Änderung § 391 SGB V vom 26.03.2024

§ 391 SGB V a.F. (alte Fassung)
in der vor dem 26.03.2024 geltenden Fassung

§ 391 SGB V n.F. (neue Fassung)
in der am 26.03.2024 geltenden Fassung
durch Artikel 1 G. v. 22.03.2024 BGBl. 2024 I Nr. 101

(Text alte Fassung)

§ 391 Beteiligung der Fachöffentlichkeit

(1) Die Gesellschaft für Telematik hat die Fachöffentlichkeit mittels elektronischer Informationstechnologien zu beteiligen bei

1. Festlegungen nach § 387 Absatz 1,

2. Bewertungen nach § 388 Absatz 5 und

3. Empfehlungen nach § 389 Absatz 1.

(2) ¹ Zur Beteiligung der Fachöffentlichkeit hat die Gesellschaft für Telematik die Entwürfe der Festlegungen nach § 387 Absatz 1, die Entwürfe der Bewertungen nach § 388 Absatz 5 und die Entwürfe der Empfehlungen nach § 389 Absatz 1 auf der Internetseite des Interoperabilitätsverzeichnisses zu veröffentlichen. ² Die Entwürfe sind mit dem Hinweis zu veröffentlichen, dass Stellungnahmen während der Veröffentlichung abgegeben werden können.

(3) Die eingegangenen Stellungnahmen hat die Gesellschaft für Telematik auf der Internetseite des Interoperabilitätsverzeichnisses zu veröffentlichen.

(4) ¹ Die Gesellschaft für Telematik stellt sicher, dass die Stellungnahmen bei der weiteren Prüfung der Entwürfe angemessen berücksichtigt werden. ² Dabei berücksichtigt die Gesellschaft für Telematik insbesondere diejenigen Anforderungen an elektronische Informationstechnologien, die die Interoperabilität sowie einen standardkonformen nationalen und internationalen Austausch von Daten und Informationen betreffen.

(Text neue Fassung)

§ 391 IT-Sicherheit in Krankenhäusern

(1) Krankenhäuser sind verpflichtet, nach dem Stand der Technik angemessene organisatorische und technische Vorkehrungen zur Vermeidung von Störungen der Verfügbarkeit, Integrität und Vertraulichkeit ihrer informationstechnischen Systeme, Komponenten oder Prozesse zu treffen, die für die Funktionsfähigkeit des jeweiligen Krankenhauses und den Schutzbedarf der verarbeiteten Patienteninformationen maßgeblich sind.

(2) Vorkehrungen nach Absatz 1 sind auch verpflichtende Maßnahmen zur Steigerung der Security-Awareness von Mitarbeiterinnen und Mitarbeitern.

(3) Organisatorische und technische Vorkehrungen nach Absatz 1 sind angemessen, wenn der dafür erforderliche Aufwand nicht außer Verhältnis zu den Folgen eines Ausfalls oder einer Beeinträchtigung des Krankenhauses oder dem Schutzbedarf der verarbeiteten Patienteninformationen steht.

(4) Die Krankenhäuser können die Verpflichtungen nach den Absätzen 1 und 2 insbesondere erfüllen, indem sie einen branchenspezifischen Sicherheitsstandard für die informationstechnische Sicherheit der Gesundheitsversorgung im Krankenhaus in der jeweils gültigen Fassung anwenden, dessen Eignung vom Bundesamt für Sicherheit in der Informationstechnik nach § 8a Absatz 2 des BSI-Gesetzes festgestellt wurde.

(5) Die Verpflichtung nach Absatz 1 gilt für alle Krankenhäuser, soweit sie nicht ohnehin als Betreiber Kritischer Infrastrukturen gemäß § 8a des BSI-Gesetzes angemessene organisatorische und technische Vorkehrungen zu treffen haben.