Auszahlung von Fördermitteln für die Digitalisierung von Klinken im Rahmen des Krankenhauszukunftsgesetzes

[Antwort der Bundesregierung auf die Kleine Anfrage der Abgeordneten Joana Cotar, Uwe Schulz, Dr. Michael Espendiller und der Fraktion der AfD – Drucksache 20/74 – Auszahlung von Fördermitteln für die Digitalisierung von Kliniken im Rahmen des Krankenhauszukunftsgesetzes V o r b e m e r k u n g d e r F r a g e s t e l l e r Die Corona-Krise hat einerseits die, auch im internationalen Vergleich, sehr hohe Leistungsfähigkeit des deutschen Gesundheitssystems und seines medizinischen und Pflegepersonals gezeigt, andererseits wurden große Defizite bei der Digitalisierung von Abläufen offenbart. So erfolgte beispielsweise bereits seit dem Jahr 2016 eine nach Ansicht der Fragesteller erfolglose Projektförderung des Bundes zur Modernisierung des Öffentlichen Gesundheitsdienstes (ÖGD) durch die Bereitstellung eines digitalen Melde- und Überwachungssystems für übertragbare Krankheiten (Umsetzungsstrategie der Bundesregierung „Digitalisierung gestalten“, Version 1, November 2018, S. 143, https://www.b undesfinanzministerium.de/Content/DE/Downloads/Digitalisierung/2018-11-1 5-Digitalisierung-gestalten.pdf?__blob=publicationFile&v=2), das auch nach fünf Jahren Entwicklungszeit nicht fertig implementiert ist. Dadurch sollten „sämtliche Meldeprozesse nach Infektionsschutzgesetz (IfSG) automatisiert verarbeitet“ und damit die „bisherigen analogen Strukturen (Faxmeldungen etc.) durch digitale Verarbeitungsprozesse ersetzt werden“ (ebd.). Besonders bedrohlich ist die steigende Anzahl an Cyberattacken auf Krankhäuser, bei denen die IT-Systeme überwiegend mittels sogenannter Ransomware verschlüsselt werden und für die Entschlüsselung Lösegeld verlangt wird (https://www.bsi.bund.de/DE/Service-Navi/Publikationen/Lagebericht/lageber ichtnode.html, S. 13). Immer häufiger werden dabei parallel auch Daten ausgespäht, um zusätzlich mit einer möglichen Veröffentlichung der Daten drohen zu können (https://www.bka.de/DE/UnsereAufgaben/Deliktsbereiche/Cyb ercrime/cybercrime_node.html). Als Folge des Cyberangriffs auf das Uniklinikum Düsseldorf im September 2020 verstarb bereits eine 78-jährige Notfallpatientin, weil sie nicht unmittelbar eingeliefert werden konnte, sondern in das 25 Kilometer entfernte Klinikum Wuppertal umgeleitet werden musste. Erst vier Wochen später kehrte das Klinikum Düsseldorf in den Normalbetrieb zurück (https://www.kma-online.de/aktuelles/it-digital-health/detail/it-sicherheit- von-kliniken-mangelhaft-a-45318). In einer aktuellen Studie wurden bei 36,4 Prozent von 1 555 untersuchten deutschen Krankenhäusern IT-Schwachstellen entdeckt, mehr als 900 der insgesamt 1 931 entdeckten Schwachstellen seien kritisch gewesen (https://www. Deutscher Bundestag Drucksache 20/158 20. Wahlperiode 01.12.2021 Die Antwort wurde namens der Bundesregierung mit Schreiben des Bundesministeriums für Gesundheit vom 30. November 2021 übermittelt. Die Drucksache enthält zusätzlich – in kleinerer Schrifttype – den Fragetext. tagesschau.de/wirtschaft/technologie/cybersicherheit-infrastruktur-hacker-klin iken-cybercrime-101.html). Das Bundeskriminalamt (BKA) hat in seinem Bundeslagebild Cybercrime 2020 festgestellt, dass Cyberkriminelle sich im Jahr 2020, in dem vor allem dem Gesundheitswesen eine besondere Bedeutung zukam, bei ihren Angriffszielen mit Ransomware verstärkt auf große Unternehmen und öffentliche KRITIS-Einrichtungen fokussierten, zu denen gemäß BSI-KRITIS-Verordnung (BSI-KritisV; BSI = Bundesamt für Sicherheit in der Informationstechnik) auch Krankenhäuser mit mindestens 30 000 stationären Fällen im Jahr gehören (https://www.bka.de/SharedDocs/Downloads/D E/Publikationen/JahresberichteUndLagebilder/Cybercrime/cybercrimeBundes lagebild2020.html?nn=28110, S. 22). Diese KRITIS-Krankenhäuser müssen den Stand ihrer IT-Sicherheit nach § 8a Absatz 3 des Gesetzes über das Bundesamt für Sicherheit in der Informationstechnik (BSIG) alle 2 Jahre dem BSI nachweisen. Dessen Kontrollen, vor allem die technische Überprüfung, reichen jedoch Medienberichten zufolge offenbar nicht aus (https://www.tagesspi egel.de/politik/jede-dritte-hat-maengel-in-it-sicherheit-kliniken-besonders-verl etzlich-bei-hackerangriffen/26841108.html). Im Gesundheitsbereich mit dem Schwerpunkt Krankenhäuser ist die Zahl von Hackerangriffen von elf im Jahr 2018, auf 16 im Jahr 2019 und auf 43 im Jahr 2020 gestiegen (Welt am Sonntag, 27. Dezember 2020, S. 40: Angriffsziel Krankenhaus). Weltweit stiegen Angriffe auf Krankenhäuser im Jahr 2020 um 45 Prozent, während es in anderen Wirtschaftssektoren lediglich einen Zuwachs von 22 Prozent gab (https://www.datensicherheit.de/cyberangriffe-kran kenhaeuser-anstieg-220-prozent). Insgesamt verzeichnete das BKA im Jahr 2020 fast 109 000 Cyberattacken, was einer Steigerung von 8 Prozent zum Vorjahr entspricht (https://www.bka.de/SharedDocs/Downloads/DE/Publikatio nen/JahresberichteUndLagebilder/Cybercrime/cybercrimeBundeslagebild202 0.html?nn=28110, S. 10). Im Rahmen des Krankenhauszukunftsgesetzes (KHZG), das seit Oktober 2020 in Kraft ist, will der Bund für moderne