Medizinrecht 2026: ePA-Pflicht, Arzthaftung, NIS-2 und IT-Sicherheit für Ärzte

Die wichtigsten Updates im Medizinrecht 2026 betreffen Arztpraxen und MVZ vor allem in drei Bereichen: Arzthaftung und Heilbehandlungssachen, elektronische Patientenakte sowie IT-Sicherheit und NIS-2. Für die Praxis ist das kein Nebeneinander einzelner Pflichten. Dokumentation, Praxissoftware, Telematikinfrastruktur, Organisationsverantwortung und Haftungsprävention greifen 2026 enger ineinander als noch vor wenigen Jahren. Was ist 2026 für Ärzte besonders wichtig? Seit Januar 2026 sind Streitigkeiten aus Heilbehandlungen grundsätzlich den Landgerichten zugewiesen. Die ePA ist seit Oktober 2025 verpflichtend im Praxisbetrieb angekommen, ersetzt aber nicht die interne Behandlungsdokumentation. Zusätzlich müssen Praxen ihr PVS, die TI-Anwendungen und ihre IT-Sicherheitsorganisation prüfen. NIS-2 betrifft vor allem größere Praxen und MVZ; die KBV-IT-Sicherheitsrichtlinie bleibt dagegen für alle vertragsärztlichen und vertragspsychotherapeutischen Praxen relevant.

Neue Zuständigkeit bei Arzthaftung und Heilbehandlungssachen

Seit dem 1. Januar 2026 sind die Landgerichte nach § 71 Abs. 2 Nr. 9 GVG für Streitigkeiten aus Heilbehandlungen ohne Rücksicht auf den Streitwert ausschließlich zuständig. Damit landen auch kleinere zivilrechtliche Streitigkeiten aus ärztlicher Behandlung nicht mehr automatisch beim Amtsgericht. Die Übergangsregel ist wichtig: § 71 Abs. 2 Nr. 7 bis 9 GVG findet keine Anwendung auf Verfahren, die vor dem 1. Januar 2026 anhängig geworden sind. Für ältere Verfahren bleibt es daher bei der bisherigen Zuständigkeit.

Für Ärzte hat das praktische Folgen. Vor dem Landgericht gilt Anwaltszwang, die Verfahren sind formaler und werden regelmäßig mit stärkerer Spezialisierung geführt. Das kann medizinrechtliche Fragen fachlich bündeln, erhöht aber oft auch Organisationsaufwand, Abstimmungsbedarf mit der Haftpflichtversicherung und Verfahrenskosten. Umso wichtiger werden eine vollständige lokale Behandlungsdokumentation, nachvollziehbare Aufklärungsnachweise, saubere Befundkommunikation und klar geregelte Herausgabeprozesse für Patientenunterlagen.

Newsletter abonniert?

Mit dem Bewerber-Newsletter keine Karriere-Themen mehr verpassen!

Jetzt anmelden

ePA 2026: Pflicht, Grenzen und Haftungsrelevanz

Stand Frühjahr 2026 ist die ePA im Versorgungsalltag angekommen, aber noch nicht ausgereift. Die KBV berichtete im April 2026 von mehr als 100 Millionen eingestellten Dokumenten; Befundberichte machten davon rund 59 Millionen aus, elektronische Arztbriefe knapp 25 Millionen. Gleichzeitig sieht die KBV weiter Verbesserungsbedarf bei technischer Umsetzung, PVS-Unterstützung, Stabilität der Telematikinfrastruktur und Volltextsuche. Die Volltextsuche soll nach den aktuellen Plänen der gematik flächendeckend ab Januar 2027 bereitstehen.

Entscheidend bleibt: Die ePA ersetzt nicht die Behandlungsdokumentation in der Praxissoftware. Ärzte müssen medizinisch relevante Informationen weiterhin zeitnah im eigenen Dokumentationssystem festhalten. Auch die innerärztliche Kommunikation wird durch die ePA nicht ersetzt. Arztbriefe und Befundberichte sollten daher weiterhin gezielt an weiterbehandelnde Kollegen übermittelt werden, etwa über KIM; die ePA kommt als zusätzliche Ablage hinzu.

Ebenso wichtig ist die haftungsrechtliche Grenze der Einsichtnahme. Ärzte sowie Psychotherapeuten sind nicht verpflichtet, die ePA routinemäßig und anlasslos bei jedem Patientenkontakt zu durchsuchen. Maßgeblich bleibt der konkrete Behandlungskontext. Ergibt sich aus dem Gespräch oder aus der Behandlungssituation ein Hinweis auf relevante Informationen in der ePA, kann eine Einsichtnahme geboten sein.

