Vierter Abschnitt - Sozialgesetzbuch (SGB) Fünftes Buch (V) - Gesetzliche Krankenversicherung - (SGB V)

Artikel 1 G. v. 20.12.1988 BGBl. I S. 2477, 2482; zuletzt geändert durch Artikel 6 G. v. 23.10.2024 BGBl. 2024 I Nr. 324
Geltung ab 01.01.1989; FNA: 860-5 Sozialgesetzbuch

Elftes Kapitel Telematikinfrastruktur

Vierter Abschnitt Überwachung von Funktionsfähigkeit und Sicherheit

§ 329 Maßnahmen zur Abwehr von Gefahren für die Funktionsfähigkeit und Sicherheit der Telematikinfrastruktur

(1) ¹Soweit von Komponenten und Diensten eine Gefahr für die Funktionsfähigkeit oder Sicherheit der Telematikinfrastruktur ausgeht, ist die Gesellschaft für Telematik verpflichtet, unverzüglich die erforderlichen technischen und organisatorischen Maßnahmen zur Abwehr dieser Gefahr entsprechend dem Stand der Technik zu treffen. ²Die Gesellschaft für Telematik informiert das Bundesamt für Sicherheit in der Informationstechnik unverzüglich über die Gefahr und die getroffenen Maßnahmen.

(2) ¹Anbieter von nach § 311 Absatz 6 sowie § 325 zugelassenen Komponenten oder Diensten und Anbieter von Anwendungen für nach § 327 bestätigte Anwendungen haben erhebliche Störungen der Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit dieser Komponenten oder Dienste unverzüglich an die Gesellschaft für Telematik zu melden. ²Erheblich sind Störungen, die zum Ausfall oder zur Beeinträchtigung der Sicherheit oder Funktionsfähigkeit dieser Komponenten oder Dienste oder zum Ausfall oder zur Beeinträchtigung der Sicherheit oder Funktionsfähigkeit der Telematikinfrastruktur oder wesentlicher Teile führen können oder bereits geführt haben.

(3) ¹Die Gesellschaft für Telematik kann zur Gefahrenabwehr im Einzelfall insbesondere Komponenten und Dienste für den Zugang zur Telematikinfrastruktur sperren oder den weiteren Zugang zur Telematikinfrastruktur nur unter der Bedingung gestatten, dass die von der Gesellschaft für Telematik angeordneten Maßnahmen zur Beseitigung der Gefahr umgesetzt werden. ²Die Gesellschaft für Telematik kann Anbietern, die eine Zulassung für Komponenten oder Dienste der Telematikinfrastruktur nach § 311 Absatz 6 sowie § 325 oder eine Bestätigung nach § 327 besitzen, zur Beseitigung oder Vermeidung von Störungen nach Absatz 2 verbindliche Anweisungen erteilen.

(4) Die Gesellschaft für Telematik hat die ihr nach Absatz 2 gemeldeten Störungen sowie darüber hinausgehende bedeutende Störungen, die zu beträchtlichen Auswirkungen auf die Sicherheit oder Funktionsfähigkeit der Telematikinfrastruktur führen können oder bereits geführt haben, unverzüglich an das Bundesamt für Sicherheit in der Informationstechnik zu melden.

(5) Die Gesellschaft für Telematik hat das Bundesministerium für Gesundheit unverzüglich über Meldungen nach Absatz 4 zu informieren.

Text in der Fassung des Artikels 1 Patientendaten-Schutz-Gesetz (PDSG) G. v. 14. Oktober 2020 BGBl. I S. 2115 m.W.v. 20. Oktober 2020

§ 330 Vermeidung von Störungen der informationstechnischen Systeme, Komponenten und Prozesse der Telematikinfrastruktur

(1) ¹Die Gesellschaft für Telematik sowie die gemäß § 307 verantwortlichen Anbieter, die eine Zulassung für Komponenten oder Dienste nach § 311 Absatz 6 sowie § 325 oder eine Bestätigung nach § 327 besitzen, sind verpflichtet, angemessene organisatorische und technische Vorkehrungen zur Vermeidung von Störungen der Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit der informationstechnischen Systeme, Komponenten oder Prozesse der Telematikinfrastruktur zu treffen und fortlaufend zu aktualisieren. ²Dabei ist der jeweilige Stand der Technik zu berücksichtigen. ³Organisatorische und technische Vorkehrungen sind dann angemessen, wenn der dafür erforderliche Aufwand nicht außer Verhältnis zu den Folgen eines Ausfalls oder einer Beeinträchtigung der Telematikinfrastruktur insgesamt oder von solchen Diensten der Telematikinfrastruktur steht, die durch Störungen verursacht werden können.

