[Seite 1]
Medizinische Hotline (03/MA/2025) Ergänzende Informationen Nr. 3 (90)
Ergänzende Informationen Nr. 3 vom 18.06.2025
| Lfd. Nr. | Dokument, Ziffer | Frage | Antwort | ||||||
|---|---|---|---|---|---|---|---|---|---|
| I | Eigenerklärung zur Informationssicherheit (44) | ||||||||
| 1 | Unseres Wissens nach sind die branchen- spezifischen Sicherheitsstandards (B3S) nur für KRITIS Unternehmen bzw. Leistungen gedacht, also Unternehmen, die zur kritischen Infrastruktur des Gesundheitswesens zählen. Ziel ist es, ein hohes Maß an IT-Sicherheit zu gewährleisten, weil ein Ausfall oder ein Angriff auf solche Einrichtungen gravierende Folgen für die Gesellschaft hätte. Hier geht es um eine Schwelle von 10.000 Patienten pro Quartal die tatsächlich behandelt oder versorgt werden. Wir zählen die hier ausgeschriebene Leistung nicht zu der kritischen Infrastruktur. Gehen wir recht in der Annahme, dass wir die branchenspezifischen Sicherheitsstandards (B3S) nicht erfüllen müssen? | Es gilt der § 392 SGB V bzw. § 103a SGB XI: 6) Sofern eine Krankenkasse im Rahmen ihrer Aufgabenerfüllung IT-Dienstleistungen eines Dritten in Anspruch nimmt und eine Störung der Verfügbarkeit, Integrität und Vertraulichkeit der informations- technischen Systeme, Komponenten oder Prozesse des Dritten zu einer Beeinträchtigung der Funktions- fähigkeit der jeweiligen Krankenkasse oder der Sicherheit der verarbeiteten Versicherteninformationen führen kann, muss die Krankenkasse durch geeignete vertragliche Vereinbarungen sicherstellen, dass die Einhaltung des branchenspezifischen Sicherheits-standards im Sinne des Absatzes 3 durch den Dritten gewährleistet wird. Der B3S wurde ursprünglich für KRITIS- Krankenkassen entwickelt, wurde jedoch über die o.g. rechtliche Regelung für alle Krankenkassen und deren Dienstleister verbindlich vorgeschrieben, dabei wird dies nicht auf kritische Geschäftsprozesse beschränkt. Da hier bereits festgestellt wurde, dass Versicherten- informationen verarbeitet werden, sind die Anforderungen aus dem B3S zu erfüllen. |
Seite 1 von 3
[Seite 2]
Medizinische Hotline (03/MA/2025) Ergänzende Informationen Nr. 3 (90)
| II | Leistungsbeschreibung (70) / Eigenerklärung Zertifizierung DIN ISO 9001 (41) | ||||
|---|---|---|---|---|---|
| 1 | Leistungsbeschreibung Ziffer 6 / Eigenerklärung Zertifizierung DIN ISO 9001 (41) | Unter Ziffer 6 Qualitätssicherung wird die Zertifizierung DIN EN ISO 9001 vom Auftragnehmer gefordert. Ist es ausreichend, wenn diese Zertifizierung zum Vertragsstart am 1.1.2026 vorliegt, oder wird dies bereits für die Angebotsphase vorausgesetzt? | Das Zertifikat DIN EN ISO 9001 (2015) muss der Auftraggeberin bis spätestens 01.12.2025 unaufgefordert in schriftlicher Form zur Verfügung gestellte werden. Sofern das Zertifikat bereits jetzt vorliegt, ist dieses zusammen mit dem Angebot einzureichen. Existiert das Dokument noch nicht, ist dies bis zum 01.12.2025 einzureichen. Die Eigenerklärung Zertifizierung DIN ISO 9001 (2015) (Dok 41) wird dahingehend abgeändert, dass die Variante zur Vorlage bis zum 01.12.2025 mit aufgenommen wurde. Hinweis: Mit dieser ergänzenden Information erhalten Sie die o.g. angepasste Eigenerklärung (Dok. 41), Stand: 13.06.2025. Bitte achten Sie bei der Angebotserstellung auf die Verwendung dieses aktuellen Dokuments. Andernfalls kann ein Angebotsausschluss erfolgen. | ||
| 2 | Umfasst die Eigenerklärung Zertifizierung | Bei Vorlage der geforderten Zertifizierung sind | |||
| DIN ISO 9001 (Dok. 41) die Eigenerklärung des | sämtliche Kriterien entsprechend der DIN ISO 9001 | ||||
| Unternehmens, dass sämtliche Kriterien entsprechend | erfüllt. Somit enthält die Erklärung auch diese | ||||
| DIN ISO 9001 erfüllt werden bzw. spätestens bis zum | Kriterien. | ||||
| 01.12.2025 erfüllt werden? |
Seite 2 von 3
[Seite 3]
Medizinische Hotline (03/MA/2025) Ergänzende Informationen Nr. 3 (90)
| 3 | Trifft es zu, dass es gemäß dem Dok. 41 mit Stand | Es kommt nicht auf die Beantragung der Zertifizierung | |||||||||
|---|---|---|---|---|---|---|---|---|---|---|---|
| vom 13.06.2025 auf die Beantragung einer | bis zum 01.12.2025 an, sondern vielmehr auf die | ||||||||||
| Zertifizierung bis zum 01.12.2025 ankommt und der | Vorlage der Zertifizierung bis spätestens zum | ||||||||||
| entsprechende Nachweis der Beauftragung vorgelegt | 01.12.2025 bei der Auftraggeberin. Eine Verlängerung | ||||||||||
| wird? | ist bis zum 31.12.2025 möglich, vgl. nächste Antwort | ||||||||||
| (II, Ziff. 4) | |||||||||||
| 4 | Mit der Bestätigung eines laufenden | Eine Fristverlängerung wird maximal bis zum | |||||||||
| Zertifizierungsverfahrens durch das | 31.12.2025 gewährt, da der Auftragnehmer gemäß | ||||||||||
| Zertifizierungsinstituts, besteht die Möglichkeit auf | Ziff. 6 der Leistungsbeschreibung während der | ||||||||||
| eine Fristverlängerung über den 01.12.2025 hinaus? | Vertragslaufzeit zertifiziert sein muss. |
Seite 3 von 3