[Seite 1]
B1_Leistungsbeschreibung
Leistungsbeschreibung
im Vergabeverfahren
Beschaffung einer App zum Training von Kognition und Sprache
bei neurologischen Erkrankungen
Vergabenummer:
BV 1005258
Im Interesse der Lesbarkeit wird nicht ausdrücklich in geschlechtsspezifischen Personenbezeichnungen differenziert. Die jeweils gewählte Form schließt sämtliche Formen gleichberechtigt ein.
1
[Seite 2]
B1_Leistungsbeschreibung
Inhalt
1 Auftraggeberin ......................................................................................................... 2 1.1 Portrait der DAK-Gesundheit ............................................................................... 3 1.2 Fachbereich ......................................................................................................... 4 2 Gegenstand der Beschaffung ................................................................................. 4 2.1 Kurze Beschreibung der Leistung ....................................................................... 4 2.2 Laufzeit ................................................................................................................. 4 2.3 Nutzerzahl ............................................................................................................ 5 3 Zielsetzung............................................................................................................... 5 3.1 Ausgangslage ...................................................................................................... 5 3.2 Zielzustand ........................................................................................................... 5 3.3 Verbindung zu den Anforderungen ...................................................................... 5 4 Anforderungen an die Leistung ............................................................................... 6 4.1 Anforderungen werden nach dem folgenden Kriterium bewertet: ...................... 6 4.2 A-Kriterien ............................................................................................................ 6 5 Allgemeine technische Anforderungen ................................................................... 7 5.1 Teilnahme für Versicherte der DAK-Gesundheit ................................................. 7 5.2 Betrieb und Erreichbarkeit ................................................................................... 8 5.3 Reporting zu Störungen und Ausfällen ............................................................... 8 5.4 Wartungsarbeiten ................................................................................................. 8 5.5 Software-Updates und Releasewechsel ............................................................. 8 5.6 Nutzbarkeit ........................................................................................................... 9 5.7 Abrechnung .......................................................................................................... 9 6 Öffentlichkeitsarbeit ................................................................................................. 9 7 Auswertungen zur Nutzung (Reporting) ................................................................. 9 8 Datenschutz und Datensicherheit ......................................................................... 10 8.1 Anforderungen Datenschutz .............................................................................. 10 8.2 Anforderungen zur Informationssicherheit ........................................................ 10 9 Einzureichende Unterlagen ................................................................................... 12 9.1 Testzugang ......................................................................................................... 12
2
[Seite 3]
B1_Leistungsbeschreibung
1 Auftraggeberin
1.1 Portrait der DAK-Gesundheit Die DAK-Gesundheit gehört zu Deutschlands größten Krankenkassen: über 5,4 Millionen Menschen schenken uns ihr Vertrauen. Mit mehr als 10.000 Mitarbeiterinnen und Mitarbeitern ist die DAK-Gesundheit an rund 400 Standorten bundesweit vertreten. Das Geschäftsstellennetz ist von Norden bis Süden in insgesamt vier Geschäftsgebiete aufgeteilt. Die DAK-Gesundheit ist eine Ersatzkasse mit Selbstverwaltung und Mitglied im Verband der Ersatzkassen (vdek). Wir unterstützen auf vielfältige Weise sowohl beim Gesundwerden als auch beim Gesundbleiben – und das bereits seit 250 Jahren. Eine hochwertige Versorgung der Versicherten, ausgezeichnete Leistungen und ein umfassender Kundenservice stehen bei der DAK-Gesundheit im Mittelpunkt.
Die DAK-Gesundheit ist eine Körperschaft des öffentlichen Rechts mit Selbstverwaltung. Sie unterliegt dem Solidarprinzip. Das heißt: allen Versicherten stehen die gleichen Leistungen zu; Beitrag, persönliche gesundheitliche Risiken, Eintrittsalter oder Familienstand spielen keine Rolle. Als große bundesweite gesetzliche Krankenkasse gleicht die DAK-Gesundheit intern die unterschiedliche wirtschaftliche Leistungsfähigkeit der verschiedenen Regionen Deutschlands aus. Jedes Mitglied der DAK-Gesundheit hat somit, egal wo es wohnt, die gleichen Ansprüche und profitiert von den Diensten und Kenntnissen einer bundesweit agierenden Kasse.
