SGB V

§ 328

Gebühren und Auslagen; Verordnungsermächtigung

(1) ¹ Die Gesellschaft für Telematik kann für die Zulassungen und Bestätigungen nach den §§ 324, 325 und 327, auch in Verbindung mit § 311 Absatz 6 Satz 5, § 362a Satz 1 und § 362b, Gebühren und Auslagen erheben. ² Die Gebührensätze sind so zu bemessen, dass sie den auf die Leistungen entfallenden durchschnittlichen Personal- und Sachaufwand nicht übersteigen.

(2) Das Bundesministerium für Gesundheit wird ermächtigt, durch Rechtsverordnung ohne Zustimmung des Bundesrates die gebührenpflichtigen Tatbestände zu bestimmen und dabei feste Sätze oder Rahmensätze vorzusehen sowie Regelungen über die Gebührenentstehung, die Gebührenerhebung, die Erstattung von Auslagen, den Gebührenschuldner, Gebührenbefreiungen, die Fälligkeit, die Stundung, die Niederschlagung, den Erlass, Säumniszuschläge, die Verjährung und die Erstattung zu treffen.

§ 329

Maßnahmen zur Abwehr von Gefahren für die Funktionsfähigkeit und Sicherheit der Telematikinfrastruktur

(1) ¹ Soweit von Komponenten und Diensten eine Gefahr für die Funktionsfähigkeit oder Sicherheit der Telematikinfrastruktur ausgeht, ist die Gesellschaft für Telematik verpflichtet, unverzüglich die erforderlichen technischen und organisatorischen Maßnahmen zur Abwehr dieser Gefahr entsprechend dem Stand der Technik zu treffen. ² Die Gesellschaft für Telematik informiert das Bundesamt für Sicherheit in der Informationstechnik unverzüglich über die Gefahr und die getroffenen Maßnahmen.

(2) ¹ Anbieter von nach § 311 Absatz 6 sowie § 325 zugelassenen Komponenten oder Diensten und Anbieter von Anwendungen für nach § 327 bestätigte Anwendungen haben erhebliche Störungen der Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit dieser Komponenten oder Dienste unverzüglich an die Gesellschaft für Telematik zu melden. ² Erheblich sind Störungen, die zum Ausfall oder zur Beeinträchtigung der Sicherheit oder Funktionsfähigkeit dieser Komponenten oder Dienste oder zum Ausfall oder zur Beeinträchtigung der Sicherheit oder Funktionsfähigkeit der Telematikinfrastruktur oder wesentlicher Teile führen können oder bereits geführt haben.

(3) ¹ Die Gesellschaft für Telematik kann zur Gefahrenabwehr im Einzelfall insbesondere Komponenten und Dienste für den Zugang zur Telematikinfrastruktur sperren oder den weiteren Zugang zur Telematikinfrastruktur nur unter der Bedingung gestatten, dass die von der Gesellschaft für Telematik angeordneten Maßnahmen zur Beseitigung der Gefahr umgesetzt werden. ² Die Gesellschaft für Telematik kann Anbietern, die eine Zulassung für Komponenten oder Dienste der Telematikinfrastruktur nach § 311 Absatz 6 sowie § 325 oder eine Bestätigung nach § 327 besitzen, zur Beseitigung oder Vermeidung von Störungen nach Absatz 2 verbindliche Anweisungen erteilen.

(4) Die Gesellschaft für Telematik hat die ihr nach Absatz 2 gemeldeten Störungen sowie darüber hinausgehende bedeutende Störungen, die zu beträchtlichen Auswirkungen auf die Sicherheit oder Funktionsfähigkeit der Telematikinfrastruktur führen können oder bereits geführt haben, unverzüglich an das Bundesamt für Sicherheit in der Informationstechnik zu melden.

(5) Die Gesellschaft für Telematik hat das Bundesministerium für Gesundheit unverzüglich über Meldungen nach Absatz 4 zu informieren.

§ 330

Vermeidung von Störungen der informationstechnischen Systeme, Komponenten und Prozesse der Telematikinfrastruktur

(1) ¹ Die Gesellschaft für Telematik sowie die gemäß § 307 verantwortlichen Anbieter, die eine Zulassung für Komponenten oder Dienste nach § 311 Absatz 6 sowie § 325 oder eine Bestätigung nach § 327 besitzen, sind verpflichtet, angemessene organisatorische und technische Vorkehrungen zur Vermeidung von Störungen der Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit der informationstechnischen Systeme, Komponenten oder Prozesse der Telematikinfrastruktur zu treffen und fortlaufend zu aktualisieren. ² Dabei ist der jeweilige Stand der Technik zu berücksichtigen. ³ Organisatorische und technische Vorkehrungen sind dann angemessen, wenn der dafür erforderliche Aufwand nicht außer Verhältnis zu den Folgen eines Ausfalls oder einer Beeinträchtigung der Telematikinfrastruktur insgesamt oder von solchen Diensten der Telematikinfrastruktur steht, die durch Störungen verursacht werden können.

