01_Leistungsbeschreibung.pdf

[Seite 1]

Anlage 01_Leistungsbeschreibung

Vergabeverfahren: Evaluation des Sofortprogramms Cybersicherheit Az.: 13200#00002#0001

Leistungsbeschreibung

1. Hintergrund

Die IT-Sicherheitslage im deutschen Gesundheitswesen ist laut dem Bundesamt für Sicherheit in der Informationstechnik (BSI) besorgniserregend: In den letzten Jahren nahmen Angriffe auf die digitalen Infrastrukturen der Institutionen des Gesundheitswesen stetig zu. Der Sektor zählt laut der Europäischen Kommission zu dem am häufigsten attackierten. Trotz bestehender regulatorischer Vorgaben wie europaweit verpflichtend einzuhaltende IT-Sicherheitsvorgaben bleibt das Sicherheitsniveau vieler Einrichtungen bislang aber nur unzureichend. Neben Krankenhäusern erreichen auch andere Leistungserbringer wie Medizinische Versorgungszentren oder Labore in entsprechenden Messungen weit überwiegend ein (zu) geringes Sicherheitsniveau. Diese Defizite sind auf strukturelle, organisatorische und technische Herausforderungen zurückzuführen; darunter die starke Fragmentierung des Gesundheitswesens, fehlendes Fachpersonal und Sicherheitslücken in den eingesetzten IT-Systemen. Zusätzlich besteht aufgrund der derzeitigen geopolitischen Lage ein erhebliches Risiko für Cyberangriffe, in deren Konsequenz Gesundheitseinrichtungen nicht (mehr) vollständig arbeitsfähig sind (Absage von Operationen, Schließung von Einrichtungen, Abfluss von Patientendaten) und damit Leib und Leben von Patientinnen und Patienten gefährden.

Aufgrund der hohen Gefährdungslage im Cyberraum hat der Bundesgesetzgeber ein Sofortprogramm Cybersicherheit zum Schutz der akutstationären Versorgung im Bundeshaushalt verankert. Das Förderprogramm soll systemrelevanten Gesundheitseinrichtungen entlang der kritischen (Akut-)Versorgungskette die erforderlichen Ressourcen für moderne Schutzmaßnahmen bereitstellen und gleichzeitig zur Erfüllung der verpflichtenden NIS-2-Richtlinie beitragen. Die eingesetzten IT-Systeme werden damit sowohl präventiv vor Angriffen geschützt, als auch in die Lage versetzt, bei Sicherheitsvorfällen schnell wieder in einen funktionsfähigen Zustand zu gelangen. Dies gewährleistet eine durchgehende Akutversorgung im Krisenfall.

Im Zuge des Sofortprogrammes Cybersicherheit soll der Digitalisierungsgrad insgesamt und im Besonderen der IT-Sicherheitsgrad der systemrelevanten Gesundheitseinrichtungen entlang der kritischen Versorgungskette erfasst werden (vgl. Modul 1 zur weiteren Erläuterung). Anhand auf anerkannten Reifegradmodellen basierender und noch festzulegender Kriterien sollen systemrelevante Gesundheitseinrichtungen im Rahmen einer Selbsteinschätzung eine Einstufung und Bewertung ihres IT-Sicherheits- und Digitalisierungsstands vornehmen. Die Teilnahme an der Selbsteinschätzung ist verpflichtend für Einrichtungen, die im Rahmen des Sofortprogrammes eine Förderung erhalten. Grundsätzlich soll die Teilnahme allerdings sämtlichen berechtigten systemrelevanten Gesundheitseinrichtungen entlang der kritischen Versorgungskette offenstehen. Die Daten werden im Anschluss aggregiert ausgewertet. Es sind drei Erhebungszeiträume in den Jahren 2027, 2028 und 2029 vorgesehen. Die erste Erhebung soll im Jahr 2027 stattfinden und anschließend im jährlichen Turnus fortgeführt werden, mit weiteren Erhebungen in den Jahren 2028 und 2029. Innerhalb dieser Erhebungszeiträume können die konkreten Erhebungszeitpunkte für die jeweiligen Einrichtungsgruppen unter Berücksichtigung der bestehenden Datenlage und des jeweiligen Erkenntnisbedarfs zeitlich differenziert festgelegt werden. Insbesondere kann die erste Erhebung bei den weiteren systemrelevanten Gesundheitseinrichtungen, für die bislang keine vergleichbare Datengrundlage vorliegt, zu einem früheren Zeitpunkt erfolgen. Für den Krankenhausbereich kann demgegenüber auf bereits vorliegende Erkenntnisse aus der jüngsten Erhebung des DigitalRadar aufgebaut und die nächste Erhebung entsprechend zu einem späteren Zeitpunkt durchgeführt werden. Einerseits kann so der Status Quo der systemrelevanten Gesundheitseinrichtungen zu den drei Messzeitpunkten erfasst werden, andererseits kann durch den Vergleich der drei Messzeitpunkte ein längsschnittlicher Verlauf abgebildet werden. Dieser

• 2 -

[Seite 2]

ermöglicht die Bewertung, inwieweit die Digitalisierung/IT-Sicherheit der systemrelevanten Gesundheitseinrichtungen im Rahmen des Sofortprogramms verbessert werden konnte. Auf dieser Grundlage können zudem Maßnahmen zur Verbesserung moderner Sicherheitsvorkehrungen, zur Erfüllung der Anforderungen der NIS-2-Richtlinie, zur Stärkung der Resilienz und Versorgungssicherheit sowie zur Optimierung des Ressourceneinsatzes bewertet werden.

