Definition und Hintergrund
Historisch sind Krankenhausinformationssysteme aus der Verwaltung gewachsen: Patientenstammdaten, Aufnahme, Verlegung, Entlassung und Abrechnung waren die ersten digitalisierten Prozesse. Die medizinische Dokumentation kam später hinzu, häufig über spezialisierte Subsysteme, die an das Kernsystem angebunden wurden. Diese Entstehungsgeschichte erklärt die typische Schwäche vieler KIS-Landschaften: Sie sind hervorragend in der Fallabwicklung und schwach in der prozessnahen Steuerung.
Die Förderlogik des Krankenhauszukunftsgesetzes hat diese Heterogenität eher verstärkt als aufgelöst, weil die Förderung an einzelne Fördertatbestände geknüpft war. Für die Systeme bedeutete das hohe Anforderungen an offene Schnittstellen, Standardprotokolle wie HL7 v2 und HL7 FHIR sowie an Semantik-Standards wie SNOMED CT und LOINC. Genau deshalb hat der Gesetzgeber Interoperabilität nachgeschärft: Über § 373 SGB V werden Spezifikationen für offene und standardisierte Schnittstellen informationstechnischer Systeme in Krankenhäusern erarbeitet und verbindlich festgelegt; der Einsatz entsprechender Systeme wird verpflichtend.
Welche Funktionen umfasst ein KIS?
Der Funktionsumfang variiert stark. Als Orientierung lässt sich zwischen dem administrativen Kern, der medizinisch-pflegerischen Dokumentation und den prozessnahen Subsystemen unterscheiden.
- Administrativer Kern: Patientenverwaltung, Aufnahme, Verlegung und Entlassung, Leistungserfassung, Kodierung, Abrechnung und Fallsteuerung.
- Medizinische und pflegerische Dokumentation: Diagnosen, Befunde, Arztbriefe, Medikation, Pflegedokumentation und Vitalparameter, zunehmend mit Entscheidungsunterstützung.
- Prozessnahe Subsysteme: OP-Managementsystem, Anästhesiesystem, Labor-, Radiologie- und Pathologiesystem, Apotheken- und Materialwirtschaftssystem, Instrumentenmanagement.
- Auswertung und Steuerung: Kennzahlen für Medizincontrolling, Qualitätssicherung und externe Berichtspflichten sowie Datenlieferungen an das InEK und an Register.
- Externe Anbindung: Telematikinfrastruktur, elektronische Patientenakte, elektronische Arzneimittelverordnung, Kommunikation mit einweisenden und nachbehandelnden Einrichtungen.
Welche rechtlichen Anforderungen gelten?
| Rechtsquelle | Anforderung an das KIS |
|---|---|
| § 373 SGB V | Spezifikationen für offene und standardisierte Schnittstellen informationstechnischer Systeme in Krankenhäusern; die Bundesregierung legt sie verbindlich fest, der Einsatz entsprechender Systeme wird verpflichtend. Umgesetzt über die ISiK-Spezifikationen der gematik. |
| § 391 SGB V | Alle Krankenhäuser müssen nach dem Stand der Technik angemessene organisatorische und technische Vorkehrungen gegen Störungen von Verfügbarkeit, Integrität und Vertraulichkeit ihrer IT-Systeme treffen, einschließlich verpflichtender Maßnahmen zur Security-Awareness. Die Pflichten können durch Anwendung eines vom BSI als geeignet festgestellten branchenspezifischen Sicherheitsstandards (B3S) erfüllt werden. |
| BSI-Gesetz in der Fassung des NIS-2-Umsetzungsgesetzes | Krankenhäuser zählen im Sektor Gesundheit zu den regulierten Einrichtungen mit Registrierungs-, Melde- und Risikomanagementpflichten. Für Betreiber kritischer Anlagen gelten zusätzliche Anforderungen. Die Registrierungspflicht war nach Inkrafttreten fristgebunden. |
| DSGVO und Landeskrankenhausgesetze | Verarbeitung von Gesundheitsdaten als besondere Kategorie personenbezogener Daten, Zweckbindung, Rollen- und Berechtigungskonzepte, Protokollierung von Zugriffen, Auftragsverarbeitung bei Cloud- und Fernwartungslösungen. |
| § 630f BGB | Pflicht zur Dokumentation in der Patientenakte, Berichtigungs- und Änderungstransparenz bei elektronischer Führung sowie Aufbewahrungsfristen. |
| MDR (EU) 2017/745 | Software mit medizinischer Zweckbestimmung kann selbst Medizinprodukt sein – etwa bei Dosisberechnung oder Entscheidungsunterstützung. Dann gelten Konformitätsbewertung und Betreiberpflichten. |
Für die Praxis wichtig ist die Reihenfolge: § 391 SGB V verpflichtet alle Krankenhäuser, unabhängig von Größe und KRITIS-Status, soweit sie nicht bereits als Betreiber kritischer Anlagen nach dem BSI-Gesetz verpflichtet sind. Der branchenspezifische Sicherheitsstandard der Deutschen Krankenhausgesellschaft ist dabei der etablierte Weg zum Nachweis. Wer diese Grundlage nicht sauber gelegt hat, wird auch die weitergehenden Anforderungen aus der NIS-2-Umsetzung nicht erfüllen können.
