ePA für alle: „25 Seiten schreiben, um zu erklären, wie man Dokumente hochlädt“

„Die ePA fängt an, wirklich zu funktionieren.“ Mit diesem vorsichtigen Lob eröffnete Dr. Philipp Stachwitz von der Kassenärztlichen Bundesvereinigung (KBV) die Diskussionsrunde „Blickwinkel auf die digitale Gesundheitsversorgung 2030“ – schob jedoch hinterher, dass Berichte aus den Kliniken in der elektronischen Patientenakte (ePA) noch immer Mangelware seien. Alexander Beyer von der Deutschen Krankenhausgesellschaft (DKG) warf ein, dass die Häuser derzeit etliche parallele Großprojekte vom Medikationsmanagement über Patientenportale bis hin zu neuen TI-Gateways stemmen. Dass die übergreifende Vernetzung das gemeinsame Ziel bleiben muss, darin waren sich beide auf der Herbsttagung des Bundesverbands der Krankenhaus-IT-Leiterinnen und -Leiter (KH-IT) einig, der auf der Veranstaltung zugleich sein 30-jähriges Jubiläum feierte.

ePA soll Sektoren verbinden

Stachwitz verwies auf jährlich rund eine Milliarde Arzt-Patienten-Kontakte in Arztpraxen, bei denen es gut wäre, wenn Informationen verfügbar wären. Aus seinem Praxisalltag berichtete er, dass die elektronische Patientenakte inzwischen erste praktische Vorteile biete. Bei einem neuen Patienten habe er neben einem mitgebrachten MRT-Befund, „das war ein Zettel“, weitere Dokumente in der Akte gefunden. „Ich sehe in der elektronischen Patientenakte noch keine Berichte aus anderen Sektoren, insbesondere nicht aus den Krankenhäusern“, so Stachwitz. Erste Informationen aus Krankenhausambulanzen seien aber bereits hilfreich gewesen.

Auch die elektronische Medikationsliste (eML) bewertete Stachwitz positiv. Sie erleichtere Praxen, Behandlungen und Verordnungen anderer Ärztinnen und Ärzte nachzuvollziehen. Beim sicheren Kommunikationsdienst KIM gebe es im ambulanten Bereich Fortschritte. Aus Krankenhäusern erhielten Praxen jedoch bislang nur selten KIM-Arztbriefe.

Kliniken kämpfen mit Vorgaben

Beyer verwies darauf, dass Krankenhäuser gleichzeitig zahlreiche Vorhaben bewältigen müssten, unter anderem Patientenportale, digitale Dokumentation, Entscheidungsunterstützung, Medikationsmanagement, Registeranwendungen, Abrechnungssysteme und die Anbindung an die Telematikinfrastruktur. Die Krankenhäuser sind bei der Telematikinfrastruktur zunächst langsamer vorangekommen. Die ursprüngliche Konnektor-Architektur sei vor allem auf Arztpraxen zugeschnitten gewesen.

Mit Highspeed-Konnektoren und TI-Gateways gebe es inzwischen aber besser geeignete Lösungen. Bei der ePA sehe die DKG inzwischen Vorteile, etwa durch Medikationsinformationen. Außerdem wollen Krankenhäuser auch Entlassungsinformationen bereitstellen.

Umgang mit stigmatisierenden Diagnosen

Kliniken müssten unter anderem klären, wie und über welche Systeme Dokumente in PDF/A konvertiert, automatisiert hochgeladen und sensible Informationen geschützt werden. In der Vergangenheit haben Branchenvertreter zudem einen zentralen Virenscanner gefordert, da die Sorge besteht, dass aus den Praxen Viren kommen könnten.

Beyer berichtete von einem Papier der DKG zu Upload-Mechanismen und KIS-Anforderungen, für das der Verband bereits Kritik einstecken musste: „Da muss man 25 Seiten schreiben, um zu erklären, wie man Dokumente hochlädt“, so Beyer. Der enorme Umfang sei jedoch den vielen ungeklärten Praxisfragen geschuldet – etwa wie Kliniken mit therapeutischen Ausnahmen, Widersprüchen oder stigmatisierenden Diagnosen umgehen sollen.