(2) ¹ Die Gesellschaft für Telematik hat mindestens alle zwei Jahre über die Erfüllung der Anforderungen an die Vermeidung von Störungen der Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit der informationstechnischen Systeme, Komponenten oder Prozesse der Telematikinfrastruktur geeignete Nachweise zu erbringen. ² Der Nachweis kann jeweils insbesondere durch Audits, Prüfungen oder Zertifizierungen erfolgen, die von geeigneten und unabhängigen externen Stellen durchgeführt werden.

(3) ¹ Die Gesellschaft für Telematik informiert das Bundesministerium für Gesundheit und das Bundesamt für Sicherheit in der Informationstechnik in geeigneter Weise über erkannte Sicherheitsmängel und die Nachweise nach Absatz 2. ² Die Gesellschaft für Telematik kann von den Inhabern einer Zulassung für Komponenten oder Dienste der Telematikinfrastruktur nach § 311 Absatz 6 sowie § 325 oder Inhabern einer Bestätigung nach § 327 geeignete Nachweise zur Erfüllung ihrer Pflichten nach Absatz 1 verlangen.

(4) Die Meldepflichten nach Artikel 33 der Verordnung (EU) 2016/679 bleiben unberührt.

§ 331*

Maßnahmen zur Überwachung des Betriebs zur Gewährleistung der Sicherheit, Verfügbarkeit und Nutzbarkeit der Telematikinfrastruktur

(1) ¹ Die Gesellschaft für Telematik hat ab dem 1. Januar 2021 für Komponenten und Dienste der Telematikinfrastruktur sowie für Komponenten und Dienste, die die Telematikinfrastruktur nutzen, aber außerhalb der Telematikinfrastruktur betrieben werden, im Benehmen mit dem Bundesamt für Sicherheit in der Informationstechnik solche Maßnahmen zur Überwachung des Betriebs zu treffen, die erforderlich sind, um die Sicherheit, Verfügbarkeit und Nutzbarkeit der Telematikinfrastruktur zu gewährleisten. ² Die Gesellschaft für Telematik kann zur Erfüllung ihrer Aufgaben nach Satz 1 die entsprechenden Komponenten und Dienste untersuchen. ³ Sie kann sich hierbei der Unterstützung Dritter bedienen, soweit berechtigte Interessen des Herstellers oder Anbieters der betroffenen Komponenten oder Dienste dem nicht entgegenstehen.

(2) Die Gesellschaft für Telematik legt fest, welche näheren Angaben ihr die Anbieter der Komponenten und Dienste offenzulegen haben, damit die Überwachung nach Absatz 1 durchgeführt werden kann.

(3) ¹ Die Verpflichtung der Gesellschaft für Telematik nach § 330 Absatz 1 Satz 1, zur Vermeidung von Störungen angemessene organisatorische und technische Vorkehrungen zu treffen, umfasst auch den Einsatz von geeigneten Systemen zur Erkennung von Störungen und Angriffen. ² Der Einsatz der Systeme erfolgt im Benehmen mit der oder dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit und dem Bundesamt für Sicherheit in der Informationstechnik.

(4) ¹ Die Gesellschaft für Telematik darf die für den Einsatz der Systeme nach Absatz 3 erforderlichen Daten, einschließlich personenbezogener Daten, verarbeiten. ² Die im Rahmen des Einsatzes dieser Systeme verarbeiteten Daten sind unverzüglich zu löschen, wenn sie für die Vermeidung von Störungen nach § 330 Absatz 1 Satz 1 nicht mehr erforderlich sind, spätestens jedoch nach zehn Jahren.

