Nachdem die Einstiegshürden für Anbieter von DiGA zunächst relativ niedrig gehalten wurden, sind sie nun mit der 2. Novelle der Verordnung über das Verfahren und die Anforderungen zur Prüfung der Erstattungsfähigkeit digitaler Gesundheitsanwendungen in der gesetzlichen Krankenversicherung (DiGAV) deutlich verschärft. Das betrifft insbesondere den Nachweis über ein wirksames Informations­sicherheits­management­system, der spätestens ab dem 1. April 2022 zu erbringen ist. Dazu müssen alle DiGA-Anbieter ein Zertifikat nach ISO/IEC 27001 vorlegen bzw. einen Nachweis über die Einhaltung des IT-Grundschutzes erbringen.

Dies gilt sowohl für Unternehmen, deren DiGA bereits gelistet sind, als auch für Unternehmen, deren DiGA sich zum Stichtag im Antragsverfahren befinden. Das Zertifikat muss auf Verlangen dem Bundesinstitut für Arzneimittel und Medizinprodukte (BfArM) vorgelegt werden. Anderenfalls kann das BfArM die DiGA nach § 139e Absatz 6 SGB V aus dem Verzeichnis streichen oder nach allgemeinen sozialrechtlichen Regelungen die Aufnahme in das Verzeichnis für DiGA nach § 139e Absatz 1 SGB V zurücknehmen bzw. widerrufen.

Ab dem 1. Januar 2023 ist dann nach DiGAV auch die „Erfüllung der Anforderungen an die Datensicherheit durch ein Zertifikat des Bundesamts für Sicherheit in der Informationstechnik nach § 139e […] nachzuweisen.“ Dies gilt auch für bereits gelistete Hersteller, die Selbsterklärung nach Anhang der DiGAV ist damit obsolet.

Um die Anbieter von DiGA beim Bewältigen dieser neuen Anforderungen zu unterstützen, hat die GUTcert gemeinsam mit ihrer Tochter Berlin Cert einen Leitfaden entwickelt, mit dem die Integration eines ISMS in das bestehende Qualitätsmanagementsystem für das Medizinprodukt integriert werden kann.

Auf der Website der GUTcert steht der Leitfaden zum Download bereit.