muss ein zertifiziertes Informationssicherheits-Management-System (ISMS) nach ISO 27001 vorliegen. Ein vergleichbares System kann nicht mehr genutzt werden. Auf Anfrage des Bundesinstituts für Arzneimittel und Medizinprodukte muss ein anerkanntes Zertifikat vorliegen (vgl. Anlage 1 Fragebogen gemäß § 4 Absatz 6 (Anforderungen an Datenschutz und Datensicherheit)).

muss die Interoperabilität mit der ePA gewährleistet sein. Der Export aus der DiGA in die ePA ist Voraussetzung (vgl. § 6a Abs. 2). Zudem muss die Fortschreibung der Festlegungen innerhalb von 6 Monaten nach deren Veröffentlichung umgesetzt werden (vgl. § 6a Abs. 3).

muss die Frage geklärt sein: Kann die DiGA die Authentisierung von GKV-Versicherten als die die digitale Gesundheitsanwendung nutzenden Personen über die sichere digitale Identität nach § 291 Absatz 8 des Fünften Buches Sozialgesetzbuch unterstützen? (vgl. Anlage 1 Fragebogen gemäß § 4 Absatz 6 (Anforderungen an Datenschutz und Datensicherheit)).

müssen außerdem Prüfkriterien zu den Anforderungen an den Datenschutz umgesetzt werden, dazu wird ein Zertifikat ausgestellt. Diese werden erstmalig zum 31. März 2022 aufgestellt (§ 139e Absatz 11 des Fünften Buches Sozialgesetzbuch) (vgl. § 4 Abs. 8)