Notfallkapazitäten, Digitalisierung und IT-Sicherheit in Kliniken 3 Mrd. Euro ausgeben (https://www.bundesgesundhe itsministerium.de/krankenhauszukunftsgesetz.html). Die Länder sollen weitere 1,3 Mrd. Euro zur Verfügung stellen, sodass insgesamt 4,3 Mrd. Euro bereitstehen (ebd.). Entsprechend dem neu eingefügten § 14a des Krankenhausfinanzierungsgesetzes zur Errichtung des Krankenhauszukunftsfonds müssen mindestens 15 Prozent der gewährten Fördermittel für Maßnahmen zur Verbesserung der Informationssicherheit verwendet werden. Der Verband der Ersatzkassen (vdek) bemängelt in diesem Zusammenhang einen seit Jahren bestehenden Investitionsstau seitens der Länder (https://ww w.vdek.com/vertragspartner/Krankenhaeuser/krankenhausfinanzierung.html). So gab es seit 1991 einen Rückgang der Investitionsfinanzierung der Bundesländer von 18 Prozent, während die Ausgaben der Krankenkassen für den Krankenhausbetrieb von 29 Mrd. Euro auf insgesamt 75 Mrd. Euro angestiegen sind (ebd.). „Damit ist der Anteil der Krankenhausfinanzierung der Länder seit 1991 von über 10 Prozent auf unter 4 Prozent gesunken“ (ebd). Vor dem Hintergrund dieser Unterfinanzierung steigt nach Auffassung der Fragesteller bei den Krankenhäusern der Anreiz zu einer medizinisch nicht notwendigen Leistungsausweitung, um weiterhin ihre Kosten decken zu können (ebd.). So fordert die Deutsche Krankenhausgesellschaft (DKG) für die Zukunft einen dauerhaften Digitalisierungszuschlag in Höhe von 2 Prozent auf alle Krankenhausrechnungen (https://www.dkgev.de/dkg/positionen/). Mit Hilfe der Digitalisierung und ihren Einsatzgebieten wie E-Health, Telemedizin, Robotik oder Big Data können neue Diagnostik- und Behandlungsmöglichkeiten wie die personalisierte Medizin geschaffen und eine enge Vernetzung der Leistungserbringer und der Versorgungssektoren ermöglicht werden (ebd.). Notwendig ist dazu jedoch auch eine sektorenübergreifende Standardisierung der Datenerfassung und Datenübermittlung, Interoperabilität von Diensten und Anwendungen der Telematikinfrastruktur (TI) sowie die Anpassung von Ausbildungsordnungen und Curricula der medizinischen Berufe (ebd.). Ferner kommen, einer aktuellen Befragung der IT-Abteilungen in 163 der 1 900 deutschen Akutkliniken zufolge, digitale Lösungen nicht nur den Patienten und dem Personal zugute, sondern könnten auch 30 Prozent der Kosten in Krankenhäusern sparen (FAZ, 24. Juli 2021, S. 20: Zu viel Papierkram). So gibt es großes Einsparpotential etwa in der Bettenbeschaffung und Bettenverwaltung. Weil Betten repariert, gereinigt oder eingerichtet würden, müsse ein analog geführtes Krankenhaus mit 1 000 Plätzen tatsächlich 1 400 davon vorhalten (ebd.). Würden dafür Verwaltungs- und Nachverfolgungsprogramme auf Computern eingesetzt, reichten 1 050 Betten aus (ebd.). Dadurch ließen sich 300 000 Euro im Jahr einsparen. Auch unterhielten derzeit nur 3 Prozent der befragten Kliniken bereits Pflegeroboter. Selbst Putzroboter würden nur in 7 Prozent der Häuser eingesetzt, und das auch nur drei Stunden am Tag, obwohl sie erst ab acht Stunden rentabel seien. In der Binnenlogistik der Krankenhäuser, etwa im Transport von Patienten, Essen und Material, könnten digital verwaltete Kliniken doppelt so viele Patienten betreuen (ebd.). Das Bundesamt für Soziale Sicherung (BAS), bei dem für die Umsetzung der KHZG-Förderung ein Krankenhauszukunftsfonds (KHZF) aufgelegt wurde, gab Ende Juli 2021 bekannt, dass bislang erst Gelder in Höhe von 16,5 Mio. Euro an Kliniken ausgezahlt wurden (https://www.handelsblatt.com/politik/de utschland/krankenhauszukunftsgesetz-kliniken-warten-auf-foerdergelder- fuerdigitalisierung/27511900.html). Anträge seien bis dato für Fördermittel in Höhe von insgesamt 244 Mio. Euro gestellt worden, jedoch nur von fünf Bundesländern (ebd.). Die Krankenhausträger können allerdings bereits seit dem 2. September 2020 mit der Umsetzung von Vorhaben beginnen und ihren Förderbedarf bei den Ländern anmelden, ab Inkrafttreten des Gesetzes bis zum 31. Dezember 2021 können die Länder Förderanträge an das Bundesamt für Soziale Sicherung stellen (https://www.bundesgesundheitsministerium.de/krankenhauszukunftsg esetz.html). Dabei müssen bis Ende des Jahres 2021 alle beabsichtigten Anträge eingereicht worden sein, sonst fließen nicht beantragte Fördermittel zurück an den Bund (ebd.). Kliniken stellen somit nicht selbst Förderanträge, sondern melden ihren Bedarf bei den Bundesländern an, die dann entscheiden, für welche digitalen Vorhaben Geld bereitgestellt werden soll. Bevor die Länder den Antrag schließlich an das BAS weiterleiten, erhalten die Landesverbände der Krankenkassen und der Ersatzkassen noch Gelegenheit zur Stellungnahme. Allein im Falle von Nordrhein-Westfalen (NRW) lagen im August 2021 noch 1 350 Bedarfsmeldungen der Kliniken vor, die aktuell bearbeitet werden und dann an die Landesverbände der Krankenkassen und Ersatzkassen zur Stellungnahme übermittelt werden müssen (https://www.handelsblatt.com/politik/deutschl and/krankenhauszukunftsgesetz-kliniken-warten-auf-foerdergelder-fuer-digital isierung/27511900.html). Ab dem Jahr 2025 werden ferner für geförderte Krankenhäuser Strafzahlungen