Roadmap EHDS für den CISO: Rollenklärung und die Termine 2027, 2029, 2031 und 2035

Problem in der Praxis

Das EHDS-Programm scheitert in Organisationen typischerweise an zwei Stellen. Erstens an der Rollenklärung: Ein Universitätsklinikum kann gleichzeitig Leistungserbringer, Hersteller einer Eigenentwicklung (über Art. 26 Abs. 2 und Art. 34), Gesundheitsdateninhaber für Versorgungs- und Forschungsdaten und Gesundheitsdatennutzer in eigenen Studien sein; ein Softwarehaus kann Hersteller, Einführer und Datenhalter zugleich sein. Ohne explizite Rollenlandkarte landet das Thema in einem einzigen Projekt, das entweder nur die Versorgungssicht oder nur die Produktsicht bearbeitet.

Zweitens am Zeitversatz zwischen Pflichtbeginn und Vorbereitungsdauer. Die Kommission muss zentrale Durchführungsrechtsakte bis zum 26.03.2027 erlassen (unter anderem Austauschformat nach Art. 15, gemeinsame Spezifikationen nach Art. 36, sichere Verarbeitungsumgebungen nach Art. 73 Abs. 5); die deutsche Behördenlandschaft (Stellen für digitale Gesundheit, Marktüberwachung, Zugangsstellen) war am 05.08.2026 nicht benannt. Wer deshalb alles verschiebt, verliert die Jahre, in denen sich spezifikationsunabhängige Grundlagen (Inventare, Rollen, Verträge, Architekturprinzipien) günstig legen lassen.

CISO-Einordnung

Die Roadmap nach Terminen, alle Fristen mit Fundstelle in der Verordnung (EU) 2025/327:

Bis zum 26.03.2027 (Geltungsbeginn, Art. 105 Abs. 2) entsteht der Rahmen: Die Mitgliedstaaten benennen Stellen für digitale Gesundheit (Art. 19 Abs. 1), nationale Kontaktstellen (Art. 23 Abs. 2, Art. 75 Abs. 1) und teilen der Kommission bis dahin ihre Sanktionsvorschriften mit (Art. 99); die Kommission soll bis dahin unter anderem das europäische Austauschformat (Art. 15 Abs. 1), die gemeinsamen Spezifikationen für die grundlegenden Anforderungen (Art. 36 Abs. 1), die Muster für Anträge und Genehmigungen (Art. 70) und die Anforderungen an sichere Verarbeitungsumgebungen (Art. 73 Abs. 5) erlassen. Für Organisationen ist das die Phase der Grundlagen: Rollenlandkarte, Systeminventar gegen die EHR-System-Definition (Art. 2 Abs. 2), Datenbestandsinventar gegen die Kategorien des Art. 51 Abs. 1, Vertragsklauseln in Beschaffungen, Beobachtung der Rechtsakte. Zum selben Termin wird zudem scharf, was Art. 105 nicht aufschiebt: die Herstellerpflichten des Art. 30 und die Vorkommnis-Meldung des Art. 44 Abs. 7 mit ihrer Drei-Tages-Frist. Ein Hersteller braucht die Meldewege also zum 26.03.2027, nicht erst 2029. Fuer EHR-Systeme, die nach Art. 26 Abs. 2 als in Betrieb genommen gelten, verschiebt Art. 105 Abs. 4 allerdings das ganze Kapitel III und damit auch Art. 30 und Art. 44 auf den 26.03.2031.

