Sozialgesetzbuch (SGB) Fünftes Buch (V) - Gesetzliche Krankenversicherung - (Artikel 1 des Gesetzes v. 20. Dezember 1988, BGBl. I S. 2477) – SGB 5
(1) Krankenkassen sind verpflichtet, nach dem Stand
der Technik angemessene organisatorische und technische Vorkehrungen zur
Vermeidung von Störungen der Verfügbarkeit, Integrität und Vertraulichkeit
ihrer informationstechnischen Systeme, Komponenten oder Prozesse zu treffen,
die für die Funktionsfähigkeit der jeweiligen Krankenkasse und die Sicherheit
der verarbeiteten Versicherteninformationen maßgeblich sind.
(2) Organisatorische und technische Vorkehrungen nach
Absatz
1 sind angemessen, wenn der dafür erforderliche Aufwand
nicht außer Verhältnis zu den Folgen eines Ausfalls oder einer Beeinträchtigung
der Arbeitsprozesse der Krankenkasse oder der Sicherheit der verarbeiteten
Versicherteninformationen steht.
(3) Die Krankenkassen erfüllen die Verpflichtungen
nach Absatz
1 insbesondere, indem sie den branchenspezifischen
Sicherheitsstandard für die informationstechnische Sicherheit der Krankenkassen
in der jeweils gültigen Fassung anwenden, dessen Eignung vom Bundesamt für
Sicherheit in der Informationstechnik nach § 30 Absatz 8 des BSI-Gesetzes festgestellt
wurde.
(4) 1Die Krankenkassen
sind verpflichtet, repräsentiert durch ihre Verbände und den Spitzenverband
Bund der Krankenkassen, in einem gemeinsamen bestehenden oder zu schaffenden
Branchenarbeitskreis an der Entwicklung des branchenspezifischen
Sicherheitsstandards für die informationstechnische Sicherheit der
Krankenkassen im Sinne des Absatzes 3 mitzuwirken.
2Die Krankenkassen, repräsentiert durch ihre Verbände und den Spitzenverband Bund der Krankenkassen, haben darauf hinzuwirken, dass der branchenspezifische Sicherheitsstandard auch Vorgaben enthält zu
2Die Krankenkassen, repräsentiert durch ihre Verbände und den Spitzenverband Bund der Krankenkassen, haben darauf hinzuwirken, dass der branchenspezifische Sicherheitsstandard auch Vorgaben enthält zu
- 1.
-
geeigneten Maßnahmen zur Erhöhung der Cybersecurity-Awareness,
- 2.
-
dem Einsatz von Systemen zur Angriffserkennung, die geeignete Parameter und Merkmale aus dem laufenden Betrieb kontinuierlich und automatisch erfassen und auswerten, wobei diese dazu in der Lage sein sollten, fortwährend Bedrohungen zu identifizieren und zu vermeiden sowie für eingetretene Störungen geeignete Beseitigungsmaßnahmen vorzusehen (Maßnahmen zur Aufrechterhaltung der Betriebskontinuität) und
- 3.
-
an IT-Dienstleister zu stellende Sicherheitsanforderungen gemäß Absatz 6, sofern diese Leistungen für die Krankenkassen zur Wahrnehmung ihrer gesetzlichen Aufgaben erbringen.
(5) Die Verpflichtung nach Absatz 1 gilt für alle
Krankenkassen, soweit sie nicht ohnehin als Betreiber kritischer Anlagen gemäß
den §§ 30, 31 und 39 des
BSI-Gesetzes angemessene organisatorische und technische
Vorkehrungen zu treffen haben.
(6) Sofern eine Krankenkasse im Rahmen ihrer
Aufgabenerfüllung IT-Dienstleistungen eines Dritten in Anspruch nimmt und eine
Störung der Verfügbarkeit, Integrität und Vertraulichkeit der
informationstechnischen Systeme, Komponenten oder Prozesse des Dritten zu einer
Beeinträchtigung der Funktionsfähigkeit der jeweiligen Krankenkasse oder der
Sicherheit der verarbeiteten Versicherteninformationen führen kann, muss die
Krankenkasse durch geeignete vertragliche Vereinbarungen sicherstellen, dass
die Einhaltung des branchenspezifischen Sicherheitsstandards im Sinne des
Absatzes
3 durch den Dritten gewährleistet wird.
Zuletzt geändert durch Art. 1 G v. 26.6.2026 I Nr.
195
Änderung durch Art. 1 G v. 24.7.2026 I Nr. 228
textlich nachgewiesen, dokumentarisch noch nicht abschließend bearbeitet
Änderung durch Art. 2 G v. 6.10.2026 I Nr. 289 ist
berücksichtigt
Bek. v. 16.9.2026 I Nr. 282 ist
berücksichtigt
Seite zuletzt aktualisiert am
20. Oktober 2026