Die DAK-Gesundheit verfolgt das Ziel, zur Erhöhung der Attraktivität ihrer Dienstleistungen, ihren Versicherten und Partnern ständig verbesserte digitale Service-Angebote zu unterbreiten. Dabei geht es bei den digitalen Lösungen nicht nur um die Kommunikation mit der Krankenkasse. Genauso wichtig ist, dass wichtige Dokumente nicht nur nicht mehr verloren gehen, sondern deren Inhalte für alle Akteure im Gesundheitswesen komfortabel und sinnvoll nutzbar sind. Behandlungen können auch per Video durchgeführt oder z.B. von Spezialisten aus der Ferne begleitet werden. Nutzerfreundliche Apps (verordnet oder optional) ergänzen die Behandlung sowie die Vorsorge. Künstliche Intelligenz hilft an zahlreichen Stellen sowohl den Kunden als auch Leistungserbringern oder Krankenkassen.
Name: DAK-Gesundheit
Rechtsform: Körperschaft des öffentlichen Rechts
Anschrift Zentrale: DAK-Gesundheit Nagelsweg 27-31 20097 Hamburg
Versicherte: 5,4 Millionen
Mitglieder: 5,4 Millionen
Geschäftsstellen: rund 300 bundesweit
Mitarbeiter: 10.700
3
[Seite 4]
B1_Leistungsbeschreibung
1.2 Fachbereich Zu den Aufgaben der DAK-Gesundheit gehört auch die Versorgung von Versicherten mit neurologischen Erkrankungen. Sowohl die Akutversorgung als auch die Versorgung und Begleitung in der chronischen Phase zählt zu Kernaufgaben der DAK-Gesundheit.
Eine optimale Versorgung ist transsektoral zu gestalten, so dass alle Beteiligten im Gesundheitswesen interdisziplinär zusammenarbeiten können. Der Übergang vom stationären Bereich in den ambulanten ist gekennzeichnet durch teils erschwerte Terminfindungen bei Ärzten und Leistungserbringern. Häufig entstehen an dieser Stelle Versorgungslücken, die einer zügigen Rekonvaleszenz entgegenstehen.
Die DAK-Gesundheit wird ihr Leistungsspektrum somit um ein digitales Produkt erweitern, welches Wartezeiten überbrückt und ein eigenständiges Training ermöglicht.
2 Gegenstand der Beschaffung
2.1 Kurze Beschreibung der Leistung Gegenstand der Beschaffung sind Lizenzen für eine App zur verbesserten Versorgung von Versicherten mit Einschränkungen im Bereich der Kognition und Sprache in Folge von neurologischen Erkrankungen. Inhalt der App sollen Übungen zum Training der unterschiedlichen Kompetenzbereiche Sprache, Kognition, Gedächtnis und Aufmerksamkeit sein. Die Entscheidung über die Leistungsberechtigung der betroffenen Versicherten obliegt der DAK-Gesundheit im Einzelfall.
Der Schlüssel zu einer erfolgreichen neurologischen Rehabilitation im therapeutischen Bereich ist eine hohe Trainingsintensität nach dem Erkrankungsereignis sowohl in der Akut- als auch in der chronischen Phase.
Der Einsatz der App soll in beiden Phasen sinnvoll sein. Der Fokus der Anwendung soll auf einer nachhaltigen Motivierung zum eigenständigen und selbstverantwortlichen Training liegen und Schwankungen in der Leistungsstärke des Users aufgreifen und berücksichtigen. Dabei soll die Entwicklung von Trainingsroutinen den User unterstützen.
Eine medizinische Beratung darf in der App nicht erfolgen.
Da die App nur leistungsberechtigten Versicherten ab dem 18. Lebensjahr der DAK- Gesundheit zur Verfügung gestellt werden soll, ist eine Identifikation der Nutzenden notwendig. Genaue Abstimmung für eine Implementierung und/oder zur Prüfung der Leistungsberechtigung des Users erfolgt nach Absprache zwischen Hersteller und der DAK-Gesundheit und muss DSGVO-konform sein.
