[Seite 1]

Medizinische Hotline (03/MA/2025) Ergänzende Informationen Nr. 4 (90)

Ergänzende Informationen Nr. 4 vom 19.06.2025

	Lfd. Nr.			Dokument, Ziffer		Frage			Antwort
I			Eigenerklärung zur Informationssicherheit (44)
1					Unseres Wissens nach sind die branchen- spezifischen Sicherheitsstandards (B3S) nur für KRITIS Unternehmen bzw. Leistungen gedacht, also Unternehmen, die zur kritischen Infrastruktur des Gesundheitswesens zählen. Ziel ist es, ein hohes Maß an IT-Sicherheit zu gewährleisten, weil ein Ausfall oder ein Angriff auf solche Einrichtungen gravierende Folgen für die Gesellschaft hätte. Hier geht es um eine Schwelle von 10.000 Patienten pro Quartal die tatsächlich behandelt oder versorgt werden. Wir zählen die hier ausgeschriebene Leistung nicht zu der kritischen Infrastruktur. Gehen wir recht in der Annahme, dass wir die branchenspezifischen Sicherheitsstandards (B3S) nicht erfüllen müssen?			Es gilt der § 392 SGB V bzw. § 103a SGB XI: 6) Sofern eine Krankenkasse im Rahmen ihrer Aufgabenerfüllung IT-Dienstleistungen eines Dritten in Anspruch nimmt und eine Störung der Verfügbarkeit, Integrität und Vertraulichkeit der informations- technischen Systeme, Komponenten oder Prozesse des Dritten zu einer Beeinträchtigung der Funktions- fähigkeit der jeweiligen Krankenkasse oder der Sicherheit der verarbeiteten Versicherteninformationen führen kann, muss die Krankenkasse durch geeignete vertragliche Vereinbarungen sicherstellen, dass die Einhaltung des branchenspezifischen Sicherheits-standards im Sinne des Absatzes 3 durch den Dritten gewährleistet wird. Der B3S wurde ursprünglich für KRITIS- Krankenkassen entwickelt, wurde jedoch über die o.g. rechtliche Regelung für alle Krankenkassen und deren Dienstleister verbindlich vorgeschrieben, dabei wird dies nicht auf kritische Geschäftsprozesse beschränkt. Da hier bereits festgestellt wurde, dass Versicherten- informationen verarbeitet werden, sind die Anforderungen aus dem B3S zu erfüllen.

Seite 1 von 4

[Seite 2]

Medizinische Hotline (03/MA/2025) Ergänzende Informationen Nr. 4 (90)

II	Leistungsbeschreibung (70) / Eigenerklärung Zertifizierung DIN ISO 9001 (41)
1	Leistungsbeschreibung Ziffer 6 / Eigenerklärung Zertifizierung DIN ISO 9001 (41)	Unter Ziffer 6 Qualitätssicherung wird die Zertifizierung DIN EN ISO 9001 vom Auftragnehmer gefordert. Ist es ausreichend, wenn diese Zertifizierung zum Vertragsstart am 1.1.2026 vorliegt, oder wird dies bereits für die Angebotsphase vorausgesetzt?	Das Zertifikat DIN EN ISO 9001 (2015) muss der Auftraggeberin bis spätestens 01.12.2025 unaufgefordert in schriftlicher Form zur Verfügung gestellte werden. Sofern das Zertifikat bereits jetzt vorliegt, ist dieses zusammen mit dem Angebot einzureichen. Existiert das Dokument noch nicht, ist dies bis zum 01.12.2025 einzureichen. Die Eigenerklärung Zertifizierung DIN ISO 9001 (2015) (Dok 41) wird dahingehend abgeändert, dass die Variante zur Vorlage bis zum 01.12.2025 mit aufgenommen wurde. Hinweis: Mit dieser ergänzenden Information erhalten Sie die o.g. angepasste Eigenerklärung (Dok. 41), Stand: 13.06.2025. Bitte achten Sie bei der Angebotserstellung auf die Verwendung dieses aktuellen Dokuments. Andernfalls kann ein Angebotsausschluss erfolgen.
2		Umfasst die Eigenerklärung Zertifizierung DIN ISO 9001 (Dok. 41) die Eigenerklärung des Unternehmens, dass sämtliche Kriterien entsprechend DIN ISO 9001 erfüllt werden bzw. spätestens bis zum 01.12.2025 erfüllt werden?	Bei Vorlage der geforderten Zertifizierung sind sämtliche Kriterien entsprechend der DIN ISO 9001 erfüllt. Somit enthält die Erklärung auch diese Kriterien.

