Änderung Anlage 1 DiGAV vom 01.10.2021

Ähnliche Seiten: weitere Fassungen von Anlage 1 DiGAV, alle Änderungen durch Artikel 1 1. DiGAVÄndV am 1. Oktober 2021 und Änderungshistorie der DiGAV

Hervorhebungen: alter Text, neuer Text

Verpasst?

DiGAV-Änderungen hier überwachen!

Anlage 1 DiGAV a.F. (alte Fassung) in der vor dem 01.10.2021 geltenden Fassung	Anlage 1 DiGAV n.F. (neue Fassung) in der am 01.10.2021 geltenden Fassung durch Artikel 1 V. v. 22.09.2021 BGBl. I S. 4355
← frühere Fassung von Anlage 1	nächste Fassung von Anlage 1 →
← vorherige Änderung durch Artikel 1	nächste Änderung durch Artikel 1 →

(Textabschnitt unverändert) Anlage 1 Fragebogen gemäß § 4 Absatz 6
Im nachfolgend aufgeführten Fragenbogen ist durch den Hersteller die Erfüllung der Anforderungen nach § 4 zu erklären. Der Hersteller bestätigt die Erfüllung der Anforderungen durch Kennzeichnung in der Spalte 'zutreffend'. Die Vorschriften des Datenschutzes und die Anforderungen an die Datensicherheit - Basisanforderungen sind von allen digitalen Gesundheitsanwendungen zu erfüllen. Die Anforderungen Datensicherheit - Zusatzanforderungen bei digitalen Gesundheitsanwendungen mit sehr hohem Schutzbedarf sind von digitalen Gesundheitsanwendungen zu erfüllen, für die im Rahmen der geforderten Schutzbedarfsanalyse ein sehr hoher Schutzbedarf festgestellt wurde. Nr. \| Themenfeld \| Anforderung \| zutreffend \| nicht zutreffend \| zulässige Begründung für 'nicht zutreffend' Datenschutz 1. \| Datenschutz- Grundverord- nung als anzu- wendendes Recht \| Die Verarbeitung personenbezogener Daten durch die digitale Gesundheitsanwendung und deren Hersteller unterfällt der Verordnung (EU) 2016/679 sowie ggf. weiteren Daten- schutzregelungen. \| \| \| 2. \| Einwilligung \| Wird vor der Verarbeitung von personenbezo- genen und -beziehbaren Daten eine freiwillige, spezifische und informierte Einwilligung der betroffenen Person zu den in § 4 Absatz 2 benannten Zwecken der Verarbeitung dieser Daten eingeholt? \| \| \| Es wird keine Ein- willigung eingeholt, da der Zweck der Verarbeitung aus einer rechtlichen Verpflichtung des Herstellers der digi- talen Gesundheits- anwendung resul- tiert. 3. \| Einwilligung \| Erfolgt die Abgabe von Einwilligungen und Erklärungen der betroffenen Person durch- gängig ausdrücklich, d. h. durch eine aktive, eindeutige Handlung der betroffenen Person? \| \| \| Es wird keine Ein- willigung eingeholt, da der Zweck der Verarbeitung aus einer rechtlichen Verpflichtung des Herstellers der digi- talen Gesundheits- anwendung resul- tiert. 4. \| Einwilligung \| Kann die betroffene Person erteilte Einwilli- gungen einfach, barrierefrei, jederzeit und auf einem einfach verständlichen Weg mit Wirkung für die Zukunft widerrufen? \| \| \| Es wird keine Ein- willigung eingeholt, da der Zweck der Verarbeitung aus einer rechtlichen Verpflichtung des Herstellers der digi- talen Gesundheits- anwendung resul- tiert. 5. \| Einwilligung \| Wird die betroffene Person vor Abgabe der Einwilligung auf das Recht und die Möglich- keiten zum Widerruf der Einwilligung hinge- wiesen? \| \| \| Es wird keine Ein- willigung eingeholt, da der Zweck der Verarbeitung aus einer rechtlichen Verpflichtung des Herstellers der digi- talen Gesundheits- anwendung resul- tiert. 6. \| Einwilligung \| Wurde die betroffene Person vor Abgabe einer Einwilligung in klarer, verständlicher, nutzer- freundlicher und der Zielgruppe angemessener Form darüber informiert, welche Kategorien von Daten zu welchen Zwecken durch die di- gitale Gesundheitsanwendung bzw. den Her- steller der digitalen Gesundheitsanwendung verarbeitet werden? \| \| \| Es wird keine Ein- willigung eingeholt, da der Zweck der Verarbeitung aus einer rechtlichen Verpflichtung des Herstellers der digi- talen Gesundheits- anwendung resul- tiert. 7. \| Einwilligung \| Kann die betroffene Person die Texte der ab- gegebenen Einwilligungen und Erklärungen jederzeit aus der digitalen Gesundheitsanwen- dung oder über eine aus der digitalen Gesund- heitsanwendung referenzierten Quelle ab- rufen? \| \| \| Es wird keine Ein- willigung eingeholt, da der Zweck der Verarbeitung aus einer rechtlichen Verpflichtung des Herstellers der digi- talen Gesundheits- anwendung resul- tiert. 8. \| Zweckbindung \| Erfolgt die Verarbeitung von personenbezoge- nen Daten durch die digitale Gesundheits- anwendung ausschließlich zu in § 4 Absatz 2 Satz 1 genannten Zwecken oder auf Grund- lage sonstiger gesetzlicher Datenverarbei- tungsbefugnisse nach § 4 Absatz 2 Satz 3? \| \| \| 9. \| Datenminimie- rung und Ange- messenheit \| Sind die über die digitale Gesundheitsanwen- dung verarbeiteten personenbezogenen Daten dem Zweck angemessen sowie auf das für die Zwecke der Verarbeitung notwendige Maß be- schränkt? \| \| \| 10. \| Datenminimie- rung und Ange- messenheit \| Hat der Hersteller der digitalen Gesundheits- anwendung sichergestellt, dass die Zwecke der Verarbeitung personenbezogener Daten durch die digitale Gesundheitsanwendung nicht in zumutbarer Weise durch andere, datensparsamere Mittel in gleichem Maße erreicht werden können? \| \| \| 11. \| Datenminimie- rung und Ange- messenheit \| Werden gesundheitsbezogene Daten getrennt von ausschließlich für die Leistungsabrech- nung erforderlichen Daten gespeichert? \| \| \| 12. \| Datenminimie- rung und Ange- messenheit \| Stellt der Hersteller der digitalen Gesundheits- anwendung sicher, dass mit nicht-produktbe- zogenen Aufgaben betraute Mitarbeiterinnen und Mitarbeiter keinen Zugriff auf gesundheits- bezogene Daten haben? \| \| \| 13. \| Datenminimie- rung und Ange- messenheit \| Sofern die Nutzung der digitalen Gesundheits- anwendung nicht auf ein privates IT-System der nutzenden Person beschränkt ist: - wurden entsprechende Einsatzszenarien in der Datenschutzfolgenabschätzung explizit berücksichtigt? - wird der Versicherte ausdrücklich darauf hingewiesen, dass die Nutzung der digitalen Gesundheitsanwendung in einer potenziell unsicheren Umgebung mit Sicherheitsrisi- ken einhergeht, die durch den Hersteller der digitalen Gesundheitsanwendung nicht vollständig adressiert werden können? \| \| \| Die Nutzung der digitalen Gesund- heitsanwendung ist auf ein privates IT- System der nutzen- den Person be- schränkt.
(Text alte Fassung) \| \| - wird bei Nutzung der digitalen Gesund- heitsanwendung auf einem nicht nur von dem Versicherten verwendeten IT-System vollständig die - auch temporäre - Spei- cherung von gesundheitsbezogenen Daten auf diesem IT-System unterbunden? - werden lokal auf dem genutzten IT-System abgelegte Daten und angelegte Dateien nach Beendigung der Nutzungs-Session der digitalen Gesundheitsanwendung sicher gelöscht - auch wenn die nutzende Person die Nutzungs-Session nicht explizit beendet hat (z. B. durch Herunterfahren des genutz- ten IT-Systems)? \| \| \|	(Text neue Fassung) \| \| - wird bei Nutzung der digitalen Gesund- heitsanwendung auf einem nicht nur von dem Versicherten verwendeten IT-System vollständig die - auch temporäre - Spei- cherung von gesundheitsbezogenen Daten auf diesem IT-System unterbunden? \| \| \|
14. \| Integrität und Vertraulichkeit \| Sieht die digitale Gesundheitsanwendung an- gemessene technische und organisatorische Maßnahmen vor, um personenbezogene Da- ten gegen unbeabsichtigte oder unzulässige Zerstörung, Löschung, Verfälschung, Offen- barung oder nicht legitimierte Verarbeitungs- formen zu schützen? \| \| \| 15. \| Integrität und Vertraulichkeit \| Ist der durch die digitale Gesundheitsanwen- dung gesteuerte Austausch von Daten zwi- schen dem Endgerät der betroffenen Person und externen Systemen durchgängig gemäß dem Stand der Technik verschlüsselt? \| \| \| Es werden keine personenbezogenen Daten zwischen dem Endgerät der betroffenen Person und externen Syste- men ausgetauscht. 16. \| Richtigkeit \| Sieht die digitale Gesundheitsanwendung technische und organisatorische Maßnahmen vor, die sicherstellen, dass die über die digitale Gesundheitsanwendung verarbeiteten perso- nenbezogenen Daten sachlich richtig und auf dem neuesten Stand sind? \| \| \| 17. \| Richtigkeit \| Trifft der Hersteller alle angemessenen Maß- nahmen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder be- richtigt werden? \| \| \| 18. \| Erforderlichkeit \| Werden über die digitale Gesundheitsanwen- dung erhobene personenbezogene Daten nur so lange gespeichert, wie sie für die Erbrin- gung der zugesagten Funktionalitäten der digitalen Gesundheitsanwendung oder zu anderen, unmittelbar aus rechtlichen Verpflich- tungen resultierenden Zwecken zwingend er- forderlich sind? \| \| \| 19. \| Erforderlichkeit \| Werden personenbezogene Daten nach Er- füllung der Zwecke nach § 4 Absatz 2 Satz 1 Nummer 1 bis 4 nicht weiter gespeichert? \| \| \| Die Zwecke der Speicherung und die maximale Speicher- dauer sind unter Angabe der Gründe, warum diese Zwe- cke eine Legitima- tion der weiteren Speicherung perso- nenbezogener Da- ten darstellen, durch den Hersteller ge- sondert zu begrün- den. 20. \| Datenportabili- tät \| Stellt der Hersteller der digitalen Gesundheits- anwendung Mechanismen bereit, über die die betroffene Person aus der digitalen Gesund- heitsanwendung heraus das Recht auf Daten- portabilität wahrnehmen und die von ihr, der betroffenen Person, der digitalen Gesund- heitsanwendung bereitgestellten, sie betref- fenden personenbezogenen Daten in einem geeigneten Format abrufen bzw. in eine an- dere digitale Gesundheitsanwendung überfüh- ren kann? \| \| \| 21. \| Informations- pflichten \| Ist die Datenschutzerklärung der digitalen Ge- sundheitsanwendung über die Anwendungs- webseite einfach auffindbar, barrierefrei zu- gänglich und frei einsehbar? \| \| \| 22. \| Informations- pflichten \| Enthält die Datenschutzerklärung der digitalen Gesundheitsanwendung alle relevanten Infor- mationen zum Hersteller und dessen Daten- schutzbeauftragtem, zu dem Zweck der digi- talen Gesundheitsanwendung, zu den dazu verarbeiteten Datenkategorien, zum Umgang des Herstellers mit diesen Daten, zum Recht auf Widerruf gegebener Einwilligungen und zu den Möglichkeiten zur Wahrnehmung der Betroffenenrechte und setzt der Hersteller der digitalen Gesundheitsanwendung dar- über hinausgehende Informationspflichten nach den Artikeln 13 und 14 der Verordnung (EU) 