(2) ¹Die Gesellschaft für Telematik hat mindestens alle zwei Jahre über die Erfüllung der Anforderungen an die Vermeidung von Störungen der Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit der informationstechnischen Systeme, Komponenten oder Prozesse der Telematikinfrastruktur geeignete Nachweise zu erbringen. ²Der Nachweis kann jeweils insbesondere durch Audits, Prüfungen oder Zertifizierungen erfolgen, die von geeigneten und unabhängigen externen Stellen durchgeführt werden.

(3) ¹Die Gesellschaft für Telematik informiert das Bundesministerium für Gesundheit und das Bundesamt für Sicherheit in der Informationstechnik in geeigneter Weise über erkannte Sicherheitsmängel und die Nachweise nach Absatz 2. ²Die Gesellschaft für Telematik kann von den Inhabern einer Zulassung für Komponenten oder Dienste der Telematikinfrastruktur nach § 311 Absatz 6 sowie § 325 oder Inhabern einer Bestätigung nach § 327 geeignete Nachweise zur Erfüllung ihrer Pflichten nach Absatz 1 verlangen.

(4) Die Meldepflichten nach Artikel 33 der Verordnung (EU) 2016/679 bleiben unberührt.

Text in der Fassung des Artikels 1 Patientendaten-Schutz-Gesetz (PDSG) G. v. 14. Oktober 2020 BGBl. I S. 2115 m.W.v. 20. Oktober 2020

§ 331 Maßnahmen zur Überwachung des Betriebs zur Gewährleistung der Sicherheit, Verfügbarkeit und Nutzbarkeit der Telematikinfrastruktur

(1) ¹Die Gesellschaft für Telematik hat ab dem 1. Januar 2021 für Komponenten und Dienste der Telematikinfrastruktur sowie für Komponenten und Dienste, die die Telematikinfrastruktur nutzen, aber außerhalb der Telematikinfrastruktur betrieben werden, im Benehmen mit dem Bundesamt für Sicherheit in der Informationstechnik solche Maßnahmen zur Überwachung des Betriebs zu treffen, die erforderlich sind, um die Sicherheit, Verfügbarkeit und Nutzbarkeit der Telematikinfrastruktur zu gewährleisten. ²Die Gesellschaft für Telematik kann zur Erfüllung ihrer Aufgaben nach Satz 1 die entsprechenden Komponenten und Dienste untersuchen. ³Sie kann sich hierbei der Unterstützung Dritter bedienen, soweit berechtigte Interessen des Herstellers oder Anbieters der betroffenen Komponenten oder Dienste dem nicht entgegenstehen.

(2) Die Gesellschaft für Telematik legt fest, welche näheren Angaben ihr die Anbieter der Komponenten und Dienste offenzulegen haben, damit die Überwachung nach Absatz 1 durchgeführt werden kann.

(3) ¹Die Verpflichtung der Gesellschaft für Telematik nach § 330 Absatz 1 Satz 1, zur Vermeidung von Störungen angemessene organisatorische und technische Vorkehrungen zu treffen, umfasst auch den Einsatz von geeigneten Systemen zur Erkennung von Störungen und Angriffen. ²Der Einsatz der Systeme erfolgt im Benehmen mit der oder dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit und dem Bundesamt für Sicherheit in der Informationstechnik.

(4) ¹Die Gesellschaft für Telematik darf die für den Einsatz der Systeme nach Absatz 3 erforderlichen Daten, einschließlich personenbezogener Daten, verarbeiten. ²Die im Rahmen des Einsatzes dieser Systeme verarbeiteten Daten sind unverzüglich zu löschen, wenn sie für die Vermeidung von Störungen nach § 330 Absatz 1 Satz 1 nicht mehr erforderlich sind, spätestens jedoch nach zehn Jahren.

