Rechtssicherheit und Haftung in der TI 2.0

Beschluss

Die Vertreterversammlung der KZBV fordert das Bundesministerium für Gesundheit (BMG) auf, die Weiterentwicklung der Telematikinfrastruktur (TI) zur TI 2.0 für die Nutzenden rechtssicher zu gestalten. Für Zahnärztinnen und Zahnärzte dürfen keine neuen Haftungsrisiken entstehen.

Begründung

Mit der Einführung der TI 2.0 ändert sich die Sicherheitsarchitektur der TI. Künftig werden die klassischen, durch den Konnektor abgeschotteten Vertrauenszonen durch ein Modell ersetzt, bei dem auf die Absicherung durch das geschlossene Netz der TI verzichtet, dafür aber jeder Zugriff unabhängig von der Nutzung eines Konnektors oder TI-Gateways, vom Standort oder Endgerät überprüft wird (Zero Trust). Dies schafft neue Freiheiten, etwa für mobiles Arbeiten. Zugleich wachsen durch den Wegfall der eindeutigen Trennung zwischen zentralen und dezentralen Komponenten die rechtlichen Risiken für die Anwender.

Besonders aufmerksam muss der Einsatz von Standardgeräten, wie zum Beispiel handelsüblichen Kartenlesern, betrachtet werden. Mit diesen Geräten, die günstiger und auch für mobile Szenarien nutzbar sind, soll künftig der Versichertennachweis, kurz PoPP (Proof of Patient Presence), erbracht werden können. Weil diese aber nicht von der gematik zugelassen werden, ist die Haftung unklar. Für die vertragszahnärztliche Versorgung muss gelten: Neue Technik darf keine neuen Risiken für die Praxen schaffen.

Auch der Datenschutz muss neu bewertet werden. Die geltenden Regeln zur Datenschutz-Folgenabschätzung (DSFA) greifen zu kurz. Nach § 307 SGB V erfassen sie nur dezentrale Komponenten der TI. Zero-Trust löst die klare Abgrenzung von Komponenten und Vertrauenszonen jedoch auf. Zugriffe laufen dynamisch über viele Komponenten. Zentrale Dienste werden wichtiger. Sicherheit entsteht nicht mehr durch Abschottung,
sondern durch ständige Prüfung von Identität und Rechten.

Deshalb reicht der Blick der DSFA auf einzelne, dezentrale Komponenten nicht mehr. Nötig ist eine umfassende Bewertung aller Risiken. Sie muss auch neue Zugriffe, Authentifizierung und zentrale Dienste einbeziehen. Das BMG muss die Regeln zügig anpassen. Es muss Rechtssicherheit schaffen und die Interessen der vertragszahnärztlichen Versorgung wahren.