine digitale Identität?

  Versicherte erhalten ihre digitale Identität (GesundheitsID) von ihrer Krankenkasse. Krankenkassen stellen ihren Versicherten seit dem 1. Januar 2024 auf Wunsch ergänzend zur elektronischen Gesundheitskarte (eGK) eine GesundheitsID zur Verfügung. Die Krankenkassen informieren ihre Versicherten, wie sie diese erhalten und nutzen können. Nach Beantragung der digitalen Identität, müssen sich Versicherte authentifizieren. Dazu können sie entweder den Personalausweis und PIN oder die eGK und PIN nutzen oder sich in der Apotheke persönlich authentifizieren (Apo-Ident).

• Kann ich die ePA auch ohne die App nutzen?

  Ja. Auch ohne App können Versicherte eine ePA für alle besitzen, sodass im Fall einer Behandlung die betreffenden Ärztinnen und Ärzte, das Krankenhaus oder die Apotheke sowohl Daten in die ePA einstellen als auch vorhandene Daten einsehen können. Darüber hinaus können Versicherte auch eine Vertreterin bzw. einen Vertreter, zum Beispiel ein Familienmitglied, berechtigen, die ePA in ihrem Auftrag über die App einzusehen und zu verwalten. Die Nutzung der ePA ist für Versicherte auch über ein stationäres Gerät (Desktop-PC) möglich. Darüber hinaus wird zukünftig die Einsichtnahme der ePA in ausgewählten Apotheken möglich.

• Wie können Patientinnen und Patienten die ePA befüllen?

  Damit Versicherte auch selbstständig, außerhalb einer Arztpraxis, einer Apotheke oder einem Krankenhaus auf ihre ePA zugreifen und diese verwalten können, bieten Krankenkassen ihren Versicherten eine ePA-App an. Mit dieser ePA-App können Versicherte ihre ePA mit Dokumenten, Arztbriefen, Befunden etc. befüllen – Papierdokumente können gescannt oder abfotografiert werden und dann in der ePA gespeichert werden. Mit dem Digital-Gesetz, das am 26. März 2024 in Kraft getreten ist, wurde zudem geregelt, dass Versicherte auf Antrag nicht digitalisierte Befunde aus vorangegangenen Behandlungen über ihre Krankenkasse digitalisieren und in der ePA speichern lassen können. Außerdem wird es Krankenkassen ermöglicht, Schnittstellen ihrer ePAs zu Wearables zu erstellen, so dass Versicherte auch deren Daten in die ePA laden können.

  Selbstverständlich wird die ePA künftig auch durch die behandelnden Ärztinnen und Ärzte befüllt werden. Dabei sind bestimmte Daten von Ärztinnen und Ärzten künftig verpflichtend in der ePA für alle zu speichern, wenn diese in der aktuellen Behandlung erhoben wurden. Hierzu gehören Befundberichte, Arztbriefe oder auch Berichte im Anschluss einer Krankenhausbehandlung (Krankenhausentlassbrief) sowie Daten für den digital gestützten Medikationsprozess.

• Wer genau hat Zugriff auf die ePA?

  Der Kreis der Zugriffsberechtigten ist gesetzlich geregelt. Zugriff auf die ePA für alle besteht nur in Fällen, in denen die Versicherten der ePA nicht widersprochen haben, und setzt einen nachgewiesenen Behandlungs- bzw. Versorgungskontext voraus. So erteilen die Versicherten in der Arztpraxis ihrer behandelnden Ärztin oder ihrem behandelnden Arzt die Berechtigung zum Zugriff auf die ePA für 90 Tage, indem sie die elektronische Gesundheitskarte (eGK) stecken. Darüber hinaus können Versicherte über die ePA-App entscheiden, wer auf welche Daten in der ePA zugreifen darf. Auch die Dauer des Zugriffs der einzelnen Zugriffsberechtigten kann über die ePA-App modifiziert werden. Weiterhin können Versicherte über ihre App bestimmte Dokumente, beispielsweise bestimmte Befundberichte oder Arztbriefe, so einstellen, dass diese nur von ihnen selbst eingesehen werden können. Versicherte, die die App nicht selbst bedienen möchten oder können, dürfen eine Vertretungsperson einsetzen, z.B. einen Angehörigen. Alternativ kann auch über die Ombudsstelle der Krankenkasse der Versicherten der Zugriff für einzelne Zugriffsberechtigte geregelt werden. Weder die Ombudsstellen noch die Krankenkassen haben Zugriff auf die Daten in der ePA.

