§ 330Vermeidung von Störungen der informationstechnischen Systeme, Komponenten und Prozesse der Telematikinfrastruktur

(1) Die Gesellschaft für Telematik sowie die gemäß § 307 verantwortlichen Anbieter, die eine Zulassung für Komponenten oder Dienste nach § 311 Absatz 6 sowie § 325 oder eine Bestätigung nach § 327 besitzen, sind verpflichtet, angemessene organisatorische und technische Vorkehrungen zur Vermeidung von Störungen der Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit der informationstechnischen Systeme, Komponenten oder Prozesse der Telematikinfrastruktur zu treffen und fortlaufend zu aktualisieren. Dabei ist der jeweilige Stand der Technik zu berücksichtigen. Organisatorische und technische Vorkehrungen sind dann angemessen, wenn der dafür erforderliche Aufwand nicht außer Verhältnis zu den Folgen eines Ausfalls oder einer Beeinträchtigung der Telematikinfrastruktur insgesamt oder von solchen Diensten der Telematikinfrastruktur steht, die durch Störungen verursacht werden können.

(2) Die Gesellschaft für Telematik hat mindestens alle zwei Jahre über die Erfüllung der Anforderungen an die Vermeidung von Störungen der Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit der informationstechnischen Systeme, Komponenten oder Prozesse der Telematikinfrastruktur geeignete Nachweise zu erbringen. Der Nachweis kann jeweils insbesondere durch Audits, Prüfungen oder Zertifizierungen erfolgen, die von geeigneten und unabhängigen externen Stellen durchgeführt werden.

(3) Die Gesellschaft für Telematik informiert das Bundesministerium für Gesundheit und das Bundesamt für Sicherheit in der Informationstechnik in geeigneter Weise über erkannte Sicherheitsmängel und die Nachweise nach Absatz 2. Die Gesellschaft für Telematik kann von den Inhabern einer Zulassung für Komponenten oder Dienste der Telematikinfrastruktur nach § 311 Absatz 6 sowie § 325 oder Inhabern einer Bestätigung nach § 327 geeignete Nachweise zur Erfüllung ihrer Pflichten nach Absatz 1 verlangen.

(4) Die Meldepflichten nach Artikel 33 der Verordnung (EU) 2016/679 bleiben unberührt.