Ab dem 26.03.2029 (Art. 105 Abs. 3 und 5) wird es operativ: Die Rechte der Art. 3 bis 15 und die Produktvorschriften der Art. 25 bis 27 gelten für die prioritären Kategorien Patientenkurzakten, elektronische Verschreibungen und Arzneimittelabgaben samt dafür bestimmter EHR-Systeme; Kapitel IV gilt im Grundsatz ab dem 26.03.2029, mit ausdruecklichen Ausnahmen: Art. 55 Abs. 6, Art. 70, Art. 73 Abs. 5, Art. 75 Abs. 1 und 12, Art. 77 Abs. 4 und Art. 78 Abs. 6 schon ab dem 26.03.2027, Art. 51 Abs. 1 Buchst. b, f, g, m und p erst ab dem 26.03.2031 und Art. 75 Abs. 5 ab dem 26.03.2035 (Art. 105 Abs. 5). Datenhalter müssen ab 2029 auf Anfragen der Zugangsstellen liefern (Art. 60) und das Widerspruchsrecht des Art. 71 muss über den nationalen Mechanismus bedienbar sein. Hersteller brauchen zu diesem Termin die Konformitätsanforderungen und die Konformitätsbewertung für die betroffenen Systeme (Art. 25 bis 27) sowie, für Wellness-Anwendungen, die Kennzeichnung nach Art. 47, die Interoperabilitätsvorschrift des Art. 48 und die Registrierung nach Art. 49. Die Aufschubliste des Art. 105 Abs. 3 nennt aus Kapitel III und dem Wellness-Teil genau diese: Art. 25, 26, 27, 47, 48 und 49. Technische Dokumentation, Informationsblatt, EU-Konformitätserklärung und CE-Kennzeichnung (Art. 37 bis 41) stehen dort nicht und gelten wie die Pflichten des Art. 30 und die Meldewege des Art. 44 schon seit dem 26.03.2027; für EHR-Systeme, die nach Art. 26 Abs. 2 als in der Union in Betrieb genommen gelten, verschiebt Art. 105 Abs. 4 das ganze Kapitel III auf den 26.03.2031; Leistungserbringer brauchen Systeme, die das leisten, und die Prozesse aus ehds-002 (Zugriffsauskunft, Beschränkungen).

Ab dem 26.03.2031 (Art. 105 Abs. 3 bis 5) folgt die zweite Welle: die Kategorien Bildgebung, Untersuchungsergebnisse einschließlich Labor und Entlassungsberichte samt dafür bestimmter EHR-Systeme; Kapitel III für EHR-Systeme, die nach Art. 26 Abs. 2 als in Betrieb genommen gelten, also solche, die innerhalb einer in der Union ansässigen Gesundheitseinrichtung hergestellt und verwendet werden, sowie solche, die einer in der Union ansässigen Person als Dienst nach Art. 1 Abs. 1 Buchst. b der Richtlinie (EU) 2015/1535 angeboten werden; in der Sekundärnutzung die Kategorien des Art. 51 Abs. 1 Buchst. b, f, g, m und p (unter anderem genetische und Omik-Daten, Studien- und Kohortendaten); außerdem wird Art. 14 der Richtlinie 2011/24/EU gestrichen (Art. 103). Ab dem 26.03.2035 gilt Art. 75 Abs. 5 (Drittland-Teilnahme an HealthData@EU); bis dahin ist auch die Gesamtbewertung der Verordnung durch die Kommission vorgesehen (Art. 102 Abs. 2).

Je Rolle heißt das: Der Leistungserbringer plant Beschaffung, Berechtigungs- und Protokollierungsarchitektur auf 2029/2031 und wartet für Detailprozesse auf die nationale Ausgestaltung (ehds-002). Der Hersteller richtet Produktarchitektur und Konformitätsprozesse auf seine Systemkategorien aus und integriert bei CRA-pflichtigen Produkten die Nachweisführung (Art. 104, ehds-004); Wellness-App-Hersteller entscheiden bewusst über die Interoperabilitätsbehauptung (Art. 47, 48, ehds-003). Der Datenhalter inventarisiert und baut den Bereitstellungsprozess (ehds-005). Der Datennutzer baut Antragsfähigkeit und Kontrollen gegen die Nutzungsverbote (Art. 53, 54, 61, ehds-005).

Abgrenzung zu den Nachbar-Tracks: Der health-Track liefert die Roadmap für die heute geltenden deutschen Pflichten der Leistungserbringer (Paragraf 391 SGB V, B3S, gematik, DiGA, MDR); diese Roadmap hier betrifft ausschließlich den kommenden EU-Rechtsrahmen des Gesundheitsdatenraums und ergänzt die deutsche Pflichtenlage, ohne sie zu verändern. Der dsgvo-Track liefert das laufende Datenschutzprogramm (Art. 32, Meldeprozesse, DSFA, Auftragsverarbeitung); die EHDS-Roadmap setzt dieses Programm voraus und ergänzt es um EHDS-spezifische Bausteine wie Genehmigungsfähigkeit und Opt-out-Kommunikation, ersetzt aber keinen Datenschutz-Baustein.