Welche Dokumente gehören in die ePA?

Praxen stellen vor allem solche Informationen in die ePA ein, die für die weitere Behandlung relevant sein können. Dazu gehören insbesondere Arztbriefe, Laborbefunde, Befundberichte und weitere medizinisch relevante Dokumente aus der aktuellen Behandlung, sofern sie elektronisch vorliegen und kein Widerspruch des Patienten besteht. Die KBV beschreibt als Grundsatz: In die ePA gehört das, was Ärzte heute schon Kollegen als Arztbrief oder anderes Dokument berichten und was für die weitere Behandlung von Bedeutung sein kann.

Alte Papierunterlagen müssen Praxen nicht flächendeckend digitalisieren. Versicherte haben seit Anfang 2025 einen Anspruch gegenüber ihrer Krankenkasse, Papierbefunde in begrenztem Umfang digitalisieren zu lassen: zweimal innerhalb von 24 Monaten für jeweils bis zu zehn Dokumente. Für die Praxis ist das eine wichtige Abgrenzung, weil die ePA nicht zu einem nachträglichen Digitalisierungsauftrag für gesamte Altakten wird.

Technisch gibt es weiterhin Grenzen. Praxen können aktuell ausschließlich PDF-Dokumente im Format PDF/A einstellen. Liegt ein Dokument nicht in diesem Format vor, sind Praxen nach KBV-Angaben nicht verpflichtet, es umzuwandeln. Außerdem sind größere Bilddateien wie DICOM-Dateien derzeit noch nicht regulär in die ePA einstellbar; hier kann auf externe Quellen verwiesen und der Befundbericht gespeichert werden.

Auch der Patientenwille bleibt zentral. Versicherte können der Bereitstellung der ePA, der Medikationsliste, dem Einstellen einzelner Informationen oder der Nutzung der ePA-Daten zu Forschungszwecken widersprechen. Sie können Dokumente zudem verbergen oder löschen. Praxen können nicht erkennen, ob bestimmte Inhalte verborgen sind, und sie sind nicht verpflichtet, gelöschte Dokumente erneut einzustellen. Widersprüche, therapeutische Ausnahmen und relevante Besonderheiten sollten nachvollziehbar in der lokalen Behandlungsdokumentation festgehalten werden.

Medikationsinformationen: 2026 besonders praxisrelevant

Für viele Praxen ist 2026 die Medikationsinformation in der ePA besonders relevant. Die elektronische Medikationsliste speist sich vor allem aus E-Rezept-Daten und zeigt, welche verordneten Arzneimittel in der Apotheke abgegeben wurden. Sie kann die Anamnese unterstützen, ersetzt aber noch keinen vollständig ärztlich gepflegten Medikationsplan.

Nach dem Zeitplan der gematik soll der Medikationsplan im Laufe des Jahres 2026 als neue Anwendung in der ePA bereitgestellt werden. Die Pilotierung ist ab Juli 2026 geplant, der bundesweite Start ab Oktober 2026. Weitere Funktionen wie Volltextsuche und Nutzung von ePA-Daten zu Forschungszwecken sollen zunächst getestet und ab Januar 2027 schrittweise flächendeckend eingeführt werden.

Für die Praxis bedeutet das: ePA-Prozesse sollten nicht nur auf den heutigen Stand ausgerichtet werden. Ärzte sollten mit ihrem PVS-Hersteller klären, wie ePA-Updates, Medikationsfunktionen, Dokumentenuploads und Zugriffsrechte künftig in den Praxisablauf integriert werden.

PVS, Konformitätsbewertung und TI-Pauschale

2026 sollten Praxen nicht nur prüfen, ob ihr PVS ein ePA-Modul enthält. Entscheidend ist, ob das Praxisverwaltungssystem die erforderliche Konformitätsbewertung, kurz KOB, erfolgreich durchlaufen hat. Seit Inkrafttreten des Digital-Gesetzes im März 2024 sind PVS-Hersteller verpflichtet, ihr System einer Konformitätsbewertung zu unterziehen. Ohne entsprechende Zertifizierung darf ein PVS grundsätzlich nicht mehr für die Abrechnung über die Kassenärztlichen Vereinigungen eingesetzt werden.