2016/679 angemessen um? \| \| \| 23. \| Informations- pflichten \| Ist die Datenschutzerklärung der digitalen Ge- sundheitsanwendung auch nach der Installa- tion der digitalen Gesundheitsanwendung aus der digitalen Gesundheitsanwendung heraus bzw. in der digitalen Gesundheitsanwendung einfach auffindbar? \| \| \| 24. \| Informations- pflichten \| Kann die betroffene Person vom Hersteller der digitalen Gesundheitsanwendung Auskunft zu den über sie gespeicherten personenbezoge- nen Daten in dem in Artikel 15 der Verordnung (EU) 2016/679 festgelegten Umfang erhalten? \| \| \| 25. \| Informations- pflichten \| Ist in der Datenschutzerklärung der digitalen Gesundheitsanwendung ein nachvollziehbares Löschkonzept enthalten, das das Vorgehen bei Widerruf der Einwilligung und Deinstalla- tion der digitalen Gesundheitsanwendung sowie den Umgang mit Ansprüchen auf Lö- schung von Daten sowie auf Einschränkung ihrer Verarbeitung regelt und den Anforde- rungen nach den Artikeln 17 bis 19 der Verord- nung (EU) 2016/679 entspricht? \| \| \| 26. \| Informations- pflichten \| Kann die betroffene Person vom Hersteller der digitalen Gesundheitsanwendung die Berichti- gung von sie betreffenden unrichtigen perso- nenbezogenen Daten und die Vervollständi- gung von sie betreffenden unvollständigen personenbezogenen Daten verlangen? \| \| \| 27. \| Informations- pflichten \| Wird die betroffene Person vor der Löschung des Benutzerkontos auf damit möglicherweise verlorengehende Daten und auf das Recht auf Datenübertragung gemäß Artikel 20 der Ver- ordnung (EU) 2016/679 hingewiesen? \| \| \| 28. \| Datenschutz- Management \| Hat der Hersteller der digitalen Gesundheits- anwendung ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisato- rischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung umgesetzt, mit dem alle im Zusammenhang mit der digitalen Gesundheitsanwendung eingesetzten Systeme und Prozesse erfasst sind? \| \| \| 29. \| Datenschutz- Management \| Hat der Hersteller der digitalen Gesundheits- anwendung alle Personen, die aus ihrer Tätig- keit heraus Zugang zu personenbezogenen Daten haben, auf die Verschwiegenheit ver- pflichtet? \| \| \| 30. \| Datenschutz- Folgenab- schätzung und Risiko- management \| Hat der Hersteller der digitalen Gesundheits- anwendung für die digitale Gesundheitsan- wendung eine Datenschutz-Folgenabschät- zung durchgeführt und die hierbei durchge- führte Risikoanalyse in die dokumentierten Prozesse eines Risikomanagements überführt, nachdem eine kontinuierliche Neubewertung von Bedrohungen und Risiken erfolgt? \| \| \| 31. \| Datenschutz- Folgenab- schätzung und Risikomanage- ment \| Stellt der Hersteller der digitalen Gesundheits- anwendung sicher, dass die Meldung von Ver- letzungen des Schutzes personenbezogener Daten innerhalb von 72 Stunden nachdem ihm die Verletzung bekannt wurde, an die Auf- sichtsbehörde erfolgt? \| \| \| 32. \| Datenschutz- Folgenab- schätzung und Risiko- management \| Setzt der Hersteller der digitalen Gesundheits- anwendung die Vorgaben nach Artikel 34 der Verordnung (EU) 2016/679 zur Information Be- troffener bei Datenschutzvorfällen um? \| \| \| 33. \| Nachweispflicht \| Hat der Hersteller die für das Unternehmen geltenden Datenschutzleitlinien dokumentiert und seine Mitarbeiter in deren Umsetzung ge- schult? \| \| \|
34. \| Nachweispflicht \| Realisiert der Hersteller der digitalen Gesund- heitsanwendung Maßnahmen, die gewähr- leisten, dass nachträglich überprüft und festgestellt werden kann, ob und von wem per- sonenbezogene Daten eingegeben, verändert oder entfernt worden sind? \| \| \|	34. \| Nachweispflicht \| Realisiert der Hersteller der digitalen Gesund- heitsanwendung Maßnahmen, die gewähr- leisten, dass nachträglich überprüft und festgestellt werden kann, ob und von wem bei dem Hersteller gespeicherte per- sonenbezogene Daten eingegeben, verändert oder entfernt worden sind? \| \| \|
35. \| Nachweispflicht \| Kann der Hersteller der digitalen Gesundheits- anwendung jederzeit nachweisen, dass zu einer durchgeführten Verarbeitung personen- bezogener Daten die erforderliche Einwilligung der betroffenen Person vorlag, soweit die Da- tenverarbeitung nicht auf anderer rechtlicher Grundlage erfolgt? \| \| \| 36. \| Verarbeitung im Auftrag \| Werden über die digitale Gesundheitsanwen- dung oder den Hersteller der digitalen Gesund- heitsanwendung personenbezogene Daten gar nicht an Auftragsverarbeiter oder ausschließ- lich an Auftragsverarbeiter weitergegeben, die über eine ausreichende Vertrauenswürdigkeit und Haftbarkeit verfügen, angemessene Me- chanismen zum Schutz übernommener Daten realisieren und mit dem Hersteller in einem ver- pflichtenden vertraglichen Verhältnis stehen, das eine Abschwächung der dem Versicherten gegenüber gemachten Zusagen ausschließt? \| \| \| 37. \| Datenweiter- gabe an Dritte \| Werden über die digitale Gesundheitsanwen- dung oder den Hersteller der digitalen Ge- sundheitsanwendung keine personenbezoge- nen Daten an Dritte weitergegeben, sofern dies nicht unmittelbar für die Erfüllung von Zwecken nach § 4 Absatz 2 Satz 1 Nummer 1 oder die Erfüllung gesetzlicher Vorschriften er- forderlich und auf diese Zwecke beschränkt ist? \| \| \| 38. \| Verarbeitung im Ausland \| Erfolgt die Verarbeitung von Gesundheitsdaten sowie personenidentifizierbaren Bestands- und Verkehrsdaten ausschließlich im Inland, in einem anderen Mitgliedstaat der Europäischen Union, in einem diesem nach § 35 Absatz 7 des Ersten Buches Sozialgesetzbuch gleichge- stellten Staat, oder auf Grundlage eines Ange- messenheitsbeschlusses gemäß Artikel 45 der Verordnung (EU) 2016/679? \| \| \| 39. \| Weitere Gewährleis- tungsziele \| Ist die Verkettung von personenbezogenen Daten über zwei oder mehr digitale Gesund- heitsanwendungen hinweg technisch ausge- schlossen oder muss die betroffene Person für eine Verkettung von Daten über zwei oder mehr digitale Gesundheitsanwendungen hin- weg eine explizite, gesondert eingeholte, infor- mierte Einwilligung abgeben? \| \| \| Die digitale Gesund- heitsanwendung bietet keine tech- nische Möglichkeit einer Verknüpfung oder eines Daten- austauschs mit an- deren digitalen Ge- sundheitsanwendun- gen. 40. \| Weitere Gewährleis- tungsziele \| Ist sichergestellt, dass eine Offenbarung von Informationen der betroffenen Person oder über die betroffene Person für die Öffentlich- keit oder eine für die betroffene Person nicht eingrenzbare Personengruppe gar nicht oder immer nur infolge einer expliziten, aktiven Handlung der betroffenen Person erfolgt, der eine zielgruppengerechte Information über die Art der offenbarten Informationen und den möglichen Kreis der Empfänger zugrunde liegt? \| \| \| Die digitale Gesund- heitsanwendung unterstützt keine Offenbarung von Informationen der betroffenen Person oder über die be- troffene Person für die Öffentlichkeit oder eine für die be- troffene Person nicht eingrenzbare Perso- nengruppe. Datensicherheit Basisanforderungen, die für alle digitalen Gesundheitsanwendungen gelten \| \|
1. \| Informations- sicherheits- und Service- Management \| Hat der Hersteller der digitalen Gesundheitsan- wendung ein Informationssicherheitsmanage- mentsystem (ISMS) gemäß ISO 27000-Reihe oder BSI-Standard 200-2 oder ein vergleichba- res System umgesetzt und kann auf Verlangen des Bundesinstituts für Arzneimittel und Medi- zinprodukte ein entsprechendes anerkanntes Zertifikat oder einen vergleichbaren Nachweis vorlegen? \| \| \| Das Antragsdatum liegt vor dem 1. Ja- nuar 2022.	1. \| Informa- tions- sicher- heits- und Service- manage- ment \| Hat der Hersteller der digitalen Ge- sundheitsanwendung ein Informationssicher- heitsmanagementsystem (ISMS) gemäß ISO 27001 oder gemäß ISO 27001 auf der Basis von IT-Grundschutz (BSI-Standard 200-2: IT-Grundschutz-Methodik) umgesetzt und kann ab dem 1. April 2022 auf Verlangen des Bundesinstituts für Arzneimittel und Medizin- produkte ein entsprechendes anerkanntes Zertifikat vorlegen? \| \| \|
2. \| Informations- sicherheits- und Service- Management \| Hat der Hersteller der digitalen Gesundheits- anwendung eine strukturierte Schutzbedarfs- analyse unter Betrachtung der Schadens- szenarien 'Verstoß gegen Gesetze/Vorschrif- ten/Verträge', 'Beeinträchtigung des informa- tionellen Selbstbestimmungsrechts', 'Beein- trächtigung der persönlichen Unversehrtheit', 'Beeinträchtigung der Aufgabenerfüllung' und 'negative Innen- oder Außenwirkung' durchge- führt und dokumentiert, in deren Ergebnis für die digitale Gesundheitsanwendung ein nor- maler, hoher oder sehr hoher Schutzbedarf ge- mäß der Definition des BSI-Standards 200-2 festgestellt wurde, und kann er die Dokumen- tation der Schutzbedarfsanalyse auf Verlangen des Bundesinstituts für Arzneimittel und Medi- zinprodukte vorlegen? \| \| \| 3. \| Informations- sicherheits- und Service- Management \| Hat der Hersteller der digitalen Gesundheitsan- wendung Prozesse eines Release-, Change- und Configuration-Managements unter Be- rücksichtigung der Vorgaben der Verordnung (EU) 2017/745 umgesetzt und dokumentiert, die sicherstellen, dass Erweiterungen und An- passungen der digitalen Gesundheitsanwen- dung, die selbst oder im Auftrag entwickelt wurden, ausreichend getestet und explizit frei- gegeben wurden, bevor sie produktiv gestellt werden? \| \| \| 4. \| Verhinderung von Daten- abfluss \| Hat der Hersteller der digitalen Gesundheits- anwendung sichergestellt, dass die Kommuni- kation der digitalen Gesundheitsanwendung mit anderen Diensten technisch soweit einge- schränkt ist, dass aus der digitalen Gesund- heitsanwendung heraus keine ungewollte Datenkommunikation erfolgen kann, über die personenbezogene Daten versendet werden? \| \| \| 5. \| Verhinderung von Daten- abfluss \| Wird bei jeder über offene Netze stattfindenden Datenkommunikation zwischen verschiedenen Systembestandteilen der digitalen Gesund- heitsanwendung zumindest eine Transportver- schlüsselung gemäß des Mindeststandards des BSI zur Verwendung von Transport Layer Security (TLS) nach § 8 Absatz 1 Satz 1 des BSI-Gesetzes eingesetzt? \| \| \| Die digitale Ge- sundheitsanwen- dung löst keine über offene Netze statt- findende Datenkom- munikation aus. 6. \| Verhinderung von Datenab- fluss \| Prüft die digitale Gesundheitsanwendung bei jedem Zugriff auf über das Internet aufrufbare Funktionalitäten der digitalen Gesundheitsan- wendung die Authentizität der aufgerufenen Dienste, bevor personenbezogene Daten mit diesen Diensten ausgetauscht werden? \| \| \| Die digitale Ge- sundheitsanwen- dung umfasst keine über das Internet aufrufbare Funktio- nalität. 