• Kann ich den Ärztinnen und Ärzten nur begrenzten Zugriff auf die ePA-Daten erlauben?

  Ja. Versicherte können Zugriffe sowohl zeitlich als auch inhaltlich begrenzen.

  Ohne die ePA-App ist es möglich, den Zugriff auf die ePA zu verweigern. Hierfür können Versicherte sich künftig an die Ombudsstellen der Krankenkassen wenden. Weder die Ombudsstellen noch die Krankenkassen haben Zugriff auf die Daten in der ePA.

  Auch über die ePA-App haben Versicherte die Möglichkeit, einzelne Ärztinnen oder Ärzte vom Zugriff auf die ePA auszunehmen. Der Zugriff kann auch inhaltlich weiter beschränkt werden, beispielsweise auf die sogenannten Anwendungsfälle der ePA. Gleichzeitig ist es möglich, die voreingestellte Zugriffszeit von 90 Tagen zu verlängern oder zu verkürzen.

• Opt-out: Wie kann ich widersprechen?

  Versicherte können bei ihrer Krankenkasse schon vor der ePA-Bereitstellung widersprechen. Die Krankenkassen werden hierzu ein bürgerfreundliches Verfahren aufsetzen. Nach Anlage der ePA können die Versicherten über die ePA-App oder gegenüber ihrer Krankenkasse der ePA weiterhin jederzeit widersprechen.

• Welche Inhalte kommen in die ePA und was passiert bei sensiblen Befunden?

  In der Behandlung sollen durch die ePA zukünftig vor allem wichtige medizinische Befunde und Dokumente auf einen Blick verfügbar sein. Ärztinnen und Ärzte werden daher verpflichtet, Medikationsdaten, Arztbriefe, Entlassbriefe und Befundberichte standardmäßig in die ePA einzustellen. Weitere Informationen, auch aus vorangegangenen Behandlungen, können Ärztinnen und Ärzte ebenfalls in die ePA einstellen, wenn das für die Versorgung der Versicherten erforderlich ist und er oder sie dies verlangt. Die Versicherten können der Befüllung der ePA widersprechen. Das gilt insbesondere für besonders sensible Daten und Dokumente. Hier werden die Versicherten noch einmal gesondert auf ihre Widerspruchsmöglichkeit hingewiesen.

• Bekommen privat Krankenversicherte auch eine ePA?

  Die privaten Krankenversicherungen können ihren Versicherten ebenfalls eine ePA anbieten. Viele Anbieter bereiten dies gerade vor. Für die ePA der PKV gilt ebenso das Opt-out. Das heißt, ein privat Versicherter, dessen PKV eine ePA anbietet, erhält eine ePA, sofern er oder sie dieser nicht widerspricht.

• Sind meine Daten in der ePA sicher?

  Ja. Eine sichere Nutzung von Gesundheitsdaten ist die Grundvoraussetzung für die Nutzung der ePA. Die Umsetzung der ePA für alle erfolgt datenschutzkonform. Die Daten werden auf sicheren Servern innerhalb der Telematikinfrastruktur (TI) gespeichert und in der ePA verschlüsselt abgelegt. Die Kommunikation zwischen den Komponenten der ePA ist Ende-zu-Ende verschlüsselt. Niemand außer der oder dem Versicherten oder seiner Vertreterin bzw. seinem Vertreter und denjenigen, die aufgrund des Behandlungskontexts eine Berechtigung besitzen, können die Inhalte lesen. Die Krankenkasse darf beispielsweise nicht auf die Inhalte zugreifen.

