gemAnbT_VSDM_2_FD_ATV_1.0.0_V1.0.0
Releases:
Telematikinfrastruktur 2.0
Anbietertypsteckbrief
Prüfvorschrift
Anbieter Fachdienst VSDM
(VSDM 2.0)
| Anbietertyp Version | 1.0.0 |
| Anbietertyp Status | freigegeben |
| Version | 1.0.0 |
| Revision | 1155252 |
| Stand | 04.03.2025 |
| Status | freigegeben |
| Klassifizierung | öffentlich |
| Referenzierung | gemAnbT_VSDM_2_FD_ATV_1.0.0 |
Historie Anbietertypversion und Anbietertypsteckbrief
Historie Anbietertypversion
Die Anbietertypversion ändert sich, wenn sich die normativen Festlegungen für den Anbietertyp ändern.
| Anbietertyp-version |
Beschreibung der Änderung |
Referenz |
|---|---|---|
| 1.0.0 |
Initiale Version |
gemAnbT_VSDM_2_FD_ATV_1.0.0 |
Historie Anbietertypsteckbrief
Die Dokumentenversion des Anbietertypsteckbriefs ändert sich mit jeder inhaltlichen oder redaktionellen Änderung des Anbietertypsteckbriefs und seinen referenzierten Dokumenten. Redaktionelle Änderungen haben keine Auswirkung auf die Anbietertypversion.
| Version |
Stand |
Kap. |
Grund der Änderung, besondere Hinweise |
Bearbeiter |
|---|---|---|---|---|
| 1.0.0 |
04.03.2025 | Ersterstellung | gematik | |
Inhaltsverzeichnis
1 Einführung
1.1 Zielsetzung und Einordnung des Dokumentes
Anbietertypsteckbriefe verzeichnen verbindlich die normativen Festlegungen der gematik an Anbieter zur Sicherstellung des Betriebes der von ihnen verantworteten Serviceeinheiten.
Die normativen Festlegungen werden über ihren Identifier, ihren Titel sowie die Dokumentenquelle referenziert. Die normativen Festlegungen mit ihrem vollständigen, normativen Inhalt sind dem jeweils referenzierten Dokument zu entnehmen.
1.2 Zielgruppe
Der Anbietertypsteckbrief richtet sich an:
- Anbieter
- die gematik im Rahmen der Zulassungsverfahren, Bestätigungsverfahren, Kooperationsverträge und Anbieterverfahren.
1.3 Geltungsbereich
Dieses Dokument enthält normative Festlegungen zur Telematikinfrastruktur des deutschen Gesundheitswesens. Der Gültigkeitszeitraum der vorliegenden Version und deren Anwendung in Zulassungsverfahren werden durch die gematik GmbH in gesonderten Dokumenten (z.B. Dokumentenlandkarte) festgelegt und bekannt gegeben.
1.4 Abgrenzung des Dokumentes
Dieses Dokument macht keine Aussagen zur Aufteilung der Produktentwicklung bzw. Produktherstellung auf verschiedene Hersteller und Anbieter.
Dokumente zu den Zulassungsverfahren für den Anbietertyp sind nicht aufgeführt. Die geltenden Verfahren und Regelungen zur Beantragung und Durchführung von Zulassungsverfahren können dem Fachportal der gematik (https://fachportal.gematik.de/downloadcenter/zulassungs-bestaetigungsantraege-verfahrensbeschreibungen) entnommen werden.
1.5 Methodik
Die im Dokument verzeichneten normativen Festlegungen werden tabellarisch dargestellt. Die Tabellenspalten haben die folgende Bedeutung:
ID: Identifiziert die normative Festlegung eindeutig im Gesamtbestand aller Festlegungen der gematik.
Bezeichnung: Gibt den Titel einer normativen Festlegung informativ wieder, um die thematische Einordnung zu erleichtern. Der vollständige Inhalt der normativen Festlegung ist dem Dokument zu entnehmen, auf das die Quellenangabe verweist.
Quelle (Referenz): Verweist auf das Dokument, das die normative Festlegung definiert.
2 Dokumente
Die nachfolgenden Dokumente enthalten alle für den Anbietertyp normativen Festlegungen.
