Die Veröffentlichung der Kassenärztlichen Bundesvereinigung (KBV) vom November 2024 bietet eine umfassende Beantwortung von rechtlichen Fragen zur elektronischen Patientenakte (ePA) für Ärzte und Psychotherapeuten und hat damit auch Bedeutung für die Krankenhäuser. Die Antworten klären auf über Pflichten der Praxen und Krankenhäuser im Umgang mit der ePA, insbesondere im Hinblick auf die Befüllung, Aktualisierung, Löschung und Nutzung von ePA-Inhalten. Es werden detaillierte Ausführungen zu Informations- und Dokumentationspflichten gegeben, die bei der Verarbeitung von Patientendaten oder dem Widerspruch des Patienten entstehen, sowie auch zur Delegation von ePA-Aufgaben an „berufsmäßige Gehilfen“. Darüber hinaus beleuchtet das Dokument die Rahmenbedingungen für die Einsichtnahme in die ePA durch die Praxen und die damit verbundenen Sorgfaltspflichten und Haftungsfragen im Behandlungsalltag. Die aus unserer Sicht wichtigsten Punkte sind: Es besteht eine Pflicht zur Dokumentation, welche konkrete Person auf die elektronische Patientenakte zwecks Befüllung, Aktualisierung, Löschung oder Einsichtnahme zugegriffen oder zuzugreifen versucht hat (§ 309 Abs. 1 SGB V). In der sollte dies durch die Log-Funktion des KIS erfüllt sei.

Am 6. Dezember war es wieder so weit: Der Nikolaus stapfte durch die Flure der Synagon GmbH – natürlich mit DSGVO-konformen Stiefeln und einer ePA 3.0 im Sack. Statt Mandarinen gab’s dieses Jahr Telematikzuschläge, aber nur für artige Krankenhäuser. Die unartigen bekamen eine C5-Gleichwertigkeitsverordnung – mit Ablaufdatum!

Beim Entscheider-Sommer-Camp hatte der Nikolaus schon heimlich mitgewirkt: Er präsentierte die Effizienzpotenziale digitaler Ruten – äh, Transformationsprojekte. Und als er auf die EU-Datenbank für Sicherheitslücken stieß, murmelte er: „Da kommt mir kein Cloud-Dienst ins Haus, außer er bringt Plätzchen mit!“

Selbst Doctolib bekam eine kritische Bewertung – der Nikolaus bevorzugt eh Termine per Schornstein. Fazit: Digitalisierung ist kein Hexenwerk, sondern ein Zauberstab mit WLAN. Und Synagon? Die helfen dem Nikolaus, auch im digitalen Zeitalter den Überblick zu behalten – ganz ohne Rentier-Tracking-App.

Am 13. November 2025 hat der Bundestag das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz beschlossen. Mit diesem Gesetz wird die EU-Richtlinie NIS 2 verbindlich in deutsches Recht überführt. Nach Angaben des Bundesamts für Sicherheit in der Informationstechnik (BSI) stellt dies eine grundlegende Modernisierung des IT-Sicherheitsrechts dar.

Das Gesetz erweitert den Anwendungsbereich des BSI-Gesetzes (BSIG) erheblich, sodass künftig deutlich mehr Unternehmen und Einrichtungen den gesetzlichen Vorgaben unterliegen. Gleichzeitig werden die Meldepflichten bei Cybervorfällen verschärft und durch ein mehrstufiges Meldesystem ergänzt, das eine strukturierte und zeitnahe Meldung sicherheitsrelevanter Ereignisse gewährleistet. Unternehmen, die Opfer eines Cyberangriffs werden, sind verpflichtet, den Vorfall innerhalb von 24 Stunden nach dessen Entdeckung dem BSI zu melden. Ein Zwischenbericht ist innerhalb von 72 Stunden vorzulegen, ein Abschlussbericht spätestens nach einem Monat einzureichen.

Darüber hinaus erhält das BSI zusätzliche Aufsichts-, Kontroll- und Durchsetzungsbefugnisse, wodurch seine Rolle als zentrale Cybersicherheitsbehörde gestärkt wird. Für die Bundesverwaltung wird ein zentrales Sicherheitsmanagement eingeführt, das durch den neu geschaffenen „CISO Bund“ koordiniert wird. Das BSI kündigt an, betroffene Organisationen bei der Umsetzung der neuen Anforderungen zu unterstützen, unter anderem durch Betroffenheitsprüfungen und weitere Orientierungshilfen.

Mit dem Bundestagsbeschluss ist ein wesentlicher Schritt zur nationalen Umsetzung der NIS-2-Richtlinie erfolgt. Für das Inkrafttreten des Gesetzes sind jedoch noch der Beschluss des Bundesrats und die anschließende Verkündung im Bundesgesetzblatt erforderlich. Erst ab dem im Gesetz festgelegten Datum gelten die neuen Vorgaben verbindlich für Unternehmen und Einrichtungen in Deutschland.

Die Entnscheiderfabrik geht in die heiße Phase und präsentierte beim Sommer-Camp 2025 die Effizienzpotenziale digitaler Transformationsprojekte im Gesundheitswesen. Unter dem Motto „Krankenhauserfolg durch Nutzen stiftende Digitalisierungsprojekte“ versammelten sich am 26. und 27. Mai 2025 die Projektteams aus Kliniken, Industrie und Beratung bei der Weidemann-Gruppe in Magdeburg, dem diesjährigen Gastgeber der Veranstaltung.

Ziel des Sommer-Camps war es, konkrete Digitalisierungsprojekte vorzustellen, die nachweislich zur Verbesserung von Patientenversorgung, Effizienz und Wirtschaftlichkeit in Krankenhäusern beitragen. Die vorgestellten Projekte zeigten praxisnah, wie durch innovative IT-Lösungen und partnerschaftliche Zusammenarbeit zwischen Kliniken und Industrie messbarer Nutzen generiert werden kann.

Die IT-Sicherheitslücken wurden bisher vor allem über die CVE-Datenbank der US-Organisation Mitre erfasst, die Informationen zur Schwere, betroffenen Komponenten und Herstelleraussagen bereitstellt. Nun hat die EU-Cybersicherheitsagentur ENISA mit der European Union Vulnerability Database (EUVD) eine eigene Schwachstellendatenbank für die EU ins Leben gerufen.

Die EUVD soll, im Vergleich zu anderen Schwachstellendatenbanken, einen ganzheitlichen und vernetzten Ansatz bieten. Mithilfe der Open-Source-Software Vulnerability-Lookup werden Informationen aus verschiedenen Quellen schnell zusammengeführt. Das EUVD-Team sammelt öffentlich verfügbare Schwachstelleninformationen von unterschiedlichen Akteuren, etwa Herstellern und CERTs.

Ziel ist es, verlässliche und praxisrelevante Daten bereitzustellen, z. B. zu Gegenmaßnahmen oder dem Ausnutzungsstatus. Durch die Verwendung des standardisierten Formats CSAF wird zudem die Automatisierung der Verarbeitung und Verbreitung von Sicherheitshinweisen unterstützt.

Aktuell befindet sich die Datenbank in der Beta-Phase.

Link: European Union Vulnerability Database (externer Link)

Die Datenschutzgrundverordnung (DSGVO), welche im Jahr 2018 eingeführt wurde, soll reformiert werden. Die Reform der Datenschutz-Grundverordnung verfolgt mehrere zentrale Ziele, die auf eine bessere Balance zwischen Datenschutz, wirtschaftlicher Handhabbarkeit und effizienter Durchsetzung abzielen. Hier sind die wichtigsten Ziele der Reform im Überblick: