2.1 Überwachung des Betriebs (Abs. 1)
Rz. 4
Die gematik hat ab dem 1.1.2021 für Komponenten und Dienste erforderliche Maßnahmen zur Überwachung des Betriebs zu treffen (Satz 1). Sie dienen dazu, Störungen zu erkennen. Die Maßnahmen müssen geeignet sein, die Sicherheit, Verfügbarkeit und Nutzbarkeit der Telematikinfrastruktur zu gewährleisten. Die Maßnahmen sind sowohl für Komponenten und Dienste der Telematikinfrastruktur als auch für Komponenten und Dienste, die die Telematikinfrastruktur nutzen, aber außerhalb der Telematikinfrastruktur betrieben werden (z. B. Praxis- oder Krankenhausinformationssysteme), zu treffen. Dazu gehören u. a. Maßnahmen, die Cyber-Attacken oder andere Sicherheitsvorfälle wirksam erkennen.
Rz. 4a
Die Maßnahmen werden im Benehmen mit dem BSI getroffen. Dessen Einbeziehung kann sinnvoll sein, um besonderen Sachverstand oder besondere Erfahrung zu nutzen (Dochow, in: Schlegel/Voelzke, jurisPK-SGB V, 4. Aufl., § 331 Rz. 26).
Rz. 4b
Es liegt im Ermessen der gematik, Komponenten und Dienste (Satz 1) zu untersuchen (Satz 2). Die gematik erhält damit Rechtssicherheit bei der umfassenden Untersuchung von Komponenten und Diensten der Telematikinfrastruktur sowie von Komponenten und Diensten, die die Telematikinfrastruktur nutzen, aber außerhalb der Telematikinfrastruktur betrieben werden (BT-Drs. 20/9048 S. 107).
Rz. 4c
Die gematik kann sich bei der Prüfung von Komponenten und Diensten der Unterstützung Dritter bedienen (Satz 3). Berechtigte Interessen des Herstellers oder Anbieters der betroffenen Komponenten oder Dienste dürfen dem nicht entgegenstehen. Bei der Auswahl der Dritten hat die gematik die schutzwürdigen Interessen des Herstellers bzw. Anbieters zu berücksichtigen (BT-Drs. 20/9048 S. 107). Hierzu gehört u. a., dass die gematik den beauftragten Dritten zur Wahrung einer entsprechenden Vertraulichkeit verpflichtet. Die Beauftragung eines direkten Konkurrenten des Herstellers bzw. Anbieters ist in diesem Zusammenhang ausgeschlossen.
2.2 Angaben der Anbieter (Abs. 2)
Rz. 5
Die gematik legt fest, welche näheren Angaben ihr die Anbieter der Komponenten und Dienste offenzulegen haben, damit die Überwachung nach Abs. 1 durchgeführt werden kann. Die gematik kann damit die erforderlichen Maßnahmen treffen, Cyber-Attacken oder andere Sicherheitsvorfälle zu erkennen. Auf diese Weise kann die gematik die Überwachung der Sicherheit der Telematikinfrastruktur und ihrer Anwendungen wirksam durchsetzen. Es steht nicht im Belieben des Anbieters, die erforderlichen Daten offenzulegen.
Rz. 6
Die Offenlegungspflicht beschränkt sich auf die zur Überwachung notwendigen Angaben. Anwendungsbezogene Inhalte sind nicht Gegenstand der betrieblichen Überwachung. Die Offenlegung versetzt die gematik zugleich in die Lage, ihre Meldepflicht gegenüber dem BSI zu erfüllen (§ 330 Abs. 3).
2.3 Erkennung von Störungen und Angriffen (Abs. 3)
Rz. 7
Die gematik ist befugt und verpflichtet, geeignete Systeme zur Erkennung von Störungen und Angriffen (§ 2 Abs. 9b BSIG) einzusetzen (Satz 1). Die Systeme werden im Benehmen mit dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit und dem BSI eingesetzt (Satz 2).
2.4 Datenverarbeitung (Abs. 4)
Rz. 8
Die gematik ist berechtigt und verpflichtet, die beim Einsatz von Systemen zur Erkennung von Störungen und Angriffen (Abs. 3) anfallenden Daten zu verarbeiten (Satz 1). Die Regelung erfasst auch personenbezogene Daten. Die Daten sind unverzüglich (ohne schuldhaftes Zögern) zu löschen, wenn sie nicht mehr erforderlich sind, eine Störung zu vermeiden (Satz 2). Die Daten sind spätestens 10 Jahre nach dem Störfall zu löschen.
2.5 Zugriff auf die Identifikations- und Authentifizierungsmittel (Abs. 5)
Rz. 9
Die gematik darf auf die Telematikinfrastruktur (§ 334 Abs. 1 Satz 2) zugreifen, soweit es für die Überwachung des Betriebs, zur Gewährleistung der Sicherheit, Verfügbarkeit und Nutzbarkeit der Telematikinfrastruktur (Abs. 1) erforderlich ist (Satz 1). Der Zugriff ist außerdem zur Überprüfung und Aktualisierung von Angaben nach § 291b und auf sichere Verfahren zur Übermittlung medizinischer Daten nach § 311 Abs. 6 zulässig. Dafür sind für diesen Zweck erstellte Prüfnutzeridentitäten zu nutzen. Die Nutzung ist ausschließlich für Prüfzwecke zulässig (Satz 2). Die Einzelheiten sind durch die gematik im Benehmen mit dem BSI und dem BfDI festzulegen. Ein Zugriff auf personenbezogene Daten von Nutzern der Telematikinfrastruktur ohne Prüfnutzeridentität ist technisch und organisatorisch auszuschließen (Satz 3).
Rz. 10
Um die Maßnahmen zur Überwachung des Betriebs zur Gewährleistung der Sicherheit, Verfügbarkeit und Nutzbarkeit der Telematikinfrastruktur nach Abs. 1 durchführen zu können, benötigt die gematik Zugriff auf das Produktivsystem der Telematikinfrastruktur. Ein Zugriff auf das Produktivsystem der Telematikinfrastruktur ist wiederum nur mit den im Elften Kapitel vorgesehenen Identifikations- und Authentifizierungsmitteln möglich, sodass dafür entsprechende Zugriffskarten bzw. digitale Identitäten für Prüfnutzer der gematik notwendig sind (BT-Drs. 19/27652 S. 121).
Rz. 11
Höchstens 7 zu diesem Zweck ausgewählte Mitarbeitende der gematik sind berechtigt, auf die Identifikations- und Authentifizie...