in Höhe von bis zu 2 Prozent des Rechnungsbetrags für jeden voll- und teilstationären Fall fällig, wenn diese bestimmte digitale Voraussetzungen nicht erfüllen. Dies tritt z. B. dann ein, wenn Patienten und Klinikmitarbeiter im Jahr 2025 keine digitalen Werkzeuge nutzen, wie z. B. ein digitales Medikamentenmanagement (5. Juli 2021, Handelsblatt Inside Digital Health: Kliniken – Technik-Botschafter fördern Digitalisierung). Die Sanktionen im Rahmen des KHZG, die von der Deutschen Krankenhausgesellschaft (DKG) und dem GKV-Spitzenverband ausgehandelt werden sollen, waren jedoch bis zum August 2021 noch immer ungeregelt und es fanden offenbar bis dahin noch nicht einmal Verhandlungen statt, sondern lediglich Sondierungsgespräche (https://www.handelsblatt.com/politik/deutschland/krankenhauszukunftsgeset z-kliniken-warten-auf-foerdergelder-fuer-digitalisierung/27511900.html). Medienberichten zufolge fehlt es auch an IT-Dienstleistern (Handelsblatt Inside Digital Health, 16. April 2021: Krankenhauszukunftsgesetz; Mangel an IT-Dienstleistern gefährdet Zeitplan), insbesondere für die kleineren Klinken, weil zunächst die größeren Beratungsaufträge abgearbeitet würden. V o r b e m e r k u n g d e r B u n d e s r e g i e r u n g Die Bundesregierung misst einer modernen, digitalen und guten investiven Ausstattung der Krankenhäuser in Deutschland eine hohe Bedeutung bei. Die Finanzierung von Investitionsmaßnahmen im Krankenhausbereich ist nach dem Prinzip der dualen Finanzierung Aufgabe der Länder. Seit längerer Zeit ist jedoch das Gesamtvolumen der Mittel der Länder für Krankenhausinvestitionen nominal und preisbereinigt zurückgegangen. Infolgedessen sind insbesondere Investitionen in die Digitalisierung und in eine moderne technische Ausstattung der Krankenhäuser in den letzten Jahren nicht in ausreichendem Maße erfolgt. Daher hat Deutschland im Hinblick auf den Digitalisierungsgrad der Krankenhaus-IT deutlichen Nachholbedarf. Um diesem Nachholbedarf zu begegnen, ist der Krankenhauszukunftsfonds (KHZF) gebildet worden, in den 3 Mrd. Euro aus Bundesmitteln eingestellt worden sind. Zusammen mit der erforderlichen Kofinanzierung aus Mitteln der Länder und/oder der Krankenhausträger in Höhe von 30 Prozent stehen damit insgesamt 4,3 Mrd. Euro zur Verfügung, um durch gezielte Projekte das Digitalisierungsniveau erheblich anzuheben. Im Vordergrund stehen dabei die Verbesserung der medizinischen Versorgung und der Souveränität und Selbstbestimmung der Patientinnen und Patienten sowie die langfristige Sicherstellung einer hohe Versorgungsqualität. Gleichzeitig sollen den Mitarbeiterinnen und Mitarbeitern in den Krankenhäusern neue Perspektiven eröffnet werden, die sich durch die Digitalisierung ergeben. Auch das Niveau der IT-Sicherheit von Krankenhäusern bedarf einer kontinuierlichen Beobachtung und Weiterentwicklung. Krankenhäuser, die Opfer eines Hackerangriffs geworden sind, sind vielfach nicht in der Lage, ihren Beitrag zur Aufrechterhaltung der gesundheitlichen Versorgung zu leisten. Aus diesem Grund sind Krankenhäuser in die Regelungen der BSI-Kritisverordnung einbezogen worden, wenn sie mehr als 30 000 vollstationäre Fälle im Jahr behandeln. Für die betroffenen Krankenhäuser hat das zu Folge, dass sie verpflichtet sind, ihre IT-Ausstattung an den Stand der Technik anzupassen und regelmäßig überprüfen zu lassen, dass die IT-Ausstattung noch dem Stand der Technik entspricht – nach § 75c des Fünften Buches Sozialgesetzbuch (SGB V) gilt diese Verpflichtung ab dem 1. Januar 2022 für sämtliche Krankenhäuser. Um die Krankenhäuser hierbei zu unterstützen, können die erforderlichen Maßnahmen an Krankenhäusern, die Kritische Infrastrukturen sind, aus Mitteln des Krankenhausstrukturfonds (KHSF) gefördert werden. Bei Krankenhäusern, die nicht die Voraussetzungen für das Vorliegen einer Kritischen Infrastruktur erfüllen, können entsprechende Maßnahmen aus den Mitteln des KHZF gefördert werden. Damit hat der Gesetzgeber die investiven und regulatorischen Voraussetzungen für eine flächendeckende Verbesserung des Niveaus der IT- Sicherheit von Krankenhäusern geschaffen.  1. Wann lagen dem Bundesamt für Soziale Sicherung (BAS) die ersten Anträge auf Fördermittel aus dem Krankenhauszukunftsfonds (KHZF) vor, und welches Fördervolumen sahen diese Anträge vor (vgl. Vorbemerkung der Fragesteller)? Die ersten Anträge auf Gewährung von Fördermitteln aus dem KHZF lagen dem BAS am 3. Mai 2021 vor. Es handelte sich um insgesamt zehn Anträge, mit denen Fördermittel in Höhe von 2 267 999,99 Euro beantragt wurden.  2. Wann lagen dem Bundesamt für Soziale Sicherung die ersten vollständigen Anträge auf Fördermittel aus dem Krankenhauszukunftsfonds vor, welches Fördervolumen sahen diese Anträge vor, wie viele Krankenhäuser sind darin integriert, und wann wurden diese Anträge beschieden? Die in der Antwort zu Frage 1 benannten Anträge vom 3. Mai 2021 waren vollständig und bezogen sich auf Vorhaben an zwei Krankenhäusern. Die Fördermittel wurden am 6. bzw. 13. Juli 2021 bewilligt und am 30. Juli 2021 ausgezahlt.  