Elektronische Gesundheitskarte und Telematikinfrastruktur

Feature:

E-Rezept: eGK in der Apotheke:
Akzeptanz Prüfungsnachweis mit
Ergebnis 3 in Ausnahmesituationen

    

     

      
Version
      
2.0.0
     
     

      
Revision
      
971954
     
     

      
Stand
      
22.04.2024
     
     

      
Status
      
freigegeben
     
     

      
Klassifizierung
      
öffentlich
     
     

      
Referenzierung
      
gemF_eRp_PN3
     
    

Dokumentinformationen

Änderungen zur Vorversion

Anpassungen des vorliegenden Dokumentes im Vergleich zur Vorversion können Sie der nachfolgenden Tabelle entnehmen.

Dokumentenhistorie

Inhaltsverzeichnis

1 Einordnung des Dokuments

Der Inhalt wurde aus dem Anlagedokument " " zum Änderungseintrag "C_11669 - E-Rezept: eGK in der Apotheke: Akzeptanz Prüfungsnachweis mit Ergebnis 3 in Ausnahmesituationen " übernommen. 

1.1 Zielsetzung

1.2 Freigabe

Die Freigabe erfolgte mit folgenden Auflagen:

• Die Spezifikation wird in einem zukünftigen Release um eine fachanwendungsspezifische Konfigurierbarkeit erweitert. Deshalb ist der Änderungseintrag C_11669 zur Weiterentwicklung in der Änderungsliste E-Rezept_24.2 enthalten. 
• Mit dem BSI wurde eine Duldung für 6 Monate vereinbart.

1.3 Methodik

1.3.1 Epic und User Story

<Methodik von Epic und User Story erläutern>

Epics und zugeordnete User Stories werden durch eine eindeutige ID gekennzeichnet.

Epic und UserStory werden im Dokument wie folgt dargestellt:
<Jira-ID> - <Zusammenfassung des Jira-Issue>
Text / Beschreibung
[<=] 

Dabei umfasst die Anforderung sämtliche zwischen Jira-ID und Textmarke [<=] angeführten Inhalte.

1.3.2 Anforderungen

Anforderungen als Ausdruck normativer Festlegungen werden durch eine eindeutige ID sowie die dem RFC 2119 [RFC2119] entsprechenden, in Großbuchstaben geschriebenen deutschen Schlüsselworte MUSS, DARF NICHT, SOLL, SOLL NICHT, KANN gekennzeichnet.

Da in dem Beispielsatz „Eine leere Liste DARF NICHT ein Element besitzen.“ die Phrase „DARF NICHT“ semantisch irreführend wäre (wenn nicht ein, dann vielleicht zwei?), wird in diesem Dokument stattdessen „Eine leere Liste DARF KEIN Element besitzen.“ verwendet. Die Schlüsselworte werden außerdem um Pronomen in Großbuchstaben ergänzt, wenn dies den Sprachfluss verbessert oder die Semantik verdeutlicht.

Anforderungen werden im Dokument wie folgt dargestellt:
<AFO-ID> - <Titel der Afo>
Text / Beschreibung
[<=]

Dabei umfasst die Anforderung sämtliche zwischen Afo-ID und Textmarke [<=] angeführten Inhalte.

2 C_11669_Anlage

Übernommen aus dem Anlagedokument " ", Revision 892204

Änderungsbedarf:

Mit dem Feature „Abruf der E-Rezepte in der Apotheke nach Autorisierung" kann ein Versicherter ohne einen Ausdruck des E-Rezept-Token und ohne Nutzung der E-Rezept-App durch die Übergabe seiner eGK an einen Apotheker seine E-Rezepte einlösen. Ein abgebender Leistungserbringer ruft dazu zu einer KVNR und mittels eines vom Konnektor gelieferten VSDM-Prüfungsnachweises E-Rezepte für diese KVNR vom E-Rezept-Fachdienst ab.
Kann der Konnektor in der abgebenden Leistungserbringerinstitution den Fachdienst VSDM erreichen, liefert dieser dem Konnektor eine kryptografisch gesicherte Prüfziffer zurück und der Konnektor liefert dem aufrufenden Primärsystem einen VSDM-Prüfungsnachweis, der diese Prüfziffer enthält. Durch die kryptographische Absicherung der Prüfziffer ist diese nicht fälschbar und stellt für den E-Rezept-Fachdienst eine verlässliche Information über eine gesteckte eGK dar.
Kann der Konnektor einen Fachdienst VSDM oder den Intermediär VSDM nicht erreichen, liefert der Konnektor dem aufrufenden Primärsystem einen VSDM-Prüfungsnachweis mit dem Ergebnis 3 und ohne eine kryptografisch abgesicherte Prüfziffer zurück. Deshalb akzeptierte der E-Rezept-Fachdienst einen VSDM-Prüfungsnachweis mit dem Ergebnis 3 bisher nicht.