4
[Seite 5]
B1_Leistungsbeschreibung
2.2 Laufzeit Der Vertrag soll eine Mindestlaufzeit von 12 Monaten haben. Die Vertragslaufzeit (Start der Lizenzabnahme) beginnt mit dem Zuschlag. Der Vertrag verlängert sich automatisch einmal um 12 Monate, sofern die DAK-Gesundheit den Vertrag nicht mit einer Frist von 3 Monaten vor Ablauf von 12 Monaten kündigt. Die maximale Laufzeit beträgt somit 24 Monate.
2.3 Nutzerzahl Die Nutzung der App ist für Mitglieder der DAK-Gesundheit kostenfrei und soll für eine definierte Zeitspanne von mindestens 6 Monaten ab Aktivierung zur Verfügung stehen. Zur Kalkulationsgrundlage für die Bieter geht die DAK-Gesundheit von einer erwarteten Nutzerzahl von bis zu 1.000 aktiven Usern pro Jahr aus. Diese Angabe dient ausschließlich der Kalkulation und begründet keine Abnahmegarantie seitens der DAK-Gesundheit. Die Abrechnung erfolgt auf Lizenzbasis pro registrierte User.
3 Zielsetzung
3.1 Ausgangslage
Beim Übergang von der stationären in die ambulante Versorgung neurologisch erkrankter Versicherter entstehen aufgrund erschwerter Terminfindung bei Ärzten und Leistungserbringern Versorgungslücken, die eine zügige Rekonvaleszenz erschweren. Ein eigenständiges, strukturiertes Training in dieser Übergangsphase ist derzeit nicht systematisch verfügbar.
3.2 Zielzustand
Mit der Beschaffung sollen Versicherte mit Einschränkungen in Kognition und Sprache in Folge neurologischer Erkrankungen befähigt werden, die Wartezeit bis zur bzw. parallel zur Regelversorgung mit einem eigenständigen, evidenzbasierten Training zu überbrücken. Die App soll dabei die Trainingsintensität erhöhen, kontinuierliche Nutzung fördern und individuelle Leistungsschwankungen berücksichtigen. Die App soll insofern die krankheitsspezifischen individuellen Symptome der Betroffenen adressieren.
Die App für neurologisch erkrankte Versicherte soll Betroffene in der Therapie begleiten und sie dabei unterstützen, selbstbestimmt, eigenverantwortlich und regelmäßig zu trainieren. Krankheitsverlauf und Krankheitsschübe sollen dadurch positiv beeinflusst werden und die Lebensqualität der Betroffenen soll steigen. Dadurch erreicht die DAK-Gesundheit eine erhöhte Zufriedenheit der Betroffenen sowie mittelbar deren sozialen Umfelds. So sollen auch konkret Leistungskosten in der Versorgung durch die Nutzung der App gesenkt werden.
3.3 Verbindung zu den Anforderungen
Aus den Zielen 3.2 leiten sich unmittelbar die A-Kriterien in Kapitel 4 ab. 5
[Seite 6]
B1_Leistungsbeschreibung
4 Anforderungen an die Leistung
4.1 Anforderungen werden nach dem folgenden Kriterium bewertet:
[A] = Ausschlusskriterium: Die Nichterfüllung einer als Ausschlusskriterium gekennzeichneten Anforderung [A] führt zwingend zum Ausschluss des Angebotes (KO-Kriterium)
Sämtliche in diesem Abschnitt zwingenden Anforderungen an die Leistung sind als Ausschlusskriterien [A] formuliert. Der Zuschlag erfolgt daher ausschließlich anhand des Kriteriums niedrigster Gesamtpreis (§ 58 Abs. 2 VgV).
4.2 A-Kriterien
[A] Die in der App enthaltenen Trainingsinhalte und -methoden müssen auf wissenschaftlicher Evidenz beruhen. Mit dem Angebot ist ein schriftlicher Evidenznachweis einzureichen (z. B. Wirksamkeitsstudie zur Methode oder zum Produkt, Fachpublikation oder vergleichbarer Beleg).