3. Wie hoch ist die Summe der bisherigen Abflüsse an Antragsteller von Fördermitteln aus dem Bundesanteil (vgl. Fragen 1 und 2)? Mit Stand vom 18. November 2021 hat das BAS Fördermittel in Höhe von 145 260 743 Euro bewilligt.  4. Wie viele vollständig vorliegende Förderanträge (vgl. Fragen 1 bis 3) sind derzeit in Prüfung beim BAS, wann wird die dreimonatige Prüfung jeweils abgeschlossen sein, welches Fördervolumen sehen diese Anträge vor, und wie viele Krankenhäuser sind darin integriert? Mit Stand vom 18. November 2021 liegen dem BAS insgesamt 3 055 Anträge auf Gewährung von Fördermitteln nach dem KHZF vor. Bislang wurden Fördermittel in Höhe von 1 616 241 714,52 Euro beantragt. Die Prüfung der Anträge durch das BAS erfolgt grundsätzlich chronologisch nach Antragseingang. Soweit die Fragestellung auf die Frist nach § 14a Absatz 4 Satz 3 des Krankenhausfinanzierungsgesetzes (KHG) abzielt, ist darauf hinzuweisen, dass diese nicht das BAS, sondern die Länder verpflichtet, binnen drei Monaten über die Bedarfsmeldung der Krankenhausträger nach § 14a Absatz 1 Satz 1 KHG zu entscheiden. Die Anträge beziehen sich dabei immer auf ein Vorhaben im Sinne des § 19 Absatz 1 der Krankenhausstrukturfonds-Verordnung (KHSFV). Für ein Krankenhaus können auch mehrere Anträge gestellt werden. Das BAS kann daher keine Angaben zu der Anzahl von Anträgen machen, bei denen nach den Krankenhäusern differenziert wird, an denen diese Vorhaben umgesetzt werden.  5. Wie viele unvollständige Förderanträge liegen derzeit dem BAS vor, welches Fördervolumen sehen diese Anträge vor, und wie viele Krankenhäuser sind darin integriert? Es findet bei Antragseingang keine Vorprüfung der Anträge auf deren Vollständigkeit statt. Die Prüfung auf Vollständigkeit erfolgt erst im Rahmen der allgemeinen Antragsbearbeitung. Das BAS differenziert insofern nicht zwischen vollständigen und unvollständigen Anträgen, weshalb es keine Angaben zu der Anzahl von unvollständigen Anträgen machen kann.  6. Mit Hilfe welcher Software-Anwendung wird die Bearbeitung der Anträge beim BAS unterstützt und dokumentiert? Im Rahmen der Antragsbearbeitung zum KHZF beim BAS kommen mehrere Software-Anwendungen zum Einsatz, die miteinander verknüpft sind. Zum einen steht den Ländern ein Online-Portal zur Verfügung, über das die Anträge beim BAS gestellt werden können. Dies ist sowohl manuell als auch automatisiert per REST-API möglich. Daneben gibt es eine interne Fachanwendung, in der die Mitarbeiterinnen und Mitarbeiter des BAS die Anträge verwalten und bearbeiten können. Dabei erfolgt die Abarbeitung workflowgesteuert. Diese beiden Software-Anwendungen wurden vom BAS selbst entwickelt. Für eingehende Anträge werden darüber hinaus automatisch elektronische Akten angelegt, in denen auch die ausgehenden Schriftstücke verwaltet werden. Dafür kommt die Software „Fabasoft eGov Suite 2020“ zum Einsatz. Auszahlungen werden über die Software „MACH“ angeordnet, indem die von der Fachanwendung bereitgestellten Auszahlungsanordnungen importiert und freigegeben werden.  7. Liegen der Bundesregierung Informationen über die Höhe der Kofinanzierung aus den Ländern vor, die bis zum 31. Dezember 2020 hätten veröffentlicht werden müssen (https://www.bundesgesundheitsministeriu m.de/fileadmin/Dateien/3_Downloads/Gesetze_und_Verordnungen/Gu V/K/Krankenhauszukunftsfonds_Zeitplanung.png)? Nach § 14a Absatz 5 Nummer 2 KHG ist Voraussetzung für die Zuteilung von Fördermitteln durch das BAS, dass das antragstellende Land, der Krankenhausträger oder beide gemeinschaftlich mindestens 30 Prozent der Fördersumme tragen. Eine gesetzliche Verpflichtung, die Höhe der Kofinanzierung der Länder bis zum 31. Dezember 2021 zu veröffentlichen, besteht nicht. Soweit auf den in der Frage Bezug genommenen Zeitplan und die dort gekennzeichnete Veröffentlichung des Länderanteils bis 31. Dezember 2020 verwiesen wird, handelt es sich um die Anteile der Länder am Fördervolumen nach dem Königsteiner Schlüssel vom 6. November 2018. Diese Anteile hat das BAS im Sinne von § 21 Absatz 1 KHSFV auf seiner Internetseite veröffentlicht (https://www. bundesamtsozialesicherung.de/de/themen/krankenhauszukunftsfonds-1/). Dort hat das BAS auch Förderangaben der Bundesländer, einschließlich Angaben zum Umgang mit der Übernahme der 30 Prozent-Investitionskosten, eingestellt.  8. Sieht die Bundesregierung das Risiko, dass die Länder den Zukunftsfonds zum Anlass nehmen, die Höhe ihrer eigenen Mittel für die Investitionsförderung im Krankenhausbereich zu reduzieren, und welche Maßnahmen könnte sie ergreifen, um dies zu verhindern? Eine der Fördervoraussetzungen nach dem KHZF ist nach § 14a Absatz 5 Nummer 3 KHG, dass das jeweilige antragstellende Land sich verpflichtet, in den Jahren 2020 bis 2022 jährlich Haushaltsmittel für die Investitionsförderung der Krankenhäuser mindestens in der Höhe bereitzustellen, die dem Durchschnitt der in den Haushaltsplänen der Jahre 2016 bis 2019 hierfür ausgewiesenen Haushaltsmittel entspricht (Buchstabe a), sowie diese Mittel um den Betrag der Kofinanzierung des Landes (Buchstabe b) zu erhöhen. Durch diese Vorgabe soll – ebenso wie beim Krankenhausstrukturfonds nach § 12a Absatz 3 Satz 1 Nummer 3 KHG – ausgeschlossen werden, dass die Länder die Mittel des Fonds zum Anlass nehmen, die Höhe ihrer eigenen Mittel für die Investitionsförderung im Krankenhausbereich zu reduzieren. Vor diesem Hintergrund besteht nach Auffassung der Bundesregierung das Risiko, dass die Länder ihre Investitionsmittel anlässlich der Förderung nach dem KHZF reduzieren, nicht.  