7. \| Verhinderung von Datenab- fluss \| Hat der Hersteller der digitalen Gesundheits- anwendung sichergestellt, dass die digitale Gesundheitsanwendung keine ungewollten Log- oder Hilfsdateien schreibt? \| \| \| 8. \| Verhinderung von Daten- abfluss \| Hat der Hersteller der digitalen Gesundheits- anwendung sichergestellt, dass die digitale Gesundheitsanwendung keine Fehlermeldun- gen ausgibt, die möglicherweise vertrauliche Informationen offenbaren? \| \| \| 9. \| Authentisierung \| Müssen sich alle die digitale Gesundheitsan- wendung nutzenden Personen über eine dem Schutzbedarf der durch die digitale Gesund- heitsanwendung verarbeiteten Daten ange- messene Methode authentisieren, bevor Zu- griffe auf über die digitale Gesundheitsanwen- dung zugängliche Daten erfolgen können? \| \| \| 10. \| Authentisierung \| Ist durch geeignete technische Maßnahmen sichergestellt, dass zur Authentisierung einer die digitale Gesundheitsanwendung nutzen- den Person verwendete Daten niemals über ungesicherte Transportverbindungen ausge- tauscht werden? \| \| \| 11. \| Authentisierung \| Verwendet bzw. beinhaltet die digitale Ge- sundheitsanwendung eine zentrale Authen- tisierungskomponente, die mit etablierten Standardkomponenten umgesetzt wurde, die alleinig für die initiale Authentisierung zulässig ist und deren Vertrauenswürdigkeit durch Dienste der digitalen Gesundheitsanwendung verifizierbar ist? \| \| \| 12. \| Authentisierung \| Erzwingt die digitale Gesundheitsanwendung, dass eine die digitale Gesundheitsanwendung nutzende Person die für ihre Authentisierung genutzten Daten nur ändern kann, wenn hier- bei für die Prüfung der Authentizität dieser Person ausreichende Informationen beigege- ben werden? \| \| \| 13. \| Authentisierung \| Sofern die Authentisierung unter Nutzung eines Passworts erfolgt: - Zwingt die digitale Gesundheitsanwendung alle die digitale Gesundheitsanwendung nutzenden Personen, sichere Passwörter gemäß einer Passwort-Richtlinie zu benut- zen, die u. a. eine Mindestlänge für Pass- wörter vorgibt und Grenzwerte für fehlge- schlagene Anmeldeversuche definiert? - Ist sichergestellt, dass Passwörter niemals im Klartext übertragen oder gespeichert werden? - Wird das Ändern oder Zurücksetzen von Passwörtern protokolliert und wird die be- troffene Person - sofern geeignete Kontakt- daten vorliegen - sofort über das Zurück- setzen oder Ändern des Passworts infor- miert? \| \| \| Die Authentisie- rung erfolgt nicht unter Nutzung eines Passworts 14. \| Authentisierung \| Sofern die digitale Gesundheitsanwendung Authentisierungsdaten auf einem Endgerät oder in einer darauf befindlichen Software- komponente speichert: Wird die explizite Zu- stimmung der die digitale Gesundheitsanwen- dung nutzenden Person abgefragt ('Opt-In') und wird diese auf die Risiken der Funktion hingewiesen? \| \| \| Die digitale Ge- sundheitsanwen- dung speichert keine Authentisie- rungsdaten auf ei- nem Endgerät oder in einer darauf be- findlichen Software- komponente
15. \| Authentisierung \| Sofern Informationen zur Identität oder Authentizität der die digitale Gesundheitsan- wendung nutzenden Person oder zur Authen- tizität von Komponenten der digitalen Gesund- heitsanwendung über dedizierte Sitzungen ('Sessions') zwischen Komponenten der digi- talen Gesundheitsanwendung geteilt werden: \| \| \| Die digitale Ge- sundheitsanwen- dung nutzt keine Sessions \| \| - Werden alle Sitzungsdaten sowohl beim Austausch als auch bei der Speicherung mit dem Schutzbedarf der digitalen Ge- sundheitsanwendung angemessenen tech- nischen Maßnahmen geschützt und werden ggf. genutzte Session-IDs zufällig, mit aus- reichender Entropie und über etablierte Ver- fahren erzeugt? - Werden alle in einer Instanz einer digitalen Gesundheitsanwendung aufgebauten Sit- zungen mit dem Abbruch oder der Beendi- gung der Nutzung der digitalen Gesund- heitsanwendung invalidiert und kann die die digitale Gesundheitsanwendung nut- zende Person auch die explizite Invalidie- rung einer Sitzung erzwingen? - Besitzen Sitzungen eine maximale Gültig- keitsdauer und werden inaktive Sitzungen automatisch nach einer bestimmten Zeit invalidiert? - Resultiert die Invalidierung einer Sitzung im Löschen aller Sitzungsdaten und ist sicher- gestellt, dass eine einmal ungültig gewor- dene Sitzung auch bei Kenntnis einzelner Sitzungsdaten nicht wieder aktiviert werden kann? \| \| \|	15. \| Authen- tisierung \| Sofern Informationen zur Identität oder Authentizität der die digitale Gesundheits- anwendung nutzenden Person oder zur Authentizität von Komponenten der digitalen Gesundheitsanwendung über dedizierte Sit- zungen ('Sessions') zwischen Komponenten der digitalen Gesundheitsanwendung geteilt werden: - Werden alle Sitzungsdaten sowohl beim Austausch als auch bei der Speicherung mit technischen Maßnahmen, die dem Schutzbedarf der digitalen Gesundheits- anwendung angemessenen, sind geschützt und werden ggf. genutzte Session-IDs zu- fällig, mit ausreichender Entropie und über etablierte Verfahren erzeugt? - Werden alle in einer Instanz einer digitalen Gesundheitsanwendung aufgebauten Sit- zungen mit dem Abbruch oder der Be- endigung der Nutzung der digitalen Ge- sundheitsanwendung invalidiert? - Kann die die digitale Gesundheitsanwen- dung nutzende Person auch die explizite Invalidierung einer Sitzung erzwingen? - Besitzen Sitzungen eine maximale Gültig- keitsdauer und werden inaktive oder unter- brochene Sitzungen automatisch nach einer bestimmten Zeit invalidiert? - Resultiert die Invalidierung einer Sitzung im Löschen aller Sitzungsdaten und ist sichergestellt, dass eine einmal ungültig gewordene Sitzung auch bei Kenntnis ein- zelner Sitzungsdaten nicht wieder aktiviert werden kann? \| \| \| Die digitale Gesundheits- anwendung nutzt keine Sessions. 15a. \| Authen- tisierung \| Kann die digitale Gesundheitsanwendung bis spätestens zum 1. Januar 2023 eine Authen- tisierung von GKV-Versicherten als die die digitale Gesundheitsanwendung nutzenden Personen über die sichere digitale Identität nach § 291 Absatz 8 des Fünften Buches Sozialgesetzbuch unterstützen? \| \| \|
16. \| Zugriffskontrolle \| Stellt die digitale Gesundheitsanwendung si- cher, dass jeder Zugriff auf geschützte Daten und Funktionen eine Berechtigungsprüfung durchläuft ('complete mediation'), für die bei Zugriffen durch Betriebspersonal des Herstel- lers einer digitalen Gesundheitsanwendung eine dedizierte, alle geschützten Daten ein- schließende Autorisierungskomponente zum Einsatz kommt ('reference monitor' bzw. 'secure node/application'), die eine vorherige sichere Authentisierung der zugreifenden Person erfordert? \| \| \| 17. \| Zugriffskontrolle \| Werden alle Berechtigungen initial und per default restriktiv zugewiesen und können Be- rechtigungen ausschließlich über kontrollierte Verfahren ausgeweitet werden, die bei Ände- rungen der Berechtigungen für Betriebsperso- nal des Herstellers einer digitalen Gesund- heitsanwendung wirksame Prüf- und Kontroll- mechanismen nach einem Mehraugenprinzip beinhalten? \| \| \| 18. \| Zugriffskontrolle \| Sofern die digitale Gesundheitsanwendung verschiedene Nutzerrollen vorsieht: Kann jede Rolle nur mit den für die Ausführung der mit der Rolle verbundenen Funktionalitäten erfor- derlichen Rechten auf Funktionen der digitalen Gesundheitsanwendung zugreifen? \| \| \| Die digitale Ge- sundheitsanwen- dung sieht keine unterschiedlichen Nutzerrollen vor. 19. \| Zugriffskontrolle \| Stellt der Hersteller der digitalen Gesund- heitsanwendung sicher, dass Zugriffe auf Funktionen und Daten der digitalen Gesund- heitsanwendung durch Betriebspersonal des Herstellers nur über sichere Netze und Zu- gangspunkte möglich sind? \| \| \| 20. \| Zugriffskontrolle \| Resultieren alle Fehler und Fehlfunktionen der Zugriffskontrolle in einer Ablehnung von Zu- griffen? \| \| \| 21. \| Einbinden von Daten und Funktionen \| Kann sich der Versicherte ausschließlich inner- halb der Vertrauensdomäne der digitalen Ge- sundheitsanwendung bewegen bzw. können aus der digitalen Gesundheitsanwendung heraus nur vertrauenswürdige, durch den Her- steller der digitalen Gesundheitsanwendung geprüfte externe Inhalte genutzt werden und wird der Versicherte in diesem Fall informiert, wenn die Vertrauensdomäne der digitalen Ge- sundheitsanwendung verlassen wird? \| \| \| 22. \| Einbinden von Daten und Funktionen \| Sofern die digitale Gesundheitsanwendung der nutzenden Person den Upload von Dateien erlaubt: Ist diese Funktion so weit wie mög- lich eingeschränkt (z. B. Ausschließen aktiver Inhalte), findet eine Sicherheitsprüfung der In- halte statt und ist sichergestellt, dass Dateien nur im vorgegebenen Pfad gespeichert werden können? \| \| \| Die digitale Gesund- heitsanwendung er- laubt keinen Upload von Dateien. 23. \| Protokollierung \| Führt die digitale Gesundheitsanwendung eine vollständige, nachvollziehbare, verfälschungs- sichere Protokollierung aller sicherheitsrele- vanten - d. h. die sichere Identifizierung, Au- thentisierung und Autorisierung von Personen und Organisationen betreffenden - Ereignisse durch? \| \| \| 24. \| Protokollierung \| Werden Protokollierungsdaten automatisiert ausgewertet, um sicherheitsrelevante Ereig- nisse zu erkennen bzw. proaktiv zu verhin- dern? \| \| \| 25. \| Protokollierung \| Ist der Zugriff auf Protokollierungsdaten durch ein geeignetes Berechtigungsmanagement abgesichert und auf wenige befugte Personen und definierte Zwecke eingeschränkt? \| \| \| 26. \| Regelmäßige und sichere Aktualisierung \| Informiert der Hersteller die betroffene Person (z. B. über Push-Mechanismen oder vor dem Start der digitalen Gesundheitsanwendung), wenn ein sicherheitsrelevantes Update der digitalen Gesundheitsanwendung zur Installa- tion bereitgestellt oder durchgeführt wurde? \| \| \| 27. \| Sichere Dein- stallation \| Werden bei Deinstallation der digitalen Ge- sundheitsanwendung alle auf IT-Systemen in der Verfügung der betroffenen Person ge- speicherten, durch die digitale Gesundheits- anwendung angelegten Daten und Dateien - einschließlich Caches und temporärer Da- teien - gelöscht? \| \| \| Bei der digitalen Gesundheitsan- wendung handelt es sich um eine rein webbasierte Anwendung. 