E-Patientenakte: Brief an Gesundheitsministerium verdeutlicht Umsetzungsmängel

close notice

This article is also available in English. It was translated with technical assistance and editorially reviewed before publication.

Don’t show this again.

Das Bundesgesundheitsministerium hält trotz der kürzlich erneut aufgezeigten Sicherheitsrisiken und bestehenden Umsetzungsmängel am Start des Testbetriebs der "elektronischen Patientenakte für alle" (ePA 3.0) in Modellregionen am 15. Januar fest. Bundesgesundheitsminister Karl Lauterbach hatte vor wenigen Tagen angekündigt, "die ePA bringen wir erst dann, wenn alle Hackerangriffe, auch des CCC, technisch unmöglich gemacht worden sind".

Aus einem der Redaktion vorliegenden Brief des Bundesverbands Gesundheits-IT (Bvitg) an die Verantwortlichen des BMG und der Gematik geht nun hervor, dass es noch weitere Herausforderungen gibt. Der Brief fasst die Vereinbarungen aus einem vorangegangenen Gespräch mit den Stakeholdern zusammen und konstatiert, dass der Testbetrieb offenbar nur mit einem der geplanten zwei Aktensystemen starten wird, weil eines nicht rechtzeitig fertig geworden sei. Hinzu komme, dass sich die beiden Aktensysteme von IBM und RISE sehr unterschiedlich verhalten, was die Interoperabilität erschwere.

Zudem steht das Ergebnis der Prüfung der von der Gematik vorgeschlagenen Maßnahmen gegen die Sicherheitsmängel der ePA durch das Bundesamt für Sicherheit in der Informationstechnik (BSI) noch aus.

"Massenrollout" erst nach vollständiger Behebung der Risiken

Laut dem Brief werden die Verbände ihren Mitgliedsunternehmen erst dann empfehlen, die Teilnehmenden in den Modellregionen rechtzeitig mit ePA-Modulen auszustatten, wenn das BSI das Vorgehen der Gematik mit einer begrenzten Anzahl von ePA-zugelassenen Institutionen unterstützt. Außerdem sei klargestellt worden, dass die Konformitätsbescheinigungen nicht von den vom CCC thematisierten Sicherheitslücken beeinflusst werden.

Immerhin: Als verbindliches Kriterium für den "Massenrollout" wurde "die vom BSI bestätigte vollständige Behebung der vom CCC benannten technischen Risiken als verbindliches Kriterium für den Start des Massenrollouts" festgelegt. Dieser Punkt deckt sich weitgehend mit der Aussage des Bundesgesundheitsministers, auch wenn die Behebung der aufgezeigten Lücken keineswegs bedeutet, dass "die Hackerangriffe technisch unmöglich gemacht werden". Der ursprüngliche Zeitplan, die ePA 3.0 vier Wochen nach dem Start in den Modellregionen auf das gesamte Bundesgebiet auszudehnen, dürfte damit aber nicht mehr haltbar sein.

Angesichts dessen zeigte der Bvitg zwar Verständnis für die Dringlichkeit des Starttermins am 15. Januar, es sei "allerdings für die weitere Entwicklung wichtig zu wissen, wie die mittel- und langfristige Planung bezüglich der ePA 3.1.1 ff" aussehe. Für die Unternehmen sei eine vorausschauende Zeitplanung unumgänglich.

(mack)