2. Beschreibung der Leistung

Gegenstand der Auftrages ist die Evaluierung des IT- und Digitalisierungsreifegrades im Zuge des Sofortprogrammes Cybersicherheit der systemrelevanten Gesundheitseinrichtungen entlang der kritischen Versorgungskette. Dies umfasst die (Weiter-)Entwicklung von Reifegradmodellen, welche eine standardisierte und umfassende Bewertung des IT- und Digitalisierungsgrads der systemrelevanten Gesundheitseinrichtungen ermöglichen soll (Modul 1), die technische Bereitstellung und den Betrieb des hierfür erforderlichen Erhebungsinstruments bzw. der Erhebungsplattform sowie die Durchführung (Modul 2), die wissenschaftliche Auswertung der Erhebung bzw. Selbsteinschätzung der systemrelevanten Gesundheitseinrichtungen und Analyse des longitudinalen Verlaufs (Modul 3) sowie eine begleitende Evaluation der Studie (Modul 4). Das übergeordnete Ziel ist es, den grundsätzlichen Stand der IT-Sicherheit/Digitalisierung in deutschen systemrelevanten Gesundheitseinrichtungen entlang der kritischen Versorgungskette zu erfassen.

Modul 1: (Weiter-)Entwicklung von ganzheitlichen, integrativen und standardisierten Reifegradmodellen zur Erfassung des IT-Sicherheits- und Digitalisierungsgrad von systemrelevanten Gesundheitseinrichtungen in Deutschland [Modellentwicklung]

Im Rahmen von Modul 1 sollen mehrere Modelle (weiter-)entwickelt werden: Für die Krankenhäuser ist das im Rahmen des Krankenhauszukunftsgesetzes (KHZG) entwickelte Reifegradmodell „DigitalRadar“ anzupassen und fortzuführen. Die Auftraggeberin stellt dem Auftragnehmer die ihr zur Verfügung stehenden Grundlagen des DigitalRadar bei, insbesondere die Darstellung der Modellgrundlagen, die Auswertungsmatrix, die Beschreibung des Analysealgorithmus, die zugehörigen Methodendokumentationen sowie die Datensätze der bisherigen Erhebungen einschließlich Variablen- und Wertedokumentation. Die Beistellung erfolgt nach Zuschlagserteilung, spätestens zum Projektbeginn. Nicht beigestellt werden die bestehende technische Erhebungsplattform und deren Quellcode; die technische Umsetzung nach Modul 2 obliegt dem Auftragnehmer. Beistellungen dürfen ausschließlich zur Vertragserfüllung genutzt werden; sämtliche Rechte hieran verbleiben bei der Auftraggeberin. Für die weiteren systemrelevanten Gesundheitseinrichtungen entlang der kritischen (Akut-)Versorgungskette ist ein oder mehrere zusätzliche Modelle zur Erfassung und Evaluation des IT-Sicherheitsstandes zu entwickeln.

Die Reifegradmodelle sollen nicht ausschließlich der übergreifenden Erfassung und Evaluation des IT-Sicherheits- und Digitalisierungsstandes dienen, sondern auch einen konkreten Nutzen für die jeweiligen Einrichtungen bieten. Sie sind daher verständlich, anwenderfreundlich und mit angemessenem Aufwand nutzbar auszugestalten. Die Ergebnisse sollen den Einrichtungen ein internes Monitoring ihres IT-Sicherheits- und Digitalisierungsstandes ermöglichen und als Grundlage für die Steuerung weiterer Maßnahmen sowie für die Ableitung konkreter Handlungs- und Entwicklungsbedarfe dienen.

Bei der Anpassung des DigitalRadar sind insbesondere folgende Punkte zu berücksichtigen:

• 3 -

[Seite 3]

• Die Anpassung und Erweiterung des bisherigen Evaluationsdesigns sowie des Reifegradmodells an die neue Programmlogik, die neuen Inhalte und (international) etablierter Standards. • Die Aktualisierung des Modells im Hinblick auf die aktuelle Version etablierter Reifegradmodelle sowie gegebenenfalls weitere relevante Standards. • Die Erweiterung des Modells unter Berücksichtigung des Programmfokus auf IT-Sicherheit. • Die angemessene Berücksichtigung nationaler, regionaler und lokaler struktureller sowie organisatorischer Besonderheiten der Krankenhäuser.

