Der EHDS macht 2026 nicht jedes Krankenhaus-System unmittelbar voll konformitätspflichtig. Für einen neuen EHR-/KIS-Einkauf stellt er aber schon heute eine konkrete Sicherheitsfrage: Kann der Hersteller einen glaubwürdigen Pfad zu authentifiziertem klinischem Zugriff, auswertbaren Zugriffsspuren und künftigen EU-Konformitätsnachweisen belegen?
Nicht allgemeine Cyberresilienz, sondern eine klinische Zugriffsspur
Die EHR-Regeln des EHDS richten sich an qualifizierende elektronische Patientenakten-Systeme. Gemeint sind Software oder Geräte, die prioritäre Kategorien elektronischer Gesundheitsdaten speichern, vermitteln, importieren, exportieren, umwandeln, bearbeiten oder anzeigen und für die Nutzung durch Leistungserbringer in der Versorgung oder durch Patientinnen und Patienten bestimmt sind. Nicht jede Krankenhaus-Anwendung fällt damit automatisch in diesen Anwendungsbereich; ein reines Terminbuchungssystem nennt die Kommission als Gegenbeispiel.
Der besondere Cyber-Beitrag des EHDS liegt deshalb nicht in einer allgemeinen Vorgabe für den gesamten Krankenhausbetrieb. Er zielt auf die Nachweisbarkeit des Zugriffs auf Patientendaten in harmonisierten EHR-Komponenten. Das unterscheidet ihn von NIS2, die Risiko- und Incident-Governance einer erfassten Organisation adressiert, und vom Cyber Resilience Act (CRA), der horizontale Cybersicherheits- und Schwachstellenanforderungen an Produkte mit digitalen Elementen stellt. Erwägungsgrund 36 grenzt EHR-spezifische Sicherheitsaspekte von allgemeineren Produkteigenschaften ab, die beispielsweise durch den CRA gestützt werden können.
Die fünf Felder: Aus einem Audit-Log wird eine Zugriffskette
Anhang II sieht für EHR-Systeme zur Nutzung durch Gesundheitsfachkräfte zuverlässige Mechanismen zur Identifizierung und Authentifizierung vor. Für Systeme, die Zugang zu personenbezogenen elektronischen Gesundheitsdaten ermöglichen, soll die europäische Protokollierungskomponente jeden Zugriff oder jede Zugriffsgruppe festhalten: handelnde Person, betroffene Person, Datenkategorie, Datum und Uhrzeit sowie Datenherkunft.
Damit ist nicht nur ein abstrakter „Audit-Log“ gemeint. Die harmonisierte Komponente muss die Überprüfung oder Analyse der Protokolle ermöglichen oder an externe Werkzeuge anschließbar sein. Außerdem sollen Aufbewahrungsfristen und Zugriffsrechte Datenherkunft und Datenkategorie berücksichtigen. Beschaffungsteams sollten deshalb nicht nur nach einem Log-Export fragen, sondern die Kette vorführen lassen: Wie wird eine Fachkraft verlässlich identifiziert und authentifiziert? Lassen sich die fünf Felder in einem realistischen Fall suchen, filtern und an ein SIEM oder anderes Analysewerkzeug übergeben? Bleiben Herkunft, Kategorie und Berechtigungslogik auch über Schnittstellen und Middleware sichtbar?
Interoperabilität ist auch eine Frage der Provenienz
Anhang II verbindet Interoperabilität, Sicherheit und die Rechte natürlicher Personen. Verbundene Produkte sollen zuverlässig und sicher interoperabel sein; zugleich betreffen die Anforderungen Import, Export und Zugang im Europäischen Austauschformat für elektronische Patientenakten (EEHRxF). Für den Einkauf folgt daraus ein praktischer Testfall: Beim Import oder Export darf nicht nur der Datensatz ankommen. Es muss nachvollziehbar bleiben, woher er stammt, welche Kategorie er hat, welche Rechte gelten und wie der Zugriff entlang der Schnittstelle protokolliert wird.
Das ist besonders relevant, wenn ein Bestandssystem über Upgrade, Übersetzungs- oder Vermittlungsschicht weitergenutzt werden soll. Der EHDS verlangt nicht automatisch einen simplen Austausch der gesamten Landschaft. Die Kommission erläutert, dass der Import und Export über ein aufgerüstetes bestehendes EHR-System oder über ein übersetzendes beziehungsweise vermittelndes System ermöglicht werden kann. Gerade dann gehört die Auditierbarkeit dieser Schicht in den fachlichen und vertraglichen Nachweis.