[A] Die App muss durch den Versicherten eigenständig nutzbar sein, ohne dass vorab Einstellungen oder Freischaltungen durch Dritte (z. B. Arzt, Therapeut) erforderlich sind. Nachweis: Verprobung im Rahmen des Testzugangs (Ziffer 9.1).
[A] Die App muss Training der Kompetenzbereiche Sprache, Kognition, Aufmerksamkeit und Gedächtnis anbieten. Nachweis: Verprobung im Testzugang.
[A] Die App muss dem User einsehbare Berichte zu Trainingsaktivität und Leistungsentwicklung bereitstellen. Nachweis: Verprobung im Testzugang.
[A] Die App muss die Trainingsinhalte an die individuelle Gesundheitssituation des Users anpassen (z. B. durch Fragebogen bei Erstanmeldung oder systemseitige Erkennung der Leistungsstärke). Nachweis: Beschreibung im Angebot und Verprobung im Testzugang.
[A] Die App muss auf Deutsch verfügbar sein. Nachweis: Verprobung im Testzugang.
[A] Die App muss den Anforderungen der Barrierefreiheit gemäß WCAG 2.1, Konformitätsstufe AA, entsprechen. Nachweis: Eigenerklärung des Bieters mit dem Angebot und Verprobung im Testzugang.
[A] Die App muss über eine sichtbare Fortschrittsdarstellung verfügen (z. B. Symbole, Punkte, Level, Sterne), die dem User seinen Trainingserfolg visualisiert. Nachweis: Verprobung im Testzugang.
6
[Seite 7]
B1_Leistungsbeschreibung
[A] Die Trainingsinhalte müssen dem User in strukturierter Form als abgrenzbare Aufgaben oder Lektionen angeboten werden (z. B. Quiz, Wochenplan). Nachweis: Verprobung im Testzugang.
[A] Die App muss die Trainingsinhalte im Verlauf der Nutzung automatisiert an die Leistungsentwicklung des Users anpassen, mindestens im Abstand von 4 Wochen. Nachweis: Beschreibung des Anpassungsalgorithmus im Angebot und Verprobung im Testzugang.
[A] Die App muss eine kontinuierliche Nutzung und Steigerung der Adhärenz unterstützen. Nachweis: Beschreibung der Erinnerungsfunktion und Motivation des Users und Verprobung im Testzugang.
5 Allgemeine technische Anforderungen
Die App und ihre Funktionen (siehe A-Kriterien in Abschnitt 4) müssen durch den Auftraggeber regelmäßig auf Aktualität geprüft und wenn erforderlich angepasst bzw. weiterentwickelt werden. Dies umfasst sowohl die technische Infrastruktur, die technischen und organisatorischen Maßnahmen zum Datenschutz und zur Datensicherheit, als auch die Aktualität der Nutzerclients in der App.
Es ist ein ausdrücklicher Hinweis auf der Benutzeroberfläche aufzunehmen, den die Nutzer der App mindestens bei der Erstanmeldung angezeigt bekommen müssen: “[Name der App] ist kein Angebot der DAK-Gesundheit".
5.1 Teilnahme für Versicherte der DAK-Gesundheit Die Teilnahme für Versicherte der DAK-Gesundheit soll niedrigschwellig und medienbruchfrei erfolgen. Hierfür hat der Auftragnehmer im Rahmen der allgemeinen technischen Anforderungen auch ein Verfahren bereitzustellen, das eine direkte Aktivierung und Authentifizierung der Versicherten über einen von der DAK- Gesundheit bereitgestellten QR-Code, Barcode oder ein technisch gleichwertiges Verfahren ermöglicht.
Der Zugriff soll unmittelbar aus einem Schreiben der DAK-Gesundheit oder einem vergleichbaren Kommunikationsmedium der DAK-Gesundheit heraus erfolgen. Nach dem Scan des QR-Codes bzw. der Erfassung des Barcodes soll die App geöffnet und der Versicherte automatisiert identifiziert sowie – nach erfolgreicher Berechtigungsprüfung – ohne zusätzliche Registrierung oder manuelle Eingabe von Zugangsdaten für die Nutzung freigeschaltet werden.