• Werden meine Gesundheitsdaten zu Forschungszwecken genutzt?

  Die Gesundheitsdaten in der ePA für alle haben ein enormes Potenzial für die Verbesserung der Versorgung. Deshalb können die Daten aus der ePA für alle für Zwecke, die im Interesse der Gesellschaft sind (öffentliches Interesse), genutzt werden. Das umfasst zum Beispiel Forschung, Verbesserung der Versorgungsqualität und -sicherheit, aber auch statistische Zwecke der Gesundheitsberichterstattung. Die Daten werden dafür pseudonymisiert (das heißt ohne direkt personenbeziehbare Angaben wie Name und Adresse) an das Forschungsdatenzentrum (FDZ) Gesundheit im Bundesinstitut für Arzneimittel und Medizinprodukte (BfArM) weitergeleitet. Bürgerinnen und Bürger, die die Daten nicht bereitstellen wollen, können dem widersprechen – in der ePA-App oder über die Ombudsstellen der Krankenkassen.

  Wer die Daten für die erlaubten Zwecke nutzen will, muss einen Antrag beim FDZ Gesundheit stellen. Das FDZ Gesundheit prüft die Anträge und entscheidet, ob die Daten bereitgestellt werden. Die Entscheidung darüber erfolgt anhand gesetzlich festgelegter Kriterien. Die personenbezogenen Daten verlassen dabei nie die sichere Umgebung des FDZ Gesundheit. Es werden an die Nutzenden nur aggregierte, anonymisierte Daten herausgegeben. Die hohen IT-Sicherheits- und Datenschutzstandards des FDZ Gesundheit zur Sicherung der Daten sind mit dem Bundesamt für Sicherheit in der Informationstechnik (BSI) und dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI) abgestimmt.

  Die Möglichkeit zur Nutzung der Daten aus der ePA zu Forschungszwecken wird erstmals ab Juli 2025 bestehen.

• Was passiert nach Anfang 2025, wenn ich schon eine ePA habe?

  Versicherte, die bereits eine ePA haben, können sie einfach fortführen. Der Unterschied ist, dass zukünftig der behandelnde Arzt sehr viel leichter für den Zugriff berechtigt wird und die Befüllung der ePA durch die Ärzte zum Normalfall wird.

E-Rezept

• Wie geht es mit dem E-Rezept weiter?

  Das E-Rezept funktioniert und die Voraussetzungen für dessen Nutzung sind geschaffen. Mit der Einlösung der Rezepte per elektronischer Gesundheitskarte (eGK), mittels E-Rezept-App oder mit einem Ausdruck stehen verschiedene Wege für Versicherte zur Verfügung, ihre E-Rezepte in der Apotheke einzulösen. Ab Januar 2024 ist das E-Rezept verbindlich für die Verordnung von Arzneimitteln von gesetzlich Versicherten. Bis zu diesem Datum sind alle (Zahn-)Ärztinnen und (Zahn-)Ärzte bundesweit angehalten, sukzessive auf das E-Rezept umzustellen.

  (Zahn-)Ärztinnen und (Zahn-)Ärzte, die das E-Rezept nicht unterstützen, werden einer Honorarkürzung von voraussichtlich 1% unterliegen.

• Wie kann ich das E-Rezept verwalten?

  Die E-Rezept-App (der gematik) ist und bleibt eine Möglichkeit für Versicherte, ihre E-Rezepte zu verwalten und einzulösen. Mit dem Digital-Gesetz wird es den Krankenkassen ermöglicht, die ePA-App für den Empfang und den Zugriff auf E-Rezepte zu erweitern.

  E-Rezepte oder deren Zugangsdaten dürfen nur auf den geregelten Kanälen - der Telematikinfrastruktur - transportiert werden. Der Weg an der Telematikinfrastruktur vorbei, z.B. per SMS oder E-Mail, ist nicht gestattet.

