Die ePA wird auf Basis konkreter und nachprüfbarer Vorgaben umgesetzt. Diese Vorgaben wurden von der gematik GmbH im gesetzlichen Auftrag spezifiziert und in Zusammenarbeit mit den Spitzenorganisationen des deutschen Gesundheitswesens abgestimmt. Bevor ein Anbieter eine Akte anbieten darf, muss ein umfangreicher Zertifizierungsprozess durchlaufen werden. Erst nach erfolgreichem Abschluss der Begutachtung darf die Akte angeboten werden. Das ist kein einmaliger Vorgang, sondern muss bei jeder sicherheitsrelevanten Veränderung wiederholt werden.