Die Digitalisierung im Gesundheitswesen schrei­tet mit hoher Geschwindigkeit vor­an. Künstliche Intelligenz unter­stützt die Befundung, Medizinprodukte wer­den zuneh­mend ver­netzt und kli­ni­sche Prozesse hän­gen mehr denn je von einer leis­tungs­fä­hi­gen IT-Infrastruktur ab. Parallel dazu steigt jedoch auch die Zahl der regu­la­to­ri­schen Anforderungen.

Krankenhäuser sehen sich aktu­ell mit einer Vielzahl neu­er oder ver­schärf­ter Regelwerke kon­fron­tiert: dem EU AI Act, den Anforderungen aus NIS 2, den Vorgaben der MDR für ver­netz­te Medizinprodukte, den Anforderungen des Datenschutzes sowie wei­te­ren Regelungen im Bereich Informationssicherheit und Risikomanagement. Betrachtet man die­se Themen iso­liert, ent­steht schnell der Eindruck einer kaum noch über­schau­ba­ren Regulierungslandschaft.

Tatsächlich ver­fol­gen die ver­schie­de­nen Regelwerke jedoch ein gemein­sa­mes Ziel: Sie sol­len sicher­stel­len, dass digi­ta­le Systeme im Krankenhaus sicher, zuver­läs­sig und beherrsch­bar betrie­ben wer­den.

Ein Thema, viele Regelwerke

Ein moder­nes Krankenhaus nutzt heu­te zahl­rei­che digi­ta­le Systeme, die gleich­zei­tig meh­re­ren Vorschriften unter­lie­gen kön­nen. Ein KI-gestütz­tes Diagnosesystem etwa ist nicht nur ein Medizinprodukt, son­dern Teil der IT-Infrastruktur, ver­ar­bei­tet sen­si­ble Gesundheitsdaten und kann gleich­zei­tig unter die Vorgaben des AI Act fal­len.

Während die MDR und die Betreiberpflichten die siche­re Integration und Nutzung eines Medizinprodukts in der kon­kre­ten Krankenhausumgebung in den Blick neh­men, for­dert NIS 2 ein umfas­sen­des Management von Cyberrisiken auf Organisationsebene. Der AI Act ergänzt die­se Anforderungen um Aspekte wie Transparenz, mensch­li­che Aufsicht, Risikobewertung und den siche­ren Einsatz von KI-Systemen.

Die Konsequenz: Dieselbe Anwendung muss häu­fig aus unter­schied­li­chen regu­la­to­ri­schen Perspektiven betrach­tet wer­den.

Die eigentliche Herausforderung liegt in den Schnittstellen

Für Krankenhausleitungen besteht die Herausforderung heu­te nicht mehr in der Umsetzung ein­zel­ner Vorschriften. Vielmehr müs­sen Wechselwirkungen erkannt und Anforderungen zusam­men­ge­führt wer­den.

Typische Fragestellungen sind:

• Welche ver­netz­ten Medizinprodukte befin­den sich im Krankenhausnetzwerk?
• Welche Risiken ent­ste­hen durch ihre Integration in die bestehen­de IT-Landschaft?
• Wo wer­den KI-Systeme ein­ge­setzt und wie wer­den die­se über­wacht?
• Wer trägt die Verantwortung für den siche­ren Betrieb?
• Wie las­sen sich Informationssicherheit, Datenschutz, Medizinprodukterecht und KI-Governance mit­ein­an­der ver­bin­den?

Diese Fragen betref­fen längst nicht mehr nur die IT-Abteilung. Medizin, Pflege, Medizintechnik, Qualitätsmanagement, Datenschutz, Informationssicherheit und Geschäftsführung müs­sen gemein­sam an Lösungen arbei­ten.

Integrierte Governance statt Einzelprojekte

Viele Krankenhäuser bear­bei­ten die Themen Medizinprodukte, Informationssicherheit, Datenschutz und KI noch getrennt von­ein­an­der. Dies führt häu­fig zu par­al­le­len Dokumentationen, unter­schied­li­chen Risikobewertungen und unnö­ti­gem Ressourceneinsatz.

Sinnvoller ist ein inte­grier­ter Ansatz. Gemeinsame Strukturen ermög­li­chen es, Anforderungen aus ver­schie­de­nen Regelwerken gleich­zei­tig zu erfül­len und Doppelarbeit zu ver­mei­den.

Zu den zen­tra­len Bausteinen gehö­ren:

• ein voll­stän­di­ges Verzeichnis ver­netz­ter Medizinprodukte und digi­ta­ler Systeme,
• ein bereichs­über­grei­fen­des Risikomanagement,
• kla­re Verantwortlichkeiten für digi­ta­le Anwendungen,
• ein Informationssicherheitsmanagementsystem (ISMS),
• stan­dar­di­sier­te Prozesse für Beschaffung, Bewertung und Einführung neu­er Technologien,
• sowie eine struk­tu­rier­te KI-Governance.

Risikomanagement wird zum zentralen Erfolgsfaktor

Je stär­ker digi­ta­le Systeme mit­ein­an­der ver­netzt sind, des­to wich­ti­ger wird ein pro­fes­sio­nel­les Risikomanagement. Es schafft Transparenz über tech­ni­sche, orga­ni­sa­to­ri­sche und regu­la­to­ri­sche Risiken und hilft dabei, Prioritäten zu set­zen.

Gleichzeitig bie­tet ein inte­grier­tes Risikomanagement die Möglichkeit, Anforderungen aus unter­schied­li­chen Regelwerken in einem gemein­sa­men Steuerungsansatz zu bün­deln. Statt meh­re­re iso­lier­te Compliance-Systeme auf­zu­bau­en, kön­nen Krankenhäuser auf eine zen­tra­le Governance-Struktur set­zen, die Sicherheit, Qualität, Wirtschaftlichkeit und Rechtssicherheit glei­cher­ma­ßen unter­stützt.

Fazit

Die regu­la­to­ri­schen Anforderungen rund um Digitalisierung, Informationssicherheit, Medizinprodukte und Künstliche Intelligenz wer­den auch in Zukunft wei­ter zuneh­men. Die ent­schei­den­de Aufgabe für Krankenhäuser besteht des­halb nicht dar­in, jede neue Vorgabe ein­zeln zu betrach­ten, son­dern die Zusammenhänge zu erken­nen und ganz­heit­li­che Lösungen zu eta­blie­ren.

Wer früh­zei­tig auf inte­grier­te Strukturen, kla­re Verantwortlichkeiten und ein wirk­sa­mes Risikomanagement setzt, schafft nicht nur Compliance, son­dern auch die Grundlage für eine siche­re und nach­hal­ti­ge digi­ta­le Transformation des Krankenhauses.

Wenn Sie Interesse an einer Weiterentwicklung Ihrer Organisation haben, kön­nen Sie hier ein Erstgespräch ver­ein­ba­ren