9. Haben die Länder fristgerecht zum 1. April 2021 erstmalig Informationen nach § 25 der Krankenhausstrukturfonds-Verordnung (KHSFV) an die BAS übermittelt? Die Länder haben nach § 25 Absatz 1 KHSFV dem BAS zum 1. April eines Jahres, erstmals zum 1. April 2021, zum Nachweis über die zweckentsprechende Verwendung der Fördermittel differenzierte Angaben zu übermitteln. Die Verpflichtung besteht ausschließlich für die Vorhaben, für die das BAS Fördermittel gewährt hat. Da das BAS zum 1. April 2021 noch keine Fördermittel gegenüber den Ländern gewährt hatte, bestand für diese insofern eine entsprechende Verpflichtung nicht. 10. Sieht die Bundesregierung in der Voraussetzung für die Zuteilung von Fördermitteln gemäß neuem § 14a Absatz 5 des Krankenhausfinanzierungsgesetzes, dass „1. die Umsetzung des zu fördernden Vorhabens frühestens am 2. September 2020 (und damit noch vor dem Beschluss des KHZG am 18. September 2020) begonnen hat“ eine Ausnahme zum Verbot des vorzeitigen Maßnahmenbeginns gemäß Verwaltungsvorschrift 1.3 zum § 44 Absatz 1 der Bundeshaushaltsordnung, wenn nein, warum nicht, wenn ja, wie begründet die Bundesregierung diese Ausnahme? Die gesetzliche Fördervoraussetzung nach § 14a Absatz 5 Nummer 1 KHG, wonach die Umsetzung des zu fördernden Vorhabens frühestens am 2. September 2020 begonnen haben darf, stellt keine Ausnahme vom Verbot des vorzeitigen Maßnahmenbeginns gemäß Nummeer 1.3 der Verwaltungsvorschrift zu § 44 Absatz 1 der Bundeshaushaltsordnung dar, da der Gesetzgeber nicht an Festlegungen gebunden ist, die in Verwaltungsvorschriften enthalten sind. 11. Wurde bereits gemäß neuem § 14b des Krankenhausfinanzierungsgesetzes (KHFG) vom Bundesministerium für Gesundheit eine Forschungseinrichtung beauftragt, eine den Krankenhauszukunftsfonds begleitende Auswertung hinsichtlich der Digitalisierung aller Krankenhäuser und insbesondere der nach § 14a KHFG geförderten Vorhaben durchzuführen? a) Wenn nein, warum wurde die gesetzliche Frist der Beauftragung bis zum 28. Februar 2021 nicht eingehalten, und wann soll dies geschehen? b) Wenn ja, welche Einrichtung wurde beauftragt, und aufgrund welcher Kriterien? Die Fragen 11 bis 11b werden gemeinsam beantwortet. Für die Beauftragung wurde ein europaweites Ausschreibungsverfahren mit Teilnahmewettbewerb durchgeführt. Die hierfür erforderlichen Abläufe und gesetzlich vorgegeben Fristen wurden eingehalten. Für die Angebotsbewertung wurden im Vorfeld Bewertungskriterien definiert. Das Angebot des Digital- Radars wurde als das wirtschaftlichste bewertet. Der Zuschlag wurde am 28. Mai 2021 erteilt. Der DigitalRadar setzt sich aus den Konsortialpartnern HIMSS Europe GmbH, dem inav (privates Institut für angewandte Versorgungsforschung), Lohfert & Lohfert sowie den Projektpartnern RWI – Leipzig-Institut für Wirtschaftsforschung und der Universität St. Gallen zusammen. Das Projekt wird von Prof. Dr. Sylvia Thun (Charité) geleitet.  c) Wurde der Reifegrad aller Krankenhäuser hinsichtlich ihrer Digitalisierung bereits gemessen, wenn ja, mit welchem Ergebnis, wenn nein, warum wurde die gesetzliche Frist der Messung bis zum 30. Juni 2021 nicht eingehalten, und bis wann soll dies erfolgen? Es wird auf die Antwort zu Frage 11f verwiesen.  d) Welches Reifegradmodell wurde dabei eingesetzt, und warum wurde es für die Messung ausgewählt? Für die Reifegradmessung hat das Konsortium ein Reifegradmodell entwickelt, welches bestehende nationale und internationale Reifegradmodelle integriert und zugleich die Fördertatbestände der Fördermittelrichtlinie des KHZF berücksichtigt. Das Modell ist auf das deutsche Gesundheitssystem zugeschnitten und ermöglicht zugleich eine internationale Vergleichbarkeit der Ergebnisse.  e) Wurde bei der Reifegradmessung zum 30. Juni 2021 berücksichtigt, dass Krankenhäuser eventuell bereits am 2. September 2020 (vgl. Frage 10) mit einem zu fördernden Digitalisierungsvorhaben begonnen haben, wenn ja, wie wurde dieser Umstand berücksichtigt, wenn nein, welche Aussagekraft erwartet die Bundesregierung von der Reifegradmessung hinsichtlich des gesetzlich formulierten Prüfauftrages, „inwieweit die Digitalisierung der Krankenhäuser und die Versorgung von Patientinnen und Patienten durch die Förderung verbessert werden konnten“ (§ 14b des Krankenhausfinanzierungsgesetzes)?  