28. \| Härtung \| Sofern Dienste der digitalen Gesundheitsan- wendung über Web-Protokolle aufrufbar sind: - Sind nicht benötigte Methoden der genutz- ten Protokolle bei allen über offene Netze aufrufbaren Diensten deaktiviert? - Sind die zulässigen Zeichenkodierungen so restriktiv wie möglich eingeschränkt? \| \| \| Die digitale Ge- sundheitsanwen- dung umfasst keine über Web-Protokolle aufrufbaren Dienste. \| \| - Sind für alle über offene Netze aufrufbaren Dienste Grenzwerte für Zugriffsversuche festgelegt? - Ist sichergestellt, dass keine sicherheitsre- levanten Kommentare oder Produkt- und Versionsangaben preisgegeben werden? - Werden nicht benötigte Dateien regelmäßig gelöscht? - Ist sichergestellt, dass diese Dienste durch Suchmaschinen nicht erfasst werden? - Wird auf absolute lokale Pfadangaben ver- zichtet? - Wird ein Abruf von Quelltexten ausge- schlossen? \| \| \| 29. \| Härtung \| Sofern die digitale Gesundheitsanwendung Daten verarbeitet, die durch die nutzende Person oder durch nicht durch die digitale Gesundheitsanwendung kontrollierte Quellen bereitgestellt werden: - Werden diese Daten als potenziell gefährlich behandelt und entsprechend validiert und gefiltert? - Erfolgt die Prüfung dieser Daten auf einem vertrauenswürdigen IT-System? - Werden Fehleingaben möglichst nicht automatisch behandelt bzw. werden entsprechende Funktionalitäten sicher umgesetzt, damit ein Missbrauch ausgeschlossen ist? - Werden diese Daten in einer Form kodiert, die sicherstellt, dass ein schadhafter Code nicht interpretiert oder ausgeführt wird? Erfolgt eine Trennung dieser Daten von konkreten Anfragen an datenhaltende Systeme (z. B. über Stored Procedures) bzw. werden Datenanfragen explizit gegen aus solchen Daten begünstigte Angriffsvektoren gesichert? \| \| \| Die digitale Ge- sundheitsanwen- dung verarbeitet keine Daten, die durch die nutzende Person oder durch nicht durch die digi- tale Gesundheitsan- wendung kontrol- lierte Quellen bereit- gestellt werden. 30. \| Härtung \| Ist durchgängig sichergestellt, dass Fehlerfälle in der digitalen Gesundheitsanwendung be- handelt werden und zum Abbruch und ggf. Zurückrollen der angestoßenen Funktionen führen? \| \| \| 31. \| Härtung \| Ist die digitale Gesundheitsanwendung durch geeignete Schutzmechanismen vor automati- sierten Zugriffen geschützt, sofern diese nicht gewollte Nutzungsmöglichkeiten der digitalen Gesundheitsanwendung realisieren? \| \| \| 32. \| Härtung \| Werden für den sicheren Betrieb der digitalen Gesundheitsanwendung relevante Konfigura- tionsdateien durch geeignete technische Maßnahmen vor Verlust und Verfälschung ge- schützt? \| \| \| Die digitale Ge- sundheitsanwen- dung nutzt keine Konfigurationsda- teien bzw. diese sind für den siche- ren Betrieb der digi- talen Gesundheits- anwendung nicht relevant. 32a. \| Penetrations- tests \| Hat der Hersteller der digitalen Gesundheits- anwendung für die im Verzeichnis nach § 139e Absatz 1 des Fünften Buches Sozial- gesetzbuch aufzunehmende Version der digi- talen Gesundheitsanwendung - einschließ- lich aller Backend-Komponenten - einen Penetrationstest durchgeführt, der dem vom Bundesamt für Sicherheit in der Informa- tionstechnik empfohlenen Durchführungs- konzept für Penetrationstests folgt, und - soweit die Anwendbarkeit gegeben ist - auch die jeweils aktuellen OWASP Top-10 Sicher- heitsrisiken berücksichtigt, und kann er auf Nachfrage entsprechende Nachweise für die Durchführung der Penetrationstests und die Behebung der dabei gefundenen Schwach- stellen vorlegen? \| \| \| 33. \| Nutzung von Sensoren und externen Geräten \| Sofern die digitale Gesundheitsanwendung di- rekt auf Sensoren eines mobilen Endgeräts und/oder externe Hardware (z. B. körpernahe Sensorik) zugreift: - Hat der Hersteller der digitalen Gesund- heitsanwendung festgelegt, unter welchen Rahmenbedingungen Sensoren oder ange- bundene Geräte installiert, aktiviert, konfi- guriert und verwendet werden können und wird das Bestehen dieser Rahmenbedin- gungen vor der Ausführung entsprechender Funktionalitäten soweit als möglich sicher- gestellt? - Stellt die digitale Gesundheitsanwendung sicher, dass Sensoren und angebundene Geräte bei der Installation bzw. erstmaligen Aktivierung für die digitale Gesundheitsan- wendung in eine Grundeinstellung versetzt werden, die einer dokumentierten Sicher- heitsrichtlinie entspricht? - Kann der Versicherte von der digitalen Ge- sundheitsanwendung direkt angesteuerte Sensoren und Geräte in eine Grundeinstel- lung zurücksetzen, die einer dokumentier- ten Sicherheitsrichtlinie entspricht? Ist ein Datenaustausch zwischen der digitalen Gesundheitsanwendung und direkt angesteu- erten Sensoren oder Geräten erst dann mög- lich, wenn die Installation und Konfiguration der Sensoren bzw. Geräte vollständig abge- schlossen ist? \| \| \| Die digitale Ge- sundheitsanwen- dung greift weder auf Sensoren eines mobilen Endgeräts noch auf externe Hardware zu. 34. \| Nutzung von Sensoren und externen Geräten \| Sofern die digitale Gesundheitsanwendung Daten mit externer Hardware (z. B. körpernahe Sensorik) austauscht: - Sind die Abläufe zur Installation, Konfigura- tion, Aktivierung und Deaktivierung dieser Hardware zielgruppengerecht beschrieben und soweit als möglich gegen Fehlbedie- nungen gesichert? - Erfolgt eine wechselseitige Authentisierung zwischen der digitalen Gesundheitsanwen- dung und externer Hardware? - Werden Daten zwischen der digitalen Ge- sundheitsanwendung und externer Hard- ware nach einem initialen Handshake nur noch verschlüsselt ausgetauscht? - Ist sichergestellt, dass bei einer Deinstalla- tion der digitalen Gesundheitsanwendung oder bei einer Beendigung von deren Nut- zung alle auf externer Hardware gespei- cherten Daten gelöscht werden? - Hat der Hersteller der digitalen Gesund- heitsanwendung dokumentiert, wie eine an- gebundene Hardware sicher deaktiviert werden kann, so dass keine Daten verloren gehen und keine sensiblen Daten auf dem Gerät verbleiben? \| \| \| Die digitale Ge- sundheitsanwen- dung tauscht keine Daten mit externer Hardware aus. 35. \| Nutzung von Fremdsoftware \| Führt der Hersteller eine vollständige Aufstel- lung aller in der digitalen Gesundheitsanwen- dung verwendeten Bibliotheken und anderen Software-Produkte, die nicht durch den Her- steller der digitalen Gesundheitsanwendung selbst entwickelt wurden? \| \| \| 36. \| Nutzung von Fremdsoftware \| Stellt der Hersteller durch geeignete Verfahren der Marktbeobachtung sicher, dass von die- sen Bibliotheken bzw. Produkten ausgehende, bislang nicht bekannte Risiken für den Daten- schutz, die Datensicherheit oder die Patien- tensicherheit zeitnah erkannt werden? \| \| \| 37. \| Nutzung von Fremdsoftware \| Hat der Hersteller Verfahren etabliert, um im Fall solcher erkannten Risiken geeignete Maß- nahmen wie z. B. eine Sperrung der App und Benachrichtigungen der Nutzer unmittelbar umsetzen zu können? \| \| \| Zusatzanforderungen bei digitalen Gesundheitsanwendungen mit sehr hohem Schutzbedarf 1. \| Verschlüsselung gespeicherter Daten \| Werden auf nicht in der persönlichen Verfügung der nutzenden Person stehenden IT-Systemen verarbeitete personenbezogene Daten auf die- sen Systemen nur verschlüsselt gespeichert? \| \| \| 2. und 3. \| (aufgehoben) 4. \| Authentisierung \| Wird zumindest für die initiale Authentisierung aller die digitale Gesundheitsanwendung nut- zenden Personen eine Zwei-Faktor-Authenti- sierung erzwungen? \| \| \| 5. \| Authentisierung \| Sofern die digitale Gesundheitsanwendung eine Rückfalloption auf eine Ein-Faktor-Au- thentisierung erlaubt: - Wird die die digitale Gesundheitsanwen- dung nutzende Person auf die damit ver- bundenen Risiken hingewiesen und wird ein solcher Rückfall erst nach einer, über eine aktive Handlung bestätigten, Zustim- mung der nutzenden Person aktiviert? - Kann die die digitale Gesundheitsanwen- dung nutzende Person diese Rückfall-Op- tion jederzeit aus der digitalen Gesundheits- anwendung heraus wieder deaktivieren? \| \| \| Die digitale Ge- sundheitsanwen- dung erlaubt keine Rückfalloption auf eine Ein-Faktor-Au- thentisierung.
6. \| Authentisierung \| Kann die digitale Gesundheitsanwendung bis spätestens zum 31. Dezember 2020 eine Authentisierung von GKV-Versicherten als die die digitale Gesundheitsanwendung nutzende Personen über eine elektronische Gesund- heitskarte mit kontaktloser Schnittstelle unter- stützen? \| \| \|	6. (gestrichen)
7. \| Authentisierung \| Sofern die digitale Gesundheitsanwendung eine Nutzerrolle für Leistungserbringer vor- sieht: Kann die digitale Gesundheitsanwendung bis spätestens zum 31. Dezember 2020 eine Au- thentisierung von Leistungserbringern als die die digitale Gesundheitsanwendung nutzende Personen über einen elektronischen Heilbe- rufsausweis mit kontaktloser Schnittstelle un- terstützen? \| \| \| Die digitale Gesund- heitsanwendung sieht keine Nutzung durch Leistungser- bringer vor. 8. \| Maßnahmen gegen DoS und DDoS \| Werden an über offene Netze zugängliche Dienste der digitalen Gesundheitsanwendung gesandte Nachrichten (XML, JSON, etc.) und Daten gegen definierte Schemata geprüft? \| \| \| Die digitale Ge- sundheitsanwen- dung tauscht keine Daten mit bzw. zwi- schen über offene Netze zugänglichen Diensten aus. 9. \| Eingebettete Webserver \| Sofern zu der digitalen Gesundheitsanwendung gehörende Komponenten Webserver - z. B. zur Administration oder Konfiguration - nutzen: - Ist der Webserver möglichst restriktiv kon- figuriert? - Sind nur die benötigten Komponenten und Funktionen des Webservers installiert bzw. aktiviert? - Wird der Webserver soweit möglich nicht unter einem privilegierten Konto betrieben? - Werden sicherheitsrelevante Ereignisse protokolliert? - Ist der Zugang nur nach Authentisierung möglich? - Ist jegliche Kommunikation mit dem Web- server verschlüsselt? \| \| \| Die digitale Ge- sundheitsanwen- dung nutzt keinen Webserver.
← frühere Fassung von Anlage 1	nächste Fassung von Anlage 1 →
← vorherige Änderung durch Artikel 1	nächste Änderung durch Artikel 1 →