Warum das KIS über die Steuerbarkeit des OP entscheidet
Der OP ist der datenintensivste Bereich des Krankenhauses – und zugleich derjenige, in dem Daten am häufigsten nicht steuerungsfähig vorliegen. Die perioperativen Prozesszeitpunkte des Fachglossars von BDA/DGAI, BDC/DGCH und VOPM lassen sich nur dann zu belastbaren Kennzahlen verdichten, wenn sie im OP-Informationssystem systematisch, zeitnah und an der richtigen Stelle erfasst werden. Das Glossar selbst weist an mehreren Stellen darauf hin, dass die Abbildbarkeit einzelner Kennzahlen von den Möglichkeiten des eingesetzten Systems abhängt.
Typische Befunde aus der Praxis: Zeitstempel werden nachträglich gesammelt eingetragen und verlieren dadurch ihre Aussagekraft. Die Absageursache eines Falles wird nicht strukturiert erfasst, sodass die Ratio abgesetzter Fälle zwar berechnet, aber nicht erklärt werden kann. OP-Plan und Bettenverfügbarkeit liegen in getrennten Systemen ohne Abgleich. Oder: Auswertungen sind nur über den IT-Bereich verfügbar, sodass Steuerung im Wochenrhythmus statt im Tagesrhythmus stattfindet. Keines dieser Probleme ist technisch unlösbar – sie entstehen aus Konfiguration, Prozessdefinition und Zuständigkeit, nicht aus der Softwareauswahl.
Worauf sollten Sie bei Auswahl und Weiterentwicklung achten?
Die Systemauswahl ist selten der entscheidende Hebel – die Konfiguration und die Datenverantwortung sind es. Fünf Punkte haben sich als besonders wirksam erwiesen:
- Erfassung am Ort der Entstehung: Prozesszeitpunkte müssen dort erfasst werden, wo sie entstehen, mit möglichst geringem Aufwand. Jede nachgelagerte Erfassung erzeugt systematische Verzerrungen.
- Definitionen vor Konfiguration: Erst festlegen, welche Kennzahl aus welchen Zeitpunkten berechnet wird – idealerweise entlang des Fachglossars und verbindlich im OP-Statut –, dann konfigurieren.
- Auswertbarkeit im Fachbereich: OP-Management und Medizincontrolling brauchen eigenständigen Zugriff auf Auswertungen, ohne Umweg über Ticketsysteme.
- Offene Schnittstellen als Vergabekriterium: ISiK-Konformität und FHIR-Fähigkeit gehören in Ausschreibungen, ebenso die Frage, welche Schnittstellen ohne Zusatzkosten bereitstehen.
- Mitbestimmung frühzeitig einbinden: Systeme, die eine Leistungs- oder Verhaltenskontrolle ermöglichen, unterliegen der Mitbestimmung. Wer das erst nach der Einführung klärt, riskiert, dass Auswertungen nicht genutzt werden dürfen.
Häufige Fragen zum Krankenhausinformationssystem
Ist ein KIS gesetzlich vorgeschrieben?
Ein KIS als solches wird nicht ausdrücklich vorgeschrieben. Faktisch ergibt sich seine Notwendigkeit aber aus den Dokumentations-, Abrechnungs-, Melde- und Interoperabilitätspflichten. § 373 SGB V macht den Einsatz von Systemen mit den festgelegten offenen und standardisierten Schnittstellen verbindlich – damit wird nicht das KIS selbst, wohl aber seine Anschlussfähigkeit zur Pflicht.
Was ist ISiK?
ISiK steht für Informationstechnische Systeme in Krankenhäusern. Dahinter stehen die auf Grundlage von § 373 SGB V erarbeiteten Spezifikationen für offene, standardisierte Schnittstellen, die auf HL7 FHIR aufsetzen und stufenweise verbindlich werden. Ziel ist, den Datenaustausch zwischen KIS, Subsystemen und externen Anwendungen herstellerunabhängig zu ermöglichen.
