Wer KHZG-Fördergelder beantragt und einen positiven Bescheid erhalten hat, der weiß: Das erste Quartal des Jahres ist in der Regel die Zeit für den jährlichen Zwischennachweis. Zusätzlich zu einem aktuellen Projektbericht muss zu den meisten Fördertatbeständen (2 bis 6, 8 und 10) die Bestätigung eines berechtigten IT-Dienstleisters eingereicht werden. Die Frist zur Einreichung kann sich von Bundesland zu Bundesland unterscheiden (z. B. Bayern: 20. Januar, Nordrhein-Westfalen: 1. Februar, Hamburg: 28. Februar, Rheinland-Pfalz: 1. März). Ebenso gibt es teilweise spezielle Anforderungen zu den Angaben in den Projekt-Sachberichten der Antragsstelle, insbesondere in Bayern. Diese Regelungen und Fristen sind für die Einhaltung der Förderbedingungen von entscheidender Bedeutung und müssen von den Antragstellern strikt beachtet werden, um den Erhalt der Fördermittel nicht zu gefährden.
Umfang der Bestätigung des berechtigten IT-Dienstleisters
Die Bestätigung muss in der Regel folgende Inhalte umfassen:
- (wahrscheinliche) Umsetzung der für den jeweiligen Fördertatbestand definierten MUSS-Kriterien
- Interoperationalität der Schnittstellen sowie Verwendung international anerkannter technischer, syntaktischer und semantischer Standards zur Herstellung einer durchgehenden internen und externen Interoperabilität digitaler Dienste (Vorgaben des ehemaligen § 291d SGB V)
- Anbindung an die Telematikinfrastruktur und die elektronische Patientenakte
- Einhaltung der Maßgabe, dass 15 % der bewilligten Mittel für Maßnahmen zur IT-Sicherheit ausgegeben werden
- Angemessenheit der Maßnahmen zur Informationssicherheit nach dem Stand der Technik (z. B. nach dem Branchenstandard B3S)
- Einhaltung datenschutzrechtlicher Vorschriften
In Bezug auf nicht abgeschlossene Projekte gilt dabei, dass für den Zwischennachweis grundsätzlich noch keine Pflicht zur vollständigen Umsetzung der inhaltlichen Anforderungen wie der MUSS-Kriterien, der Schnittstellen sowie der Maßnahmen nach den Vorgaben der Informationssicherheit und des Datenschutzes geben muss. Hier reichen Planungsannahmen sowie Angaben der Hersteller meist aus. Der Status „in Planung“ oder „teilweise umgesetzt“ stellt daher beim Zwischennachweis kein Problem dar.
Einbiegen auf die Zielgerade
Grundsätzlich gilt, dass mit dem Ausstellen des Förderbescheids eine Frist von drei Jahren für die Umsetzung gilt. Wenn der Bescheid der jeweiligen Landesbehörde zum Beispiel das Datum 20. August 2022 trägt, muss dieses Projekt bis zum 20. August 2025 abgeschlossen sein. Und auch hier gilt: Ja nach Bundesland gelten andere Fristen für die Bereitstellung der Schlussnachweise (z. B. NRW und Bayern: sechs Monate nach Projektende, Rheinland-Pfalz: 30. Januar 2026, Hamburg: 30. April 2026). Insbesondere für NRW und Bayern gilt damit, dass für Projekte, die im ersten Halbjahr 2025 enden, die Schlussnachweispflicht bis zum 31. Dezember 2025 erfüllt werden muss. Und diesmal muss die Umsetzung der oben genannten Kriterien nachgewiesen und vom berechtigten IT-Dienstleister bestätigt werden – Planungen und Annahmen sind dann nicht mehr relevant.
Das Bundesamt für soziale Sicherung (BAS) hat mit Schreiben vom 24. Juli 2023 eindeutig festgelegt, wann ein Vorhaben final abgeschlossen ist: „Ein Vorhaben ist dann abgeschlossen, wenn die Maßnahmen umgesetzt, d.h. die Hardware besorgt, die Software installiert und die MUSS‐Kriterien erfüllt sind.“ Ein vollständiges Ausrollen der Lösung im Haus ist also nicht notwendig, um ein Projekt abzuschließen.