Link zu dieser Seite: https://www.buzer.de/gesetz/13879/al158899-0.htm

Inhaltsverzeichnis | Ausdrucken/PDF | nach oben

DiGAV
Rechtskataster

Änderungen
überwachen

Sie werden über jede verkündete oder in Kraft tretende Änderung per Mail informiert, sofort, wöchentlich oder in dem Intervall, das Sie gewählt haben.

Stellen Sie Ihr Paket zu überwachender Vorschriften beliebig zusammen.

Jetzt anmelden!

Weitere Vorteile:

Konsolidierte Vorschriften selbst bei Inkrafttreten "am Tage nach der Verkündung", Synopse zu jeder Änderungen, Begründungen des Gesetzgebers

Für Ihr Blog oder Forum - Gesetze verknüpfen

Für Ihre Internetseite -
Ticker aktuellste Gesetzesänderungen

Anlage 1 DiGAV a.F. (alte Fassung) in der vor dem 01.10.2021 geltenden Fassung	Anlage 1 DiGAV n.F. (neue Fassung) in der am 01.10.2021 geltenden Fassung durch Artikel 1 V. v. 22.09.2021 BGBl. I S. 4355
← frühere Fassung von Anlage 1	nächste Fassung von Anlage 1 →
← vorherige Änderung durch Artikel 1	nächste Änderung durch Artikel 1 →