Der Auftragnehmer kann hierfür beispielsweise tokenbasierte Aktivierungsverfahren, Deep Links oder vergleichbare sichere Authentifizierungsverfahren einsetzen. Die konkrete technische Umsetzung bleibt dem Auftragnehmer überlassen.
Die Nutzung der App darf für Versicherte weder den Abschluss eines kostenpflichtigen Abonnements noch den Erwerb einer Lizenz erfordern. Die Lizenzierung und Abrechnung erfolgen ausschließlich zwischen Auftragnehmer und DAK-Gesundheit auf Grundlage der vertraglich vereinbarten Abrechnungsdaten. Der 7
[Seite 8]
B1_Leistungsbeschreibung
Auftragnehmer muss in der Lage sein, eine unbeschränkte Anzahl an Accounts zur Verfügung zu stellen.
5.2 Betrieb und Erreichbarkeit Der Auftragnehmer gewährleistet den vollumfänglichen Betrieb der App. Dies umfasst die technische Bereitstellung (Hosting) sowie die öffentliche Anbindung an das World Wide Web. Der Auftragnehmer stellt mittels regelmäßiger Wartungen einen aktuellen Stand seiner technischen Infrastruktur sicher. Dies umfasst neben der technischen Infrastruktur, den technischen und organisatorischen Maßnahmen zum Datenschutz und zur Datensicherheit auch die Aktualität der Nutzerclients in der App. Der Auftragnehmer bietet den App-Usern einen Support, an den sich bei Fragen zur App- Nutzung gewendet werden kann. Der Support muss Montag bis Freitag zu den üblichen Geschäftszeiten (9-17 Uhr) zur Verfügung stehen. Als Kommunikationswege können ein Kontaktformular, E-Mailadresse, telefonische Hotline oder ein Chat bereitgestellt werden. In diesem Rahmen müssen die User mindestens bei Fragen zur Anmeldung in der App sowie bei technischen Schwierigkeiten innerhalb von 2 Werktagen Unterstützung bekommen.
Die App steht den Teilnehmerinnen an 7 Tagen die Woche für 24 Stunden am Tag zur Verfügung. Der Auftragnehmer garantiert über die gesamte Vertragslaufzeit eine Verfügbarkeit von 99% im Monatsmittel. Geplante und nicht durch die Software verursachte Ausfallzeiten bleiben dabei unberücksichtigt.
5.3 Reporting zu Störungen und Ausfällen Der Auftragnehmer stellt der DAK-Gesundheit Reportings über Störungen und Ausfälle zur Verfügung. Dies erfolgt in folgender Form:
Jeweils am 5. Werktag des Folgemonats für den Vormonat
Format CSV
Datum, Uhrzeit, Dauer, Ursache, Uhrzeit der Behebung, Lösung der Störung, bzw. des Ausfalls
5.4 Wartungsarbeiten Der Auftragnehmer verpflichtet sich, die DAK-Gesundheit über Zeitpunkt und voraussichtliche Dauer der geplanten und/oder regelmäßigen Wartungsarbeiten mindestens 14 Kalendertage vor Durchführung zu unterrichten. Bei Sicherheitsupdates, die kritische Schwachstellen (CVSS >= 9.0) beheben, muss dies jedoch unverzüglich erfolgen.
Es muss eine Information für die Versicherten bei Problemen oder Wartungsfenstern bereitgestellt werden. Diese Information könnte z.B. beim Start der App erfolgen.
Die Durchführung von Wartungsarbeiten bzw. die Aktualisierung der Softwarekomponenten wird nach Möglichkeit während der Randzeiten der üblichen Nutzung durchgeführt.
8
[Seite 9]
B1_Leistungsbeschreibung
5.5 Software-Updates und Releasewechsel Der Auftragnehmer ist verpflichtet, Software- und Sicherheits-Updates durchzuführen. Diese sind bereits im Lizenz-Preis inbegriffen. Er informiert die DAK- Gesundheit rechtzeitig (mindestens 14 Kalendertage vorher) und umfangreich zu anstehenden Software-Updates oder einem Releasewechsel.