IT-Sicherheit betrifft weit mehr Einrichtungen

Thomas Süptitz, Leiter des relativ jungen Referats für Cybersicherheit und Interoperabilität im Bundesgesundheitsministerium (BMG) nannte neben IT-Sicherheit, auch verbindliche Standards und die Bündelung von IT-Leistungen als zentrale Aufgaben. Die NIS-2-Regulierung erweitere den Kreis der Einrichtungen mit besonderen IT-Sicherheitsanforderungen deutlich. Dass IT-Sicherheit im Krankenhausbereich bereits jetzt unter erheblichem Finanzierungsdruck steht, zeigt ein Bericht über Geldmangel und schlechte Prozesse in der Krankenhaus-IT. Betroffen seien nicht nur Krankenhäuser, sondern unter Umständen auch größere Medizinische Versorgungszentren, Labore, radiologische Praxen sowie Einrichtungen der Blut- und Plasmaspende.

Bis einschließlich 2029 will die Bundesregierung zur Unterstützung bei der Umsetzung der NIS-2-Richtlinie insgesamt bis zu 1,8 Milliarden Euro für das geplante Sofortprogramm Cybersicherheit bereitstellen. Musste zuvor lediglich eine untere dreistellige Zahl von Einrichtungen – im Wesentlichen größere Krankenhäuser – strenge gesetzliche IT-Sicherheitsauflagen erfüllen, steigt dieser Kreis nun sprunghaft auf knapp 4.000 Einrichtungen im gesamten Gesundheitswesen an, so Süptitz. Wegen der Schwellenwerte von 50 Beschäftigten oder zehn Millionen Euro Jahresumsatz fallen künftig nahezu alle Krankenhäuser unter die Pflichten, hinzu kommen größere Medizinische Versorgungszentren, Labore, Radiologien sowie Blut- und Plasmaspendedienste.

Süptitz betonte zudem, dass sich IT-Risiken nicht vollständig ausschließen ließen. Durch KI könnten Phishing-Angriffe in großer Zahl und überzeugender formuliert werden. Sicherheit müsse daher nicht nur innerhalb einzelner Einrichtungen, sondern auch für Kommunikationswege und zentrale Systeme gewährleistet werden. Zudem sprach er sich für mehr Kooperation aus. Gemeinsame Ausschreibungen, Beschaffung oder Leistungserbringung könnten insbesondere kleinere Einrichtungen bei der wachsenden IT-Komplexität entlasten.

Auf die Frage von KH-IT-Leiter-Vorstand Andreas Lockau, der die Diskussionsrunde moderierte, warum Krankenhäuser und Krankenkassen ihre hochgesicherten Rechenzentren nicht einfach gemeinsam nutzen und IT gemeinsam betreiben, wiegelte der GKV-Vertreter ab. Die Kassen seien beim Thema IT-Angriffe selbst längst „gebrannte Kinder“, wie die Vorfälle der vergangenen Jahre in den Medien gezeigt hätten. Größere Strukturen oder Hyperscaler böten zudem keine absolute Sicherheit. Ein Zusammenwerfen der Infrastrukturen von Leistungserbringern und Kassen scheitere zudem schlicht an getrennten IT-Töpfen, unterschiedlichen Softwareanbietern und unzulässigen Markteingriffen: Kein Rechenzentrumsbetreiber werde freiwillig zurückziehen und das Feld der Konkurrenz überlassen.

Recht auf Interoperabilität

Kritisiert wurde auch, dass manche Geschäftsmodelle darauf ausgerichtet seien, Wechsel von IT-Systemen zu erschweren. Wenn Kunden nicht abwandern könnten, könnten IT-Hersteller im Markt letztlich beliebige Preise aufrufen. Geplante Regelungen zum Recht auf Interoperabilität sollen Leistungserbringern deshalb ermöglichen, ihre Daten von Dienstleistern in nutzbaren Formaten herauszuverlangen.

Abhängigkeit von IT-Dienstleistern

Stachwitz begrüßte diesen Ansatz ausdrücklich. Gerade im ambulanten Bereich wachse die Bereitschaft, Praxisverwaltungssysteme zu wechseln. Viele Ärztinnen und Ärzte stellten nach einem Wechsel fest, dass dieser weniger schwierig gewesen sei als erwartet und die neue Technik die Arbeit deutlich erleichtere. Beyer verwies ebenfalls auf die Marktmacht einzelner Anbieter.

Rainer Höfer vom GKV-Spitzenverband warnte vor einer Überforderung der Akteure durch ständig neue politische Vorgaben. Nachdem man sich gerade erst intensiv mit IT.-Sicherheit auseinandergesetzt habe, werde nun „die nächste Sau durchs Dorf getrieben“. Es sei erschreckend, wenn von Einrichtungen gefordert werde, teuer beschaffte Systeme schon wieder auszutauschen, nur um theoretische Unabhängigkeit zu erreichen – zumal rein europäische oder deutsche Chips für die Hardware auf absehbare Zeit schlicht fehlten. Süptitz erwiderte, dass es keine gesetzlichen Verpflichtungen zum Einbau europäischer Chips gebe. Wichtig sei jedoch das Bewusstsein für Abhängigkeiten in den Lieferketten und vor allem um Macht über die eigenen Daten.