Für die weiteren systemrelevanten Gesundheitseinrichtungen (Medizinische Versorgungszentren, Krankenhausapotheken, krankenhausversorgende Apotheken, medizinische Labore, verteilungskritische Logistik für verschreibungspflichtige Arzneimittel sowie für Blut- und Plasmakonzentrate, Einrichtungen mit einer radiologischen Kooperation mit zugelassenen Krankenhäusern) ist ein zusätzliches Reifegradmodell bzw. zusätzliche Reifegradmodelle zu entwickeln. Der Fokus der noch zu entwickelnden Reifegradmodellierung liegt auf der Erfassung und Evaluation des IT-Sicherheitsgrades in den jeweiligen systemrelevanten Gesundheitseinrichtungen. Dabei ist zunächst zu prüfen, für welche Einrichtungsarten ein eigenes Reifegradmodell sinnvoll ist, oder ob ein einheitliches Reifegradmodell mit gegebenenfalls unterschiedlichen einrichtungsbezogenen Ausprägungen verwendet werden kann. Ziel sollte es dabei sein, möglichst ein Reifegradmodell bzw. so wenige Reifegradmodelle wie möglich zu entwickeln, das für die jeweiligen Einrichtungstypen anwendbar ist und gleichzeitig eine konsistente Vergleichbarkeit ermöglicht. Bei der Entwicklung der Reifegradmodelle für systemrelevante Gesundheitseinrichtungen außerhalb der Krankenhäuser sollen sowohl nationale als auch internationale Standards sowie regulatorische Vorgaben – insbesondere die NIS-2- Richtlinie bzw. deren nationale Umsetzung – berücksichtigt werden, während gleichzeitig in angemessenem Rahmen strukturellen sowie lokalen Besonderheiten Rechnung zu tragen ist. Besonders wichtig ist dabei, dass die Ergebnisse international vergleichbar sind und ein einheitliches Abgleichen von Kriterien möglich ist. Zudem ist sowohl bei der Anpassung des DigitalRadar für Krankenhäuser als auch bei der Entwicklung der Reifegradmodelle für die weiteren systemrelevanten Gesundheitseinrichtungen entscheidend, dass die im Rahmen des Sofortprogramms IT-Sicherheit geförderten Bereiche in die Entwicklung des Reifegradmodells integriert werden und ein Zuordnung mit definierten Mindestanforderungen erfolgt, die sich gegebenenfalls auch in den Stufen des Reifegradmodells widerspiegeln. Damit können die Modelle gegebenenfalls auch als Grundlage für die Feststellung von Förderbedarfen, die Festlegung von Zielen und die Antragstellung dienen.

Zur Reifegradmodellentwicklung soll zunächst eine systematische Literaturübersicht und Marktsichtung erfolgen, um relevante Modelle zu identifizieren und zu bewerten. Darüber hinaus sind Expertinnen und Experten zu involvieren, um wesentliche Erfahrungen und Impulse aus der Community aufzugreifen und in der Ausarbeitung des Modells zu berücksichtigen. Basierend auf den Ergebnissen sind ganzheitliche, integrative und standardisierte Reifegradmodelle zu entwickeln, die nationalen und internationalen Entwicklungen Rechnung tragen. Die Reifegradmodelle sind in Bezug auf wissenschaftliche Kriterien (u. a. Vollständigkeit, Passgenauigkeit, Validität, Vergleichbarkeit, Akzeptanz, Transparenz, Anwendbarkeit, Aufwand, Nachvollziehbarkeit) sowie Stärken und Schwächen zu evaluieren und mit der Auftraggeberin und relevanten Stakeholdern abzustimmen. Die Parameter des Reifegradmodells sollen neben strukturellen, prozessualen und ergebnisbezogenen Aspekten u. a. auch organisatorische, personelle und technische Dimensionen berücksichtigen, um eine ganzheitliche Bewertung des IT- Sicherheitsstandes zu ermöglichen. Die bis dahin angepassten bzw. entwickelten Reifegradmodelle einschließlich der zugrunde liegenden Ergebnisse und des jeweiligen Entwicklungsstands sind der Auftraggeberin in Form eines Zwischenberichts und einer Zwischenpräsentation i vorzulegen.

• 4 -

[Seite 4]

Im Rahmen des Projekts sollen zudem möglichst frühzeitig relevante Akteurinnen und Akteure bzw. Expertinnen und Experten identifiziert und involviert werden. Aus diesem Grund sind Formate zum Kommunikations- und Stakeholdermanagement mit entsprechenden Abstimmungsprozessen, Partizipationsformaten und -plattformen – z. B. in Form von Arbeitsgruppen und/oder eines Fachbeirats – vorzulegen und Bedarfe systematisch zu erheben, zu bewerten und darauf aufbauend Empfehlungen zu entwickeln. Ebenso sind regelmäßige Absprachen mit der Auftraggeberin einzuplanen.

