HTI-5 Final Rule: 14 von 60 EHR-Kriterien gestrichen
Die am 26. Oktober 2026 vom HHS erlassene HTI-5 Final Rule streicht 14 der 60 Kriterien, mit denen Software für elektronische Gesundheitsakten (EHR) von Unternehmen wie Epic und Oracle zertifiziert wird, und überarbeitet sieben weitere erheblich. Der Schnitt betrifft Anforderungen an Sicherheit, Datenschutz und Transparenz. Für Anbieter von Gesundheits-IT heißt das weniger Compliance-Aufwand, für Krankenhäuser mehr eigene Prüfungen der Software, die sie kaufen.
Warum das HHS Zertifizierungsregeln kürzen wollte
Das HHS sagt, seine Zertifizierungsregeln seien zur Last für die Unternehmen geworden, die Software für Gesundheitsakten bauen. Als der Assistant Secretary for Technology Policy und das Office of the National Coordinator for Health IT, kurz ASTP/ONC, HTI-5 am 22. Dezember 2025 vorschlugen, stellten sie die Regel als Teil von Präsident Trumps Executive Order 14192 zur Deregulierung und des Ziels der Regierung dar, bei künstlicher Intelligenz führend zu sein.
Der Vorschlag hatte drei Ziele: überflüssige Anforderungen aus dem freiwilligen ONC Health IT Certification Program entfernen, die Regeln gegen Information Blocking so aktualisieren, dass der Zugang von Patienten zu ihren Daten nicht blockiert wird, und ein neues Fundament aus FHIR-basierten Programmierschnittstellen für KI-gestützten Datenaustausch legen.
Was die endgültige Regel ändert
Die am Montag, 26. Oktober 2026, erlassene endgültige Regel strich 14 der 60 Kriterien, mit denen Systeme für elektronische Gesundheitsakten von Unternehmen wie Epic und Oracle zertifiziert werden, berichtete STAT. Sieben weitere Kriterien wurden erheblich überarbeitet. Die 14 gestrichenen Anforderungen betreffen Sicherheit, Datenschutz und Transparenz.
Der endgültige Schnitt ist kleiner als der Plan. Im Dezember 2025 hatte die Behörde vorgeschlagen, über 50 % der Zertifizierungskriterien des Programms zu streichen, mehrere weitere zu überarbeiten und frühere Mitteilungen über Ermessen bei der Durchsetzung dauerhaft zu übernehmen.
Wie das Zertifizierungsprogramm für Anbieter funktioniert
Mit der Zertifizierung zeigen Entwickler von Gesundheits-IT, dass ihre Software bundesweite Kriterien erfüllt, und das HHS beschreibt das Programm als freiwillig. Jedes Kriterium ist eine Anforderung, die ein Produkt für die Zertifizierung erfüllen muss. Weniger Kriterien bedeuten weniger Funktionen, die ein Anbieter bauen, testen und dokumentieren muss, um seine Zertifizierung zu behalten.
Das HHS will die Zukunft des Programms auf standardbasierte APIs wie FHIR stützen, über die ein System in einem gemeinsamen Format Gesundheitsdaten von einem anderen anfordern und empfangen kann. Dieser Fokus soll nach Angaben der Behörde KI-gestützte Werkzeuge für Interoperabilität unterstützen, also Software, die Patientenakten zwischen Systemen bewegt und liest.
„Diese Vorschläge spiegeln einen pragmatischen Ansatz wider, der überflüssige Anforderungen an Entwickler von Gesundheits-IT abbaut, den nahtlosen Zugang von Patienten zu ihren Informationen besser sichert und ein Fundament für KI-basierten Datenaustausch legt." — Tom Keane, MD, National Coordinator for Health IT, zum HTI-5-Vorschlag
Was das HHS von der HTI-5 Final Rule an Einsparungen erwartet
Die Einsparungszahlen stammen aus dem Vorschlag vom Dezember 2025 und sind Schätzungen, keine gemessenen Ergebnisse. Das HHS erwartete von der vorgeschlagenen Regel Einsparungen von insgesamt 1,53 Milliarden Dollar, darunter 650 Millionen Dollar über die nächsten fünf Jahre für Entwickler von Gesundheits-IT, Leistungserbringer und andere. Es schätzte, zertifizierte Entwickler würden im ersten Jahr mehr als 1,4 Millionen Compliance-Stunden sparen, im Schnitt bis zu 4.000 Stunden pro Entwickler.