Infolgedessen können Versicherte im Falle einer Nichtverfügbarkeit eines Fachdienstes VSDM oder eines Intermediär VSDM durch die Übergabe ihrer eGK in der Apotheke ihre verschriebenen Medikamente nicht erhalten und der Versorgungsprozess ist unterbrochen.

Aus diesem Grund soll bei einer festgestellten Nichtverfügbarkeit eines Fachdienstes VSDM oder eines Intermediär VSDM temporär für den Zeitraum der Nichtverfügbarkeit auch ein VSDM-Prüfungsnachweis mit dem Ergebnis 3 vom E-Rezept-Fachdienst akzeptiert werden.

Lösungskonzept:

Es wird ein Schalter AcceptPN3 im E-Rezept-Fachdienst eingeführt. Wenn dieser in der Ausnahmesituation einer Störung aktiviert wird, dann akzeptiert der E-Rezept-Fachdienst beim Aufruf der Operation zum Abruf der offenen Rezepte zu einem Versicherten neben den Prüfungsnachweisen mit dem Ergebnis 1 und 2 auch Prüfungsnachweise mit dem Ergebnis 3.

Die AVS übermitteln beim Aufruf der Operation zusätzlich zum Prüfungsnachweis die Versicherten-ID, welche aus den von der eGK gelesenen VSD übermittelt wird.

Der E-Rezept-Fachdienst prüft, wenn eine Prüfziffer im VSDM Prüfungsnachweis übermittelt wird, die kryptographische und zeitliche Gültigkeit der Prüfziffer und übermittelt bei fehlerfreier Prüfung die Liste der E-Rezepte zur Versicherten-ID aus der Prüfziffer. (Das entspricht der bestehenden Lösung.)

Wenn ein VSDM Prüfungsnachweis mit dem Ergebnis 3 (d.h. ohne Prüfziffer) übermittelt wird, prüft der E-Rezept-Fachdienst, ob der Schalter AcceptPN3 aktiviert ist. Wenn ja, übermittelt der E-Rezept-Fachdienst die Liste der E-Rezepte zur vom AVS zusätzlich übertragen Versicherten-ID.

Für das Aktivieren und Deaktivieren des Schalter AcceptPN3 ist zum einen ein betrieblicher Prozess unter Steuerung vorgesehen. Zum anderen ist ein Automatismus vorgesehen, dass der Schalter aktiviert wird, wenn innerhalb von 5 Minuten Prüfungsnachweise mit dem Ergebnis 3 von 10 verschiedenen Apotheken übermittelt werden.

Die Implementierung im E-Rezept-Fachdienst ist in zwei Stufen geplant, um eine zeitnahe Umsetzung zu erreichen. In der erste Stufe ist die Steuerung des Features nur über den organisatorischen Prozess vorgesehen. In der zweiten Stufe ist die Steuerung über die automatische Erkennung und den organisatorischen Prozess vorgesehen.

Diese Anpassung des Features „Abruf der E-Rezepte in der Apotheke nach Autorisierung" ist ebenso eine temporäre Lösung, wie die Nutzung der Fachdienste VSDM dafür insgesamt. Mit der Migration auf die geplante "Proof of Patient Presence" (PoPP) Lösung entfällt insgesamt die Abhängigkeit zu den Fachdienste VSDM.

Datenschutz und Informationssicherheit:

Dieses Feature ist Resultat einer Abwägung verschiedener Risiken. 
Auf der einen Seite steht das Risiko, dass im Falle einer Nichtverfügbarkeit eines Fachdienstes VSDM oder eines Intermediär VSDM ein Versicherter in der Apotheke seine verschriebenen Medikamente nicht erhalten kann. Dies kann gesundheitlich kritisch sein, falls der Versicherte auf die zeitnahe Einnahme des Medikaments angewiesen ist. Der Aufwand für den Umstieg auf die Ersatzprozesse ist zudem für alle Beteiligten hoch.
Auf der anderen Seite steht das Risiko, dass Angreifer die temporäre Akzeptanz des kryptografisch nicht gesicherten Prüfnachweises ausnutzen, um bei einer (automatisch) festgestellten Nichtverfügbarkeit eines Fachdienstes VSDM oder eines Intermediär VSDM Prüfungsnachweise mit dem Ergebnis 3 (PN3) wiederzuverwenden (Replay-Angriff) bzw. zu fälschen, und zu einer KVNR (bekannt oder geraten) mittels eines bereits vorhandenen oder gefälschten PN3 unautorisiert E-Rezepte für diese KVNR vom E-Rezept-Fachdienst abzurufen.
Angesichts der inzwischen erreichten Bedeutung des E-Rezepts im Versorgungsprozess, wird das Risiko der Nichtverfügbarkeit kritischer gesehen als das Missbrauchsrisiko.
Eine mitigierende Maßnahme ist die zeitliche Begrenzung auf Situationen, in denen der Indikator (mindestens 10 abgebenden Leistungserbringerinstitutionen liefern einen PN3 in einem Zeitfenster von 5 Minuten) eine Nichtverfügbarkeit eines Fachdienstes VSDM oder eines Intermediär VSDM anzeigt.
Eine weitere mitigierende Maßnahme ist der Schwellenwert von 10 abgebenden Leistungserbringerinstitutionen die quasi gleichzeitig einen PN3 liefern müssen, bevor PN3 generell vom Fachdienst akzeptiert werden. Vor dem Hintergrund der Regelung im § 1  Absatz 2 Apothekengesetz (ApoG), dass der Inhaber einer Apothekenbetriebserlaubnis zusätzlich zu seiner Hauptapotheke nur bis zu drei Filialapotheken betreiben darf, müssten sich mehrere Inhaber einer Apothekenbetriebserlaubnis für einen Angriff zusammenschließen, um eine Anzahl von 10 abgebenden Leistungserbringerinstitutionen zu erreichen.
Neben dem Automatismus zur Aktivierung und Deaktivierung der Akzeptanz von PN3, wird ein weiterer Schalter vorgesehen, über den diese Funktion aktiviert und deaktiviert werden kann. Dieser Schalter wird vom Betreiber des Fachdienstes auf Anweisung durch die gematik verwendet. Damit ist es möglich, dass die gematik bei festgestellten oder vermuteten Missbrauchsfällen dieses Features die automatische Steuerung außer Kraft zu setzen.
Um für einen Versicherten die Bedingungen transparent zu machen, unter denen seine E-Rezepte von einer Apotheke abgerufen wurden, wird im Prokoll für den Versicherten ein Abruf mit PN3 gesondert ausgewiesen - und zwar sowohl erfolgreiche Abrufe, als auch nicht erfolgreiche (PN3 wurde von der Apotheke gesendet, aber die Akzeptanz von PN3 war nicht eingeschaltet).