Nachweispflicht zum Datenschutz und zur Informationssicherheit
Neben der fachlichen Prüfung der MUSS-Kriterien und der Schnittstellenanforderungen sind Maßnahmen zum Datenschutz und zur Umsetzung von Maßnahmen zur Informationssicherheit relevant. Während die Anforderungen des Datenschutzes aus der Datenschutz-Grundverordnung (DS-GVO) sowie dem evangelischen (DSG-EKD) und dem katholischen Datenschutzrecht (KDG) entnommen werden können, bietet sich im Bereich der Informationssicherheit der branchenspezifische Sicherheitsstandard B3S „Medizinische Versorgung“ an:
Datenschutz
- Einordnung der zu verarbeitenden Daten
- Rechtliche Grundlage der Verarbeitung
- Löschverfahren, Konzept
- Dokumentation von technischen und organisatorischen Maßnahmen
- Einordnung der Datenübermittlung in Drittländer
- Dokumentation sämtlicher Erkenntnisse im Verarbeitungsverzeichnis
- Prüfung der Grundsätze für die Verarbeitung personenbezogener Daten
- Einordnung Auftragsverarbeitung/Übersicht auftragsverarbeitende Dienstleister
- Durchführung einer Datenschutzfolgenabschätzung
- Abschluss von Auftragsverarbeitungsverträgen (AVV)
- Betroffenenrechte
- Auskunftsanspruch
- Recht auf Berichtigung
- Recht auf Löschung
- Recht auf Einschränkung der Verarbeitung
- Mitteilungspflicht
- Recht auf Datenübertragbarkeit - Gegebenenfalls weitere Anforderungen je nach Projektinhalt
Informationssicherheit
- Schutzbedarfsfeststellung
- IT-Risikoanalyse und -bewertung
- Ausfallkonzept, Geschäftsfortführungskonzept, Alarmierungsplan, Wiederanlaufplan
- Rollen- und Berechtigungskonzept
- Sichere Authentisierung (Passwortregelungen)
- Datensicherungskonzept
- Protokollierungskonzept
- Test- und Freigabeverfahren bzw. Nachweis
- Datentransfer (Verschlüsselung)
- Sicherheitskonzept für mobile Endgeräte und Speichermedien
- IT-Netzwerkarchitektur (Segmentierung, Firewall-Konzept)
- Absicherung von Fernzugriffen
- Gegebenenfalls weitere Anforderungen je nach Projektinhalt
In der praktischen Umsetzung kommt der Zusammenarbeit der Beauftragen für Datenschutz (DSB) und für Informationssicherheit (ISB) mit den Projektverantwortlichen eine herausragende Bedeutung zu. Eine nachträgliche Umsetzung der oben dargestellten Anforderungen ist hochgradig unpraktisch und führt im Negativfall zu einer nachträglichen Projektanpassung. Daher ist es sinnvoll, die Beauftragten für Datenschutz und Informationssicherheit ab Projektbeginn zu integrieren, spätestens aber dann einzubinden, wenn es an die Konzeption und Implementierung der fachlichen Lösung geht.
Praxis-Hinweis
Die Anpassung von Systemeinstellungen oder von Verantwortlichkeiten und Prozessen kurz vor Projektende sorgt für unnötigen Stress bei allen Projektbeteiligten. Für Häuser, die ihre DBS und/oder ISB immer noch nicht in die KHZG-Projekte einbezogen haben, bedeutet das im Nachhinein und konkret vor dem Schlussnachweis ein erhöhtes Stresslevel bei Dokumentation der Erfüllung der genannten Anforderungen. Nehmen Sie sich also der oben genannten Themen zeitnah an und dokumentieren Sie deren Umsetzung bereits vor und spätestens mit Projektende in einer für sachverständige Dritte nachvollziehbaren Form.
