0 Rechtsentwicklung
Rz. 1
Die Vorschrift wurde durch Art. 1 Nr. 31 des Gesetzes zum Schutz elektronischer Patientendaten in der Telematikinfrastruktur (Patientendaten-Schutz-Gesetz – PDSG) v. 14.10.2020 (BGBl. I S. 2115) mit Wirkung zum 20.10.2020 zunächst mit der Nummer 391 in das SGB V eingefügt. Das PDSG hat mit den neuen Kapiteln 11 und 12 die bisherigen Regelungen zur Telematikinfrastruktur übernommen und umfassend neu strukturiert. Ferner werden sie weiterentwickelt und im Hinblick auf die datenschutzrechtlichen Vorgaben differenziert ausgestaltet. § 391 entspricht grundsätzlich dem bisher in § 291e Abs. 11 enthaltenen geltenden Recht. Außerdem können auch elektronische Anwendungen in der Pflege in das Interoperabilitätsverzeichnis aufgenommen werden.
Rz. 2
Art. 1 Nr. 70 und 76 des Gesetzes zur digitalen Modernisierung von Versorgung und Pflege (Digitale-Versorgung-und-Pflege-Modernisierungs-Gesetz – DVPMG) v. 3.6.2021 (BGBl. I S. 1309) haben mit Wirkung zum 9.6.2021 die Nummerierung geändert (alt: 391). Aufgrund neuer Paragrafen wird die Norm an den neuen Regelungsstandort verschoben (neu: 392).
Rz. 3
Art. 1 Nr. 91 des Gesetzes zur Beschleunigung der Digitalisierung des Gesundheitswesens (Digital-Gesetz – DigiG) v. 22.3.2024 (BGBl. I Nr. 101) hat die Überschrift geändert und die Vorschrift mit Wirkung zum 26.3.2024 neu gefasst. Gesetzliche Krankenkassen sind verpflichtet, IT-Sicherheitsstandards zu beachten.
1 Allgemeines
Rz. 4
Die fortschreitende Digitalisierung eröffnet neue Potenziale und Synergien entlang der medizinischen Versorgungsprozesse im Gesundheitswesen (BT-Drs. 20/9048 S. 149). Gleichzeitig wächst das Bedrohungspotenzial durch zielgerichtete, technologisch ausgereifte und komplexe Angriffe. Solche Cyberangriffe richten sich nicht nur gegen die unmittelbaren Leistungserbringer, sondern auch gegen Krankenkassen und deren IT-Dienstleister. Aufgrund der zentralen Stellung der gesetzlichen Krankenkassen im Rahmen der sachlichen und finanziellen Leistungsgewährung und aufgrund der hohen Schutzbedürftigkeit der in diesem Zusammenhang vorgehaltenen und verarbeiteten Daten besteht für die bei den Krankenkassen eingesetzten informationstechnischen Systeme ein besonders hohes Schadenspotenzial. Sofern sich die Krankenkassen im Rahmen ihrer Aufgabenwahrnehmung IT-Dienstleistern bedienen, besteht für die dortigen IT-Systeme ein gleichsam hohes Schadenspotenzial. Die Regelungen zur verbindlichen Umsetzung risikominimierender IT-Schutzmaßnahmen im Bereich der vertragsärztlichen und vertragszahnärztlichen Versorgung (§ 390) und zur Stärkung der IT-Sicherheit in den Krankenhäusern (§ 391) werden um Regelungen zur Stärkung der IT-Sicherheit der Krankenkassen und deren IT-Dienstleister ergänzt. Gesetzliche Krankenkassen (§ 4), die nicht Gegenstand der Verordnung zur Bestimmung Kritischer Infrastrukturen nach dem Gesetz über das Bundesamt für Sicherheit in der Informationstechnik (BSI-Kritisverordnung – BSI-KritisV) sind, haben angemessene organisatorische und technische Vorkehrungen zur Vermeidung von Störungen der Verfügbarkeit, Integrität und Vertraulichkeit sowie der weiteren Sicherheitsziele ihrer informationstechnischen Systeme, Komponenten oder Prozesse zu treffen, die für die Funktionsfähigkeit der jeweiligen Krankenkasse und die Sicherheit der verarbeiteten Versicherteninformationen maßgeblich sind.
2 Rechtspraxis
2.1 IT-Sicherheit (Abs. 1)
Rz. 5
Alle Krankenkassen (§ 4) sind verpflichtet, nach dem Stand der Technik angemessene organisatorische und technische Vorkehrungen zur Vermeidung von Störungen der Verfügbarkeit, Integrität und Vertraulichkeit ihrer informationstechnischen Systeme, Komponenten oder Prozesse zu treffen, die für die Funktionsfähigkeit der jeweiligen Krankenkasse und die Sicherheit der verarbeiteten Versicherteninformationen maßgeblich sind. Der organisatorische und technische IT-Sicherheitsmaßstab ist inhaltlich mit dem des § 8a Abs. 1 BSI-Gesetz identisch. Der Gesetzestext (nach dem Stand der Technik) erfordert eine laufende Prüfung und Anpassung der Sicherheitsstandards.
Rz. 6
Krankenkassen sollen hierzu den Branchenspezifischen Sicherheitsstandard für gesetzliche Kranken- und Pflegeversicherer – "B3S-GKV/PV" anwenden, der im Rahmen des Branchenarbeitskreises "Gesetzliche Kranken- und Pflegeversicherungen" des Umsetzungsplans Kritis (UP KRITIS) entwickelt wurde und im Rahmen dieses Arbeitskreises aktiv weiterentwickelt wird (BT-Drs. 20/9048 S. 149). Der UP KRITIS ist eine öffentlich-private Kooperation zwischen Betreibern Kritischer Infrastrukturen, ihren Verbänden und den zuständigen staatlichen Stellen und damit auch für die Gesetzlichen Kranken- und Pflegeversicherungen. Die fachliche Eignung der aktuellen Version des B3S-GKV/PV wurde nach § 8a Abs. 2 BSI-Gesetz vom Bundesamt für Sicherheit in der Informationstechnik (BSI) bestätigt (www.bsi.bund.de/SharedDocs/Textbausteine/DE/KRITIS/B3S/Finanz-Versicherungswesen/b3s-gkv-pv.html; abgerufen: 18.10.2024). Die Eignungsprüfung nach § 8a Abs. 2 BSI-Gesetz findet seitens des BSI für jede neue Version des B3S ...