Umsetzungsperspektive

Ein realistischer Programmzuschnitt hat drei Arbeitsstränge. Strang eins, sofort und spezifikationsunabhängig: Rollenlandkarte mit Verantwortlichen, Systeminventar (EHR-System-Kandidaten samt Zweckbestimmung und Datenkategorien), Datenbestandsinventar (Art.-51-Kategorien samt Schutzkennzeichnung nach Art. 52), Vertrags- und Beschaffungsklauseln, Aufnahme der EHDS-Termine in die Compliance-Planung. Strang zwei, an Rechtsakte gekoppelt: Architektur- und Prozessentscheidungen, die auf das Austauschformat, die gemeinsamen Spezifikationen und die Umgebungs-Anforderungen warten; hier gehört eine Wiedervorlage auf jeden einschlägigen Durchführungsrechtsakt. Strang drei, an die deutsche Ausgestaltung gekoppelt: Behördenzuständigkeiten, Sanktionsrahmen (Art. 99), nationale Wahlrechte (Art. 10, Art. 50 Abs. 2, Art. 71 Abs. 4); dieser Strang besteht am Anfang nur aus Beobachtung und aus als vorläufig gekennzeichneten Annahmen.

Der Aufwand skaliert mit der Rollenzahl: Eine reine Praxis ohne Eigenentwicklung und ohne Forschungsdaten hat vor allem Beschaffungs- und Informationsaufgaben; ein Klinikkonzern mit Eigenentwicklungen, Registern und Studien fährt alle vier Rollen parallel und braucht ein Programm mit gemeinsamer Steuerung, weil Inventare, Verträge und Architekturentscheidungen rollenübergreifend wirken.

Typische Fehler

1. Ein einziges "EHDS-Projekt" ohne Rollenlandkarte aufsetzen und damit ganze Pflichtenkreise (meist Kapitel III oder IV) übersehen.
2. Vor dem 26.03.2027 akute Pflichten kommunizieren; das erzeugt Ermüdung und beschädigt die Glaubwürdigkeit des Programms, denn vor diesem Datum trifft die Verordnung Unternehmen, Leistungserbringer und Hersteller mit keiner Pflicht (Art. 105 Abs. 2); die einzige frueher anlaufende Pflicht ist der Fortschrittsbericht der Kommission ab dem 25.03.2025 (Art. 102 Abs. 4).
3. Umgekehrt alles auf 2029 vertagen und dann feststellen, dass laufende Beschaffungen, Produktroadmaps und Datenbestände die Termine nicht mehr erreichen.
4. Detailprozesse auf ungelegte Eier bauen: Vor Erlass der gemeinsamen Spezifikationen (Art. 36) und der deutschen Behördenbenennung sind Detailfestlegungen Annahmen und als solche zu kennzeichnen.
5. Die Eigenentwicklungs- und Änderungsfalle ignorieren: Wer Systeme selbst baut oder fremde Systeme anpasst, kann in die Herstellerrolle wachsen (Art. 26 Abs. 2, Art. 34) und gehört in die Roadmap der Kapitel-III-Pflichten.
6. Das EHDS-Programm vom Datenschutzprogramm entkoppeln; Genehmigungsfähigkeit und Opt-out-Handhabung setzen DSGVO-Substanz voraus (Art. 65, 68 Abs. 1 Buchst. c), Doppelstrukturen erzeugen Widersprüche.
7. Fristen aus Sekundärquellen in die Planung übernehmen; jede EHDS-Frist gehört mit ihrer Fundstelle in Art. 105 (beziehungsweise Art. 99) in den Plan, sonst wandern Fehler aus Zusammenfassungen in die Compliance-Termine.

Risiken und Trade-offs

Der Kern-Trade-off ist Vorlauf gegen Spezifikationsrisiko. Frühe Architektur- und Vertragsentscheidungen sichern die Termine 2029 und 2031, tragen aber das Risiko, gegen noch nicht erlassene Spezifikationen zu laufen; spätes Handeln minimiert Nacharbeit, verengt aber die verbleibende Zeit auf Beschaffungs- und Release-Zyklen, die im Gesundheitswesen selten unter mehreren Jahren liegen. Die Roadmap sollte deshalb je Baustein ausweisen, ob er spezifikationsunabhängig ist (dann früh) oder spezifikationsgebunden (dann an die Wiedervorlage gekoppelt).

Das zweite Risiko ist die Ressourcenkonkurrenz mit den laufenden Regulierungsprogrammen: NIS2-Umsetzung, CRA-Vorbereitung und die deutschen Sektorpflichten binden dieselben Security-, Produkt- und Legal-Kapazitäten. Der EHDS rechtfertigt vor 2027 selten eigene Großprojekte; er rechtfertigt aber, bei ohnehin anstehenden Entscheidungen (Systemkauf, Produktarchitektur, Datenplattform) die EHDS-Anforderungen mitzuentscheiden, weil die Korrektur nach 2029 teurer ist.