f) Aus welchen Gründen wurde als Stichtag der Erstevaluation der 30. Juni 2021 gewählt, obwohl z. B. die Antragsphase auf Bundesförderung noch bis zum 31. Dezember 2021 läuft? Die Fragen 11e und 11f werden gemeinsam beantwortet. § 14b KHG sieht vor, dass die digitale Reife aller Krankenhäuser jeweils zum 30. Juni des Jahres 2021 bzw. des Jahres 2023 gemessen werden soll. Der einheitliche Stichtag erlaubt eine Vergleichbarkeit des Reifegrads zwischen den Krankenhäusern. Der Stichtag der ersten Messung 2021 dient als Referenzwert für die zweite Messung 2023. Das bedeutet zugleich, dass die eigentliche Messung nachlaufend zu diesen Stichtagen erfolgt. Die erste Reifegradmessung erfolgt daher im Zeitraum zwischen dem 5. Oktober 2021 und dem 17. Dezember 2021 und bildet damit die digitale Reife zum 30. Juni 2021 ab. Grundsätzlich ist die Teilnahme an der Reifegradmessung für alle Krankenhäuser, unabhängig von einer Förderung nach dem KHZF, kostenlos möglich. Neben der Evaluation des KHZF gibt der DigitalRadar Krankenhäusern ein differenziertes Feedback über ihren jeweiligen Digitalisierungsstand und zeigt zugleich Potenziale, Handlungsempfehlungen und Strategien für ihren jeweiligen digitalen Ausbau auf. 12. Beabsichtigt die Bundesregierung, ein Pendant zum KHFG auch für die ambulante Versorgung vorzulegen, und wie begründet sie ihre Absicht? Die Frage wird dahingehend verstanden, dass nach einem Pendant zum Krankenhauszukunftsgesetz (KHZG) bzw. KHZF gefragt wird. Es bestehen derzeit keine konkreten Planungen der geschäftsführenden Bundesregierung zur Auflage eines Fonds im Hinblick auf die ambulante Versorgung. 13. Wie gestaltet sich die Zusammenarbeit des BSI mit dem Bundesinstitut für Arzneimittel und Medizinprodukte (BfArM) bei der Behebung bekannt gewordener Schwachstellen in Medizinprodukten (vgl. Bundestagsdrucksache 19/19392, S. 3)? Erhält das Bundesamt für Sicherheit in der Informationstechnik (BSI) Kenntnis über Schwachstellen in IT-Produkten, die auch Medizinprodukte betreffen könnten, wird das Bundesinstitut für Arzneimittel und Medizinprodukte (BfArM) entsprechend informiert. Das BfArM überprüft nach Vorgaben der Verordnung (EU) 2017/745 über Medizinprodukte (MDR) und des Medizinprodukterecht-Durchführungsgesetzes (MPDG), ob diese Schwachstellen Medizinprodukte betreffen, die in Deutschland in Verkehr gebracht worden sind. Trifft dies zu, führt das BfArM eine Risikobewertung der Schwachstelle und gegebenenfalls eine Bewertung der Angemessenheit der Maßnahmen des Herstellers durch. Handelt es sich um ein schwerwiegendes Vorkommnis im Sinne der MDR, wird das BSI bei dieser Bewertung eingebunden. Hierzu stehen BSI und BfArM in engem Kontakt. 14. Wurde bereits die im Jahr 2020 geplante Etablierung einer Sicherheitszertifizierung von Medizinprodukten von BSI und BfArM umgesetzt (vgl. Bundestagsdrucksache 19/19392, S. 3), wenn ja, mit welchem Erfolg, wenn nein, warum nicht, und wann soll dies erfolgen? Auf Grundlage von § 139e Absatz 10 SGB V entwickelt das BSI ein Zertifizierungsprogramm zu den Datensicherheitsanforderungen digitaler Gesundheitsanwendungen nach § 33a SGB V. Dies geschieht im Einvernehmen mit dem BfArM. Hierzu finden regelmäßig Arbeitsgruppensitzungen mit Vertreterinnen und Vertretern des BSI, des Bundesbeauftragten für Datenschutz und die Informationsfreiheit (BfDI), der Deutschen Akkreditierungsstelle GmbH (DAkkS) und des BfArM statt. 15. Soll eine mögliche Doppelförderung von KHZF-Mitteln und Mitteln aus dem Krankenhausstrukturfonds vermieden werden, nach dem für Vorhaben zur Anpassung der informationstechnischen Sicherheit von Krankenhäusern mit mindestens 30 000 vollstationären Behandlungsfällen pro Jahr an die Vorgaben des BSI-Gesetzes bis mittlerweile Ende 2024 Mittel in Höhe von insgesamt bis zu 2 Mrd. Euro gewährt werden (https://www. bundesregierung.de/resource/blob/992814/1605036/ad8d8a0079e287f69 4f04cbccd93f591/digitalisierung-gestalten-download-bpa-data.pdf, S. 58), und wenn ja, wie? 16. Sind Medienberichte zutreffend, wonach KRITIS-Krankenhäuser von der Förderung ausgenommen sind (Welt am Sonntag, 27. Dezember 2020, S. 40: Angriffsziel Krankenhaus), und wenn ja, wie begründet die Bundesregierung diesen Ausschluss? Die Fragen 15 und 16 werden aufgrund des Sachzusammenhangs gemeinsam beantwortet. Nach dem KHSF sind nach § 11 Absatz 1 Nummer 4 Buchstabe a KHSFV Vorhaben förderfähig, wenn die Beschaffung, Errichtung, Erweiterung oder Entwicklung informationstechnischer oder kommunikationstechnischer Anlagen, Systeme oder Verfahren oder bauliche Maßnahmen erforderlich sind, um die Informationstechnik der Krankenhäuser, die die Voraussetzungen des Anhangs 5 Teil 3 der BSI-Kritisverordnung erfüllen, an die Vorgaben von § 8a des BSI-Gesetzes anzupassen. Die Förderung gilt insoweit nur für Krankenhäuser, die den Schwellenwert von 30 000 vollstationären Fällen pro Jahr erreichen und insoweit als Kritische Infrastrukturen im Sinne der BSI-Kritisverordnung gelten. Hochschulkliniken sind von der Förderung nach § 11 Absatz 1 Nummer 4 Buchstabe a KHSFV ausgenommen, da sie nach § 5 Absatz 1 Nummer 1 KHG nicht der Förderung nach dem KHG unterfallen. Nach dem KHZF gemäß § 19 Absatz 1 Satz 1 Nummer 10 erster Halbsatz KHSFV förderfähig ist die Beschaffung, Errichtung, Erweiterung oder Entwicklung informationstechnischer oder kommunikationstechnischer Anlagen, Systeme oder Verfahren, um die nach dem Stand der Technik angemessenen organisatorischen und technischen Vorkehrungen zur Vermeidung von Störungen der Verfügbarkeit, der Integrität und der Vertraulichkeit der informationstechnischen Systeme, Komponenten oder Prozesse des Krankenhausträgers zu treffen, die für die Funktionsfähigkeit des jeweiligen Krankenhauses und die Sicherheit der verarbeiteten Patienteninformationen maßgeblich sind. § 19 Absatz 1 Satz 1 Nummer 10 zweiter Halbsatz KHSFV sieht hierbei einen Förderausschluss hinsichtlich solcher Vorhaben vor, die nach § 12a Absatz 1 Satz 4 Nummer 3 KHG in Verbindung mit § 11 Absatz 1 Nummer 4 Buchstabe a KHSFV – mithin nach dem KHSF im vorgenannten Sinne – förderfähig sind. Krankenhäuser, die als Kritische Infrastrukturen nach dem KHSF förderfähig sind, sind von Förderung über den KHZF ausgeschlossen. Für Hochschulkliniken gilt der Förderausschluss insofern nicht – diese sind förderfähig nach § 19 Absatz 1 Satz 1 Nummer 10 erster Halbsatz KHSFV. 