5.6 Nutzbarkeit Die App muss von handelsüblichen mobilen Endgeräten genutzt werden können. Diese muss in den gängigen App Stores (Google Play Store, Apple App Store) verfügbar sein und für Android-Geräte sowie iOS-Geräte unterstützt werden. Die Nutzbarkeit soll für Betriebssystemversionen der letzten 5 – 7 Jahre bestehen. Zumindest muss jedoch die Nutzbarkeit für alle Versionen bestehen, die vom Betriebssystemhersteller noch mit Sicherheitsupdates versorgt werden.
5.7 Abrechnung Zu Abrechnungszwecken stellt der Auftragnehmer der DAK-Gesundheit turnusmäßig ein Reporting über die Anzahl der aktivierten Accounts sowie die für die Lizenzabrechnung erforderlichen Nutzungsdaten zur Verfügung (zu den Anforderungen an das Reporting siehe Ziffer 7).
6 Öffentlichkeitsarbeit
Der Auftragnehmer sichert zu, auf seiner Webseite an prominenter Stelle über die kostenlose Nutzungsmöglichkeit für Versicherte der DAK-Gesundheit zu informieren. Darüber hinaus muss er auf die Webseite der DAK-Gesundheit mit weiteren Informationen verweisen.
Die DAK-Gesundheit richtet eine Landingpage ein und kann weitere Medien zur Information ihrer Versicherten über die App erstellen. Dort kann das Logo des Auftragnehmers während der Vertragslaufzeit unentgeltlich und in der Menge/Auflage unbeschränkt verwendet werden.
7 Auswertungen zur Nutzung (Reporting)
Der Auftragnehmer muss der DAK-Gesundheit monatlich eine anonymisierte Auswertung im CSV-Format über die Nutzung der App durch DAK-Gesundheit- Kunden zur Verfügung stellen. Diese stellt insbesondere die Basis der Abrechnung dar, siehe Pkt. 5.7. Die Auswertung muss bis spätestens zum 5. Werktag des Folgemonats bereitgestellt werden. Es handelt sich um eine Auswertung des Regelbetriebs. Die Anforderung aus 5.3 ist gesondert zu erstellen und bereitzustellen.
Die Auswertung muss folgende Informationen enthalten:
• Anzahl neu aktivierter Lizenzen • Summe aller aktiv genutzten Lizenzen • Anzahl der User, die eine Verlängerung des Angebots in Anspruch nehmen
9
[Seite 10]
B1_Leistungsbeschreibung
• Anzahl Drop-outs und/oder inaktiven Lizenzen
8 Datenschutz und Datensicherheit
Der Auftragnehmer, seine Subdienstleister sowie seine auftragsbezogenen Erzeugnisse inkl. der bereitgestellten App müssen insbesondere den gesetzlich geforderten Anforderungen insbesondere der DSGVO, den Vorgaben seines Datenschutzhandbuchs und Informationssicherheitskonzeptes sowie den im konkreten, auftragsbezogenen Datenschutzkonzept des Auftragnehmers spezifizierten Anforderungen an die technischen und organisatorischen Maßnahmen entsprechen.
Die technischen und organisatorischen Maßnahmen (TOMs) werden im Rahmen der Angebotswertung – d.h. vor Zuschlagserteilung – geprüft und müssen hierzu mit dem Angebot eingereicht werden.
8.1 Anforderungen Datenschutz Folgende Dokumente sind einzureichen und gelten als Voraussetzung der Leistungserbringung:
• Sicherheitskonzept für den Ausschreibungsgegenstand • TOMs des Bieters und seiner Unterauftragnehmer • Ansprechpartner (Informationssicherheitsbeauftragter, Datenschutzbeauftragter) • Auftragsbezogenes Datenschutzkonzept des Auftragnehmers • Löschkonzept • Nachweis eines aktuellen C5-Testats der datenverarbeitenden Stelle
Das einzureichende Löschkonzept ist gemäß den Anforderungen der Datenschutz- Grundverordnung (DSGVO) zu erstellen. Im Löschkonzept sind die gesetzlichen Grundlagen für die aufgeführten Aufbewahrungsfristen anzugeben. Hierbei ist zu beachten, dass die Speicherung von personenbezogenen Daten nur erfolgen darf, solange dies für die Leistungserfüllung oder weitere gesetzliche Zwecke erforderlich ist. Die Möglichkeit einer anonymisierten Speicherung ist laufend zu prüfen und umzusetzen.
