Neue EU-Gesetze (EHDS, NIS-2, KI-Verordnung und CRA) drehen die Regeln für die IT-Beschaffung in Krankenhäusern komplett um. Wer neue Systeme einkauft, muss Datenschutz, IT-Sicherheit und Rechtskonformität von Anfang an mitdenken. Der Einkauf wandelt sich dadurch von der reinen Bestellabteilung zum entscheidenden Weichensteller für die Rechtssicherheit im Klinikalltag.
Die Kernfakten auf einen Blick:
- EHDS & MyHealth@EU: Einheitliche EU-Standards verpflichten Kliniken dazu, Systeme für den grenzüberschreitenden Datenaustausch fit zu machen.
- NIS-2-Richtlinie: Fast alle Krankenhäuser müssen Cybersicherheit nachweisen – und zwar nicht nur im eigenen Haus, sondern auch bei externen Dienstleistern und Softwareanbietern.
- KI-Verordnung: Medizinische KI zählt fast immer als Hochrisiko-Technologie. Das bringt strenge Kontroll- und Dokumentationspflichten für Betreiber mit sich.
- Cyber Resilience Act (CRA): Hersteller müssen Sicherheitsupdates garantieren. Kliniken müssen das vor dem Kauf verbindlich einfordern.
- Einkauf neu denken: Recht und IT müssen früh an einen Tisch, Lieferanten streng geprüft und Verträge langfristig abgesichert werden.
Europäische Vorgaben verpflichten Kliniken zu Datenraum und Cybersicherheit
Den Angaben im Text zufolge schafft der European Health Data Space (EHDS) erstmals verbindliche Spielregeln für den Austausch von Gesundheitsdaten in der EU. Für Krankenhäuser bedeutet das konkret: Ihre IT muss künftig nahtlos mit europäischen Datennetzen wie MyHealth@EU zusammenspielen und strenge Vorgaben bei Zugriffsschutz und Datenformaten erfüllen.
Parallel dazu zieht die NIS-2-Richtlinie die Daumenschrauben bei der IT-Sicherheit an. Der Pressemitteilung zufolge betrifft das künftig nahezu jedes Krankenhaus, völlig unabhängig von dessen Größe. Cybersicherheit wird damit Chefsache und Organisationspflicht. Besonders heikel: Die Verantwortung endet nicht an der eigenen Pforte, sondern schließt die gesamte digitale Lieferkette mit ein – vom Softwareanbieter bis zum externen Dienstleister.
Strenge Anforderungen an Künstliche Intelligenz und digitale Produkte
Laut den Ausführungen des Beitrags stuft die EU-KI-Verordnung medizinische KI-Systeme in der Regel als Hochrisikoanwendungen ein. Für Kliniken bedeutet das: Sie sind nicht mehr nur Anwender, sondern stehen als Betreiber in der Pflicht. Sie müssen Transparenz, Datenqualität und eine menschliche Aufsicht im laufenden Betrieb sicherstellen. Eingekauft werden darf schlichtweg nur noch, was lückenlos zertifiziert ist.
Ergänzend nimmt der Cyber Resilience Act (CRA) die Hardware- und Softwarehersteller in die Pflicht. Der Pressemeldung nach müssen Anbieter ihre Produkte über die gesamte Lebensdauer hinweg mit Sicherheitsupdates versorgen. Einkäufer in Krankenhäusern müssen daher schon vor Vertragsschluss genau prüfen, ob ein Lieferant diese Daueraufgaben überhaupt stemmen kann, um spätere Haftungsfallen zu vermeiden.
Der Klinikeinkauf als neues strategisches Steuerungsinstrument
Um dieses Regelwerk im Alltag zu bewältigen, raten die Autoren zu einem klaren Kurswechsel im Einkaufsressort. Juristisches und technisches Know-how gehört ab dem ersten Tag der Bedarfsplanung an den Tisch. Feste Compliance-Checks, Sicherheitsnachweise und klare Update-Garantien müssen zum Standard in jedem Vergabeverfahren werden.
Der Berichterstattung zufolge reichen klassische Kaufverträge nicht mehr aus. Verträge müssen langfristige Pflichten festschreiben – etwa klare Notfall-Meldepflichten, Auditrechte und geregelte Ausstiegsszenarien. Mit klaren internen Leitlinien und Checklisten wird der Einkauf so vom bürokratischen Nadelöhr zum zentralen Hebel für eine sichere Klinik-Digitalisierung.