Sowohl bei der Konzeption der Reifegradmodelle als auch bei der Datenerhebung sind insbesondere die Erkenntnisse aus der Begleitevaluation des DigitalRadar Krankenhaus zu berücksichtigen. Ferner sind relevante Vorarbeiten, Ergebnisse und Daten aus weiteren (früheren) Projekten zu berücksichtigen, um darauf aufzubauen und die Arbeit auf bestehenden Grundlagen fortzuführen.

Modul 2: Technische Bereitstellung und Betrieb des Erhebungsinstruments bzw. der Erhebungsplattform sowie Durchführung der Erhebung [technische Umsetzung und Datenerhebung]

Der Schwerpunkt von Modul 2 liegt auf der technischen Umsetzung, Bereitstellung und dem Betrieb des Erhebungsinstruments bzw. der Erhebungsplattform sowie auf der operativen Durchführung der Datenerhebung. Basierend auf den in Modul 1 entwickelten Reifegradmodellen ist ein digitales Erhebungsinstrument technisch umzusetzen, das eine standardisierte Selbsterfassung des IT- und Digitalisierungsgrads der systemrelevanten Gesundheitseinrichtungen ermöglicht. Dabei ist darauf zu achten, dass der Erhebungsaufwand für die teilnehmenden Einrichtungen weitestmöglich minimiert wird.

Das Erhebungsinstrument ist über eine geeignete Plattform zur standardisierten Selbsterfassung bereitzustellen und zu betreiben. Aufgrund der Sensibilität der im Rahmen der Selbsteinschätzung erhobenen Informationen, insbesondere im Bereich IT-Sicherheit und digitaler Infrastruktur, sind Datenschutz, Informationssicherheit und Datensicherheit bei der Konzeption, Bereitstellung und dem Betrieb des Erhebungsinstruments besonders zu berücksichtigen. Der Auftragnehmer hat geeignete technische und organisatorische Maßnahmen nach dem Stand der Technik vorzusehen und in einem Datenschutz- und Datensicherheitskonzept darzustellen. Dabei sind insbesondere die Vertraulichkeit der Angaben, der Schutz vor unbefugtem Zugriff, die sichere Übertragung und Speicherung der Daten sowie die Wahrung der Anonymität der teilnehmenden Einrichtungen in Auswertungen und Darstellungen sicherzustellen.

Im Vorfeld der Datenerhebung sind sämtliche administrativen, organisatorischen und datenschutzrechtlichen Grundlagen für die Erfassung auszuarbeiten und festzulegen. Dies umfasst insbesondere den Erhebungszeitraum, die Ansprache der teilnehmenden systemrelevanten Gesundheitseinrichtungen bzw. ihrer Vertreterinnen und Vertreter, den Zeitaufwand für die Teilnahme, die Bereitstellung von Erklärungsformaten, Schulungskonzepten und Informationsmaterialien für die Teilnehmenden, die Vermeidung von Mehrfachteilnahmen, den Umgang mit Anonymität, die Sicherstellung der Vollständigkeit der Angaben, die Durchführung von Plausibilitätschecks sowie die Speicherung der Daten.

Für die Gewährleistung eines reibungslosen Ablaufs ist das Vorgehen im Vorfeld mit den wesentlichen Stakeholdern abzustimmen und zu koordinieren. Erhebungsinstrument und Plattform sind vor Beginn der Datenerhebung einem Pretest zu unterziehen und auf dieser Grundlage bei Bedarf anzupassen. Dabei sind insbesondere die Verständlichkeit der Fragen und Erläuterungen, die intuitive Nutzerführung, die technische Funktionsfähigkeit, die Browserkompatibilität, die arbeitsteilige Bearbeitung, der Bearbeitungsaufwand sowie die Funktionsfähigkeit der Plausibilitätsprüfungen und Hilfestellungen zu testen. Auf Grundlage der Ergebnisse sind das Erhebungsinstrument und die Plattform bei Bedarf anzupassen.

• 5 -

[Seite 5]