(Textabschnitt unverändert) Anlage 1 Fragebogen gemäß § 4 Absatz 6
Im nachfolgend aufgeführten Fragenbogen ist durch den Hersteller die Erfüllung der Anforderungen nach § 4 zu erklären. Der Hersteller bestätigt die Erfüllung der Anforderungen durch Kennzeichnung in der Spalte 'zutreffend'. Die Vorschriften des Datenschutzes und die Anforderungen an die Datensicherheit - Basisanforderungen sind von allen digitalen Gesundheitsanwendungen zu erfüllen. Die Anforderungen Datensicherheit - Zusatzanforderungen bei digitalen Gesundheitsanwendungen mit sehr hohem Schutzbedarf sind von digitalen Gesundheitsanwendungen zu erfüllen, für die im Rahmen der geforderten Schutzbedarfsanalyse ein sehr hoher Schutzbedarf festgestellt wurde. Nr. \| Themenfeld \| Anforderung \| zutreffend \| nicht zutreffend \| zulässige Begründung für 'nicht zutreffend' Datenschutz 1. \| Datenschutz- Grundverord- nung als anzu- wendendes Recht \| Die Verarbeitung personenbezogener Daten durch die digitale Gesundheitsanwendung und deren Hersteller unterfällt der Verordnung (EU) 2016/679 sowie ggf. weiteren Daten- schutzregelungen. \| \| \| 2. \| Einwilligung \| Wird vor der Verarbeitung von personenbezo- genen und -beziehbaren Daten eine freiwillige, spezifische und informierte Einwilligung der betroffenen Person zu den in § 4 Absatz 2 benannten Zwecken der Verarbeitung dieser Daten eingeholt? \| \| \| Es wird keine Ein- willigung eingeholt, da der Zweck der Verarbeitung aus einer rechtlichen Verpflichtung des Herstellers der digi- talen Gesundheits- anwendung resul- tiert. 3. \| Einwilligung \| Erfolgt die Abgabe von Einwilligungen und Erklärungen der betroffenen Person durch- gängig ausdrücklich, d. h. durch eine aktive, eindeutige Handlung der betroffenen Person? \| \| \| Es wird keine Ein- willigung eingeholt, da der Zweck der Verarbeitung aus einer rechtlichen Verpflichtung des Herstellers der digi- talen Gesundheits- anwendung resul- tiert. 4. \| Einwilligung \| Kann die betroffene Person erteilte Einwilli- gungen einfach, barrierefrei, jederzeit und auf einem einfach verständlichen Weg mit Wirkung für die Zukunft widerrufen? \| \| \| Es wird keine Ein- willigung eingeholt, da der Zweck der Verarbeitung aus einer rechtlichen Verpflichtung des Herstellers der digi- talen Gesundheits- anwendung resul- tiert. 5. \| Einwilligung \| Wird die betroffene Person vor Abgabe der Einwilligung auf das Recht und die Möglich- keiten zum Widerruf der Einwilligung hinge- wiesen? \| \| \| Es wird keine Ein- willigung eingeholt, da der Zweck der Verarbeitung aus einer rechtlichen Verpflichtung des Herstellers der digi- talen Gesundheits- anwendung resul- tiert. 6. \| Einwilligung \| Wurde die betroffene Person vor Abgabe einer Einwilligung in klarer, verständlicher, nutzer- freundlicher und der Zielgruppe angemessener Form darüber informiert, welche Kategorien von Daten zu welchen Zwecken durch die di- gitale Gesundheitsanwendung bzw. den Her- steller der digitalen Gesundheitsanwendung verarbeitet werden? \| \| \| Es wird keine Ein- willigung eingeholt, da der Zweck der Verarbeitung aus einer rechtlichen Verpflichtung des Herstellers der digi- talen Gesundheits- anwendung resul- tiert. 7. \| Einwilligung \| Kann die betroffene Person die Texte der ab- gegebenen Einwilligungen und Erklärungen jederzeit aus der digitalen Gesundheitsanwen- dung oder über eine aus der digitalen Gesund- heitsanwendung referenzierten Quelle ab- rufen? \| \| \| Es wird keine Ein- willigung eingeholt, da der Zweck der Verarbeitung aus einer rechtlichen Verpflichtung des Herstellers der digi- talen Gesundheits- anwendung resul- tiert. 8. \| Zweckbindung \| Erfolgt die Verarbeitung von personenbezoge- nen Daten durch die digitale Gesundheits- anwendung ausschließlich zu in § 4 Absatz 2 Satz 1 genannten Zwecken oder auf Grund- lage sonstiger gesetzlicher Datenverarbei- tungsbefugnisse nach § 4 Absatz 2 Satz 3? \| \| \| 9. \| Datenminimie- rung und Ange- messenheit \| Sind die über die digitale Gesundheitsanwen- dung verarbeiteten personenbezogenen Daten dem Zweck angemessen sowie auf das für die Zwecke der Verarbeitung notwendige Maß be- schränkt? \| \| \| 10. \| Datenminimie- rung und Ange- messenheit \| Hat der Hersteller der digitalen Gesundheits- anwendung sichergestellt, dass die Zwecke der Verarbeitung personenbezogener Daten durch die digitale Gesundheitsanwendung nicht in zumutbarer Weise durch andere, datensparsamere Mittel in gleichem Maße erreicht werden können? \| \| \| 11. \| Datenminimie- rung und Ange- messenheit \| Werden gesundheitsbezogene Daten getrennt von ausschließlich für die Leistungsabrech- nung erforderlichen Daten gespeichert? \| \| \| 12. \| Datenminimie- rung und Ange- messenheit \| Stellt der Hersteller der digitalen Gesundheits- anwendung sicher, dass mit nicht-produktbe- zogenen Aufgaben betraute Mitarbeiterinnen und Mitarbeiter keinen Zugriff auf gesundheits- bezogene Daten haben? \| \| \| 13. \| Datenminimie- rung und Ange- messenheit \| Sofern die Nutzung der digitalen Gesundheits- anwendung nicht auf ein privates IT-System der nutzenden Person beschränkt ist: - wurden entsprechende Einsatzszenarien in der Datenschutzfolgenabschätzung explizit berücksichtigt? - wird der Versicherte ausdrücklich darauf hingewiesen, dass die Nutzung der digitalen Gesundheitsanwendung in einer potenziell unsicheren Umgebung mit Sicherheitsrisi- ken einhergeht, die durch den Hersteller der digitalen Gesundheitsanwendung nicht vollständig adressiert werden können? \| \| \| Die Nutzung der digitalen Gesund- heitsanwendung ist auf ein privates IT- System der nutzen- den Person be- schränkt.
(Text alte Fassung) \| \| - wird bei Nutzung der digitalen Gesund- heitsanwendung auf einem nicht nur von dem Versicherten verwendeten IT-System vollständig die - auch temporäre - Spei- cherung von gesundheitsbezogenen Daten auf diesem IT-System unterbunden? - werden lokal auf dem genutzten IT-System abgelegte Daten und angelegte Dateien nach Beendigung der Nutzungs-Session der digitalen Gesundheitsanwendung sicher gelöscht - auch wenn die nutzende Person die Nutzungs-Session nicht explizit beendet hat (z. B. durch Herunterfahren des genutz- ten IT-Systems)? \| \| \|	(Text neue Fassung) \| \| - wird bei Nutzung der digitalen Gesund- heitsanwendung auf einem nicht nur von dem Versicherten verwendeten IT-System vollständig die - auch temporäre - Spei- cherung von gesundheitsbezogenen Daten auf diesem IT-System unterbunden? \| \| \|
14. \| Integrität und Vertraulichkeit \| Sieht die digitale Gesundheitsanwendung an- gemessene technische und organisatorische Maßnahmen vor, um personenbezogene Da- ten gegen unbeabsichtigte oder unzulässige Zerstörung, Löschung, Verfälschung, Offen- barung oder nicht legitimierte Verarbeitungs- formen zu schützen? \| \| \| 15. \| Integrität und Vertraulichkeit \| Ist der durch die digitale Gesundheitsanwen- dung gesteuerte Austausch von Daten zwi- schen dem Endgerät der betroffenen Person und externen Systemen durchgängig gemäß dem Stand der Technik verschlüsselt? \| \| \| Es werden keine personenbezogenen Daten zwischen dem Endgerät der betroffenen Person und externen Syste- men ausgetauscht. 16. \| Richtigkeit \| Sieht die digitale Gesundheitsanwendung technische und organisatorische Maßnahmen vor, die sicherstellen, dass die über die digitale Gesundheitsanwendung verarbeiteten perso- nenbezogenen Daten sachlich richtig und auf dem neuesten Stand sind? \| \| \| 17. \| Richtigkeit \| Trifft der Hersteller alle angemessenen Maß- nahmen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder be- richtigt werden? \| \| \| 18. \| Erforderlichkeit \| Werden über die digitale Gesundheitsanwen- dung erhobene personenbezogene Daten nur so lange gespeichert, wie sie für die Erbrin- gung der zugesagten Funktionalitäten der digitalen Gesundheitsanwendung oder zu anderen, unmittelbar aus rechtlichen Verpflich- tungen resultierenden Zwecken zwingend er- forderlich sind? \| \| \| 19. \| Erforderlichkeit \| Werden personenbezogene Daten nach Er- füllung der Zwecke nach § 4 Absatz 2 Satz 1 Nummer 1 bis 4 nicht weiter gespeichert? \| \| \| Die Zwecke der Speicherung und die maximale Speicher- dauer sind unter Angabe der Gründe, warum diese Zwe- cke eine Legitima- tion der weiteren Speicherung perso- nenbezogener Da- ten darstellen, durch den Hersteller ge- sondert zu begrün- den. 20. \| Datenportabili- tät \| Stellt der Hersteller der digitalen Gesundheits- anwendung Mechanismen bereit, über die die betroffene Person aus der digitalen Gesund- heitsanwendung heraus das Recht auf Daten- portabilität wahrnehmen und die von ihr, der betroffenen Person, der digitalen Gesund- heitsanwendung bereitgestellten, sie betref- fenden personenbezogenen Daten in einem geeigneten Format abrufen bzw. in eine an- dere digitale Gesundheitsanwendung überfüh- ren kann? \| \| \| 21. \| Informations- pflichten \| Ist die Datenschutzerklärung der digitalen Ge- sundheitsanwendung über die Anwendungs- webseite einfach auffindbar, barrierefrei zu- gänglich und frei einsehbar? \| \| \| 22. \| Informations- pflichten \| Enthält die Datenschutzerklärung der digitalen Gesundheitsanwendung alle relevanten Infor- mationen zum Hersteller und dessen Daten- schutzbeauftragtem, zu dem Zweck der digi- talen Gesundheitsanwendung, zu den dazu verarbeiteten Datenkategorien, zum Umgang des Herstellers mit diesen Daten, zum Recht auf Widerruf gegebener Einwilligungen und zu den Möglichkeiten zur Wahrnehmung der Betroffenenrechte und setzt der Hersteller der digitalen Gesundheitsanwendung dar- über hinausgehende Informationspflichten nach den Artikeln 13 und 14 der Verordnung (EU) 2016/679 angemessen um? \| \| \| 23. \| Informations- pflichten \| Ist die Datenschutzerklärung der digitalen Ge- sundheitsanwendung auch nach der Installa- tion der digitalen Gesundheitsanwendung aus der digitalen Gesundheitsanwendung heraus bzw. in der digitalen Gesundheitsanwendung einfach auffindbar? \| \| \| 24. \| Informations- pflichten \| Kann die betroffene Person vom Hersteller der digitalen Gesundheitsanwendung Auskunft zu den über sie gespeicherten personenbezoge- nen Daten in dem in Artikel 15 der Verordnung (EU) 2016/679 festgelegten Umfang erhalten? \| \| \| 25. \| Informations- pflichten \| Ist in der Datenschutzerklärung der digitalen Gesundheitsanwendung ein nachvollziehbares Löschkonzept enthalten, das das Vorgehen bei Widerruf der Einwilligung und Deinstalla- tion der digitalen Gesundheitsanwendung sowie den Umgang mit Ansprüchen auf Lö- schung von Daten sowie auf Einschränkung ihrer Verarbeitung regelt und den Anforde- rungen nach den Artikeln 17 bis 19 der Verord- nung (EU) 2016/679 entspricht? \| \| \| 26. \| Informations- pflichten \| Kann die betroffene Person vom Hersteller der digitalen Gesundheitsanwendung die Berichti- gung von sie betreffenden unrichtigen perso- nenbezogenen Daten und die Vervollständi- gung von sie betreffenden unvollständigen personenbezogenen Daten verlangen? \| \| \| 27. \| Informations- pflichten \| Wird die betroffene Person vor der Löschung des Benutzerkontos auf damit möglicherweise verlorengehende Daten und auf das Recht auf Datenübertragung gemäß Artikel 20 der Ver- ordnung (EU) 2016/679 hingewiesen? \| \| \| 28. \| Datenschutz- Management \| Hat der Hersteller der digitalen Gesundheits- anwendung ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisato- rischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung umgesetzt, mit dem alle im Zusammenhang mit der digitalen Gesundheitsanwendung eingesetzten Systeme und Prozesse erfasst sind? \| \| \| 29. \| Datenschutz- Management \| Hat der Hersteller der digitalen Gesundheits- anwendung alle Personen, die aus ihrer Tätig- keit heraus Zugang zu personenbezogenen Daten haben, auf die Verschwiegenheit ver- pflichtet? \| \| \| 30. \| Datenschutz- Folgenab- schätzung und Risiko- management \| Hat der Hersteller der digitalen Gesundheits- anwendung für die digitale Gesundheitsan- wendung eine Datenschutz-Folgenabschät- zung durchgeführt und die hierbei durchge- führte Risikoanalyse in die dokumentierten Prozesse eines Risikomanagements überführt, nachdem eine kontinuierliche Neubewertung von Bedrohungen und Risiken erfolgt? \| \| \| 31. \| Datenschutz- Folgenab- schätzung und Risikomanage- ment \| Stellt der Hersteller der digitalen Gesundheits- anwendung sicher, dass die Meldung von Ver- letzungen des Schutzes personenbezogener Daten innerhalb von 72 Stunden nachdem ihm die Verletzung bekannt wurde, an die Auf- sichtsbehörde erfolgt? \| \| \| 32. \| Datenschutz- Folgenab- schätzung und Risiko- management \| Setzt der Hersteller der digitalen Gesundheits- anwendung die Vorgaben nach Artikel 34 der Verordnung (EU) 2016/679 zur Information Be- troffener bei Datenschutzvorfällen um? \| \| \| 33. \| Nachweispflicht \| Hat der Hersteller die für das Unternehmen geltenden Datenschutzleitlinien dokumentiert und seine Mitarbeiter in deren Umsetzung ge- schult? \| \| \|
34. \| Nachweispflicht \| Realisiert der Hersteller der digitalen Gesund- heitsanwendung Maßnahmen, die gewähr- leisten, dass nachträglich überprüft und festgestellt werden kann, ob und von wem per- sonenbezogene Daten eingegeben, verändert oder entfernt worden sind? \| \| \|	34. \| Nachweispflicht \| Realisiert der Hersteller der digitalen Gesund- heitsanwendung Maßnahmen, die gewähr- leisten, dass nachträglich überprüft und festgestellt werden kann, ob und von wem bei dem Hersteller gespeicherte per- sonenbezogene Daten eingegeben, verändert oder entfernt worden sind? \| \| \|
