Die Technische Richtlinie BSI TR-03161 „Anforderungen an Anwendungen im Gesundheitswesen“ definiert Sicherheitsanforderungen für digitale Gesundheitsanwendungen. Sie gliedert sich in drei Teile: Teil 1 für mobile Anwendungen, Teil 2 für Web-Anwendungen und Teil 3 für Hintergrundsysteme (Backends/APIs).
Für Hersteller von DiGA (digitale Gesundheitsanwendungen nach § 139e SGB V) und DiPA ist die Erfüllung verpflichtend: Die DiGA-Verordnung (DiGAV) verlangt den Nachweis der Anforderungen, seit 2025 in Form eines BSI-Zertifikats nach TR-03161 als Voraussetzung für die Aufnahme ins DiGA-Verzeichnis des BfArM.
Festlegen, welche Teile der TR (1/2/3) Ihre Anwendungskomponenten abdecken müssen.
Jede Anforderung der relevanten Teile mit dem Ist-Stand abgleichen und Lücken priorisieren.
Kryptografie, Authentifizierung, Datenhaltung und Backend-Härtung auf TR-Niveau bringen.
Penetrationstest entlang der TR-03161-Prüfaspekte, um Findings vor der offiziellen Prüfung zu beheben.
Prüfung bei einer vom BSI anerkannten Prüfstelle beauftragen; Zertifikat beim BfArM-Antrag einreichen.
Re-Zertifizierung, Patch-Prozesse und Monitoring für Folgeversionen von Beginn an einplanen.
Ohne Nachweis keine Aufnahme bzw. Streichung aus dem DiGA-Verzeichnis (§ 139e SGB V i. V. m. DiGAV) – damit entfällt die Erstattungsfähigkeit durch die gesetzlichen Krankenkassen. Zusätzlich drohen bei Datenpannen DSGVO-Bußgelder, da Gesundheitsdaten besonders geschützt sind (Art. 9 DSGVO).
Eine vorbereitende Sicherheitsprüfung entlang der TR-03161-Prüfaspekte deckt Findings auf, bevor die offizielle BSI-Prüfstelle sie findet – das spart teure Prüfschleifen und beschleunigt die DiGA-Zulassung.
TR-03161-Vorbereitung mit Sodu SecureAlle Angaben dieses Artikels stützen sich auf die folgenden Primärquellen (Stand: 2026-07-17).