Diese Schätzungen entstanden für einen Vorschlag, der über 50 % der Kriterien gestrichen hätte. Die endgültige Regel streicht 14 von 60, die für den Vorschlag prognostizierten Einsparungen sind also nicht als Einsparungen der endgültigen Regel zu lesen.
Was das für Anbieter von Gesundheits-IT und Krankenhäuser bedeutet
Für EHR-Anbieter bedeutet die Regel weniger Zertifizierungsanforderungen, die gepflegt werden müssen, und Entwicklungszeit, die in neue Produkte fließen kann, was das HHS nach eigener Aussage beabsichtigt. Für Krankenhäuser und Praxen, die diese Software kaufen, verschiebt sie einen Teil der Prüfung auf den Käufer. STAT berichtet, viele Kommentatoren hätten eingewandt, die Änderungen schwächten die Sicherheit und den Datenschutz sensibler Gesundheitsdaten und die Bemühungen um die Sicherheit von Produkten, die auf künstlicher Intelligenz beruhen.
Ein Krankenhaus, das sich auf die Zertifizierung als Beleg für eine Sicherheits- oder Transparenzfunktion verlassen hat, muss nun den Anbieter direkt fragen, ob diese Funktion im Produkt bleibt.
Fragen und Antworten
Wie viele EHR-Zertifizierungskriterien hat HTI-5 gestrichen?
Laut STAT strich die endgültige Regel 14 der 60 Kriterien, mit denen Systeme für elektronische Gesundheitsakten zertifiziert werden, und überarbeitete sieben weitere erheblich.
Welche Einsparungen hat das HHS für HTI-5 genannt?
Für die vorgeschlagene Regel schätzte das HHS Einsparungen von insgesamt 1,53 Milliarden Dollar, darunter 650 Millionen Dollar über fünf Jahre, und mehr als 1,4 Millionen Compliance-Stunden für Entwickler im ersten Jahr. Das sind die Schätzungen der Behörde für den Vorschlag.
Die Sicht von MOZGII
Wie wir es bauen würden
Wenn eine Aufsicht eine Anforderung streicht, verschwindet das Risiko, das sie abdeckte, nicht. Es wandert zu dem, der die Software kauft. Wären wir ein Krankenhaus, das nach dieser Regel Software für Gesundheitsakten einkauft, führten wir eine eigene Liste der Funktionen für Sicherheit, Datenschutz und Transparenz, die wir brauchen, und testeten jeden Anbieter dagegen, statt uns auf ein Zertifizierungssiegel zu verlassen.
Auf Anbieterseite behandelten wir die gestrichenen Kriterien als Produktentscheidung, nicht als Freibrief. Manche dieser Funktionen schützen Patientendaten, und Kunden werden sie in Verträgen verlangen. Wir würden die behalten, auf die sich Kunden verlassen, sie in einfachen Worten dokumentieren und nur streichen, was niemand nutzt. Die meiste Sorgfalt braucht jedes Werkzeug, das Patientenakten mit KI liest oder schreibt. Wir würden jeden Datensatz protokollieren, den es berührt, und Kliniker jede Woche eine Stichprobe seiner Ergebnisse prüfen lassen.
Die eine Kennzahl, die wir beobachten würden, ist die Zahl der Fragen zu Sicherheit und Datenschutz in Kundenverträgen, die das Produkt nicht mit Nachweisen beantworten kann. Wächst diese Zahl, hat der Anbieter etwas gestrichen, was Käufer noch brauchen.
Als Nächstes würden wir den FHIR-basierten Datenzugang von Anfang an mit einer Prüfspur bauen, denn dorthin geht das Programm nach Aussage der Behörde, und dort werden sich die meisten KI-Werkzeuge anschließen.
Quellen
Woher die Fakten dieser Meldung stammen.
- 01HHS relaxes security, transparency rules for electronic health records | STATstatnews.com
- 02HHS Proposes HTI-5 Rule to Streamline Certification Program, Further Protect Patients from Information Blocking, and Foster an Artificial Intelligence-enabled Future - ONC - Office of the National Coohealthit.gov