Anreize oder Sanktionen?

Bei der Frage nach finanziellen Anreizen gingen die Positionen auseinander. Stachwitz kritisierte, dass Arztpraxen in den vergangenen Jahren anders als Krankenhäuser keine vergleichbaren staatlichen Digitalförderungen erhalten hätten.

Besonders kritisch bewertete Stachwitz den zunehmenden Druck durch drohende Honorarabzüge, wenn Praxen IT-Anforderungen nicht fristgerecht erfüllen. Einen Seitenhieb richtete er dabei gegen das Kompetenzzentrum für Interoperabilität im Gesundheitswesen (KIG): Man gebe hier ein „sehr, sehr scharfes Schwert“ in die Hand einer Institution, „wo man nicht weiß, ob sie mit dem Schwert richtig umgehen kann“. Bei fehlenden Zertifizierungen oder Konformitätsbestätigungen treffe der Sanktionsdruck ungerechtfertigterweise die Ärzte und nicht die Systemhersteller. Statt Strafen forderte Stachwitz positive Anreize für Praxen, die neue Anwendungen frühzeitig und zügig implementieren.

Rainer Höfer vom GKV-Spitzenverband hielt dagegen, dass Leistungserbringer auch unternehmerische Verantwortung für ihre IT-Ausstattung trügen. Nicht jede Praxis sei technisch auf demselben Stand. Pauschale Förderung sei deshalb schwierig. Gleichzeitig räumte Höfer ein, dass Sanktionen oft nicht die tatsächlichen Verursacher träfen, wenn erforderliche Software-Funktionen noch nicht verfügbar seien.

KIM ist nicht die einzige Lösung

Beim Thema Kommunikation zwischen Praxen und Krankenhäusern bestand Einigkeit, dass KIM wichtig ist, aber nicht alle Prozesse abdecken kann. KIM sei für den sicheren Versand von Nachrichten geeignet, sagte Stachwitz. Viele Abläufe im Gesundheitswesen seien jedoch komplexer als der Versand eines digitalen Arztbriefs. Für Überweisungen, Verordnungen oder Abrechnungen brauche es teilweise andere technische Verfahren. Höfer verwies darauf, dass es für Abrechnungsdaten bereits seit Jahrzehnten spezialisierte Übertragungswege gebe. Diese ließen sich nicht sinnvoll vollständig durch KIM ersetzen.

Für eine automatisierte und sektorübergreifende Weiterverarbeitung brauche das Gesundheitswesen strukturierte Daten und keine PDF-Dateien. Unbeliebt machte sich Stachwitz mit der Aussage, dass Praxen mit Krankenhäusern noch faxen müssten, weil der Austausch über KIM nicht funktioniere. Das Kabinett hat mit dem GeDIG inzwischen beschlossen, das Faxgerät bis Herbst 2029 aus Arztpraxen zu verbannen. Zugleich zeigte sich Stachwitz zuversichtlich, dass sich dies ändere. Zudem gibt es Pläne für einen neuen einheitlichen Kommunikationsdienst, der den E-Mail-Dienst KIM und den TI-Messenger TIM ablösen soll.

Erst Krebsregister, Genomdatenbanken, Datenintegrationszentren und Co an EHDS anschließen

Mit dem European Health Data Space (EHDS) kommen zusätzliche Anforderungen auf Krankenhäuser, Krankenkassen und andere Akteure zu. Beyer verwies auf die immense Arbeit bei der Sekundärdatennutzung, vor allem in Bezug auf die sehr breiten Metadatenkataloge. Bevor sie jedoch von einzelnen Krankenhäusern solche Datensatzbeschreibungen verlange, solle die Politik schrittweise vorgehen und zunächst bestehende Strukturen wie Krebsregister, Genomdatenbanken, die ePA oder das Forschungsdatenzentrum nutzen. Süptitz machte deutlich, dass Deutschland die europäischen Vorgaben nicht auf Dauer verschieben könne: „Wir können das Thema nicht mehr drücken, das wird nicht weggehen“. Die notwendigen technischen und organisatorischen Strukturen müssten deshalb jetzt geschaffen werden.