Für die Gesamtatenerhebungszeiträume sind jeweils bis zu 4.000 Einrichtungen zu berücksichtigen. Die Daten sollen in standardisierter Form erhoben und so bereitgestellt werden, dass sie eine wissenschaftliche Auswertung sowie weitergehende Analysen ermöglichen. Zudem sind geeignete technische Voraussetzungen für intuitive und interaktive Darstellungsformen in Form eines Dashboards mit Downloadmöglichkeit der hinterlegten Daten zu schaffen. Hierzu sollen insbesondere geeignete Filter-, Auswahl- und Vergleichsfunktionen vorgesehen werden, mit denen unterschiedliche Subkohorten differenziert betrachtet und Entwicklungen im Zeitverlauf nachvollzogen werden können. Die dargestellten Ergebnisse und die zugrunde liegenden Daten sollen in geeigneten Formaten heruntergeladen und für weiterführende Auswertungen genutzt werden können. Das Dashboard ist verständlich, anwenderfreundlich und technisch so auszugestalten, dass auch umfangreiche Datensätze performant verarbeitet und die Darstellungen bei weiteren Erhebungswellen fortgeschrieben werden können. Dabei ist sicherzustellen, dass dynamische Vergleiche von Subkohorten ermöglicht werden, ohne die Anonymität der teilnehmenden Einrichtungen zu gefährden. Darüber hinaus soll für Krankenhäuser die Möglichkeit bestehen vormalige Ergebnisse des DigitalRadar zu importieren. Soweit methodisch und technisch möglich, sollen vergleichbare Inhalte bzw. Items aus den bisherigen DigitalRadar-Erhebungen und den neuen Erhebungen einander zugeordnet werden, um longitudinale Vergleiche auf Einrichtungsebene zu ermöglichen.

Für die zweite und dritte Datenerhebungszeiträume sind das Erhebungsinstrument und die Plattform entsprechend den Erfahrungen und Erkenntnissen aus den vorherigen Erhebungswellen technisch und organisatorisch weiterzuentwickeln und anzupassen. Hierbei ist zu beachten, dass durch die Modifikationen die Vergleichbarkeit der Messzeitpunkte gewährleistet bleibt. Soweit erforderlich, können auch geringfügige inhaltliche Anpassungen am Erhebungsinstrument vorgenommen werden, sofern diese ebenfalls die Vergleichbarkeit der Messzeitpunkte nicht beeinträchtigen. Im Anschluss sind die zweite und dritte Datenerhebung mit jeweils bis zu 4.000 Einrichtungen durchzuführen.

Modul 3: Wissenschaftliche Auswertung der Erhebung bzw. Selbsteinschätzung und Analyse des longitudinalen Verlaufs

Der Schwerpunkt von Modul 3 liegt auf der wissenschaftlichen Auswertung der im Rahmen der Erhebungen bzw. Selbsteinschätzungen gewonnenen Daten sowie auf der Analyse longitudinaler Entwicklungen sowie der Einordnung der Ergebnisse in nationale und internationale Kontext und Entwicklungen. Die in Modul 2 standardisiert erhobenen Daten sind zu prüfen, wissenschaftlich auszuwerten und für die Auftraggeberin sowie relevante Stakeholder aufzubereiten. Die Erhebungsdaten sind der Auftraggeberin oder einer von ihr benannten Stelle einschließlich einer vollständigen Variablen- und Wertedokumentation (Codebuch) sowie der Auswertungssyntax in einem gängigen, auswertbaren Format zur Verfügung zu stellen; die Bereitstellung erfolgt zu den vereinbarten Meilensteinen, im Übrigen bei Vertragsende. Die gegenüber den teilnehmenden Einrichtungen zugesagte Vertraulichkeit ist dabei zu wahren.

Die Ergebnisse der ersten Erhebung sind auszuwerten, in Form eines Zwischenberichts zusammenzufassen und der Auftraggeberin zu präsentieren. Die Auswertung soll insbesondere den IT- und Digitalisierungsgrad der systemrelevanten Gesundheitseinrichtungen beschreiben und differenzierte Betrachtungen nach relevanten Subkohorten ermöglichen. Die Ergebnisse sollen zudem so aufbereitet werden, dass sie in intuitive und interaktive Darstellungsformen, insbesondere ein Dashboard, überführt bzw. dort dargestellt werden können.

Für die zweite und dritte Erhebung ist die wissenschaftliche Auswertung entsprechend fortzuführen. Dabei sind die Ergebnisse der einzelnen Erhebungswellen vergleichend zu analysieren. Die Auswertung umfasst insbesondere eine vergleichende Analyse der Erst-, Zweit- und Drittmessung zur Darstellung von Trends und longitudinalen Verläufen. Auf dieser Grundlage

• 6 -

[Seite 6]

sollen Veränderungen und Effekte in Bezug auf den IT-Sicherheits- und Digitalisierungsgrad sowie auf die Verbesserung der Resilienz bzw. der regionalen Versorgungsfähigkeit im Krisenfall im Zeitverlauf aufgezeigt werden.

Bei der wissenschaftlichen Auswertung ist zugleich zu berücksichtigen, dass grundsätzliche Fortschritte der IT-Sicherheit und Digitalisierung des Gesundheitswesens in die Interpretation der Ergebnisse einbezogen werden. Darüber hinaus sind die Ergebnisse in den nationalen und internationalen Kontext einzuordnen und, soweit methodisch möglich, mit einschlägigen nationalen und internationalen Ergebnissen zu vergleichen. Hierzu zählen u.a. die Ergebnisse des DigitalRadar Krankenhaus.