Ablaufdiagramm für die Implementierung im E-Rezept-Fachdienst (informativ):

Abbildung 1 : Ablaufdiagramm

Automatisches Aktivieren und Deaktivieren (informativ):

Abbildung 2 : Automatisches Aktivieren

Änderungen:

Anforderung an E-Rezept-Fachdienst

Die nachfolgenden Anforderungen werden in das Dokument [gemSpec_FD_eRp] übernommen.

5.5 Protokollierung

Alt:

Neu:

5.10 Status AcceptPN3

Der Defaultwert für AcceptPN3 ist false.

Der Defaultwert für AcceptPN3Automatic ist false.

Der Defaultwert für NumberApothekenPN3 ist 10.

Hinweis: Im Rahmen des betrieblichen Prozesses ist jeweils eine Kombination der Status AcceptPN3 und AcceptPN3Automatic zu setzen, um ein definiertes Verhalten des E-Rezept-Fachdienstes zu erreichen.

Es werden unmittelbar aufeinander folgende Zeitintervalle mit derselben (konfigurierbaren) Dauer betrachtet.

Der Defaultwert für AcceptPN3Interval ist 5 Minuten.

Für das automatische Aktivieren von AcceptPN3 ist das aktuelle Zeitintervall relevant.

Für das automatische Deaktivieren von AcceptPN3 ist das vorherige Zeitintervall relevant.

6.1.1 HTTP-Operation GET

Alt:

Neu:

Alt:

Neu:

Neu:

6.1.1.1 HTTP-Operation GET - Prüfung VSDM Prüfungsnachweis

A_23455 wird storniert.

Alt:

Neu:

Anforderungen an das Primärsystem der abgebenden LEI

Die nachfolgenden Anforderungen werden in das Dokument [gemILF_PS_eRp] übernommen.

5.3.1 E-Rezepte von einem Versicherten abrufen

Alt:

Der Prüfungsnachweis wird aus dem ReadVSD Response entnommen, URL-kodiert und in den Aufruf des E-Rezept-Fachdienstes übernommen.

...

Bsp.-URL: GET /Task?pnw=q94mhx93b8ch... 

Neu:

Der Prüfungsnachweis wird aus dem ReadVSD Response entnommen, URL-kodiert und in den Aufruf des E-Rezept-Fachdienstes übernommen. Die Versicherten-ID kann aus dem Attribut Versicherten_ID in PersoenlicheVersichertendaten ermittelt werden.

...

Bsp.-URL: GET /Task?pnw=q94mhx93b8ch...&kvnr=A012... 

3 Anhang A – Verzeichnisse

3.1 Abkürzungen

3.2 Abbildungsverzeichnis

3.3 Tabellenverzeichnis

3.4 Referenzierte Dokumente

3.4.1 Dokumente der gematik

Die nachfolgende Tabelle enthält die Bezeichnung der in dem vorliegenden Dokument referenzierten Dokumente der gematik zur Telematikinfrastruktur.

3.4.2 Weitere Dokumente

4 Anhang B – Anmerkungen aus der Industrie

< Hier können Anmerkungen beispielsweise als nummerierte Liste aufgezählt werden. >

5 Anhang C – Offene Punkte, Fragen

5.1 <offener Punkt oder Frage>