Tabelle 1: Dokumente mit normativen Festlegungen
| Dokumentenkürzel | Bezeichnung des Dokumentes | Version |
|---|---|---|
| gemKPT_Betr | Betriebskonzept Online-Produktivbetrieb | 3.45.0 |
| gemRL_Betr_TI | Übergreifende Richtlinien zum Betrieb der TI | 2.17.0 |
| gemSpec_DS_Anbieter | Spezifikation Datenschutz- und Sicherheitsanforderungen der TI an Anbieter | 1.6.0 |
| gemSpec_Krypt | Übergreifende Spezifikation Verwendung kryptographischer Algorithmen in der Telematikinfrastruktur | 2.39.0 |
| gemSpec_OM | Übergreifende Spezifikation Operations und Maintenance | 1.18.0 |
| gemSpec_Perf | Übergreifende Spezifikation Performance und Mengengerüst TI-Plattform | 2.58.0 |
| gemSpec_VSDM_2 | Spezifikation Versichertenstammdaten- management 2.0 (VSDM 2.0) | 1.0.0 |
| gemSpec_ZETA | Spezifikation Zero Trust Access (ZETA) | 1.0.0 |
Weiterhin sind die in folgender Tabelle aufgeführten Dokumente und Web-Inhalte normativ und gelten mit.
Tabelle 2: Mitgeltende Dokumente und Web-Inhalte
| Quelle | Herausgeber: Bezeichnung / URL | Version Branch / Tag |
|---|---|---|
| [GITHUB_VSDM_2] | Spezifikation VSDM 2, FHIR-Profiles and API für Telematikinfrastruktur (TI) 2.0: https://github.com/gematik/spec-VSDM2 |
main |
| [SIMPLIFIER-VSDM2] | FHIR Spezifikation VSDM 2: https://simplifier.net/vsdm2 |
main |
Die Bestätigungs-/Zulassungsbedingungen für den Anbietertyp 'Anbieter Fachdienst VSDM (VSDM 2.0)' werden im Dokument [gemZul_Anb_VSDM_2_FD] im Fachportal der gematik im Abschnitt Zulassung veröffentlicht.
Die in folgender Tabelle aufgeführten Dokumente und Web-Inhalte sind informative Beistellungen und sind nicht Gegenstand der Bestätigung / Zulassung.
Tabelle 3: Informative Dokumente und Web-Inhalte
| Quelle | Herausgeber: Bezeichnung / URL | Version Branch / Tag |
|---|---|---|
| [gemRL_PruefSichEig_DS] | gematik: Richtlinie zur Prüfung der Sicherheitseignung https://gemspec.gematik.de/docs/gemRL/gemRL_PruefSichEig_DS/gemRL_PruefSichEig_DS_V2.2.0/ |
2.2.0 |
| [gemRL_Betr_TI] | gematik: Richtlinie Betrieb | |
Hinweis:
- Ist kein Herausgeber angegeben, wird angenommen, dass die gematik für Herausgabe und Veröffentlichung der Quelle verantwortlich ist.
- Ist keine Version angegeben, bezieht sich die Quellenangabe auf die aktuellste Version.
- Bei Quellen aus gitHub werden als Version Branch und / oder Tag verwendet.
3 Normative Festlegungen
Die folgenden Abschnitte verzeichnen alle für den Anbietertypen normativen Festlegungen der gematik an Anbieter zur Sicherstellung des Betriebes der von ihnen verantworteten Serviceeinheiten. Die Festlegungen sind gruppiert nach der Art der Nachweisführung ihrer Erfüllung als Grundlage der Zulassung.
3.1 Festlegungen zur funktionalen Eignung
3.1.1 Test Produkt/FA (Anwendung)
Sofern in diesem Abschnitt Festlegungen verzeichnet sind, werden deren Umsetzung und Beachtung zum Nachweis der funktionalen Eignung im Zuge von Zulassungstests durch die gematik geprüft.
Tabelle 4: Festlegungen zur funktionalen Eignung "Test Produkt/FA"
| ID | Bezeichnung | Quelle (Referenz) |
|---|---|---|
| A_26802 | Anbieter VSDM - Time To Live Werte für die Resource Records | gemSpec_VSDM_2 |
3.1.2 Anbietererklärung funktionale Eignung
Sofern in diesem Abschnitt Festlegungen verzeichnet sind, muss der Anbieter deren Umsetzung und Beachtung zum Nachweis der funktionalen Eignung durch eine Erklärung bestätigen bzw. zusagen.