Die Ergebnisse der zweiten und dritten Erhebung sowie die Analyse des longitudinalen Verlaufs sind in einem weiteren Zwischenbericht und einem Abschlussbericht zusammenzufassen und der Auftraggeberin zu präsentieren. Darüber hinaus sind auf Wunsch der Auftraggeberin Sonderanalysen in begrenztem Umfang zu Einzelthemen durchzuführen.

Modul 4: Begleitevaluation

Die gesamte Projektlaufzeit soll außerdem von Maßnahmen der Prozess- und Ergebnisevaluation flankiert werden. Durch die fortlaufende Evaluation sollen mögliche Herausforderungen bei der Durchführung aufgedeckt und notwendige Anpassungen vorgenommen werden. Zudem soll der Aufwand, die Nutzererfahrung, die Datenqualität und Datenverfügbarkeit evaluiert und Lessons Learned abgeleitet werden. Die Ergebnisse sollen Hinweise darauf geben, inwieweit eine nachhaltige Verwendung und gegebenenfalls Erweiterung des Reifegradmodells über die Projektlaufzeit hinaus möglich und fachlich sinnvoll ist.

3. Leistungsumfang a) Konzeption und Durchführung einer Evaluation des Sofortprogrammes Die wissenschaftliche Begleitung umfasst dabei insbesondere:
4. Fortführung und Weiterentwicklung des bestehenden wissenschaftlichen Begleitmodells im Rahmen nach § 14b KHG „DigitalRadar Krankenhaus“,
5. Entwicklung von Reifegradmodellen für alle systemrelevanten Gesundheitseinrichtungen entlang der kritischen (Akut-)Versorgungskette außerhalb der Krankenhäuser (Anzahl der Einrichtungen bis 2.200 Einrichtungen; Hinweis: In jedem Fall ist ein Modell zu entwickeln, sofern für die jeweiligen Sektoren ein einrichtungsbezogener Reifegrad erhoben werden kann. Es kann ein Modell oder – falls erforderlich – mehrere spezifische Modelle nach Einrichtungstyp entwickelt werden. Ziel ist es, einen einheitlichen Rahmen zu schaffen, die Handhabbarkeit zu erhöhen, die Anzahl der Modelle möglichst gering zu halten und zugleich sektoren- bzw. einrichtungsübergreifend vergleichbare Ergebnisse zu ermöglichen.),
6. Durchführung und Analyse der Selbsteinschätzungen der systemrelevanten Gesundheitseinrichtungen und Überprüfung von Wirkungszielen und Indikatoren, b) Durchführung von Analysen und Berichterstattung
7. Erstellung von Zwischen- und Abschlussberichten sowie Präsentation der Ergebnisse,
8. Einordnung der Ergebnisse und Ableitung von Empfehlungen, z. B. für die Programmsteuerung,
9. Einordnung der Ergebnisse in den nationalen und internationalen Kontext,
10. Sekundäranalyse und Vergleich mit den Ergebnissen des DigitalRadar Krankenhaus sowie internationalen Daten,
11. Matching der Projektergebnisse mit vorherigen Erhebungen des DigitalRadar, um einen Panelvergleich zu ermöglichen c) Durchführung einer Begleitevaluation
12. Evaluation des Aufwands, der Nutzererfahrung, der Datenqualität und -verfügbarkeit sowie die Ableitung von „Lessons Learned“

• 7 -

[Seite 7]

d) Zu untersuchende Einrichtungstypen Die Evaluation fokussiert sich auf folgende sieben Einrichtungstypen:

1. Krankenhäuser (alle Trägerformen und Versorgungsstufen, ausgenommen sind reine Privatkrankenhäuser nach § 30 GewO ohne Zulassung nach § 108 SGB V)

2. Große Medizinische Versorgungszentren (MVZ) (über den NIS-2-Einschlusskriterien; über 50 MA/10 Mio. Jahresumsatz; ggf. auch überörtliche Strukturen)

3. Medizinische Labore (Laboratoriumsmedizin, Pathologie, Mikrobiologie)

4. Pharmagroßhandel mit Krankenhausversorgung als Schwerpunkt

5. Blut- und Plasmaversorgende Einrichtungen für Krankenhäuser

6. Krankenhausapotheken und krankenhausversorgende Apotheken

7. Arztpraxen mit radiologischen Leistungen für Krankenhäuser (keine Rettungsdienste)

8. Anforderungen an den Bietenden: Grundsätzlich ist die Erbringung der Leistung in Form eines interdisziplinären Konsortiums bzw. einer interdisziplinären Bietergemeinschaft möglich. In diesem Fall sind im Angebot die Aufgabenverteilung innerhalb des Konsortiums bzw. der Bietergemeinschaft, die jeweiligen fachlichen Verantwortlichkeiten sowie die vorgesehenen Abstimmungs- und Entscheidungswege nachvollziehbar darzustellen. Die Bieter haben mit ihren Angeboten ein Umsetzungskonzept vorzulegen. Dieses muss die geplante Vorgehensweise für die Erbringung der Gesamtleistung sowie die nachfolgend genannten modulbezogenen und übergreifenden Bestandteile enthalten. Die modulbezogenen Kurzkonzepte und der Konzeptentwurf für die Reifegradmodelle sind Bestandteile dieses Umsetzungskonzepts und müssen nicht zusätzlich als eigenständige Dokumente eingereicht werden.

