[[{}law:sgb_5:389|←]][[{}law:sgb_5|↑]][[{}law:sgb_5:391|→]]


==== § 390 IT-Sicherheit in der vertragsärztlichen und vertragszahnärztlichen Versorgung ====

<wrap #abs_1 />
(1)<sub><wrap #abs_1_1 />[[law:sgb_5:390#abs_1_1|1]]</sub> Die Kassenärztlichen Bundesvereinigungen legen in einer Richtlinie
die Anforderungen zur Gewährleistung der IT-Sicherheit in der
vertragsärztlichen und vertragszahnärztlichen Versorgung fest.

<wrap #abs_2 />
(2)<sub><wrap #abs_2_1 />[[law:sgb_5:390#abs_2_1|1]]</sub> Die Richtlinie nach Absatz 1 umfasst insbesondere auch

1.  <sub><wrap #abs_2_2 />[[law:sgb_5:390#abs_2_2|2]]</sub>Anforderungen an die sichere Installation und Wartung von Komponenten
und Diensten der Telematikinfrastruktur, die in der vertragsärztlichen
und vertragszahnärztlichen Versorgung genutzt werden, und


2.  <sub><wrap #abs_2_3 />[[law:sgb_5:390#abs_2_3|3]]</sub>Maßnahmen zur Sensibilisierung von Mitarbeiterinnen und Mitarbeitern
zur Informationssicherheit (Steigerung der Security-Awareness).




<wrap #abs_3 />
(3)<sub><wrap #abs_3_1 />[[law:sgb_5:390#abs_3_1|1]]</sub> Die in der Richtlinie festzulegenden Anforderungen müssen geeignet
sein, abgestuft im Verhältnis zum Gefährdungspotential und dem
Schutzbedarf der verarbeiteten Informationen, in Bezug auf die
primären Schutzziele der Informationssicherheit (Verfügbarkeit,
Integrität und Vertraulichkeit) Störungen der informationstechnischen
Systeme, Komponenten oder Prozesse der vertragsärztlichen und
vertragszahnärztlichen Leistungserbringer zu vermeiden.

<wrap #abs_4 />
(4)<sub><wrap #abs_4_1 />[[law:sgb_5:390#abs_4_1|1]]</sub> Die in der Richtlinie festzulegenden Anforderungen müssen dem
Stand der Technik entsprechen, sind jährlich inhaltlich zu überprüfen
und zu korrigieren sowie spätestens alle zwei Jahre an den Stand der
Technik und an das Gefährdungspotential anzupassen.

<wrap #abs_5 />
(5)<sub><wrap #abs_5_1 />[[law:sgb_5:390#abs_5_1|1]]</sub> Die in der Richtlinie festzulegenden Anforderungen sowie deren
Anpassungen erfolgen im Einvernehmen mit dem Bundesamt für Sicherheit
in der Informationstechnik sowie im Benehmen mit dem oder der
Bundesbeauftragten für den Datenschutz und die Informationsfreiheit,
der Bundesärztekammer, der Bundeszahnärztekammer, der Deutschen
Krankenhausgesellschaft und den für die Wahrnehmung der Interessen der
Industrie maßgeblichen Bundesverbänden aus dem Bereich der
Informationstechnologie im Gesundheitswesen. <sub><wrap #abs_5_2 />[[law:sgb_5:390#abs_5_2|2]]</sub>Die Anforderungen nach
Absatz 2 Nummer 1 legen die Kassenärztlichen Bundesvereinigungen
zusätzlich im Benehmen mit der Gesellschaft für Telematik fest.

<wrap #abs_6 />
(6)<sub><wrap #abs_6_1 />[[law:sgb_5:390#abs_6_1|1]]</sub> Die Richtlinie nach Absatz 1 ist für die an der vertragsärztlichen
und vertragszahnärztlichen Versorgung teilnehmenden Leistungserbringer
verbindlich. <sub><wrap #abs_6_2 />[[law:sgb_5:390#abs_6_2|2]]</sub>Die Richtlinie ist nicht anzuwenden für die
vertragsärztliche und vertragszahnärztliche Versorgung im Krankenhaus,
soweit dort bereits angemessene Vorkehrungen nach § 391 getroffen
werden.

<wrap #abs_7 />
(7)<sub><wrap #abs_7_1 />[[law:sgb_5:390#abs_7_1|1]]</sub> Die Kassenärztlichen Bundesvereinigungen müssen die
Mitarbeiterinnen und Mitarbeiter der Anbieter von
informationstechnischen Systemen, die im Gesundheitswesen eingesetzt
werden, im Einvernehmen mit dem Bundesamt für Sicherheit in der
Informationstechnik auf deren Antrag zertifizieren, wenn diese
Personen über die notwendige Eignung verfügen, um die an der
vertragsärztlichen und vertragszahnärztlichen Versorgung teilnehmenden
Leistungserbringer bei der Umsetzung der Richtlinie sowie deren
Anpassungen zu unterstützen. <sub><wrap #abs_7_2 />[[law:sgb_5:390#abs_7_2|2]]</sub>Die Vorgaben für die Zertifizierung
werden von den Kassenärztlichen Bundesvereinigungen im Einvernehmen
mit dem Bundesamt für Sicherheit in der Informationstechnik sowie im
Benehmen mit den für die Wahrnehmung der Interessen der Industrie
maßgeblichen Bundesverbänden aus dem Bereich der
Informationstechnologie im Gesundheitswesen erstellt und regelmäßig
überarbeitet. <sub><wrap #abs_7_3 />[[law:sgb_5:390#abs_7_3|3]]</sub>Die Vorgaben nach Satz 2 werden jeweils auf der
Plattform nach § 385 Absatz 1 Satz 2 Nummer 5 veröffentlicht. <sub><wrap #abs_7_4 />[[law:sgb_5:390#abs_7_4|4]]</sub>In Bezug
auf die Anforderungen nach Absatz 2 Nummer 1 legen die
Kassenärztlichen Bundesvereinigungen die Vorgaben für die
Zertifizierung der Mitarbeiterinnen und Mitarbeiter der Anbieter nach
Satz 1 im Benehmen mit der Gesellschaft für Telematik fest.