• Gibt es ein Opt-out für das E-Rezept?

  Nein. Für das E-Rezept gibt es kein Opt-out, da es das bisherige Papierrezept perspektivisch vollständig ersetzen wird. Patientinnen und Patienten, die zur Einlösung keine App nutzen wollen, können ihre eGK zur Einlösung nutzen oder die Zugangsdaten zu ihrem E-Rezept auch als Papierausdruck erhalten.

  Darüber hinaus werden sie die Möglichkeit haben, der automatischen Übermittlung der Medikationsinformationen aus dem E-Rezeptfachdienst in die ePA zu widersprechen.

Telemedizin

• Wo soll assistierte Telemedizin angeboten werden?

  Assistierte Telemedizin soll künftig von Apotheken angeboten werden können.

• Was ist assistierte Telemedizin?

  Patientinnen und Patienten sollen in Apotheken zu ambulanten telemedizinischen Leistungen beraten und bei der Inanspruchnahme angeleitet werden können. Außerdem können Patientinnen und Patienten in den Apotheken bei der Durchführung einfacher medizinischer Routineaufgaben während einer ärztlichen telemedizinischen Leistung unterstützt werden.

• Wer kann assistierte Telemedizin in Anspruch nehmen?

  Grundsätzlich jeder, der in der gesetzlichen Krankenversicherung versichert ist.

• Ist die Inanspruchnahme für Versicherte kostenfrei?

  Ja.

• Wo und in welchem Umfang kann Telemedizin angeboten werden?

  Die bisherige Mengenbegrenzung für Vertragsärztinnen und Vertragsärzte wird aufgehoben. Vertragsärztinnen und Vertragsärzte können nach Umsetzung durch die Selbstverwaltung Videosprechstunden noch flexibler Einsetzen.

  Auch in Einrichtungen wie Hochschulambulanzen und Psychiatrischen Institutsambulanzen sowie psychotherapeutischen Sprechstunden und probatorischen Sitzungen werden telemedizinische Leistungen in Zukunft ermöglicht.

• Was ändert sich bei den DiGA?

  Digitale Gesundheitsanwendungen (DiGA) werden besser in die Versorgungsprozesse integriert und ihr Einsatz transparent gemacht. Mit der Ausweitung der DiGA auf digitale Medizinprodukte der Risikoklasse IIb werden sie auch für komplexere Behandlungsprozesse – z.B. für das Telemonitoring – genutzt werden können.

  Für die Versicherten wird der Zugang zu DiGAs vereinfacht: Die Aushändigung des benötigten Freischaltcodes muss in Zukunft in der Regel innerhalb von zwei Werktagen durch die Krankenkasse erfolgen.

Kosten

• Welche Kosten gehen mit dem Digital-Gesetz einher?

  Dem Bundeshaushalt entstehen keine Kosten. Bei den mit dem Digital-Gesetz umgesetzten Maßnahmen handelt es sich um Leistungen der Sozialversicherung die sich auf die Jahre 2024 bis 2028 wie folgt aufteilen:

  2024 rund 203 Mio. Euro,

  2025 rund 614 Mio. Euro,

  2026 rund 620 Mio. Euro,

  2027 rund 330 Mio. Euro und

  2028 rund 334 Mio. Euro.

• Was regelt der § 393 SGB V?

  Der mit dem Digital-Gesetz neu eingeführte § 393 SGB V legt fest, welche IT-Sicherheitsanforderungen erfüllt sein müssen, damit die Adressaten der Regelung (siehe Frage 2) Gesundheits- und Sozialdaten im Wege des Cloud-Computing verarbeiten dürfen. Im Sinne eines Erlaubnistatbestands soll hierdurch Rechtsklarheit bei der Verwendung von Cloud-Computing-Diensten im Kontext des Gesundheitswesens geschaffen werden.

