News

Elektronische Patientenakte: Bundesregierung plant Digitalgesetz

Die Bundesregierung hat in einer Antwort auf eine Kleine Anfrage der Grünen-Fraktion den aktuellen Stand der elektronischen Patientenakte dargelegt und kündigt ein neues Digitalgesetz an

Die Bundesregierung plant ein umfassendes Digitalgesetz „mit dem weitere Impulse für die Digitalisierung des Gesundheitssystems und die Verbesserung der Datennutzung im Gesundheitsbereich gesetzt werden sollen“. Der Entwurf soll im ersten Halbjahr 2026 vorgelegt werden. Foto: Adobe Stock/Andrea Gaitanides

Laut Bundesregierung wurde der bundesweite Rollout von über 70 Millionen elektronischen Patientenakten (ePA) Anfang 2025 erfolgreich abgeschlossen. Seit dem 1. Oktober 2025 sind Leistungserbringer:innen verpflichtet, die ePA zu nutzen und Daten zu Laborberichten, Befundberichten sowie Arzt- und Entlassbriefen zu übermitteln. Die Opt-out-Quote liegt derzeit bei rund fünf Prozent, zum Stichtag 31. Oktober 2025 existierten 3,89 Millionen Gesundheits-IDs.

Neue Funktionen ab 2026

Für das kommende Jahr kündigt die Bundesregierung mehrere Erweiterungen an: Ab Sommer 2026 sollen Push-Benachrichtigungen verfügbar sein, die Versicherte über neue Dokumente und Inhalte in ihrer ePA informieren. Ende 2026 folgt eine Volltextsuche, die laut Regierung „einen großen Mehrwert im Praxisalltag“ bieten soll. Der digital gestützte Medikationsprozess wird ebenfalls Mitte 2026 umgesetzt.

Der sogenannte Proof-of-Patient-Presence (PoPP) soll in der zweiten Jahreshälfte 2026 starten. Mobile Einsatzszenarien – etwa bei Hausbesuchen – sollen ab 2027 von dieser technischen Neuerung profitieren. Der PoPP-Dienst ermöglicht einen ortsunabhängigen Identitätsnachweis und soll die Nutzung digitaler Gesundheitsdienstleistungen erleichtern.

Sicherheitsniveau als angemessen bewertet

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) bewertet das aktuelle IT-Sicherheitsniveau der ePA als dem Schutzbedarf angemessen. Längerfristig bekannte Schwachstellen seien durch Übergangsmaßnahmen befristet mitigiert worden, die abschließende Behebung erfolge mit Einführung des PoPP-Dienstes voraussichtlich Ende 2026. Der Bundesregierung liegen nach eigenen Angaben keine neuen Informationen zu IT-Sicherheitsvorfällen oder Cyberangriffen auf die ePA vor.

Keine einheitliche Backend-Architektur geplant

Auf die Frage nach einer Vereinheitlichung des ePA-Backends unter zentraler Steuerung antwortet die Bundesregierung ausweichend: Man prüfe „verschiedene Optionen zur Fortentwicklung der Telematikinfrastruktur“. Konkrete Maßnahmen und Zeitpläne lägen aktuell nicht vor. Die gematik habe keinen Auftrag für verbindliche Vorgaben zu einer einheitlichen Backend-Architektur erhalten.

Allerdings wurden die Steuerungsrechte der gematik bereits gestärkt: Mit dem Digitalgesetz von 2024 müssen Hersteller ein Konformitätsbewertungsverfahren durchlaufen. Systeme ohne diese Bestätigung dürfen nicht in Verkehr gebracht werden. Ärzt:innen, die Software ohne ePA-konforme Module nutzen, dürfen ihre Leistungen grundsätzlich nicht mehr abrechnen.

Europäische Vorgaben prägen weitere Entwicklung

Die EU-Verordnung zum Europäischen Gesundheitsdatenraum (EHDS) ist seit März 2025 in Kraft und wird stufenweise bis 2031 angewendet. Die Bundesregierung bereitet entsprechende Anpassungen des nationalen Rechts vor. Für 2027 ist die Umsetzung des Laborbefunds nach EHDS-Vorgaben vorgesehen, in den Folgejahren sollen die elektronische Patientenkurzakte, Arzt- und Entlassbriefe sowie Bildbefunde folgen.

Digitalgesetz für zweites Halbjahr 2026 angekündigt

Die Bundesregierung plant ein umfassendes Digitalgesetz „mit dem weitere Impulse für die Digitalisierung des Gesundheitssystems und die Verbesserung der Datennutzung im Gesundheitsbereich gesetzt werden sollen“. Der Entwurf soll im ersten Halbjahr 2026 vorgelegt werden. Das parlamentarische Verfahren ist für das zweite Halbjahr 2026 vorgesehen. Zudem muss die gematik bis zum 1. Juli 2026 ein Umsetzungskonzept zur Weiterentwicklung der ePA zu einem „persönlichen Gesundheitsdatenraum“ vorlegen.

Für die Cloud-Nutzung im Gesundheitswesen gilt weiterhin der mit § 393 SGB V geschaffene Rechtsrahmen: Ein aktuelles C5-Testat des BSI ist erforderlich, die Datenverarbeitung darf nur im Inland, in EU/EWR-Staaten oder in Drittstaaten mit Angemessenheitsbeschluss erfolgen.

Die vollständige Antwort der Bundesregierung ist als Bundestagsdrucksache 21/3769 verfügbar.