35. \| Nachweispflicht \| Kann der Hersteller der digitalen Gesundheits- anwendung jederzeit nachweisen, dass zu einer durchgeführten Verarbeitung personen- bezogener Daten die erforderliche Einwilligung der betroffenen Person vorlag, soweit die Da- tenverarbeitung nicht auf anderer rechtlicher Grundlage erfolgt? \| \| \| 36. \| Verarbeitung im Auftrag \| Werden über die digitale Gesundheitsanwen- dung oder den Hersteller der digitalen Gesund- heitsanwendung personenbezogene Daten gar nicht an Auftragsverarbeiter oder ausschließ- lich an Auftragsverarbeiter weitergegeben, die über eine ausreichende Vertrauenswürdigkeit und Haftbarkeit verfügen, angemessene Me- chanismen zum Schutz übernommener Daten realisieren und mit dem Hersteller in einem ver- pflichtenden vertraglichen Verhältnis stehen, das eine Abschwächung der dem Versicherten gegenüber gemachten Zusagen ausschließt? \| \| \| 37. \| Datenweiter- gabe an Dritte \| Werden über die digitale Gesundheitsanwen- dung oder den Hersteller der digitalen Ge- sundheitsanwendung keine personenbezoge- nen Daten an Dritte weitergegeben, sofern dies nicht unmittelbar für die Erfüllung von Zwecken nach § 4 Absatz 2 Satz 1 Nummer 1 oder die Erfüllung gesetzlicher Vorschriften er- forderlich und auf diese Zwecke beschränkt ist? \| \| \| 38. \| Verarbeitung im Ausland \| Erfolgt die Verarbeitung von Gesundheitsdaten sowie personenidentifizierbaren Bestands- und Verkehrsdaten ausschließlich im Inland, in einem anderen Mitgliedstaat der Europäischen Union, in einem diesem nach § 35 Absatz 7 des Ersten Buches Sozialgesetzbuch gleichge- stellten Staat, oder auf Grundlage eines Ange- messenheitsbeschlusses gemäß Artikel 45 der Verordnung (EU) 2016/679? \| \| \| 39. \| Weitere Gewährleis- tungsziele \| Ist die Verkettung von personenbezogenen Daten über zwei oder mehr digitale Gesund- heitsanwendungen hinweg technisch ausge- schlossen oder muss die betroffene Person für eine Verkettung von Daten über zwei oder mehr digitale Gesundheitsanwendungen hin- weg eine explizite, gesondert eingeholte, infor- mierte Einwilligung abgeben? \| \| \| Die digitale Gesund- heitsanwendung bietet keine tech- nische Möglichkeit einer Verknüpfung oder eines Daten- austauschs mit an- deren digitalen Ge- sundheitsanwendun- gen. 40. \| Weitere Gewährleis- tungsziele \| Ist sichergestellt, dass eine Offenbarung von Informationen der betroffenen Person oder über die betroffene Person für die Öffentlich- keit oder eine für die betroffene Person nicht eingrenzbare Personengruppe gar nicht oder immer nur infolge einer expliziten, aktiven Handlung der betroffenen Person erfolgt, der eine zielgruppengerechte Information über die Art der offenbarten Informationen und den möglichen Kreis der Empfänger zugrunde liegt? \| \| \| Die digitale Gesund- heitsanwendung unterstützt keine Offenbarung von Informationen der betroffenen Person oder über die be- troffene Person für die Öffentlichkeit oder eine für die be- troffene Person nicht eingrenzbare Perso- nengruppe. Datensicherheit Basisanforderungen, die für alle digitalen Gesundheitsanwendungen gelten \| \|
1. \| Informations- sicherheits- und Service- Management \| Hat der Hersteller der digitalen Gesundheitsan- wendung ein Informationssicherheitsmanage- mentsystem (ISMS) gemäß ISO 27000-Reihe oder BSI-Standard 200-2 oder ein vergleichba- res System umgesetzt und kann auf Verlangen des Bundesinstituts für Arzneimittel und Medi- zinprodukte ein entsprechendes anerkanntes Zertifikat oder einen vergleichbaren Nachweis vorlegen? \| \| \| Das Antragsdatum liegt vor dem 1. Ja- nuar 2022.	1. \| Informa- tions- sicher- heits- und Service- manage- ment \| Hat der Hersteller der digitalen Ge- sundheitsanwendung ein Informationssicher- heitsmanagementsystem (ISMS) gemäß ISO 27001 oder gemäß ISO 27001 auf der Basis von IT-Grundschutz (BSI-Standard 200-2: IT-Grundschutz-Methodik) umgesetzt und kann ab dem 1. April 2022 auf Verlangen des Bundesinstituts für Arzneimittel und Medizin- produkte ein entsprechendes anerkanntes Zertifikat vorlegen? \| \| \|
2. \| Informations- sicherheits- und Service- Management \| Hat der Hersteller der digitalen Gesundheits- anwendung eine strukturierte Schutzbedarfs- analyse unter Betrachtung der Schadens- szenarien 'Verstoß gegen Gesetze/Vorschrif- ten/Verträge', 'Beeinträchtigung des informa- tionellen Selbstbestimmungsrechts', 'Beein- trächtigung der persönlichen Unversehrtheit', 'Beeinträchtigung der Aufgabenerfüllung' und 'negative Innen- oder Außenwirkung' durchge- führt und dokumentiert, in deren Ergebnis für die digitale Gesundheitsanwendung ein nor- maler, hoher oder sehr hoher Schutzbedarf ge- mäß der Definition des BSI-Standards 200-2 festgestellt wurde, und kann er die Dokumen- tation der Schutzbedarfsanalyse auf Verlangen des Bundesinstituts für Arzneimittel und Medi- zinprodukte vorlegen? \| \| \| 3. \| Informations- sicherheits- und Service- Management \| Hat der Hersteller der digitalen Gesundheitsan- wendung Prozesse eines Release-, Change- und Configuration-Managements unter Be- rücksichtigung der Vorgaben der Verordnung (EU) 2017/745 umgesetzt und dokumentiert, die sicherstellen, dass Erweiterungen und An- passungen der digitalen Gesundheitsanwen- dung, die selbst oder im Auftrag entwickelt wurden, ausreichend getestet und explizit frei- gegeben wurden, bevor sie produktiv gestellt werden? \| \| \| 4. \| Verhinderung von Daten- abfluss \| Hat der Hersteller der digitalen Gesundheits- anwendung sichergestellt, dass die Kommuni- kation der digitalen Gesundheitsanwendung mit anderen Diensten technisch soweit einge- schränkt ist, dass aus der digitalen Gesund- heitsanwendung heraus keine ungewollte Datenkommunikation erfolgen kann, über die personenbezogene Daten versendet werden? \| \| \| 5. \| Verhinderung von Daten- abfluss \| Wird bei jeder über offene Netze stattfindenden Datenkommunikation zwischen verschiedenen Systembestandteilen der digitalen Gesund- heitsanwendung zumindest eine Transportver- schlüsselung gemäß des Mindeststandards des BSI zur Verwendung von Transport Layer Security (TLS) nach § 8 Absatz 1 Satz 1 des BSI-Gesetzes eingesetzt? \| \| \| Die digitale Ge- sundheitsanwen- dung löst keine über offene Netze statt- findende Datenkom- munikation aus. 6. \| Verhinderung von Datenab- fluss \| Prüft die digitale Gesundheitsanwendung bei jedem Zugriff auf über das Internet aufrufbare Funktionalitäten der digitalen Gesundheitsan- wendung die Authentizität der aufgerufenen Dienste, bevor personenbezogene Daten mit diesen Diensten ausgetauscht werden? \| \| \| Die digitale Ge- sundheitsanwen- dung umfasst keine über das Internet aufrufbare Funktio- nalität. 7. \| Verhinderung von Datenab- fluss \| Hat der Hersteller der digitalen Gesundheits- anwendung sichergestellt, dass die digitale Gesundheitsanwendung keine ungewollten Log- oder Hilfsdateien schreibt? \| \| \| 8. \| Verhinderung von Daten- abfluss \| Hat der Hersteller der digitalen Gesundheits- anwendung sichergestellt, dass die digitale Gesundheitsanwendung keine Fehlermeldun- gen ausgibt, die möglicherweise vertrauliche Informationen offenbaren? \| \| \| 9. \| Authentisierung \| Müssen sich alle die digitale Gesundheitsan- wendung nutzenden Personen über eine dem Schutzbedarf der durch die digitale Gesund- heitsanwendung verarbeiteten Daten ange- messene Methode authentisieren, bevor Zu- griffe auf über die digitale Gesundheitsanwen- dung zugängliche Daten erfolgen können? \| \| \| 10. \| Authentisierung \| Ist durch geeignete technische Maßnahmen sichergestellt, dass zur Authentisierung einer die digitale Gesundheitsanwendung nutzen- den Person verwendete Daten niemals über ungesicherte Transportverbindungen ausge- tauscht werden? \| \| \| 11. \| Authentisierung \| Verwendet bzw. beinhaltet die digitale Ge- sundheitsanwendung eine zentrale Authen- tisierungskomponente, die mit etablierten Standardkomponenten umgesetzt wurde, die alleinig für die initiale Authentisierung zulässig ist und deren Vertrauenswürdigkeit durch Dienste der digitalen Gesundheitsanwendung verifizierbar ist? \| \| \| 12. \| Authentisierung \| Erzwingt die digitale Gesundheitsanwendung, dass eine die digitale Gesundheitsanwendung nutzende Person die für ihre Authentisierung genutzten Daten nur ändern kann, wenn hier- bei für die Prüfung der Authentizität dieser Person ausreichende Informationen beigege- ben werden? \| \| \| 13. \| Authentisierung \| Sofern die Authentisierung unter Nutzung eines Passworts erfolgt: - Zwingt die digitale Gesundheitsanwendung alle die digitale Gesundheitsanwendung nutzenden Personen, sichere Passwörter gemäß einer Passwort-Richtlinie zu benut- zen, die u. a. eine Mindestlänge für Pass- wörter vorgibt und Grenzwerte für fehlge- schlagene Anmeldeversuche definiert? - Ist sichergestellt, dass Passwörter niemals im Klartext übertragen oder gespeichert werden? - Wird das Ändern oder Zurücksetzen von Passwörtern protokolliert und wird die be- troffene Person - sofern geeignete Kontakt- daten vorliegen - sofort über das Zurück- setzen oder Ändern des Passworts infor- miert? \| \| \| Die Authentisie- rung erfolgt nicht unter Nutzung eines Passworts 14. \| Authentisierung \| Sofern die digitale Gesundheitsanwendung Authentisierungsdaten auf einem Endgerät oder in einer darauf befindlichen Software- komponente speichert: Wird die explizite Zu- stimmung der die digitale Gesundheitsanwen- dung nutzenden Person abgefragt ('Opt-In') und wird diese auf die Risiken der Funktion hingewiesen? \| \| \| Die digitale Ge- sundheitsanwen- dung speichert keine Authentisie- rungsdaten auf ei- nem Endgerät oder in einer darauf be- findlichen Software- komponente
15. \| Authentisierung \| Sofern Informationen zur Identität oder Authentizität der die digitale Gesundheitsan- wendung nutzenden Person oder zur Authen- tizität von Komponenten der digitalen Gesund- heitsanwendung über dedizierte Sitzungen ('Sessions') zwischen Komponenten der digi- talen Gesundheitsanwendung geteilt werden: \| \| \| Die digitale Ge- sundheitsanwen- dung nutzt keine Sessions \| \| - Werden alle Sitzungsdaten sowohl beim Austausch als auch bei der Speicherung mit dem Schutzbedarf der digitalen Ge- sundheitsanwendung angemessenen tech- nischen Maßnahmen geschützt und werden ggf. genutzte Session-IDs zufällig, mit aus- reichender Entropie und über etablierte Ver- fahren erzeugt? - Werden alle in einer Instanz einer digitalen Gesundheitsanwendung aufgebauten Sit- zungen mit dem Abbruch oder der Beendi- gung der Nutzung der digitalen Gesund- heitsanwendung invalidiert und kann die die digitale Gesundheitsanwendung nut- zende Person auch die explizite Invalidie- rung einer Sitzung erzwingen? - Besitzen Sitzungen eine maximale Gültig- keitsdauer und werden inaktive Sitzungen automatisch nach einer bestimmten Zeit invalidiert? - Resultiert die Invalidierung einer Sitzung im Löschen aller Sitzungsdaten und ist sicher- gestellt, dass eine einmal ungültig gewor- dene Sitzung auch bei Kenntnis einzelner Sitzungsdaten nicht wieder aktiviert werden kann? \| \| \|	15. \| Authen- tisierung \| Sofern Informationen zur Identität oder Authentizität der die digitale Gesundheits- anwendung nutzenden Person oder zur Authentizität von Komponenten der digitalen Gesundheitsanwendung über dedizierte Sit- zungen ('Sessions') zwischen Komponenten der digitalen Gesundheitsanwendung geteilt werden: - Werden alle Sitzungsdaten sowohl beim Austausch als auch bei der Speicherung mit technischen Maßnahmen, die dem Schutzbedarf der digitalen Gesundheits- anwendung angemessenen, sind geschützt und werden ggf. genutzte Session-IDs zu- fällig, mit ausreichender Entropie und über etablierte Verfahren erzeugt? - Werden alle in einer Instanz einer digitalen Gesundheitsanwendung aufgebauten Sit- zungen mit dem Abbruch oder der Be- endigung der Nutzung der digitalen Ge- sundheitsanwendung invalidiert? - Kann die die digitale Gesundheitsanwen- dung nutzende Person auch die explizite Invalidierung einer Sitzung erzwingen? - Besitzen Sitzungen eine maximale Gültig- keitsdauer und werden inaktive oder unter- brochene Sitzungen automatisch nach einer bestimmten Zeit invalidiert? - Resultiert die Invalidierung einer Sitzung im Löschen aller Sitzungsdaten und ist sichergestellt, dass eine einmal ungültig gewordene Sitzung auch bei Kenntnis ein- zelner Sitzungsdaten nicht wieder aktiviert werden kann? \| \| \| Die digitale Gesundheits- anwendung nutzt keine Sessions. 15a. \| Authen- tisierung \| Kann die digitale Gesundheitsanwendung bis spätestens zum 1. Januar 2023 eine Authen- tisierung von GKV-Versicherten als die die digitale Gesundheitsanwendung nutzenden Personen über die sichere digitale Identität nach § 291 Absatz 8 des Fünften Buches Sozialgesetzbuch unterstützen? \| \| \|