17. Wann wurde letztmals der branchenspezifische Sicherheitsstandard B3S der Deutschen Krankenhausgesellschaft zur Absicherung der IT- Infrastruktur von Krankenhäusern durch das BSI geprüft (vgl. Bundestagsdrucksache 19/19392, S. 3) und die Eignung für eine Einhaltung des Stands der Technik gemäß § 8a Absatz 1 Satz 2 BSIG festgestellt, und soll eine weitere Prüfung stattfinden, wenn ja, wann, wenn nein, warum nicht? Der „Branchenspezifische Sicherheitsstandard für die Gesundheitsversorgung im Krankenhaus“ (B3S) der Deutschen Krankenhausgesellschaft (DKG) wurde letztmals im Jahr 2019 durch das BSI geprüft und mit Bescheid vom 16. August 2019 für geeignet befunden. Er befindet sich derzeit bei der DKG in Überarbeitung, mit dem Ziel der zeitnahen erneuten Prüfung durch das BSI. Eine gesetzliche Pflicht zur Erarbeitung eines solchen B3S besteht nicht. Die Erstellung eines B3S ist für die Branchen jedoch eine Chance, ausgehend von der eigenen Expertise Vorgaben zum „Stand der Technik“ zu formulieren. Darüber hinaus gibt er den Betreibern, die sich nach einem solchen anerkannten B3S prüfen lassen, Rechtssicherheit bzgl. des „Stands der Technik“, der bei einem Audit verlangt und überprüft wird. Gleichzeitig bieten diese B3S auch kleineren Unternehmen der Branche, die nicht Betreiber einer Kritischen Infrastruktur sind, einen Leitfaden, um die eigene IT-Sicherheit zu verbessern. 18. Hat sich die Bundesregierung zu der Einschätzung von Sicherheitsexperten (vgl. Vorbemerkung der Fragesteller), die Kontrollen des BSI, vor allem die technischen Überprüfungen, reichten offenbar nicht aus, um selbst gravierende IT-Sicherheitsschwachstellen zu entdecken, eine Auffassung gebildet, wenn ja, welche, und welche Schlüsse zieht sie ggf. daraus für die Arbeit des Bundesministeriums des Innern, für Bau und Heimat als Aufsichtsbehörde des BSI? Die zitierten Quellen in der Vorbemerkung der Fragestellerinnen und Fragesteller adressieren Krankenhäuser allgemein, nicht explizit die Betreiber Kritischer Infrastrukturen. Die technischen Überprüfungen bei den Betreibern Kritischer Infrastrukturen sind aus Sicht der Bundesregierung derzeit ausreichend. Die Vorteile und Chancen der Digitalisierung sind groß, aber gleichzeitig steigen damit auch die Risiken, angreifbarer zu werden. Dies stellt alle Beteiligten vor große Herausforderungen. Die IT–Sicherheitsmaßnahmen in den Unternehmen, auch Krankenhäusern, werden daher zunehmend zu einer wichtigen Daueraufgabe. Generell waren und bleiben Unternehmen auch aus dem KRITIS-Bereich aufgrund ihrer Bedeutung für die Gesellschaft und die Wirtschaft ein relevantes Angriffsziel für Cyberkriminelle, wobei die Angriffe finanziell oder staatlich motiviert sein können. Betreiber Kritischer Einrichtungen – und damit auch Betreiber von Krankenhäusern – müssen sich wegen ihrer besonderen Bedeutung für die Versorgung der Bevölkerung besonders gegen etwaige Bedrohungen schützen. Die Bundesregierung hat vor diesem Hintergrund einen Rechtsrahmen geschaffen, der Betreiber Kritischer Infrastrukturen zur Einhaltung von bestimmten Mindestanforderungen im Bereich Cybersicherheit und zur Meldung von erheblichen IT-Sicherheitsvorfällen verpflichtet. Die entsprechenden Vorgaben finden sich im Gesetz über das Bundesamt für Sicherheit in der Informationstechnik (BSI-Gesetz – BSIG). Dieser Rechtsrahmen wird fortlaufend weiterentwickelt. Über den UP KRITIS stehen die zuständigen Behörden, darunter das BSI, in ständigem Austausch mit den Betreibern Kritischer Infrastrukturen und deren Verbänden. Ziel dieser Kooperation ist es, die Versorgung mit kritischen Infrastrukturdienstleistungen in Deutschland aufrechtzuerhalten. Neben einem regelmäßigen Informationsaustausch werden auch hier gemeinsame Standards und Handlungsempfehlungen erarbeitet. 