Neue Player brauchen Begleitung

Die Telematikinfrastruktur wird als TI 2.0 weiterentwickelt - mit dem Ziel eines vernetzten, digitalen deutschen Gesundheitswesens. Mit den sich verändernden technologischen Möglichkeiten entstehen neue Dienstleistungen und Produkte im Gesundheitswesen. Die Gematik legt die Anforderungen und Spezifikationen für diese fest und ist für die Zulassung von neuen Anbietern und Produkten zuständig. Für den durchaus herausfordernden Zulassungsprozess sollten sich insbesondere neue Anbieter einen erfahrenen Partner an die Seite holen.

Die Telematikinfrastruktur (TI) ist das deutsche Netzwerk für digitale Gesundheitsanwendungen medizinischer Einrichtungen. Sie bedient die Kostenträger – Krankenversicherungen – Leistungserbringer wie Ärzte und die Krankenversicherten. Gesundheitsprodukte und Dienstleistungen, die in der TI betrieben und angeboten werden, benötigen eine Produktivzulassung mit unter anderem sicherheitstechnischen, betrieblichen und funktionalen Nachweisen. Für diese gelten wegen der zu verarbeitenden, sensiblen Daten hohe Anforderungen. Die Gematik, die Digitalisierungsagentur des Gesundheitswesens, entwickelt die Sicherheitsvorgaben und Spezifikationen für Produkte sowie Anbieter. Außerdem definiert sie Schnittstellen, um die Kommunikation der digitalen Produkte untereinander gewährleisten zu können. Gerade diese Vernetzung und Zusammenarbeit der Versorgungsbereiche stellt eine Herausforderung dar - anders als etwa das Bankwesen ist das Gesundheitswesen noch nicht im gleichen Umfang digitalisiert; Schnittstellen und Datenstrukturen sind nicht vereinheitlicht und viele Hersteller nutzen proprietäre Lösungen.

So basiert die TI dann auch auf den aus heutiger Sicht veralteten Designentscheidungen und Prämissen der 2000er Jahre: Es ist ein geschlossenes System ohne Zugang zum Internet. Ihre Weiterentwicklung, die TI 2.0, wurde 2020 auf den Weg gebracht, bis zum Jahr 2025 soll sie generalüberholt und damit der Tatsache Rechnung getragen werden, dass Daten und ihre Vernetzung in der medizinischen Versorgung, Diagnostik und Forschung eine immer wichtigere Rolle spielen und jederzeit und überall verfügbar sein müssen. Um die notwendige Interoperabilität herzustellen, müssen die Architektur der TI technologieunabhängig und Datensilos, proprietäre sowie Insellösungen aufgelöst und eine standardbasierte, strukturierte Datenqualität geschaffen werden: Künftig wird das System von einem Plattformmodell abgelöst, das über Schnittstellen mit dem Internet von überall aus erreichbar sein soll. Die TI 2.0 soll damit optimale Integrationsmöglichkeiten bieten und dafür sorgen, dass Dienste von Drittanbietern bereitgestellt werden können. Typische Anwendungsfälle der TI 2.0 sind zum Beispiel das E-Rezept, die elektronische Patientenakte (ePA) oder digitale Gesundheitsanwendungen (DiGA) als neue Säulen in der Patientenversorgung neben ambulanten und stationären Versorgungseinrichtungen.

Die TI 2.0 soll damit eine unkomplizierte Teilhabe an der digitalen Medizin mit sektorübergreifender Zusammenarbeit ermöglichen – und damit eine Verbesserung der Versorgung sicherstellen. Anwendungen sollen schneller, verfügbarer und wirtschaftlicher werden sowie zudem eine bessere Nutzerfreundlichkeit und einen stabileren Betrieb bieten. Auch die internationale Anschlussfähigkeit für eine grenzüberschreitende und ortsungebundene medizinische Versorgung soll damit umsetzbar werden.

Diese Berücksichtigung internationaler Rahmenbedingungen bei der Entwicklung von Konzepten bzw. Spezifikationen ist eine Herausforderung für die regulierende Gematik: Die EU treibt zum Beispiel gerade die Digitalisierung mit einem eigenen Datenraum, der elektronischen Patientenakte und der Harmonisierung elektronischer Identitäten durch die EUDI voran. Das bedeutet, dass die Gematik nicht nur national gebunden ist, sondern sich auch mit den europäischen Anforderungen auseinandersetzen und hierzu kompatibel sein muss: eine Herausforderung, da zum Beispiel zunächst von ihr gestellte Produktspezifikationen, die als Basis für die Entwicklung der Hersteller dienen, von nachträglichen Spezifikationen der EU beeinträchtigt werden können. Dem Ganzen wohnt eine hohe Dynamik inne, die im Gegensatz zur bisherigen Telematikinfrastruktur und deren Zulassungsprozessen steht.