  Absatz 2 stellt zudem summarisch die sich aus anderen Rechtsvorschriften ergebenden datenschutzrechtlichen Voraussetzungen einer solchen Verarbeitung dar, legt aber selbst keine neuen datenschutzrechtlichen Anforderungen fest. Die Vorschriften z.B. der DSGVO, des SGB X oder des BDSG bleiben daher unberührt.

• An wen richtet sich der § 393 SGB V?

  Die Norm erlaubt die Verwendung von Cloud-Computing-Diensten zur Verarbeitung von personenbezogenen Gesundheits- und Sozialdaten unter den Voraussetzungen der Absätze 2 bis 4 für:

  • alle Leistungserbringer im Rahmen des Viertel Kapitels des Fünften Buches Sozialgesetzbuches, d.h. zum Beispiel: Vertrags(zahn)ärztinnen und -(zahn)ärzte, zugelassene Krankenhäuser, Psychotherapeutinnen und -therapeuten oder Apotheken.
  • die gesetzlichen Kranken- und Pflegekassen und
  • Auftragsdatenverarbeiter der beiden vorgenannten Gruppen, wenn diese mit der Verarbeitung von Gesundheits- oder Sozialdaten beauftragt sind.

• Was ist ein „Cloud-Computing-Dienst“?

  Gemäß § 384 Nummer 5 SGB V beschreibt der Begriff „Cloud-Computing-Dienst“ einen digitalen Dienst, der auf Abruf die Verwaltung und den umfassenden Fernzugang zu einem skalierbaren und elastischen Pool gemeinsam nutzbarer Rechenressourcen ermöglicht, auch wenn diese Ressourcen auf mehrere Standorte verteilt sind. Diese Definition greift damit auch die gleichlautende Definition in der Richtlinie (EU) 2022/2555 des Europäischen Parlaments und des Rates („NIS-2-Richtlinie“) auf.

• Was ist ein C5-Testat?

  Weiterführende Informationen zum C5-Standard und zur Testierung finden sich auf den Seiten des BSI: https://www.bsi.bund.de/dok/7685384

• Zu welchem Zeitpunkt muss ein C5-Testat vorliegen?

  Typ 1 Testat: 1. Juli 2024 (vgl. § 393 Absatz 4 Satz 1 SGB V)

  Typ 2 Testat: 1. Juli 2025 (vgl. § 393 Abs. 4 Satz 2 SGB V)

  Zu den Alternativen siehe unter Frage 7.

• Welche Systeme/Komponenten müssen ein C5-Testat aufweisen?

  Gemäß § 393 Absatz 3 Nummer 2 SGB V muss ein aktuelles C5-Testat in Hinblick auf die C5-Basiskriterien für diejenigen Cloud-Systeme (Software) und die zugrundeliegende Technik (Hardware) vorliegen, die zur Erbringung von Cloud-Computing-Diensten eingesetzt werden.

  Der BSI C5-Kriterienkatalog bestimmt hierbei, welche konkreten Anforderungen je Teilsystem zu erfüllen sind.

  Auf den Seiten des BSI ist auch erläutert, wie mit Unterauftragnehmern umzugehen ist – also für den Fall, dass ein Cloud-Anbieter externe IT-Services verwendet.

• Welche Alternativen bestehen zu einem C5-Testat?

  § 393 Absatz 4 SGB V sieht als Grundsatz vor, dass ein C5-Testat vorliegen muss. Abweichend davon sind auch andere Zertifikate/Testate geeignet, wenn die dafür umzusetzenden IT-Sicherheitsmaßnahmen ein entsprechendes Sicherheitsniveau sicherstellen.

  Um Rechtssicherheit über diese individuelle Beurteilung zu schaffen, welche Standards diese Anforderungen erfüllen, beabsichtigt das Bundesministerium für Gesundheit im Laufe des zweiten Halbjahres 2024 eine klarstellende Rechtsverordnung zu erlassen.