Cybersicherheit als Leistungserbringerpflicht – die sozialrechtliche Durchsetzungsdimension des § 391 SGB V

Vergütung, Zulassung, Qualitätssicherung und Aufsicht – ein systematischer Befund ohne Leitentscheidung

• Dr. Fabian Teichmann

§ 391 SGB V verpflichtet alle Krankenhäuser zur IT-Sicherheit nach dem Stand der Technik. Die Vorschrift ist materiell unstreitig; ungeklärt ist, wie sie sozialrechtlich durchgesetzt wird. Der Beitrag nimmt die Durchsetzungs- und Justiziabilitätsdimension systematisch in den Blick und untersucht die vier denkbaren Achsen: die Vergütung (§ 5 Abs. 3h KHEntgG), die Zulassung und den Versorgungsvertrag (§§ 108 ff. SGB V), die Qualitätssicherung (§§ 135 ff. SGB V) und die Aufsicht. Es zeigt sich, dass § 391 SGB V als lex imperfecta ausgestaltet ist: eine Pflicht ohne eigenen Sanktions-, Aufsichts- und Rechtsschutzmechanismus, deren Durchsetzung auf indirekte und teils rechtswegfremde Hebel verteilt ist. Eine höchstrichterliche Leitentscheidung fehlt. Der Beitrag ordnet die Rechtswegfragen und plädiert für eine Integration der IT-Sicherheit in die etablierte Qualitätssicherungs- und Prüfarchitektur des SGB V.