Entscheidungspunkte

• Welche der vier Rollen (Leistungserbringer, Wirtschaftsakteur nach Kapitel III, Datenhalter, Datennutzer) hat unsere Organisation, und wer verantwortet je Rolle die Roadmap?
• Welche laufenden Beschaffungen, Produktentwicklungen und Plattformprojekte müssen EHDS-Anforderungen schon heute mitentscheiden?
• Welche Bausteine unserer Planung sind spezifikationsunabhängig, welche warten begründet auf Durchführungsrechtsakte oder die deutsche Ausgestaltung?
• Wie verzahnen wir das EHDS-Programm mit NIS2-, CRA- und Datenschutzprogramm, ohne Doppelstrukturen zu bauen?
• Wer trägt die Wiedervorlagen: Durchführungs- und delegierte Rechtsakte, deutsche Behördenbenennung, Sanktionsgesetzgebung (Art. 99), Opt-out-Mechanismus (Art. 71 Abs. 2)?

Praktische Empfehlungen

1. Erstellen Sie eine Rollenlandkarte mit Verantwortlichen und je Rolle den einschlägigen Terminen aus Art. 105; führen Sie die Termine 26.03.2027, 26.03.2029, 26.03.2031 und 26.03.2035 mit Fundstelle in der Compliance-Planung.
2. Starten Sie die spezifikationsunabhängigen Inventare jetzt: EHR-System-Kandidaten (Art. 2 Abs. 2, Art. 26 Abs. 2), Datenbestände gegen Art. 51 Abs. 1 samt Schutzkennzeichnung (Art. 52), Eigenentwicklungs- und Änderungsfälle (Art. 34).
3. Nehmen Sie EHDS-Klauseln in alle EHR-relevanten Beschaffungen und Lieferverträge auf, die über 2029 hinauslaufen (Konformität, Registrierung, Spezifikations-Updates, Kostentragung).
4. Kennzeichnen Sie alle Annahmen zur deutschen Ausgestaltung als vorläufig und mit Standsdatum; am 05.08.2026 waren Behörden, Sanktionen und Opt-out-Mechanismus nicht benannt (ehds-001).
5. Koppeln Sie spezifikationsgebundene Bausteine an eine halbjährliche Wiedervorlage auf neue Durchführungs- und delegierte Rechtsakte zur Verordnung (EU) 2025/327 sowie auf die Berichtigungslage der Verordnung selbst.
6. Nutzen Sie die bestehenden Programme als Träger: Datenschutz (dsgvo-Track) für Genehmigungsfähigkeit und Opt-out, NIS2- und CRA-Programme (nis2-Track, cra-Track) für Meldewege und Produktkonformität, die deutsche Sektor-Compliance (health-Track) für die Versorgungsprozesse.
7. Behandeln Sie diese Roadmap als Management-Orientierung, nicht als Prüfmaßstab; verbindliche Einstufungen und Detailpflichten je Haus ergeben sich aus der Verordnung, den Durchführungsrechtsakten und der nationalen Ausgestaltung.

Relevante Normreferenzen

• Verordnung (EU) 2025/327 (EHDS-Verordnung): Art. 105 (Geltungsstaffel), Art. 99 (Sanktionsvorschriften der Mitgliedstaaten bis 26.03.2027), Kapitel II bis IV (Rollenpflichten), Art. 102 (Bewertungen und Fortschrittsberichte), Art. 103 (Streichung des Art. 14 der Richtlinie 2011/24/EU ab 26.03.2031), Art. 104 (CRA-Änderung); ABl. L, 2025/327, 05.03.2025; EU-Recht mit Quellenangabe frei zitierbar.
• Verordnung (EU) 2016/679 (DSGVO): Grundlage des laufenden Datenschutzprogramms, mit dem die EHDS-Roadmap verzahnt wird; im Korpus der dsgvo-Track.
• Verordnung (EU) 2024/2847 (Cyber Resilience Act) und Richtlinie (EU) 2022/2555 (NIS2): parallel laufende Programme mit EHDS-Berührungspunkten (ehds-004); im Korpus cra-Track und nis2-Track.
• Deutsche Sektorpflichten (Paragraf 391 SGB V, B3S, gematik, DiGA, MDR): health-Track.