Der Auftragnehmer ist verpflichtet, die DAK-Gesundheit innerhalb von einem Werktag nach Bekanntwerden eines Sicherheitsvorfalls darüber zu informieren.
8.2 Anforderungen zur Informationssicherheit Bei der ausgeschriebenen Leistung wird erwartet, dass Gesundheitsdaten anfallen, die einen hohen Schutzbedarf haben. Das bedeutet, dass alle eingereichten Dokumente dahingehend ausgewertet werden, ob der notwendige Schutzbedarf erreicht wird. Für den Ausschreibungsgegenstand und für weitere unterstützende Prozesse muss ein Sicherheitsniveau vorliegen, welches analog zum BSI- Grundschutz-Kompendium bei einem Schutzbedarf von Hoch ist.
10
[Seite 11]
B1_Leistungsbeschreibung
Wird in den TOMs auf weitere Konzepte oder ähnliche Dokumente verwiesen, dann sind diese neben den TOMs ebenfalls mit dem Angebot einzureichen. Dazu gehören in der Regel: Sicherheitskonzept, Rollen- und Rechte-Konzept, Konzept zum Patch- und Update-Management, Konzept zum Schwachstellenmanagement, Notfall- und BCM-Konzept, inklusive Incident und Response und Angriffserkennung, Backup- Konzept, Konzept zur sicheren Softwareentwicklung, Homeofficekonzept, und relevante Richtlinien wie z.B. zum Umgang mit Passworten, mit Lieferanten oder mit Verschlüsselung. Die vorangegangene Auflistung ist nur als Beispiel zu verstehen und die enthaltenen Themengebiete können auch direkt innerhalb der TOMs beschrieben sein. Aufgrund des zu erwartenden Umfangs kann aber eine Auslagerung in Begleitdokumente, die diesem Angebot dann beizufügen sind, sinnvoll sein. Außerdem müssen Architektur- sowie Datenfluss-Diagramme abgegeben werden, damit die DAK-Gesundheit bei der Bewertung der TOMs prüfen kann, ob diese zur technischen Ausgestaltung passen.
Finden wesentliche Verarbeitungsschritte bei weiteren Unternehmen / Dritten statt, sind auch dort zwingend die Vorgaben der DSGVO und des BDSG zu beachten. Die für die IT-Sicherheit relevanten Dokumente des Dritten sind mit einzureichen, oder es ist anderweitig (z. B. durch relevante Zertifikate) zu belegen, dass dort ein ausreichendes Sicherheitsniveau vorliegt.
Falls ein Cloud-Computing-Dienst genutzt wird, darf die Verarbeitung von Daten, insbesondere der Gesundheitsdaten nur in Ländern stattfinden, in denen die Europäische Datenschutzgrundverordnung Anwendung findet, bzw. mit denen ein Datenschutz-Übereinkommen zur Einhaltung der Europäischen Datenschutzgrundverordnung ausgehandelt wurde. Für die im Rahmen des Cloud- Computing-Dienstes eingesetzten Cloud-Systeme und die eingesetzte Technik muss ein aktuelles C5-Testat gemäß § 393 Abs. 4 SGB V der datenverarbeitenden Stelle vorliegen. Es ist nachzuweisen, dass die im Prüfbericht des Testats enthaltenen korrespondierenden Kriterien für Kunden umgesetzt sind.
Die DAK-Gesundheit wird im Rahmen der Angebotsprüfung die vom Bieter eingereichten Unterlagen betreffend der IT-Sicherheit prüfen. Bei Unklarheit werden gegebenenfalls weitere Unterlagen nachgefordert oder es wird um ein klärendes Gespräch gebeten. Die DAK-Gesundheit behält sich das Recht vor, zusätzlich zu überprüfen, ob die im Angebot angegebenen Prozesse zur Gewährleistung des Datenschutzes und der Informationssicherheit auch in tatsächlicher Hinsicht erfüllt werden (Audit).