(5) ¹ Die Gesellschaft für Telematik darf, soweit es für die Durchführung der Maßnahmen nach Absatz 1 und im Rahmen der Vorkehrungen nach Absatz 3 erforderlich ist, die für den Zugriff auf Anwendungen der Telematikinfrastruktur nach § 334 Absatz 1 Satz 2, auf Anwendungen zur Überprüfung und Aktualisierung von Angaben nach § 291b und auf sichere Verfahren zur Übermittlung medizinischer Daten nach § 311 Absatz 6 erforderlichen Komponenten zur Identifikation und Authentifizierung im Rahmen von hierzu erstellten Prüfnutzeridentitäten nutzen. ² Die Nutzung darf ausschließlich für Prüfzwecke erfolgen und die Einzelheiten sind im Benehmen mit dem Bundesamt für Sicherheit in der Informationstechnik und der oder dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit festzulegen. ³ Es muss dabei technisch und organisatorisch gewährleistet sein, dass ein Zugriff auf personenbezogene Daten von Nutzern der Telematikinfrastruktur ausgeschlossen ist, die keine Prüfnutzeridentitäten verwenden. ⁴ Die Prüfnutzeridentitäten dürfen von höchstens sieben, nach dem Sicherheitsüberprüfungsgesetz überprüften Mitarbeitern der Gesellschaft für Telematik genutzt werden. ⁵ Die Zugriffe nach Satz 1 müssen protokolliert und jährlich oder auf Anforderung der oder dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit vorgelegt werden. ⁶ Die Protokolldaten müssen enthalten, durch wen und zu welchem Zweck die Komponenten nach Satz 1 eingesetzt wurden und sind für drei Jahre zu speichern. ⁷ Die nach Satz 1 erforderlichen Komponenten sind der Gesellschaft für Telematik auf Verlangen durch die jeweils für die Ausgabe zuständige Stelle gegen Kostenerstattung zur Verfügung zu stellen.

(6) ¹ Die für die Aufgaben nach dem Zehnten und diesem Kapitel beim Bundesamt für Sicherheit in der Informationstechnik entstehenden Kosten sind diesem durch die Gesellschaft für Telematik pauschal in Höhe der Kosten für zehn Vollzeitäquivalente zu erstatten. ² Zusätzlich werden die Kosten des Bundesamts für Sicherheit in der Informationstechnik für erforderliche Unterstützungsleistungen Dritter durch die Gesellschaft für Telematik in Höhe der tatsächlich anfallenden Kosten erstattet. ³ Die Gesellschaft für Telematik legt die Einzelheiten der Kostenerstattung für Unterstützungsleistungen nach Satz 2 im Benehmen mit dem Bundesamt für Sicherheit in der Informationstechnik fest.

§ 332

Anforderungen an die Wartung von Diensten

(1) Dienstleister, die mit der Herstellung und der Wartung des Anschlusses von informationstechnischen Systemen an die Telematikinfrastruktur einschließlich der Wartung hierfür benötigter Komponenten sowie der Anbindung an Dienste der Telematikinfrastruktur beauftragt werden, müssen besondere Sorgfalt bei der Herstellung und Wartung des Anschlusses an die Telematikinfrastruktur walten lassen und über die notwendige Fachkunde verfügen, um die Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit der informationstechnischen Systeme und Komponenten zu gewährleisten.

(2) Die Erfüllung der Anforderungen nach Absatz 1 muss den Auftraggebern der in Absatz 1 genannten Dienstleistungen auf Verlangen auf geeignete Weise nachgewiesen werden.

(3) ¹ Zur Erfüllung der Anforderungen nach Absatz 1 und des Nachweises nach Absatz 2 können die maßgeblichen Spitzenorganisationen der Leistungserbringer auf Bundesebene den von ihnen vertretenen Leistungserbringern in Abstimmung mit der Gesellschaft für Telematik Hinweise geben. ² Der Gesellschaft für Telematik obliegt hierbei die Beachtung der notwendigen sicherheitstechnischen und betrieblichen Voraussetzungen zur Wahrung der Sicherheit und Funktionsfähigkeit der Telematikinfrastruktur.

§ 332a

Unzulässige Beschränkungen durch Anbieter und Hersteller informationstechnischer Systeme für die vertragsärztliche Versorgung, die vertragszahnärztliche Versorgung, die pflegerische Versorgung, für Krankenhäuser und Apotheken sowie für Vorsorgeeinrichtungen und Rehabilitationseinrichtungen

(1) ¹ Die Anbieter und Hersteller informationstechnischer Systeme für die vertragsärztliche Versorgung, die vertragszahnärztliche Versorgung, die pflegerische Versorgung sowie für Krankenhäuser, Apotheken, Vorsorgeeeinrichtungen und Rehabilitationseinrichtungen stellen die diskriminierungsfreie Einbindung aller Komponenten und Dienste sicher, die von der Gesellschaft für Telematik nach § 325 Absatz 2 und 3 zugelassen sind und die zur Erfüllung gesetzlicher Pflichten bei der Nutzung von Anwendungen der Telematikinfrastruktur erforderlich sind, soweit Schnittstellen vorgegeben oder festgelegt sind. ² Eine Beschränkung der Einbindung auf bestimmte Hersteller und Anbieter ist unzulässig.

(2) ¹ Die Einbindung der Komponenten und Dienste nach Absatz 1 erfolgt ohne zusätzliche Kosten für die Nutzer der informationstechnischen Systeme. ² Direkte oder indirekte Kosten im Zusammenhang mit der Wahl eines Herstellers oder Anbieters sind unzulässig.

(3) Die Verpflichtungen aus Absatz 1 sind spätestens bis zum 29. Dezember 2023 umzusetzen.