Tabelle 5: Festlegungen zur funktionalen Eignung "Anbietererklärung" - Anteil ZETA
| ID | Bezeichnung | Quelle (Referenz) |
|---|---|---|
| A_25655 | PDP - Relying Party | gemSpec_ZETA |
| A_25773 | ZETA Guard - Nutzung der von der gematik bereitgestellten Zero Container Images | gemSpec_ZETA |
| A_25776 | ZETA Guard - Änderung der Konfiguration | gemSpec_ZETA |
| A_25797 | ZETA Guard-Komponenten - Health Check Schnittstelle für gematik Monitoring | gemSpec_ZETA |
| A_26105 | ZETA Guard, Durchsetzung der Konfiguration | gemSpec_ZETA |
| A_26106 | ZETA Guard, Verwendung der gematik Docker Container | gemSpec_ZETA |
Tabelle 6: Festlegungen zur funktionalen Eignung "Anbietererklärung"
| ID | Bezeichnung | Quelle (Referenz) |
|---|---|---|
| A_27479 | Performance - VSDM 2 - Datenlieferung an ZETA-Guard | gemSpec_Perf |
| A_26778 | Anbieter Fachdienst VSDM - Resource Server - VSD-Abruf | gemSpec_VSDM_2 |
| A_26800 | Anbieter VSDM - CNAME Resource Records für die Lokalisierung | gemSpec_VSDM_2 |
| A_26801 | Anbieter Fachdienst VSDM - FQDN Resource Records für VSDM2 | gemSpec_VSDM_2 |
| A_26802 | Anbieter VSDM - Time To Live Werte für die Resource Records | gemSpec_VSDM_2 |
| A_26806 | Anbieter VSDM - Systemprotokoll Verfügbarkeit interner Logdaten | gemSpec_VSDM_2 |
| A_26807 | Anbieter VSDM - Systemprotokoll Aufbewahrungsfristen | gemSpec_VSDM_2 |
| A_26808 | Anbieter Fachdienst VSDM - Erlaubte Akteure | gemSpec_VSDM_2 |
| A_26810 | Anbieter VSDM - ZETA Guard VSDM Policy erstellen | gemSpec_VSDM_2 |
| A_26811 | Anbieter VSDM - ZETA Guard Konfigurationsdateien erstellen | gemSpec_VSDM_2 |
3.2 Festlegungen zur betrieblichen Eignung
3.2.1 Prozessprüfung betriebliche Eignung
Sofern in diesem Abschnitt Festlegungen mit Vorgaben zu organisatorischen Maßnahmen wie Prozessen und Strukturvorgaben verzeichnet sind, muss deren Erfüllung im Rahmen von Prozessprüfungen nachgewiesen werden.
Tabelle 7: Festlegungen zur betrieblichen Eignung "Prozessprüfung"
| ID | Bezeichnung | Quelle (Referenz) |
|---|---|---|
| GS-A_3888 | Verifikation vor Schließung eines übergreifenden Incident | gemRL_Betr_TI |
| GS-A_3889 | Schließung eines übergreifenden Incidents | gemRL_Betr_TI |
| GS-A_3902 | Prüfung auf Serviceverantwortung | gemRL_Betr_TI |
| GS-A_3904 | Annahme eines übergreifenden Incidents | gemRL_Betr_TI |
| GS-A_3905 | Ablehnung eines übergreifenden Incidents | gemRL_Betr_TI |
| GS-A_3907 | Lösung von übergreifenden Incidents | gemRL_Betr_TI |
| GS-A_3958 | Problemerkennung durch TI-ITSM-Teilnehmer | gemRL_Betr_TI |
| GS-A_3959 | Prüfung auf übergreifendes Problem | gemRL_Betr_TI |
| GS-A_3964 | Festlegung von Dringlichkeit und Auswirkung von übergreifenden Problems | gemRL_Betr_TI |
| GS-A_3975 | Prüfung auf Serviceverantwortung zum übergreifenden Problem | gemRL_Betr_TI |
| GS-A_3976 | Ablehnung der Lösungsunterstützung | gemRL_Betr_TI |
| GS-A_3977 | Annahme der Verantwortung zur Lösungsunterstützung | gemRL_Betr_TI |
| GS-A_3981 | Annahme eines übergreifenden Problems | gemRL_Betr_TI |
| GS-A_3982 | Ablehnung eines übergreifenden Problems | gemRL_Betr_TI |
| GS-A_3983 | Ursachenanalyse eines übergreifenden Problems durch Serviceverantwortlichen | gemRL_Betr_TI |
| GS-A_3986 | Koordination bei übergreifenden Problems | gemRL_Betr_TI |
| GS-A_3987 | Initiierung eines Change Request | gemRL_Betr_TI |
| GS-A_3988 | Prüfung der Lösung durch den Melder eines übergreifenden Problems | gemRL_Betr_TI |
| GS-A_3989 | Ablehnung der Lösung eines übergreifenden Problems | gemRL_Betr_TI |
| GS-A_3990 | Schließung eines übergreifenden Problems | gemRL_Betr_TI |