Seite 2 von 4

[Seite 3]

Medizinische Hotline (03/MA/2025) Ergänzende Informationen Nr. 4 (90)

3			Trifft es zu, dass es gemäß dem Dok. 41 mit Stand vom 13.06.2025 auf die Beantragung einer Zertifizierung bis zum 01.12.2025 ankommt und der entsprechende Nachweis der Beauftragung vorgelegt wird?	Es kommt nicht auf die Beantragung der Zertifizierung bis zum 01.12.2025 an, sondern vielmehr auf die Vorlage der Zertifizierung bis spätestens zum
				bis zum 01.12.2025 an, sondern vielmehr auf die
				Vorlage der Zertifizierung bis spätestens zum
				01.12.2025 bei der Auftraggeberin. Eine Verlängerung
				ist bis zum 31.12.2025 möglich, vgl. nächste Antwort
				(II, Ziff. 4)
4			Mit der Bestätigung eines laufenden Zertifizierungsverfahrens durch das Zertifizierungsinstituts, besteht die Möglichkeit auf eine Fristverlängerung über den 01.12.2025 hinaus?	Eine Fristverlängerung wird maximal bis zum 31.12.2025 gewährt, da der Auftragnehmer gemäß Ziff. 6 der Leistungsbeschreibung während der Vertragslaufzeit zertifiziert sein muss.
	III	Preisblatt (80)
1			Es hat sich beim Ausfüllen des Preisblattes eine
			Frage zur Ermittlung der jeweiligen Gesamtpreise	Ihre Annahmen sind korrekt.
			(netto) ergeben.
			Sind folgende Annahmen korrekt:
				Beispiel Inbound-Gesprächsannahmen:
			•Pos. 1.1. Multiplikation Einzelpreis mit 35.000
				Pos. 1.1 des Preisblattes: bis 35.000 Calls
			•Pos. 1.2. Multiplikation Einzelpreis mit 35.000
				Berechnung: 35.000 Calls x Einzelpreis =
			•Pos. 1.3. Multiplikation Einzelpreis mit 45.000	Gesamtpreis
			•Pos. 2.1. Multiplikation Einzelpreis mit 2.500	Pos. 1.2 des Preisblattes: über 35.000 Calls
			•Pos. 2.2. Multiplikation Einzelpreis mit 2.500	Berechnung: 35.000 Calls x Einzelpreis =
			•Pos. 2.3. Multiplikation Einzelpreis mit 5.000	Gesamtpreis
			•Pos. 3.1. Multiplikation Einzelpreis mit 2.000	Pos. 1.3 des Preisblattes: über 45.000 Calls
			•Pos. 3.2. Multiplikation Einzelpreis mit 2.000	Berechnung: 45.000 Calls x Einzelpreis =
				Gesamtpreis
			•Pos. 3.3. Multiplikation Einzelpreis mit 4.000
				Auf gleiche Weise ist in den weiteren Positionen
			•Pos. 4.1. Multiplikation Einzelpreis mit 20
				Videotelefonie/Video-Chat, Terminmanagement und
			•Pos. 4.2. Multiplikation Einzelpreis mit 20
				Textüberprüfung zu verfahren.
			•Pos. 4.3. Multiplikation Einzelpreis mit 30

Seite 3 von 4

[Seite 4]

Medizinische Hotline (03/MA/2025) Ergänzende Informationen Nr. 4 (90)


1	Das Rechenzentrum, in dem die IT-Systeme gehostet	Ein Rechenzentrum, in dem die IT-Systeme bzw.
	werden ist natürlich ein Unterauftragnehmer im Sinne	Anwendungsprogramme gehostet werden, ist kein
	des Datenschutzes und damit in der Anlage	Unterauftragnehmer im Sinne der Anlage 31 -
	„63_Anlage 3 - Auflistung der bestehenden	Verzeichnis der Unterauftragnehmerleistungen. Die
	Unterauftragsverhältnisse“ einzutragen.	Angabe des Rechenzentrums in Anlage 3 - Auflistung
	Aus unserer Sicht ist dieses Rechenzentrum kein	der bestehenden Unterauftragsverhältnisse (63) - ist
	Unterauftragnehmer im Sinne der Anlage	ausreichend.
	„31_Verzeichnis der Unterauftragnehmerleistungen“,
	da es an der direkten Erbringung der
	ausgeschriebenen Leistungen nicht beteiligt ist.
	Reicht es also aus, wenn das Rechenzentrum nur als
	Unterauftragnehmer in Anlage „63_Anlage 3 -
	Auflistung der bestehenden Unterauftragsver-
	hältnisse“ eingetragen wird?

Seite 4 von 4

Ergänzende Informationen Nr. 4 vom 19.06.2025.pdf