(5) ¹Die Gesellschaft für Telematik darf, soweit es für die Durchführung der Maßnahmen nach Absatz 1 und im Rahmen der Vorkehrungen nach Absatz 3 erforderlich ist, die für den Zugriff auf Anwendungen der Telematikinfrastruktur nach § 334 Absatz 1 Satz 2, auf Anwendungen zur Überprüfung und Aktualisierung von Angaben nach § 291b und auf sichere Verfahren zur Übermittlung medizinischer Daten nach § 311 Absatz 6 erforderlichen Komponenten zur Identifikation und Authentifizierung im Rahmen von hierzu erstellten Prüfnutzeridentitäten nutzen. ²Die Nutzung darf ausschließlich für Prüfzwecke erfolgen und die Einzelheiten sind im Benehmen mit dem Bundesamt für Sicherheit in der Informationstechnik und der oder dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit festzulegen. ³Es muss dabei technisch und organisatorisch gewährleistet sein, dass ein Zugriff auf personenbezogene Daten von Nutzern der Telematikinfrastruktur ausgeschlossen ist, die keine Prüfnutzeridentitäten verwenden. ⁴Die Prüfnutzeridentitäten dürfen von höchstens sieben, nach dem Sicherheitsüberprüfungsgesetz überprüften Mitarbeitern der Gesellschaft für Telematik genutzt werden. ⁵Die Zugriffe nach Satz 1 müssen protokolliert und jährlich oder auf Anforderung der oder dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit vorgelegt werden. ⁶Die Protokolldaten müssen enthalten, durch wen und zu welchem Zweck die Komponenten nach Satz 1 eingesetzt wurden und sind für drei Jahre zu speichern. ⁷Die nach Satz 1 erforderlichen Komponenten sind der Gesellschaft für Telematik auf Verlangen durch die jeweils für die Ausgabe zuständige Stelle gegen Kostenerstattung zur Verfügung zu stellen.

(6) ¹Die für die Aufgaben nach dem Zehnten und diesem Kapitel beim Bundesamt für Sicherheit in der Informationstechnik entstehenden Kosten sind diesem durch die Gesellschaft für Telematik pauschal in Höhe der Kosten für zehn Vollzeitäquivalente zu erstatten. ²Zusätzlich werden die Kosten des Bundesamts für Sicherheit in der Informationstechnik für erforderliche Unterstützungsleistungen Dritter durch die Gesellschaft für Telematik in Höhe der tatsächlich anfallenden Kosten erstattet. ³Die Gesellschaft für Telematik legt die Einzelheiten der Kostenerstattung für Unterstützungsleistungen nach Satz 2 im Benehmen mit dem Bundesamt für Sicherheit in der Informationstechnik fest.

Text in der Fassung des Artikels 1 Digital-Gesetz (DigiG) G. v. 22. März 2024 BGBl. 2024 I Nr. 101, 101a m.W.v. 26. März 2024

§ 332 Anforderungen an die Wartung von Diensten

(1) Dienstleister, die mit der Herstellung und der Wartung des Anschlusses von informationstechnischen Systemen an die Telematikinfrastruktur einschließlich der Wartung hierfür benötigter Komponenten sowie der Anbindung an Dienste der Telematikinfrastruktur beauftragt werden, müssen besondere Sorgfalt bei der Herstellung und Wartung des Anschlusses an die Telematikinfrastruktur walten lassen und über die notwendige Fachkunde verfügen, um die Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit der informationstechnischen Systeme und Komponenten zu gewährleisten.

(2) Die Erfüllung der Anforderungen nach Absatz 1 muss den Auftraggebern der in Absatz 1 genannten Dienstleistungen auf Verlangen auf geeignete Weise nachgewiesen werden.

(3) ¹Zur Erfüllung der Anforderungen nach Absatz 1 und des Nachweises nach Absatz 2 können die maßgeblichen Spitzenorganisationen der Leistungserbringer auf Bundesebene den von ihnen vertretenen Leistungserbringern in Abstimmung mit der Gesellschaft für Telematik Hinweise geben. ²Der Gesellschaft für Telematik obliegt hierbei die Beachtung der notwendigen sicherheitstechnischen und betrieblichen Voraussetzungen zur Wahrung der Sicherheit und Funktionsfähigkeit der Telematikinfrastruktur.

Text in der Fassung des Artikels 1 Digital-Gesetz (DigiG) G. v. 22. März 2024 BGBl. 2024 I Nr. 101, 101a m.W.v. 26. März 2024

§ 332a Unzulässige Beschränkungen durch Anbieter und Hersteller informationstechnischer Systeme für die vertragsärztliche Versorgung, die vertragszahnärztliche Versorgung, die pflegerische Versorgung, für Krankenhäuser und Apotheken sowie für Vorsorgeeinrichtungen und Rehabilitationseinrichtungen