In dem Umsetzungskonzept sind die Qualität der vorgesehenen Leistungserbringung, die beabsichtigte Vorgehensweise und die ausgewählten Methoden für die einzelnen Aufgaben im Rahmen der Leistungserbringung nachvollziehbar darlegen und die Auswahl begründen. Darüber hinaus sind insbesondere die Projektorganisation, die fachlichen und personellen Zuständigkeiten, die zeitliche und inhaltliche Abfolge der Arbeitsschritte, die Schnittstellen zwischen den Modulen, die Abstimmung mit der Auftraggeberin und relevanten Stakeholdern, die Qualitätssicherung sowie der Umgang mit Risiken und möglichen Verzögerungen darzustellen.

Für jedes der vier Module ist innerhalb des Umsetzungskonzepts ein gesondertes Kurzkonzept vorzulegen. Die Kurzkonzepte müssen jeweils mindestens folgende Inhalte umfassen:

1. Zielsetzung und Verständnis der modulbezogenen Aufgabenstellung,
2. vorgesehene Arbeitsschritte und Methoden,
3. vorgesehene Ergebnisse und zu erbringende Leistungen,
4. zeitliche Planung und wesentliche Meilensteine,
5. fachliche und personelle Zuständigkeiten,
6. Abhängigkeiten und Schnittstellen zu den anderen Modulen sowie
7. Maßnahmen zur Qualitätssicherung.

Die mit dem Angebot eingereichten Kurzkonzepte sind nach der Beauftragung in Abstimmung mit der Auftraggeberin weiter zu konkretisieren und zu finalisieren.

Zudem ist als Bestandteil des Kurzkonzepts zu Modul 1 ein Konzeptentwurf für die Anpassung des DigitalRadar sowie für die Entwicklung eines oder mehrerer zusätzlicher Reifegradmodelle vorzulegen. Der Konzeptentwurf muss insbesondere erkennen lassen, • wie nationale und internationale Standards sowie relevante regulatorische, branchen- und einrichtungsspezifische Vorgaben berücksichtigt werden,

• 8 -

[Seite 8]

• wie mit den unterschiedlichen strukturellen, organisatorischen, personellen und technischen Voraussetzungen der verschiedenen Einrichtungsarten umgegangen werden soll, • wie die Verständlichkeit, Anwendbarkeit und Anwenderfreundlichkeit der Reifegradmodelle sichergestellt werden sollen und • wie die Modelle sowohl für die übergreifende Evaluation als auch für das interne Monitoring und die Steuerung in den teilnehmenden Einrichtungen genutzt werden können.

Zudem ist einem klar erkennbaren Abschnitt des Umsetzungskonzeptes darzustellen, wie Anforderungen an Datenschutz, Informationssicherheit und Datensicherheit, insbesondere mit Blick auf die Sensibilität der zu erhebenden Angaben, berücksichtigt und umgesetzt werden.