Welche IT-Sicherheitspflichten hat ein Krankenhaus?
Nach § 391 SGB V muss jedes Krankenhaus nach dem Stand der Technik angemessene organisatorische und technische Vorkehrungen treffen, um Störungen von Verfügbarkeit, Integrität und Vertraulichkeit seiner IT-Systeme zu vermeiden – einschließlich verpflichtender Maßnahmen zur Security-Awareness der Beschäftigten. Die Pflichten gelten als erfüllt, wenn ein vom BSI als geeignet festgestellter branchenspezifischer Sicherheitsstandard angewendet wird. Für Betreiber kritischer Anlagen und für Einrichtungen im Anwendungsbereich der NIS-2-Umsetzung gelten zusätzliche Registrierungs-, Melde- und Nachweispflichten.
Ist ein KIS ein Medizinprodukt?
Nicht pauschal. Entscheidend ist die Zweckbestimmung: Reine Verwaltungs- und Dokumentationsfunktionen sind in der Regel keine Medizinprodukte. Module mit medizinischer Zweckbestimmung – etwa Dosisberechnung, Alarmierung oder Entscheidungsunterstützung – können dagegen als Medizinprodukt nach der MDR einzustufen sein, mit entsprechender Konformitätsbewertung und Betreiberpflichten.
Was hat das KHZG mit dem KIS zu tun?
Das Krankenhauszukunftsgesetz hat Investitionen in digitale Infrastruktur über definierte Fördertatbestände gefördert und dabei Interoperabilität und IT-Sicherheit als zentrale Anforderungen an geförderte Vorhaben verankert. Für KIS-Landschaften bedeutete das insbesondere Anforderungen an offene Schnittstellen und Standardprotokolle – und die Verpflichtung, den Reifegrad nachzuweisen.
Warum reicht ein KIS für die OP-Steuerung oft nicht aus?
Weil das KIS auf die Fallabwicklung optimiert ist, während OP-Steuerung prozessnahe, zeitgenaue Daten braucht. Erforderlich sind eine saubere Definition der Prozesszeitpunkte, Erfassung am Ort der Entstehung, strukturierte Absagegründe und ein Abgleich zwischen OP-Plan und Bettenverfügbarkeit. Ohne diese Konfigurationsarbeit liefert auch ein modernes System keine belastbaren Kennzahlen.
KIS: das Wichtigste in fünf Punkten
- Das KIS ist der Systemverbund aus administrativem Kern, medizinisch-pflegerischer Dokumentation und prozessnahen Subsystemen.
- § 373 SGB V verpflichtet zu Systemen mit den festgelegten offenen und standardisierten Schnittstellen (ISiK, auf HL7-FHIR-Basis).
- § 391 SGB V verpflichtet alle Krankenhäuser zu IT-Sicherheit nach dem Stand der Technik; Nachweis über den branchenspezifischen Sicherheitsstandard (B3S).
- Mit der NIS-2-Umsetzung kommen Registrierungs-, Melde- und Risikomanagementpflichten nach dem BSI-Gesetz hinzu.
- Für die OP-Steuerung entscheidet nicht die Systemauswahl, sondern die Definition und Erfassung der Prozesszeitpunkte am Ort der Entstehung.
Ein KIS ist damit weniger eine Softwarefrage als eine Frage von Definitionen, Zuständigkeiten und Datendisziplin. Welche Prozesszeitpunkte dabei erfasst werden müssen, zeigt der Beitrag zu den Wechselzeiten. Wie sich die Daten in Erlöse übersetzen, erläutert der Eintrag zur DRG-Fallpauschale. Wie sich Digitalisierungsvorhaben im OP praktisch umsetzen lassen, behandelt unsere Leistungsseite zur Digitalisierung.
Rechtliche und fachliche Quellen
- § 373 SGB V: Spezifikationen zu offenen und standardisierten Schnittstellen für informationstechnische Systeme in Krankenhäusern und in der pflegerischen Versorgung.
- § 391 SGB V: IT-Sicherheit in Krankenhäusern, einschließlich Security-Awareness und Konformität über einen branchenspezifischen Sicherheitsstandard.
- BSI: NIS-2 im Sektor Gesundheit: Registrierungs-, Melde- und Risikomanagementpflichten für regulierte Einrichtungen.
- DKG: Branchenspezifischer Sicherheitsstandard (B3S) für die Gesundheitsversorgung im Krankenhaus: Etablierter Nachweisweg für die Pflichten nach § 391 SGB V.
- § 630f BGB: Dokumentation der Behandlung, Änderungstransparenz bei elektronischer Aktenführung und Aufbewahrungsfristen.