(1) ¹Die Anbieter und Hersteller informationstechnischer Systeme für die vertragsärztliche Versorgung, die vertragszahnärztliche Versorgung, die pflegerische Versorgung sowie für Krankenhäuser, Apotheken, Vorsorgeeeinrichtungen und Rehabilitationseinrichtungen stellen die diskriminierungsfreie Einbindung aller Komponenten und Dienste sicher, die von der Gesellschaft für Telematik nach § 325 Absatz 2 und 3 zugelassen sind und die zur Erfüllung gesetzlicher Pflichten bei der Nutzung von Anwendungen der Telematikinfrastruktur erforderlich sind, soweit Schnittstellen vorgegeben oder festgelegt sind. ²Eine Beschränkung der Einbindung auf bestimmte Hersteller und Anbieter ist unzulässig.

(2) ¹Die Einbindung der Komponenten und Dienste nach Absatz 1 erfolgt ohne zusätzliche Kosten für die Nutzer der informationstechnischen Systeme. ²Direkte oder indirekte Kosten im Zusammenhang mit der Wahl eines Herstellers oder Anbieters sind unzulässig.

(3) Die Verpflichtungen aus Absatz 1 sind spätestens bis zum 29. Dezember 2023 umzusetzen.

Text in der Fassung des Artikels 1 Krankenhauspflegeentlastungsgesetz (KHPflEG) G. v. 20. Dezember 2022 BGBl. I S. 2793 m.W.v. 29. Dezember 2022

§ 332b Rahmenvereinbarungen mit Anbietern und Herstellern informationstechnischer Systeme

Die Kassenärztlichen Bundesvereinigungen können für die an der vertragsärztlichen und vertragszahnärztlichen Versorgung teilnehmenden Leistungserbringer Rahmenvereinbarungen mit den Anbietern und Herstellern informationstechnischer Systeme für die vertragsärztliche und vertragszahnärztliche Versorgung zu Leistungspflichten, Vertragsstrafen, Preisen, Laufzeiten und Kündigungsfristen abschließen.

Text in der Fassung des Artikels 1 Krankenhauspflegeentlastungsgesetz (KHPflEG) G. v. 20. Dezember 2022 BGBl. I S. 2793 m.W.v. 29. Dezember 2022

§ 333 Überprüfung durch das Bundesamt für Sicherheit in der Informationstechnik

(1) Die Gesellschaft für Telematik legt dem Bundesamt für Sicherheit in der Informationstechnik auf Verlangen die folgenden Unterlagen und Informationen unverzüglich, spätestens aber innerhalb von zwei Wochen vor:

1. die Zulassungen nach § 311 Absatz 6 sowie den §§ 324 und 325 und Bestätigungen nach § 327 einschließlich der zugrunde gelegten Dokumentation,

2. eine Aufstellung der nach den §§ 329 bis 331 getroffenen Maßnahmen einschließlich der festgestellten Sicherheitsmängel und Ergebnisse der Maßnahmen und

3. sonstige für die Bewertung der Sicherheit der Telematikinfrastruktur sowie der zugelassenen Dienste und bestätigten Anwendungen erforderliche Informationen.

(2) Ergibt die Bewertung der in Absatz 1 genannten Informationen Sicherheitsmängel, so kann das Bundesamt für Sicherheit in der Informationstechnik der Gesellschaft für Telematik verbindliche Anweisungen zur Beseitigung der festgestellten Sicherheitsmängel erteilen.

(3) Die Gesellschaft für Telematik ist befugt, Anbietern von zugelassenen Diensten und bestätigten Anwendungen nach § 311 Absatz 6 sowie nach den §§ 325 und 327 verbindliche Anweisungen zur Beseitigung der Sicherheitsmängel zu erteilen, die von der Gesellschaft für Telematik oder vom Bundesamt für Sicherheit in der Informationstechnik festgestellt wurden.

(4) Die dem Bundesamt für Sicherheit in der Informationstechnik entstandenen Kosten der Überprüfung trägt der Anbieter von zugelassenen Diensten und bestätigten Anwendungen nach § 311 Absatz 6 sowie den §§ 325 und 327, sofern das Bundesamt für Sicherheit in der Informationstechnik auf Grund von Anhaltspunkten tätig geworden ist, die berechtigte Zweifel an der Sicherheit der zugelassenen Dienste und bestätigten Anwendungen begründeten.

Text in der Fassung des Artikels 1 Digitale-Versorgung-und-Pflege-Modernisierungs-Gesetz (DVPMG) G. v. 3. Juni 2021 BGBl. I S. 1309 m.W.v. 9. Juni 2021