Kontrollierte Substanzen im E-Health-Verfahren für den Anbieter

Wir begannen mit einer detaillierten Gap-Analyse. Wir kartonierten den bestehenden Rezeptworkflow des Kunden anhand der Anforderungen der DEA EPCS und der Zertifizierungskriterien der ONC. Die Prüfung ergab, dass das bestehende Benutzerverwaltungs-System für die Identitätsprüfung im EPCS grundlegend unzureichend war – es konnte weder die Workflow-Funktionen für die Mehrfachauthentifizierung noch die erforderliche Audit-Trail-Tiefe unterstützen, die die DEA vorschreibt. Diese Komponente musste von Grund auf neu aufgebaut werden.

Statt die gesamte EHR neu zu schreiben, haben wir das eRx-Modul als eigenständige .NET Core-Dienste mit einer React-Frontend-Plattform entwickelt und diese in die bestehende Anwendung eingebettet, wobei eine Mikro-Frontend-Architektur verwendet wurde. Das eRx-Modul kommuniziert mit dem Legacy-System über interne APIs, läuft jedoch eigenständig und folgt einem eigenen Bereitstellungszyklus. Dadurch konnten wir moderne Technologien (React für die Benutzeroberfläche, .NET Core für die Backend-Infrastruktur) verwenden, ohne die Codebasis des Legacy-Monoliths zu verändern.

Die Integration mit FDB erforderte die Zuordnung des Medikamentenkatalogs des Kunden und der Medikamenteninformationen des Patienten zu den proprietären Identifikatoren von FDB. Wir entwickelten den Interaktionsprüfer als synchrone Anforderung im Rezeptworkflow – das System blockiert die Versendung des Rezepts, bis der Arzt alle Warnmeldungen bestätigt hat. Die Reaktionszeit musste unter einer Sekunde liegen, um die Abläufe im klinischen Bereich nicht zu stören. Wir erreichten eine Reaktionszeit von unter einer Sekunde bei allen Interaktionstests.

Die Implementierung von EPCS erforderte zwei separate Komponenten: einen Workflow zur Identitätsprüfung (einmalige Einrichtung für jeden Verschreibenden) und einen zweifachen Authentifizierungsschritt bei jeder Vergabe einer kontrollierten Substanz. Um die Identität zu überprüfen, haben wir einen zertifizierten Workflow entwickelt, der die Registrierung bei der DEA sowie die Identitätsunterlagen des Verschreibers überprüft. Für die kontinuierliche Authentifizierung haben wir FIDO2-Hardwaretokens mit einer Rückfalloption für zertifizierte biometrische Authentifizierungsanforderungen integriert. Der gesamte Ablauf wird mit manipulationssicheren Audit-Trails protokolliert.

Die Integration von Surescripts erforderte die Einhaltung eines eigenen Zertifizierungsprozesses, der von der ONC getrennt durchgeführt werden musste. Wir implementierten die NCPDP SCRIPT-Messaging-Funktion für die Verschreibung von Medikamenten an Apotheken und fügten die Real-Time Benefit Check (RTBC)-Funktionalität hinzu. Gleichzeitig erstellten wir die vollständige technische Dokumentation für die ONC Health IT Certification und die DEA EPCS-Audits: Datenflussdiagramme, Sicherheitsarchitektur, Spezifikationen für Audit-Trails und Risikobewertungen.

Bevor die offiziellen Überprüfungen stattfanden, führten wir interne Mock-Audits durch. Unser Team simuliierte DEA-Audit-Szenarien, testete die EPCS-Authentifizierung unter Belastung und überprüfte, dass jede verschreibungspflichtige Droge eine vollständige Audit-Datenkette lieferte. Das Modul bestanden sowohl die ONC Health IT Certification als auch die DEA EPCS-Audits bei der ersten Einreichung. Der Kunde behielt alle seine Unternehmenskrankenhauskonten bei.