Vom Marketingversprechen zur Lieferantenevidenz
Der EHDS verlagert einen Teil der Nachweisführung in die EHR-Lieferkette. Hersteller müssen sicherstellen, dass EHR-System und harmonisierte Komponenten die Anforderungen von Anhang II sowie die gemeinsamen Spezifikationen nach Artikel 36 erfüllen. Vorgesehen sind unter anderem technische Dokumentation, eine EU-Konformitätserklärung, digitale Prüfung, CE-Kennzeichnung und eine Registrierung in der EU-Datenbank, sobald die jeweiligen Anforderungen anwendbar sind.
Das ist kein Grund, 2026 eine nicht existente „EHDS-Vollkonformität“ zu versprechen. Die detaillierten gemeinsamen Spezifikationen und weitere zentrale Durchführungsrechtsakte sollen bis zum 26. März 2027 angenommen werden. Sinnvoll ist daher ein datierter Evidenzpfad statt eines Etiketts: Lieferantenroadmap zu den Spezifikationen, vorgesehener Nachweis der digitalen Prüfung nach Artikel 40, technische Dokumentation nach Artikel 37, Konformitätserklärung nach Artikel 39 sowie Plan für CE-Kennzeichnung und Registrierung. Ebenso wichtig sind Änderungskontrolle, Release-Zeitpunkte, Budget, Mitwirkungsleistungen und Abhilfe- oder Upgrade-Rechte, falls der Pfad scheitert.
Die Phasen lassen Raum für Vorbereitung – nicht für falsche Zusagen
Die EHR-Anwendung erfolgt gestuft. Für Patientenkurzakte, ePrescription und eDispensation nennt Artikel 105 den 26. März 2029; für bildgebende Untersuchungen und Berichte, Testergebnisse und Berichte sowie Entlassungsberichte den 26. März 2031. Diese Daten machen 2026 zum Architektur- und Beschaffungsfenster, nicht zu einem Termin für pauschale EHDS-Pflichten in jeder Krankenhaus-App.
Eine Ausschreibung sollte deshalb den sachlichen Geltungsbereich, die prioritären Datenkategorien und den geplanten Go-live ausdrücklich trennen. So lassen sich heutige Sicherheitsanforderungen, nationale Vorgaben und der EHDS-Roadmapteil sauber voneinander abgrenzen – und später nachvollziehbar zusammenführen.
Sechs Fragen für Beschaffung, IT und Informationssicherheit
- Fällt das Produkt in den EHR-Systembegriff und welche prioritären Datenkategorien verarbeitet es?
- Kann es die fünf Felder der Zugriffsspur nach Anhang II § 3.2 ausgeben und eine Log-Prüfung oder -Analyse unterstützen?
- Wie werden Gesundheitsfachkräfte auch über verbundene Systeme hinweg identifiziert und authentifiziert?
- Wie bleiben Datenherkunft, kategorienbezogene Rechte und Aufbewahrung über Schnittstellen und Middleware erhalten?
- Wie lautet der datierte Plan für Artikel-36-Spezifikationen, Artikel-40-Prüfung, Dokumentation, Erklärung, CE-Kennzeichnung und Registrierung?
- Wer trägt spezifikationsbedingte Änderungen – und welche Upgrade-, Abhilfe- oder Exit-Rechte greifen, wenn der Plan nicht aufgeht?
Fazit: Einen Evidenzpfad einkaufen, keine Leerformel
Der EHDS ersetzt weder die organisatorische Cyber-Governance unter NIS2 noch das horizontale Produktrecht des CRA. Sein EHR-spezifischer Mehrwert liegt in einer zukünftig regulierten Zugriffsspur für klinische Daten und in einem harmonisierten Konformitätsweg. Wer heute EHR, KIS oder eine große Integrationsschicht beschafft, sollte deshalb belastbare Identitäts-, Logging-, Analyse-, Herkunfts- und Lieferantennachweise verlangen – ohne für jede Anwendung eine pauschale 2026-Compliance zu behaupten.
Offizielle Primärquellen und Gültigkeitsgrenze
- Verordnung (EU) 2025/327, Amtsblatt / EUR-Lex. Maßgebliche Rechtsquelle für Anhang II, die Konformitätsregelungen und die gestufte Anwendung.
- Europäische Kommission: Certification of EHR systems. Überblick über Zertifizierung, Nachweise und den Umsetzungsfahrplan.
- Europäische Kommission: European Health Data Space Regulation (EHDS). Überblick zum EHDS und zum sicheren Verarbeitungsraum.
- Europäische Kommission, Frequently Asked Questions on the EHDS, aktualisiert am 26. März 2026. Hilfreiche, vorläufige Umsetzungshinweise der Kommissionsdienststellen, keine maßgebliche Rechtsauslegung.