Source: https://www.gesetze-im-internet.de/sgb_5/__393.html
Legislation: sgb_5

Title: § 393 Cloud-Einsatz im Gesundheitswesen; Verordnungsermächtigung

Description:
Sozialgesetzbuch (SGB) Fünftes Buch (V) - Gesetzliche Krankenversicherung - (Artikel 1 des Gesetzes v. 20. Dezember 1988, BGBl. I S. 2477) (SGB 5)
Zwölftes Kapitel - Interoperabilität und Cybersicherheit im Gesundheitswesen; Nationales Gesundheitsportal
§ 393 Cloud-Einsatz im Gesundheitswesen; Verordnungsermächtigung

Paragraph: 393

Full Text:
Sozialgesetzbuch (SGB) Fünftes Buch (V) - Gesetzliche Krankenversicherung - (Artikel 1 des Gesetzes v. 20. Dezember 1988, BGBl. I S. 2477) (SGB 5)
Zwölftes Kapitel - Interoperabilität und Cybersicherheit im Gesundheitswesen; Nationales Gesundheitsportal
§ 393 Cloud-Einsatz im Gesundheitswesen; Verordnungsermächtigung

(1) Leistungserbringer im Sinne des Vierten Kapitels und Kranken- und
Pflegekassen sowie ihre jeweiligen Auftragsdatenverarbeiter dürfen
Sozialdaten und Gesundheitsdaten auch im Wege des Cloud-Computing-
Dienstes verarbeiten, sofern die Voraussetzungen der Absätze 2 bis 4
erfüllt sind.

(2) Die Verarbeitung von Sozial- und Gesundheitsdaten im Wege des
Cloud-Computing-Dienstes darf nur

1.  im Inland,

2.  in einem Mitgliedstaat der Europäischen Union oder

3.  in einem diesem nach § 35 Absatz 7 des Ersten Buches gleichgestellten
    Staat oder, sofern ein Angemessenheitsbeschluss gemäß Artikel 45 der
    Verordnung (EU) 2016/679 vorliegt, in einem Drittstaat

erfolgen und sofern die datenverarbeitende Stelle über eine
Niederlassung im Inland verfügt.

(3) Eine Verarbeitung nach Absatz 1 ist nur zulässig, wenn zusätzlich
zu den Anforderungen des Absatzes 2

1.  nach dem Stand der Technik angemessene technische und organisatorische
    Maßnahmen zur Gewährleistung der Informationssicherheit ergriffen
    worden sind,

2.  ein aktuelles C5-Testat der datenverarbeitenden Stelle im Hinblick auf
    die C5-Basiskriterien für die im Rahmen des Cloud-Computing-Dienstes
    eingesetzten Cloud-Systeme und die eingesetzte Technik vorliegt und

3.  die im Prüfbericht des Testats enthaltenen, korrespondierenden
    Kriterien für Kunden umgesetzt sind.

(4) Bis zum 30. Juni 2025 gilt als aktuelles C5-Testat im Sinne des
Absatzes 3 Nummer 2 ein C5-Typ1-Testat. Ab dem 1. Juli 2025 gilt als
aktuelles C5-Testat im Sinne des Absatzes 3 Nummer 2 ein aktuelles
C5-Typ2-Testat. Wird ein informationstechnisches System nach dem 30.
Juni 2025 erstmalig in Verkehr gebracht, gilt als aktuelles C5-Testat
im Sinne des Absatzes 3 Nummer 2 für die ersten 18 Monate nach dem
Inverkehrbringen ein C5-Typ1-Testat, ab dem 19. Monat nach dem
Inverkehrbringen ein C5-Typ2-Testat. Eine Verarbeitung nach Absatz 3
Nummer 2 ist ferner auch zulässig, soweit für die im Rahmen des Cloud-
Computing-Dienstes eingesetzten Cloud-Systeme und die Cloud-Technik
anstelle eines aktuellen C5-Testats ein Testat oder Zertifikat nach
einem Standard vorliegt, dessen Befolgung ein im Vergleich zum
C5-Standard vergleichbares oder höheres Sicherheitsniveau
sicherstellt. Das Bundesministerium für Gesundheit wird ermächtigt,
durch Rechtsverordnung ohne Zustimmung des Bundesrates im Einvernehmen
mit dem Bundesamt für Sicherheit in der Informationstechnik
festzulegen, welche Standards die Anforderungen nach Satz 4 erfüllen.

(5) Technische und organisatorische Maßnahmen gelten als angemessen im
Sinne von Absatz 3 Nummer 1, wenn folgende Anforderungen erfüllt
werden:

1.  in der vertragsärztlichen und vertragszahnärztlichen Versorgung die
    Voraussetzungen des § 390,

2.  in zugelassenen Krankenhäusern die Voraussetzungen des § 391 und

3.  von Krankenkassen die Voraussetzungen des Branchenspezifischen
    Sicherheitsstandards für gesetzliche Kranken- und Pflegeversicherer
    (B3S-GKV/PV).

(6) In allen anderen Fällen gelten technische und organisatorische
Maßnahmen als angemessen im Sinne von Absatz 3 Nummer 1, wenn sie
gleichwertig zu den Anforderungen nach § 391 sind. Der
Angemessenheitsmaßstab nach Satz 1 gilt nicht, soweit Verarbeiter nach
Absatz 1 ohnehin als Betreiber Kritischer Infrastrukturen gemäß § 8a
des BSI-Gesetzes angemessene technische Vorkehrungen zu treffen haben.

(7) Informationen über die nach Absatz 3 Nummer 2 testierten Cloud-
Systeme und testierte Cloud-Technik werden von dem Kompetenzzentrum
für Interoperabilität im Gesundheitswesen auf der Plattform nach § 385
Absatz 1 Satz 2 Nummer 5 auf Antrag veröffentlicht. Dem Antrag nach
Satz 1 ist eine Kontrollliste zu den korrespondierenden Kriterien für
Kunden anzufügen.

(8) Die Vorschriften des Zehnten Buches und des
Bundesdatenschutzgesetzes bleiben unberührt.

Collections: bundestag_gesetze
SGB-5
Level: 3.0