Sommer, SGB V § 392 IT-Sicherheit der gesetzlichen Krank ... / 2 Rechtspraxis

2.1 IT-Sicherheit (Abs. 1)

Rz. 5

Alle Krankenkassen (§ 4) sind verpflichtet, nach dem Stand der Technik angemessene organisatorische und technische Vorkehrungen zur Vermeidung von Störungen der Verfügbarkeit, Integrität und Vertraulichkeit ihrer informationstechnischen Systeme, Komponenten oder Prozesse zu treffen, die für die Funktionsfähigkeit der jeweiligen Krankenkasse und die Sicherheit der verarbeiteten Versicherteninformationen maßgeblich sind. Der organisatorische und technische IT-Sicherheitsmaßstab ist inhaltlich mit dem des § 8a Abs. 1 BSI-Gesetz identisch. Der Gesetzestext (nach dem Stand der Technik) erfordert eine laufende Prüfung und Anpassung der Sicherheitsstandards.

Rz. 6

Krankenkassen sollen hierzu den Branchenspezifischen Sicherheitsstandard für gesetzliche Kranken- und Pflegeversicherer – "B3S-GKV/PV" anwenden, der im Rahmen des Branchenarbeitskreises "Gesetzliche Kranken- und Pflegeversicherungen" des Umsetzungsplans Kritis (UP KRITIS) entwickelt wurde und im Rahmen dieses Arbeitskreises aktiv weiterentwickelt wird (BT-Drs. 20/9048 S. 149). Der UP KRITIS ist eine öffentlich-private Kooperation zwischen Betreibern Kritischer Infrastrukturen, ihren Verbänden und den zuständigen staatlichen Stellen und damit auch für die Gesetzlichen Kranken- und Pflegeversicherungen. Die fachliche Eignung der aktuellen Version des B3S-GKV/PV wurde nach § 8a Abs. 2 BSI-Gesetz vom Bundesamt für Sicherheit in der Informationstechnik (BSI) bestätigt (www.bsi.bund.de/SharedDocs/Textbausteine/DE/KRITIS/B3S/Finanz-Versicherungswesen/b3s-gkv-pv.html; abgerufen: 18.10.2024). Die Eignungsprüfung nach § 8a Abs. 2 BSI-Gesetz findet seitens des BSI für jede neue Version des B3S gesondert statt.

2.2 Angemessener Sicherheitsaufwand (Abs. 2)

Rz. 7

Organisatorische und technische Vorkehrungen nach Abs. 1 sind angemessen, wenn der dafür erforderliche Aufwand nicht außer Verhältnis zu den Folgen eines Ausfalls oder einer Beeinträchtigung der Arbeitsprozesse der Krankenkasse oder der Sicherheit der verarbeiteten Versicherteninformationen steht. Der Aufwand zur Implementierung und Aufrechterhaltung geforderter Maßnahmen hängt maßgeblich vom Grad der IT-Durchdringung sowie den nach den bisherigen rechtlichen und normativen Anforderungen etablierten Maßnahmen ab. Die Aufrechterhaltung des Versorgungsniveaus der kritischen Infrastruktur steht dabei im Mittelpunkt, hierfür sollte u. a. ein Informationssicherheits-Managementsystem (ISMS) etabliert und aufrechterhalten werden. Diese Systeme werden mit dem Ziel eingesetzt, ein angemessenes Schutzniveau der unternehmenskritischen Informationen sicherzustellen.

2.3 Branchenspezifischer Sicherheitsstandard (Abs. 3)

Rz. 8

Die Krankenkassen sind verpflichtet, den branchenspezifischen Sicherheitsstandard für die informationstechnische Sicherheit der Krankenkassen in der jeweils gültigen Fassung anwenden (Rz. 6). Die Vorschrift lässt auch andere Lösungen zu. Die Eignung des Sicherheitsstandards wird vom BSI festgestellt (§ 8a Abs. 2 des BSI-Gesetz).

2.4 Branchenarbeitskreis (Abs. 4)

Rz. 9

Die Krankenkassen wirken verpflichtend in einem gemeinsamen bestehenden oder zu schaffenden Branchenarbeitskreis an der Entwicklung des branchenspezifischen Sicherheitsstandards für die informationstechnische Sicherheit der Krankenkassen (Abs. 3) mit (Satz 1). Sie werden im Arbeitskreis durch ihre Verbände und den Spitzenverband Bund der Krankenkassen (GKV-Spitzenverband) repräsentiert. Der Branchenspezifische Sicherheitsstandard für gesetzliche Kranken- und Pflegeversicherer – "B3S-GKV/PV" wird vom Branchenarbeitskreis "Gesetzliche Kranken- und Pflegeversicherungen" des Umsetzungsplans Kritis (UP KRITIS) entwickelt und fortgeschrieben. Der UP KRITIS ist eine öffentlich-private Kooperation zwischen Betreibern Kritischer Infrastrukturen, ihren Verbänden und den zuständigen staatlichen Stellen.

Rz. 10

Die Krankenkassen werden im Branchenarbeitskreis durch ihre Verbände vertreten. Diese bringen dabei insbesondere die Interessen, Erfahrungen und besonderen Kenntnisse über die organisatorischen und technischen Verhältnisse ihrer Mitgliedskassen ein (BT-Drs. 20/9048 S. 149). Die Mitwirkungspflicht der Krankenkassen umfasst die Unterstützung der Arbeit ihrer Verbände und des GKV-Spitzenverbandes z. B. durch Zulieferung von Informationen. Zu den adressierten Verbänden der Krankenkassen auf Bundesebene gehören unter anderem der AOK-Bundesverband, der BKK Dachverband, der IKK e. V., der SVLFG, die Knappschaft sowie der vdek. Entsprechend der grundlegenden Organisationsstruktur des UP KRITIS steht weiteren Akteuren die Mitgliedschaft im Branchenarbeitskreis auf freiwilliger Basis offen.

Rz. 11

Der GKV-Spitzenverband legt den branchenspezifischen Sicherheitsstandard in der jeweils aktuellen Fassung als verbindliche Richtlinie zur Vermeidung von Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der informationstechnischen Systeme, Komponenten oder Prozesse der Krankenkassen für die Krankenkassen verbindlich fest und schreibt diese jährlich fort (§ 217f Abs. 4c).

Rz. 12

Die Krankenkassen wirken im Arbeitskreis darauf hin, dass der Sicherheitsstandard

• geeigneten Maßnahmen z...