Im Rahmen des Audits würde die DAK-Gesundheit insbesondere Folgendes prüfen:
• Die oben dargestellten Dokumente, insbesondere die TOMs und Datenschutzkonzepte • Die Einhaltung der TOMs, z.B. durch ein vor Ort Audit • Die Architektur von technischen Bestandteilen hinsichtlich erforderlicher und vorhandener Schutzmechanismen (Threat Modeling).
Die positive Feststellung der Erfüllung der Anforderungen an den Datenschutz und die Informationssicherheit sind Voraussetzung für die Zuschlagserteilung. Sollte das Audit negativ ausfallen, d. h. ergeben, dass eine Zuschlagserteilung aus Datenschutz- und/oder Informationssicherheitsgründen nicht erfolgen kann, wird der Bieter aus dem Verfahren ausgeschlossen und ein Audit mit dem nächstplatzierten Bieter durchgeführt. Das Audit gilt bereits dann als nicht erfolgreich abgeschlossen,
11
[Seite 12]
B1_Leistungsbeschreibung
wenn ernsthafte Zweifel an der Gewährleistung der Datenschutz- und Informationssicherheitsanforderungen bestehen und vom Bieter nicht beseitigt werden können.
Bei geringfügigen Bedenken behält sich die DAK-Gesundheit vor, das Angebot des entsprechenden Bieters unter Fristsetzung zur Korrektur der festgestellten Mängel zu bezuschlagen.
Die DAK-Gesundheit weist darauf hin, dass sich das Audit auch auf alle Nachunternehmer des Bieters erstreckt, die er für den Einsatz für datenschutz- und informationssicherheitskritische Bereiche vorsieht (z.B. Rechenzentrumsbetreiber). Der Bieter hat dafür Sorge zu tragen, dass die DAK-Gesundheit auch bei diesen Nachunternehmern ein Audit durchführen kann. Alternativ zu Vor-Ort-Prüfungen bei Nachunternehmern, können auch Zertifikate von Zertifizierungsstellen gewertet werden, die vom Bundesamt für Sicherheit der Informationstechnik anerkannt sind, sofern der Scope des Zertifikats die Systeme, Technologien und Prozesse des Auftragsgegenstandes einschließt. Die bei der Zertifizierung verwendete Prüfnorm muss sich am BSI-Grundschutz oder ähnlichen Normen orientieren. Wir weisen darauf hin, dass ggf. durch das Audit entstehende Aufwände beim Bieter nicht durch die DAK-Gesundheit vergütet werden.
Die DAK-Gesundheit behält sich weiter vor, ein entsprechendes Audit jährlich durchzuführen.
Die Software muss darüber hinaus den anerkannten Standards der Informationssicherheit – dem BSI-Grundschutz - entsprechen.
Mindestens erforderlich sind:
• Serverstandorte inkl. der Serverstandorte aller Subdienstleister ausschließlich innerhalb EU/EWR • ISO 27001-Zertifizierung des Rechenzentrums • Verschlüsselung der Datenübertragung (TLS 1.2 oder höher) • Verschlüsselung gespeicherter Daten (at rest) • Protokollierung sicherheitsrelevanter Ereignisse • Regelmäßige Penetrationstests, z.B. 1 x jährlich • Notfall- und Backupkonzept
Der Auftragnehmer ist verpflichtet, die DAK-Gesundheit im Falle eines Sicherheitsvorfalls umgehend über Art und Umfang zu informieren.
9 Einzureichende Unterlagen
9.1 Testzugang Der Bieter muss im Rahmen der Ausschreibung der DAK-Gesundheit drei Testzugänge zu der App zur Verfügung stellen, mit denen die App vollständig getestet werden kann. Für den Testzugang müssen mit Angebotseinreichung drei Gutschein-Codes bereitgestellt werden – sollte ein abweichender Zugangsweg praktikabler sein, ist ein entsprechender Hinweis zu liefern. Hintergrund ist im
12
[Seite 13]
B1_Leistungsbeschreibung
Rahmen der Angebotsprüfung die App kostenfrei im Hinblick auf die Erfüllung der oben genannten A-Kriterien (siehe Ziff. 4) bewerten zu können.
13