Neue Sicherheitsrisiken tun sich auf 

Die Öffnung der TI 2.0 bedeutet ebenfalls, dass die ursprünglichen Sicherheitskonzepte, die auf einem geschlossenen Netz aufsetzen, angepasst werden müssen. Gleichzeitig entstehen neue Risiken, denen mit entsprechenden Maßnahmen und einer hohen Reaktionsfähigkeit begegnet werden muss. Mit der kritischen Sicherheitsschwachstelle Log4Shell in der Java-Bibliothek Log4j war im Dezember 2021 eine Bibliothek betroffen, die von einem Großteil der internetbasierten Anwendungen genutzt wird. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) stufte damals die Bedrohungslage als kritisch ein. Das Sicherheitsmanagement der TI 2.0 muss also schneller sein als sich auftuende Schwachstellen und auch die Hersteller müssen ihren Beitrag leisten. Um dem zu begegnen, sind Regeln erforderlich, die in einer solchen Situation Spielraum schaffen. Die Gematik muss einen Weg finden, dynamisch zu reagieren. Ein konkretes Problem besteht darin, wenn Schwachstellen oder Risiken erkannt werden, die zum Zeitpunkt der Konzeption oder während der Zulassung noch nicht bekannt waren. So wäre zum Beispiel die Schnellzulassung des Deltas zwischen der alten, zugelassenen Version, die dem Kriterienwerk der Gematik entspricht, und einer neuen Version denkbar, damit Hersteller die Schwachstelle ausbessern und ihre Dienstleistung oder das Produkt zeitnah über eine weiterhin zugelassene Variante dessen wieder anbieten können. Sonst würde das angepasste, dann sichere Produkt keine Zulassung mehr besitzen, weil es nicht der zugelassenen Version entspricht. Dies ist eine typische Herausforderung in regulierten Bereichen.

Best Practices in der Sicherheitsorganisation und Zertifizierung

Eine Konsequenz der digitalen Agenda ist, dass es neue Player am Markt geben wird, die die Standardtechnologie im sensiblen und hochregulierten Gesundheitsbereich nutzen wollen: Viele sehen hier ihre Chancen für neue Geschäftsmodelle. Die Gematik hat in der Folge mit vielen im Prozess unerfahrenen Unternehmen zu tun, die die formalen Zulassungsprozesse durchlaufen – für diese stellt das eine Herausforderung dar.

Die Gematik legt die Prüfvorgaben in Produkttypsteckbriefen fest. Im umfassenden Regelwerk werden funktionale, organisatorische und sicherheitstechnische Anforderungen an Anbieter und Produkte genau definiert und dokumentiert. Jede Anwendung ist spezifiziert. Kryptographische Verfahren werden festgelegt, ebenso wie die Interoperabilität zwischen Produkten verschiedener Hersteller; auch die Entwicklungsprozesse und damit prozedurale Aspekte, die Dokumentation und Vorgaben für den technischen Betrieb werden bestimmt. Ein zugelassener Gutachter erstellt das für die Zulassung notwendige Produkt- und Sicherheitsgutachten.

Den richtigen Partner wählen

Die Produktzulassung ist ein sehr formeller Prozess, daher sind gerade junge Unternehmen gut beraten, sich für die Zulassung ihrer Produkte oder Dienstleistungen für die TI 2.0 einen erfahrenen Partner zu suchen, der sie auf diesem Weg begleitet – denn es gibt einige Sackgassen zu vermeiden und Hürden zu bewältigen.

Wer eine Zulassung erwirken will, muss das Regelwerk kennen und wissen, was relevant ist, wo welche Informationen stehen und wie man die Aussagen konkret interpretieren muss. Partner für Zulassungsbegleitung wie die zugelassenen Gutachter wissen, welche Dokumente relevant sind, kennen Ansprechpartner und Zulassungsprozesse und haben allgemein einen bewährten Zugang zur Gematik. Der Gutachter kann im Zulassungsprozess dann die Rolle des Moderators übernehmen. Probleme tauchen in der Regel dann auf, wenn der Partner zu spät hinzugezogen wird und können vermieden werden, wenn der Prozess von Anfang an begleitet wird. Wenn der Partner erst ein fertiges Produkt bzw. Dienstleistung zur Betrachtung erhält, ist es allerdings in der Regel zu spät. Die Zulassung für neue Player ist auch ohne externe Unterstützung möglich, dauert aber in der Regel deutlich länger.

Fazit

Die Öffnung der medizinischen Infrastruktur macht den Gesundheitsmarkt als Geschäftsmodell für neue Unternehmen interessant. Doch die Zulassung ihrer Dienstleistungen und Produkte gemäß den Spezifikationen der Gematik ist ein vielschichtiger Prozess, dem ein komplexes Regelwerk zugrunde liegt - und das alles vor einem dynamischen Umfeld. Für eine erfolgreiche Zulassung sollten sich Unternehmen deswegen einen Gutachter als Moderator und Unterstützung an die Seite holen.

Autor:                                   

Randolf Skerka, Business Development Manager Healthcare SRC Security Research & Consulting GmbH ©SRC GmbH

Weitere Informationen:        https://src-gmbh.de/

Symbolbild: Pixabay