Die erste große Konformitätsbewertung hing eng mit der ePA zusammen. Hersteller mussten nachweisen, dass ihre Systeme die Medikationsliste in der elektronischen Patientenakte entsprechend der Vorgaben abrufen beziehungsweise integrieren können. Für Praxen ohne KOB-zertifiziertes System gelten seit 1. Januar 2026 Übergangsregeln: Nach KBV-Angaben kann das bisherige System unter bestimmten Voraussetzungen noch neun Monate für die Abrechnung genutzt werden; bei Praxisaufgabe, Krankheit oder Elternzeit kann eine Übergangsfrist von bis zu 18 Monaten gewährt werden. Arztgruppen ohne Patientenkontakt, etwa Laborärzte und Pathologen, sind ausgenommen.

Daneben bleibt die TI-Pauschale ein praktischer Prüfpunkt. Praxen müssen verschiedene TI-Anwendungen und Komponenten in der jeweils aktuellen Version unterstützen. Dazu zählen unter anderem Notfalldatenmanagement und elektronischer Medikationsplan, ePA, eAU, eArztbrief und eRezept. Fehlt der Nachweis für eine Anwendung oder einen Dienst, wird die monatliche TI-Pauschale um 50 Prozent reduziert; fehlen mehrere Anwendungen, wird keine TI-Pauschale gezahlt.

NIS-2 2026: Nicht jede Praxis ist betroffen

Das deutsche NIS-2-Umsetzungsgesetz gilt seit dem 6. Dezember 2025. Für das Gesundheitswesen bedeutet das strengere Vorgaben zur Cybersicherheit, allerdings nicht automatisch für jede Einzelpraxis. Die KBV weist darauf hin, dass vor allem größere und umsatzstarke Praxen sowie MVZ betroffen sind; sie nennt eine Größenordnung von etwa 1.000 Praxen und MVZ.

Als wichtige Einrichtung kann eine Praxis oder ein MVZ im Gesundheitssektor insbesondere dann einzuordnen sein, wenn die Einrichtung mindestens 50 Mitarbeitende beschäftigt oder Jahresumsatz und Jahresbilanzsumme jeweils über 10 Millionen Euro liegen. Als besonders wichtige Einrichtung gelten einschlägige Einrichtungen aus Anlage 1 BSIG, wenn sie mindestens 250 Mitarbeitende beschäftigen oder einen Jahresumsatz von über 50 Millionen Euro und zusätzlich eine Jahresbilanzsumme von über 43 Millionen Euro aufweisen. Der Gesundheitssektor ist in Anlage 1 BSIG ausdrücklich erfasst, unter anderem mit Erbringern von Gesundheitsdienstleistungen.

Betroffene Praxen und MVZ müssen sich beim BSI registrieren. Die Registrierungspflicht gilt grundsätzlich spätestens drei Monate, nachdem eine Einrichtung erstmals oder erneut als besonders wichtige oder wichtige Einrichtung gilt. Einrichtungen, die bereits mit Inkrafttreten der neuen Regelungen am 6. Dezember 2025 erfasst waren, hatten damit den 6. März 2026 als maßgeblichen Stichtag. Auch nach Ablauf der Frist bleibt die Registrierungspflicht bestehen.

Bei erheblichen Sicherheitsvorfällen gelten gestufte Meldepflichten. Vorgesehen sind eine frühe Erstmeldung spätestens innerhalb von 24 Stunden, eine ausführlichere Meldung spätestens innerhalb von 72 Stunden und eine Abschlussmeldung spätestens einen Monat nach Übermittlung der Meldung über den Sicherheitsvorfall. Dauert der Vorfall zu diesem Zeitpunkt noch an, ist zunächst eine Fortschrittsmeldung vorzulegen.

Die NIS-2-Pflichten gehen aber deutlich über Meldungen hinaus. Betroffene Einrichtungen müssen geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen treffen, um Verfügbarkeit, Integrität und Vertraulichkeit ihrer IT-Systeme, Komponenten und Prozesse zu schützen. Dazu gehören unter anderem Risikoanalyse, Sicherheitskonzepte, Vorfallbewältigung, Backup- und Krisenprozesse, Zugriffskontrollen, Verschlüsselung, Multi-Faktor-Authentifizierung und Schulungen. Die Geschäftsleitung muss die Risikomanagementmaßnahmen umsetzen, überwachen und regelmäßig an Schulungen teilnehmen.