19. Sieht die Bundesregierung angesichts der gewachsenen Cyberbedrohungslage für den Gesundheitssektor (vgl. Vorbemerkung der Fragesteller) Handlungsbedarf zur Überarbeitung der Verordnung über Medizinprodukte (MPV), in der die Ausgestaltung der Konformitätsbewertungsverfahren und deren Durchführung zur Zertifizierung von Medizinprodukten geregelt wird, und wie begründet die Bundesregierung ihre Einschätzung? Im Zuge der Anpassung des nationalen Medizinprodukterechts an die seit dem 26. Mai 2021 unmittelbar geltende MDR, die die Regelungen zum Konformitätsbewertungsverfahren enthält, wurde die MPV zum 26. Mai 2021 aufgehoben (s. Artikel 9 Absatz 1 Nummer 1 der Medizinprodukte-EU- Anpassungsverordnung vom 21. April 2021, BGBl. I S. 833). Mit der MDR wurden außerdem neue Anforderungen für Medizinprodukte-Software eingeführt. Diese müssen künftig nach dem aktuellen Stand der Technik entwickelt und hergestellt werden, wobei die Grundsätze des Software-Lebenszyklus, des Risikomanagements einschließlich der Informationssicherheit, der Verifizierung und Validierung zu berücksichtigen sind. 20. Welche neuen Erkenntnisse haben die Bundesregierung geleitet, in dem neu eingefügten § 14a des Krankenhausfinanzierungsgesetzes zur Errichtung des Krankenhauszukunftsfonds mindestens 15 Prozent der gewährten Fördermittel für Maßnahmen zur Verbesserung der Informationssicherheit vorzusehen, nachdem die Bundesregierung noch im August 2020 auf eine entsprechende Kleine Anfrage der Fraktion der AfD antwortete, „Eine Quotierung der Fördermittel für die einzelnen Förderzwecke ist nicht vorgesehen“ (vgl. Antwort zu Frage 21 bis 21b auf Bundestagsdrucksache 19/21538), und wie gelangte die Bundesregierung zu diesen Erkenntnissen und Einsichten? Eine Quotierung der einzelnen Fördertatbestände nach § 19 Absatz 1 KHSFV findet auch weiterhin vonseiten des Bundes nicht statt. Insofern liegt die Schwerpunktsetzung bei den Ländern und den Krankenhausträgern. Die Berücksichtigung von Anforderungen an die IT-Sicherheit bildet eine Grundvoraussetzung für die Implementierung und den Betrieb informationstechnischer Systeme. Dies gilt unabhängig vom jeweiligen Anwendungsfall. Da mit jedem informationstechnischen Vorhaben Anpassungen der IT- Sicherheitsmechanismen erforderlich werden, soll durch die Mindestvorgabe von 15 Prozent sichergestellt werden, dass dieser Aspekt ausreichend berücksichtigt wird. 21. Wie lange hat die Schulung für IT-Dienstleister im Rahmen des Krankenhauszukunftsfonds gedauert, wer hat das Schulungsprogramm entwickelt und durchgeführt, wie viele Dienstleister nahmen daran teil, und wie viele IT-Dienstleister hat das BAS nach erfolgreicher Schulung berechtigt (https://www.bundesgesundheitsministerium.de/fileadmin/Dateien/3_Do wnloads/Gesetze_und_Verordnungen/GuV/K/Krankenhauszukunftsfond s_Zeitplanung.png)? Die Berechtigung der Mitarbeiterinnen und Mitarbeiter von IT-Dienstleistern gemäß § 21 Absatz 5 KHSFV erfolgt durch eine Online-Schulung. Der zeitliche Aufwand zur Teilnahme an der Schulung ergibt sich aus dem jeweiligen individuellen Lerntempo. Die Bundesregierung geht von einer durchschnittlichen Schulungsdauer von 60 bis 90 Minuten aus. Im Anschluss an die Online- Schulung erfolgt jeweils eine kurze Überprüfung des aufgenommenen Wissens über eine Online-Lernerfolgskontrolle, welche etwa eine Stunde in Anspruch nimmt (abrufbar unter: https://www.krankenhauszukunftsfonds.de). Für die Erstellung dieser Plattform hat das BAS die Firmen Materna Information & Communications SE und INIT AG beauftragt. Mit Stand vom 17. November 2021 wurden 29 961 Teilnahmeversuche am Schulungsprogramm verzeichnet. Hierbei haben 6 397 Teilnehmerinnen und Teilnehmer erfolgreich ihre Eignung nachgewiesen. 22. Treffen Medienberichte zu (vgl. Vorbemerkung der Fragesteller), wonach Sanktionen im Rahmen des KHZG, die von der Deutschen Krankenhausgesellschaft (DKG) und dem GKV-Spitzenverband ausgehandelt werden sollen, im August 2021 noch ungeregelt waren, und sind diese auch derzeit noch immer ungeregelt? a) Wenn ja, bis wann sollen die Verhandlungen abgeschlossen sein? b) Welche Möglichkeiten sieht die Bundesregierung, auf eine fristgerechte Fertigstellung hinzuwirken?  c) Wenn nein, wann ist eine Regelung nach Kenntnis der Bundesregierung erfolgt? Die Fragen 22 bis 22c werden gemeinsam beantwortet. Gemäß § 5 Absatz 3h des Krankenhausentgeltgesetzes (KHEntgG) vereinbaren die Vertragsparteien nach § 11 KHEntgG für die Zeit ab dem 1. Januar 2025 einen Abschlag in Höhe von bis zu 2 Prozent des Rechnungsbetrags für jeden voll- und teilstationären Fall, sofern ein Krankenhaus nicht sämtliche in § 19 Absatz 1 Satz 1 Nummer 2 bis 6 KHSFV aufgezählten digitalen Dienste bereitstellt. Das Nähere zur Umsetzung des Abschlags regeln der Spitzenverband Bund der Krankenkassen und die Deutsche Krankenhausgesellschaft in der Vereinbarung nach § 377 Absatz 3 SGB V. Dabei haben sie auch Regelungen zu vereinbaren, die die konkrete Höhe des Abschlags danach festlegen, wie viele der in § 19 Absatz 1 Satz 1 Nummer 2 bis 6 KHSFV aufgezählten digitalen Dienste nicht bereitgestellt sind und wie oft die bereitgestellten digitalen Dienste tatsächlich genutzt werden. Damit obliegt auch die zeitliche Planung und Finalisierung einer entsprechenden Vereinbarung den Vertragsparteien auf der Ortsebene. Dennoch ist aus Sicht der Bundesregierung eine frühzeitige Finalisierung der Vereinbarung begrüßenswert, um Handlungssicherheit und Planbarkeit für die betroffenen Akteure zu schaffen. Gesamtherstellung: H. Heenemann GmbH & Co. KG, Buch- und Offsetdruckerei, Bessemerstraße 83–91, 12103 Berlin, www.heenemann-druck.de Vertrieb: Bundesanzeiger Verlag GmbH, Postfach 10 05 34, 50445 Köln, Telefon (02 21) 97 66 83 40, Fax (02 21) 97 66 83 44, www.betrifft-gesetze.de ISSN 0722-8333]