16. \| Zugriffskontrolle \| Stellt die digitale Gesundheitsanwendung si- cher, dass jeder Zugriff auf geschützte Daten und Funktionen eine Berechtigungsprüfung durchläuft ('complete mediation'), für die bei Zugriffen durch Betriebspersonal des Herstel- lers einer digitalen Gesundheitsanwendung eine dedizierte, alle geschützten Daten ein- schließende Autorisierungskomponente zum Einsatz kommt ('reference monitor' bzw. 'secure node/application'), die eine vorherige sichere Authentisierung der zugreifenden Person erfordert? \| \| \| 17. \| Zugriffskontrolle \| Werden alle Berechtigungen initial und per default restriktiv zugewiesen und können Be- rechtigungen ausschließlich über kontrollierte Verfahren ausgeweitet werden, die bei Ände- rungen der Berechtigungen für Betriebsperso- nal des Herstellers einer digitalen Gesund- heitsanwendung wirksame Prüf- und Kontroll- mechanismen nach einem Mehraugenprinzip beinhalten? \| \| \| 18. \| Zugriffskontrolle \| Sofern die digitale Gesundheitsanwendung verschiedene Nutzerrollen vorsieht: Kann jede Rolle nur mit den für die Ausführung der mit der Rolle verbundenen Funktionalitäten erfor- derlichen Rechten auf Funktionen der digitalen Gesundheitsanwendung zugreifen? \| \| \| Die digitale Ge- sundheitsanwen- dung sieht keine unterschiedlichen Nutzerrollen vor. 19. \| Zugriffskontrolle \| Stellt der Hersteller der digitalen Gesund- heitsanwendung sicher, dass Zugriffe auf Funktionen und Daten der digitalen Gesund- heitsanwendung durch Betriebspersonal des Herstellers nur über sichere Netze und Zu- gangspunkte möglich sind? \| \| \| 20. \| Zugriffskontrolle \| Resultieren alle Fehler und Fehlfunktionen der Zugriffskontrolle in einer Ablehnung von Zu- griffen? \| \| \| 21. \| Einbinden von Daten und Funktionen \| Kann sich der Versicherte ausschließlich inner- halb der Vertrauensdomäne der digitalen Ge- sundheitsanwendung bewegen bzw. können aus der digitalen Gesundheitsanwendung heraus nur vertrauenswürdige, durch den Her- steller der digitalen Gesundheitsanwendung geprüfte externe Inhalte genutzt werden und wird der Versicherte in diesem Fall informiert, wenn die Vertrauensdomäne der digitalen Ge- sundheitsanwendung verlassen wird? \| \| \| 22. \| Einbinden von Daten und Funktionen \| Sofern die digitale Gesundheitsanwendung der nutzenden Person den Upload von Dateien erlaubt: Ist diese Funktion so weit wie mög- lich eingeschränkt (z. B. Ausschließen aktiver Inhalte), findet eine Sicherheitsprüfung der In- halte statt und ist sichergestellt, dass Dateien nur im vorgegebenen Pfad gespeichert werden können? \| \| \| Die digitale Gesund- heitsanwendung er- laubt keinen Upload von Dateien. 23. \| Protokollierung \| Führt die digitale Gesundheitsanwendung eine vollständige, nachvollziehbare, verfälschungs- sichere Protokollierung aller sicherheitsrele- vanten - d. h. die sichere Identifizierung, Au- thentisierung und Autorisierung von Personen und Organisationen betreffenden - Ereignisse durch? \| \| \| 24. \| Protokollierung \| Werden Protokollierungsdaten automatisiert ausgewertet, um sicherheitsrelevante Ereig- nisse zu erkennen bzw. proaktiv zu verhin- dern? \| \| \| 25. \| Protokollierung \| Ist der Zugriff auf Protokollierungsdaten durch ein geeignetes Berechtigungsmanagement abgesichert und auf wenige befugte Personen und definierte Zwecke eingeschränkt? \| \| \| 26. \| Regelmäßige und sichere Aktualisierung \| Informiert der Hersteller die betroffene Person (z. B. über Push-Mechanismen oder vor dem Start der digitalen Gesundheitsanwendung), wenn ein sicherheitsrelevantes Update der digitalen Gesundheitsanwendung zur Installa- tion bereitgestellt oder durchgeführt wurde? \| \| \| 27. \| Sichere Dein- stallation \| Werden bei Deinstallation der digitalen Ge- sundheitsanwendung alle auf IT-Systemen in der Verfügung der betroffenen Person ge- speicherten, durch die digitale Gesundheits- anwendung angelegten Daten und Dateien - einschließlich Caches und temporärer Da- teien - gelöscht? \| \| \| Bei der digitalen Gesundheitsan- wendung handelt es sich um eine rein webbasierte Anwendung. 28. \| Härtung \| Sofern Dienste der digitalen Gesundheitsan- wendung über Web-Protokolle aufrufbar sind: - Sind nicht benötigte Methoden der genutz- ten Protokolle bei allen über offene Netze aufrufbaren Diensten deaktiviert? - Sind die zulässigen Zeichenkodierungen so restriktiv wie möglich eingeschränkt? \| \| \| Die digitale Ge- sundheitsanwen- dung umfasst keine über Web-Protokolle aufrufbaren Dienste. \| \| - Sind für alle über offene Netze aufrufbaren Dienste Grenzwerte für Zugriffsversuche festgelegt? - Ist sichergestellt, dass keine sicherheitsre- levanten Kommentare oder Produkt- und Versionsangaben preisgegeben werden? - Werden nicht benötigte Dateien regelmäßig gelöscht? - Ist sichergestellt, dass diese Dienste durch Suchmaschinen nicht erfasst werden? - Wird auf absolute lokale Pfadangaben ver- zichtet? - Wird ein Abruf von Quelltexten ausge- schlossen? \| \| \| 29. \| Härtung \| Sofern die digitale Gesundheitsanwendung Daten verarbeitet, die durch die nutzende Person oder durch nicht durch die digitale Gesundheitsanwendung kontrollierte Quellen bereitgestellt werden: - Werden diese Daten als potenziell gefährlich behandelt und entsprechend validiert und gefiltert? - Erfolgt die Prüfung dieser Daten auf einem vertrauenswürdigen IT-System? - Werden Fehleingaben möglichst nicht automatisch behandelt bzw. werden entsprechende Funktionalitäten sicher umgesetzt, damit ein Missbrauch ausgeschlossen ist? - Werden diese Daten in einer Form kodiert, die sicherstellt, dass ein schadhafter Code nicht interpretiert oder ausgeführt wird? Erfolgt eine Trennung dieser Daten von konkreten Anfragen an datenhaltende Systeme (z. B. über Stored Procedures) bzw. werden Datenanfragen explizit gegen aus solchen Daten begünstigte Angriffsvektoren gesichert? \| \| \| Die digitale Ge- sundheitsanwen- dung verarbeitet keine Daten, die durch die nutzende Person oder durch nicht durch die digi- tale Gesundheitsan- wendung kontrol- lierte Quellen bereit- gestellt werden. 30. \| Härtung \| Ist durchgängig sichergestellt, dass Fehlerfälle in der digitalen Gesundheitsanwendung be- handelt werden und zum Abbruch und ggf. Zurückrollen der angestoßenen Funktionen führen? \| \| \| 31. \| Härtung \| Ist die digitale Gesundheitsanwendung durch geeignete Schutzmechanismen vor automati- sierten Zugriffen geschützt, sofern diese nicht gewollte Nutzungsmöglichkeiten der digitalen Gesundheitsanwendung realisieren? \| \| \| 32. \| Härtung \| Werden für den sicheren Betrieb der digitalen Gesundheitsanwendung relevante Konfigura- tionsdateien durch geeignete technische Maßnahmen vor Verlust und Verfälschung ge- schützt? \| \| \| Die digitale Ge- sundheitsanwen- dung nutzt keine Konfigurationsda- teien bzw. diese sind für den siche- ren Betrieb der digi- talen Gesundheits- anwendung nicht relevant. 32a. \| Penetrations- tests \| Hat der Hersteller der digitalen Gesundheits- anwendung für die im Verzeichnis nach § 139e Absatz 1 des Fünften Buches Sozial- gesetzbuch aufzunehmende Version der digi- talen Gesundheitsanwendung - einschließ- lich aller Backend-Komponenten - einen Penetrationstest durchgeführt, der dem vom Bundesamt für Sicherheit in der Informa- tionstechnik empfohlenen Durchführungs- konzept für Penetrationstests folgt, und - soweit die Anwendbarkeit gegeben ist - auch die jeweils aktuellen OWASP Top-10 Sicher- heitsrisiken berücksichtigt, und kann er auf Nachfrage entsprechende Nachweise für die Durchführung der Penetrationstests und die Behebung der dabei gefundenen Schwach- stellen vorlegen? \| \| \| 33. \| Nutzung von Sensoren und externen Geräten \| Sofern die digitale Gesundheitsanwendung di- rekt auf Sensoren eines mobilen Endgeräts und/oder externe Hardware (z. B. körpernahe Sensorik) zugreift: - Hat der Hersteller der digitalen Gesund- heitsanwendung festgelegt, unter welchen Rahmenbedingungen Sensoren oder ange- bundene Geräte installiert, aktiviert, konfi- guriert und verwendet werden können und wird das Bestehen dieser Rahmenbedin- gungen vor der Ausführung entsprechender Funktionalitäten soweit als möglich sicher- gestellt? - Stellt die digitale Gesundheitsanwendung sicher, dass Sensoren und angebundene Geräte bei der Installation bzw. erstmaligen Aktivierung für die digitale Gesundheitsan- wendung in eine Grundeinstellung versetzt werden, die einer dokumentierten Sicher- heitsrichtlinie entspricht? - Kann der Versicherte von der digitalen Ge- sundheitsanwendung direkt angesteuerte Sensoren und Geräte in eine Grundeinstel- lung zurücksetzen, die einer dokumentier- ten Sicherheitsrichtlinie entspricht? Ist ein Datenaustausch zwischen der digitalen Gesundheitsanwendung und direkt angesteu- erten Sensoren oder Geräten erst dann mög- lich, wenn die Installation und Konfiguration der Sensoren bzw. Geräte vollständig abge- schlossen ist? \| \| \| Die digitale Ge- sundheitsanwen- dung greift weder auf Sensoren eines mobilen Endgeräts noch auf externe Hardware zu. 34. \| Nutzung von Sensoren und externen Geräten \| Sofern die digitale Gesundheitsanwendung Daten mit externer Hardware (z. B. körpernahe Sensorik) austauscht: - Sind die Abläufe zur Installation, Konfigura- tion, Aktivierung und Deaktivierung dieser Hardware zielgruppengerecht beschrieben und soweit als möglich gegen Fehlbedie- nungen gesichert? - Erfolgt eine wechselseitige Authentisierung zwischen der digitalen Gesundheitsanwen- dung und externer Hardware? - Werden Daten zwischen der digitalen Ge- sundheitsanwendung und externer Hard- ware nach einem initialen Handshake nur noch verschlüsselt ausgetauscht? - Ist sichergestellt, dass bei einer Deinstalla- tion der digitalen Gesundheitsanwendung oder bei einer Beendigung von deren Nut- zung alle auf externer Hardware gespei- cherten Daten gelöscht werden? - Hat der Hersteller der digitalen Gesund- heitsanwendung dokumentiert, wie eine an- gebundene Hardware sicher deaktiviert werden kann, so dass keine Daten verloren gehen und keine sensiblen Daten auf dem Gerät verbleiben? \| \| \| Die digitale Ge- sundheitsanwen- dung tauscht keine Daten mit externer Hardware aus. 35. \| Nutzung von Fremdsoftware \| Führt der Hersteller eine vollständige Aufstel- lung aller in der digitalen Gesundheitsanwen- dung verwendeten Bibliotheken und anderen Software-Produkte, die nicht durch den Her- steller der digitalen Gesundheitsanwendung selbst entwickelt wurden? \| \| \| 36. \| Nutzung von Fremdsoftware \| Stellt der Hersteller durch geeignete Verfahren der Marktbeobachtung sicher, dass von die- sen Bibliotheken bzw. Produkten ausgehende, bislang nicht bekannte Risiken für den Daten- schutz, die Datensicherheit oder die Patien- tensicherheit zeitnah erkannt werden? \| \| \| 37. \| Nutzung von Fremdsoftware \| Hat der Hersteller Verfahren etabliert, um im Fall solcher erkannten Risiken geeignete Maß- nahmen wie z. B. eine Sperrung der App und Benachrichtigungen der Nutzer unmittelbar umsetzen zu können? \| \| \| Zusatzanforderungen bei digitalen Gesundheitsanwendungen mit sehr hohem Schutzbedarf 1. \| Verschlüsselung gespeicherter Daten \| Werden auf nicht in der persönlichen Verfügung der nutzenden Person stehenden IT-Systemen verarbeitete personenbezogene Daten auf die- sen Systemen nur verschlüsselt gespeichert? \| \| \| 2. und 3. \| (aufgehoben) 4. \| Authentisierung \| Wird zumindest für die initiale Authentisierung aller die digitale Gesundheitsanwendung nut- zenden Personen eine Zwei-Faktor-Authenti- sierung erzwungen? \| \| \| 5. \| Authentisierung \| Sofern die digitale Gesundheitsanwendung eine Rückfalloption auf eine Ein-Faktor-Au- thentisierung erlaubt: - Wird die die digitale Gesundheitsanwen- dung nutzende Person auf die damit ver- bundenen Risiken hingewiesen und wird ein solcher Rückfall erst nach einer, über eine aktive Handlung bestätigten, Zustim- mung der nutzenden Person aktiviert? - Kann die die digitale Gesundheitsanwen- dung nutzende Person diese Rückfall-Op- tion jederzeit aus der digitalen Gesundheits- anwendung heraus wieder deaktivieren? \| \| \| Die digitale Ge- sundheitsanwen- dung erlaubt keine Rückfalloption auf eine Ein-Faktor-Au- thentisierung.
6. \| Authentisierung \| Kann die digitale Gesundheitsanwendung bis spätestens zum 31. Dezember 2020 eine Authentisierung von GKV-Versicherten als die die digitale Gesundheitsanwendung nutzende Personen über eine elektronische Gesund- heitskarte mit kontaktloser Schnittstelle unter- stützen? \| \| \|	6. (gestrichen)
7. \| Authentisierung \| Sofern die digitale Gesundheitsanwendung eine Nutzerrolle für Leistungserbringer vor- sieht: Kann die digitale Gesundheitsanwendung bis spätestens zum 31. Dezember 2020 eine Au- thentisierung von Leistungserbringern als die die digitale Gesundheitsanwendung nutzende Personen über einen elektronischen Heilbe- rufsausweis mit kontaktloser Schnittstelle un- terstützen? \| \| \| Die digitale Gesund- heitsanwendung sieht keine Nutzung durch Leistungser- bringer vor. 8. \| Maßnahmen gegen DoS und DDoS \| Werden an über offene Netze zugängliche Dienste der digitalen Gesundheitsanwendung gesandte Nachrichten (XML, JSON, etc.) und Daten gegen definierte Schemata geprüft? \| \| \| Die digitale Ge- sundheitsanwen- dung tauscht keine Daten mit bzw. zwi- schen über offene Netze zugänglichen Diensten aus. 9. \| Eingebettete Webserver \| Sofern zu der digitalen Gesundheitsanwendung gehörende Komponenten Webserver - z. B. zur Administration oder Konfiguration - nutzen: - Ist der Webserver möglichst restriktiv kon- figuriert? - Sind nur die benötigten Komponenten und Funktionen des Webservers installiert bzw. aktiviert? - Wird der Webserver soweit möglich nicht unter einem privilegierten Konto betrieben? - Werden sicherheitsrelevante Ereignisse protokolliert? - Ist der Zugang nur nach Authentisierung möglich? - Ist jegliche Kommunikation mit dem Web- server verschlüsselt? \| \| \| Die digitale Ge- sundheitsanwen- dung nutzt keinen Webserver.
← frühere Fassung von Anlage 1	nächste Fassung von Anlage 1 →
← vorherige Änderung durch Artikel 1	nächste Änderung durch Artikel 1 →

Änderung Anlage 1 DiGAV vom 01.10.2021

Anlage 1 Fragebogen gemäß § 4 Absatz 6