KBV-IT-Sicherheitsrichtlinie: Für alle Vertragsarztpraxen relevant

Auch wenn NIS-2 nicht jede Praxis betrifft, bleibt IT-Sicherheit für alle vertragsärztlichen und vertragspsychotherapeutischen Praxen Pflicht. Maßgeblich ist die IT-Sicherheitsrichtlinie der KBV auf Grundlage von § 390 SGB V. Sie wurde 2025 aktualisiert und enthält technische sowie organisatorische Anforderungen, die je nach Praxisgröße und Ausstattung umzusetzen sind. Zur Basis-Infrastruktur gehören unter anderem Firewall, aktueller Virenschutz, regelmäßige Updates, Backups und geeignete Netzwerksicherheit.

Seit Oktober 2025 stehen außerdem Sensibilisierung und Schulung des Praxisteams stärker im Fokus. Die KBV betont, dass Mitarbeitende regelmäßig zur Informationssicherheit geschult werden sollen, um Security Awareness dauerhaft zu stärken. Wie häufig Schulungen stattfinden, legt jede Praxis anhand der eigenen Gegebenheiten fest. Verantwortlich bleibt die Praxisinhaberin oder der Praxisinhaber.

Klinik & Karriere

Die Herausforderungen der Klinikkarriere meistern mit Einblicken in Klinikalltag, Strategien zur Karriereentwicklung und die Kunst der Work-Life-Balance.

Mehr zu Klinik & Karriere

Medizinrecht 2026: Was Ärzte jetzt konkret tun sollten

1. Dokumentation und Aufklärung prüfen: Die neue Landgerichtszuständigkeit macht eine saubere Dokumentations- und Aufklärungsroutine noch wichtiger. Praxen sollten prüfen, ob Aufklärungsbögen, Gesprächsdokumentation, Befundübermittlung, Nachverfolgung kritischer Befunde und Herausgabeprozesse für Patientenunterlagen klar geregelt sind.

2. ePA-Prozesse vom PVS-Prozess trennen: Die ePA ist ein Zusatzprozess, kein Ersatz für die interne Behandlungsdokumentation. Praxen sollten festlegen, wer welche Dokumente einstellt, wie Patienten informiert werden, wie Widersprüche dokumentiert werden und wann eine Einsichtnahme in die ePA medizinisch geboten ist.

3. PVS- und KOB-Status dokumentieren: Praxen sollten beim Hersteller oder über die gematik-Übersicht prüfen, ob ihr PVS die Konformitätsbewertung erfolgreich durchlaufen hat. Ist dies nicht der Fall, sollten Übergangsfristen, Herstellerkommunikation und gegebenenfalls ein Systemwechsel dokumentiert werden.

4. TI-Anwendungen aktuell halten: ePA, eAU, eRezept, eArztbrief, KIM, NFDM und eMP sollten in der Praxis technisch verfügbar und in der aktuellen Version eingespielt sein, soweit sie für die Praxis relevant sind. Fehlende Anwendungen oder Dienste können die TI-Pauschale reduzieren oder vollständig entfallen lassen.

5. NIS-2-Betroffenheit prüfen: Größere Praxen, BAGs und MVZ sollten anhand der gesetzlichen Schwellenwerte und der BSI-Betroffenheitsprüfung klären, ob sie als wichtige oder besonders wichtige Einrichtung gelten. Bei Betroffenheit müssen Registrierung, Meldewege, Verantwortlichkeiten und Risikomanagementprozesse festgelegt sein.

6. IT-Sicherheit als Führungsaufgabe behandeln: Backups, Notfallplan, Multi-Faktor-Authentifizierung, Rechte- und Rollenkonzepte, sichere Passwörter, Phishing-Schulungen, Updateprozesse und klare Zuständigkeiten sollten 2026 fester Bestandteil der Praxisorganisation sein.

Fazit

Die Updates im Medizinrecht 2026 zeigen, dass Arzthaftung, Digitalisierung und IT-Sicherheit nicht mehr getrennt voneinander gedacht werden können. Wer seine lokale Dokumentation sauber führt, die ePA rechtssicher und pragmatisch nutzt, den PVS-Status prüft und Cybersecurity organisatorisch verankert, reduziert sowohl Haftungs- als auch Betriebsrisiken. Für Arztpraxen und MVZ ist 2026 deshalb vor allem ein Jahr der Umsetzung: Nicht neue Einzelpflichten stehen im Mittelpunkt, sondern belastbare Prozesse, klare Zuständigkeiten und eine dokumentierte Praxisorganisation.