Bezüglich möglicher Limitationen des Evaluationsvorhabens ist Stellung zu nehmen. Es sind konkrete Abbruchmeilensteine zu definieren. Zudem müssen Maßnahmen aufgezeigt werden, die eine Übergabe der Materialien und des gegenwärtigen Projektstands an die Auftraggeberin zu jedem Zeitpunkt ermöglichen. Das Umsetzungskonzept soll einen Umfang l 50 DIN A4 Seiten nicht überschreiten. Der Auftragnehmer übergibt der Auftraggeberin die Reifegradmodelle einschließlich Modellgrundlagen, Auswertungsmatrix und Bewertungsalgorithmus, das Erhebungsinstrument und die Erhebungsplattform einschließlich Quellcode, Datenbankschema und Konfigurationsdateien sowie das Dashboard, jeweils einschließlich der zugehörigen Methoden-, Modell-, Build- und Betriebsdokumentation, in dokumentierter, lauffähiger und weiterentwicklungsfähiger Form; die Arbeitsergebnisse müssen von einem sachkundigen Dritten ohne Mitwirkung des Auftragnehmers betrieben und weiterentwickelt werden können. Methode und Zeitpunkt der Übergabe bestimmt die Auftraggeberin; unabhängig hiervon ist der jeweils aktuelle Stand nach Abschluss jeder Erhebungswelle sowie bei Vertragsende zu übergeben. Die vollständige Übergabe ist Voraussetzung der Abnahme. Vorvertragliche Arbeiten (eigene Bestandskomponenten des Auftragnehmers, Werke Dritter, quelloffene Bestandteile), auf denen die Arbeitsergebnisse beruhen, sind bereits mit dem Angebot einschließlich ihrer Lizenzbedingungen zu benennen. An eigenen Bestandskomponenten sind der Auftraggeberin die für Nutzung, Betrieb, Bearbeitung und Weiterentwicklung erforderlichen Rechte einzuräumen; bei Werken Dritter genügt der Nachweis, dass die Auftraggeberin die erforderlichen Rechte zu marktüblichen Bedingungen unmittelbar erwerben kann. Der Einsatz von Bestandteilen, die die dauerhafte oder weiterentwicklungsfähige Nutzung durch die Auftraggeberin ausschließen oder von fortlaufenden Entgelten abhängig machen, bedarf der vorherigen Zustimmung der Auftraggeberin in Textform. Die Auftraggeberin behält sich vor, das Projekt zusätzlich extern zu evaluieren. Der Auftragnehmer hat die hierfür erforderlichen Abstimmungen zu unterstützen und die erforderlichen Unterlagen und Informationen im rechtlich und datenschutzrechtlich zulässigen Umfang bereitzustellen. Eine Weitergabe der im Rahmen des Projekts erhobenen Rohdaten an Dritte zu wissenschaftlichen Forschungszwecken ist nicht zulässig. Eigenständige wissenschaftliche Veröffentlichungen des Auftragnehmers auf Grundlage der im Projekt gewonnenen Daten oder Ergebnisse sind vorab mit der Auftraggeberin abzustimmen und bedürfen deren Zustimmung. Barrierefreiheit und die daran anknüpfenden gesetzlichen Rahmenbedingungen sind bei der Erstellung der Materialien und Berichte sowie des Erhebungsinstruments durchgehend zu berücksichtigen. Möglichkeiten zur Veröffentlichung der Studienergebnisse sind gemeinsam mit der Auftraggeberin abzustimmen und bedürfen deren Zustimmung.

5. Termine und Leistungsumfang: Die gesamte Evaluationsdauer beträgt voraussichtlich 36 Monate ab Zuschlagserteilung. Das Projekt ist bis spätestens zum 31.12.2029 abzuschließen. Der genaue Zeitplan wird in Abstimmung mit dem Auftraggeber festgelegt.

• 9 -

[Seite 9]

Im Angebot ist ein Kick-off-Treffen mit der Auftraggeberin einzuplanen und zu organisieren. In der Frühphase des Projekts sind außerdem wöchentliche halbstündige Jour Fixe über Videokonferenz sowie monatliche Sachstandsberichte (max. 1 Seite) in der Planung zu berücksichtigen. Es sind zudem Kapazitäten für Beteiligungen an Gremiensitzungen (ca. 1- 2 pro Halbjahr) oder anderen Veranstaltungen vorzusehen. Es sind drei Erhebungszeiträume mit jeweils einrichtungsgruppenspezifisch festzulegenden Messzeitpunkten mit jeweiligen Ergebnisberichten sowie eine Abschlussmessung mit Abschlussbericht vorzusehen. Das finale Methoden- und Modellkonzept (Modul 1) ist ebenfalls in einem gesonderten Bericht darzustellen. Ein Entwurf des barrierefreien Abschlussberichts ist gemeinsam mit der Schlussrechnung bis spätestens zum 15. November 2029 vorzulegen; der überarbeitete finale Abschlussbericht soll im Anschluss eingereicht werden. Die Ergebnisse der einzelnen Module sowie der Abschlussbericht sind der Auftraggeberin im Rahmen einer Präsentation vorzustellen. Zusätzliche Berichte und Präsentationen, zum Beispiel zu einzelnen Meilensteinen, können von der Auftragnehmerin vorgeschlagen werden. Der Auftragnehmende hat der Auftraggeberin zudem geeignete Inhalte und Materialien für die zentrale Webseite des Sofortprogramms Cybersicherheit zur Verfügung zu stellen. Hierzu zählen insbesondere Projektinformationen, Informations- und Unterstützungsmaterialien, FAQs sowie freigegebene Zwischen- und Endergebnisse. Der Auftragnehmende verpflichtet sich zudem, mit dem Projektträger des Förderprogrammes sowie anderen Akteurinnen und Akteuren des Sofortprogrammes Cybersicherheit, inhaltlich unterstützend zusammenzuarbeiten.

Hinweise zu den angegebenen Terminen und Zeiträumen Die in dieser Leistungsbeschreibung angegebenen Termine und Zeiträume bilden den vorläufigen Zeitplan ab. Der Zeitplan für die Leistungserbringung – und damit auch die Termine und Zeiträume – kann sich insoweit noch verschieben. Die Bewerber bzw. Bieter werden hierüber entsprechend unterrichtet.