| GS-A_3991 | WDB-Aktualisierung nach Schließung eines übergreifenden Problems | gemRL_Betr_TI |
| GS-A_4125 | TI-Notfallerkennung | gemRL_Betr_TI |
| GS-A_4126 | Eskalation TI-Notfälle | gemRL_Betr_TI |
| GS-A_4127 | Sofortmaßnahmen TI-Notfälle | gemRL_Betr_TI |
| GS-A_4400-01 | Change Management - Request for Change erstellen | gemRL_Betr_TI |
| GS-A_4425-01 | Change Management - Übermittlung von Optimierungsmöglichkeiten zur Umsetzung von genehmigten Changes | gemRL_Betr_TI |
| GS-A_5250 | Ablehnung der Lösung eines übergreifenden Incidents | gemRL_Betr_TI |
| GS-A_5377 | Durchführung einer Problemstornierung | gemRL_Betr_TI |
| GS-A_5400 | Prüfung der Lösung durch den Melder eines übergreifenden Incidents | gemRL_Betr_TI |
| GS-A_5449 | Typisierung eines übergreifenden Incidents als „sicherheitsrelevant“ | gemRL_Betr_TI |
| GS-A_5450 | Typisierung eines übergreifenden Incidents als „datenschutzrelevant“ | gemRL_Betr_TI |
| GS-A_5587 | Ablehnung der Lösungsunterstützung bei einem übergreifenden Incident | gemRL_Betr_TI |
| GS-A_5593 | Schließung des Service Requests ohne Verifikation | gemRL_Betr_TI |
| GS-A_5597-01 | Change Management - RfC (Sub-Changes) erstellen | gemRL_Betr_TI |
| GS-A_5600-01 | Change Management - Beschreibung der Verifikation des Changes in Auswirkung auf andere TI-Services im RfC | gemRL_Betr_TI |
| GS-A_5601-01 | Change Management - Nachweis der Wirksamkeit eines Changes (Verifikation) | gemRL_Betr_TI |
| GS-A_5602-01 | Change Management - Nachweis der Wirksamkeit eines Changes in Auswirkung auf andere TI-Anwendungen (Verifikation) | gemRL_Betr_TI |
| GS-A_5610-03 | Change Management - Vorlaufzeiten in der Bewertung von Changes | gemRL_Betr_TI |
| A_21719 | Weiterleitung von Reports TI SIEM | gemSpec_DS_Anbieter |
| GS-A_2355-02 | Meldung von erheblichen Schwachstellen und Bedrohungen | gemSpec_DS_Anbieter |
| GS-A_4468-02 | kDSM: Jährlicher Datenschutzbericht der TI | gemSpec_DS_Anbieter |
| GS-A_4473-01 | kDSM: Unverzügliche Benachrichtigung bei Verstößen gemäß Art. 34 DSGVO | gemSpec_DS_Anbieter |
| GS-A_4478-01 | kDSM: Nachweis der Umsetzung von Maßnahmen in Folge eines gravierenden Datenschutzverstoßes | gemSpec_DS_Anbieter |
| GS-A_4479-01 | kDSM: Meldung von Änderungen der Kontaktinformationen zum Datenschutzmanagement | gemSpec_DS_Anbieter |
| GS-A_4523-01 | Bereitstellung Kontaktinformationen für Informationssicherheit | gemSpec_DS_Anbieter |
| GS-A_4524-01 | Meldung von Änderungen der Kontaktinformationen für Informationssicherheit | gemSpec_DS_Anbieter |
| GS-A_4530-01 | Maßnahmen zur Behebung von erheblichen Sicherheitsvorfällen und Notfällen | gemSpec_DS_Anbieter |
| GS-A_4532-01 | Nachweis der Umsetzung von Maßnahmen in Folge eines erheblichen Sicherheitsvorfalls oder Notfalls | gemSpec_DS_Anbieter |
| GS-A_5555 | Unverzügliche Meldung von erheblichen Sicherheitsvorfällen und -notfällen | gemSpec_DS_Anbieter |
| GS-A_5556 | Unverzügliche Behebung von erheblichen Sicherheitsvorfällen und -notfällen | gemSpec_DS_Anbieter |
| GS-A_5559-01 | Bereitstellung Ergebnisse von Schwachstellenscans | gemSpec_DS_Anbieter |
| GS-A_5560 | Entgegennahme und Prüfung von Meldungen der gematik | gemSpec_DS_Anbieter |
| GS-A_5561 | Bereitstellung 24/7-Kontaktpunkt | gemSpec_DS_Anbieter |
| GS-A_5562 | Bereitstellung Produktinformationen | gemSpec_DS_Anbieter |
| GS-A_5563 | Jahressicherheitsbericht | gemSpec_DS_Anbieter |
| GS-A_5564 | kDSM: Ansprechpartner für Datenschutz | gemSpec_DS_Anbieter |
| GS-A_5565 | kDSM: Unverzügliche Behebung von Verstößen gemäß Art. 34 DSGVO | gemSpec_DS_Anbieter |
| A_22057 | Performance - Betriebsdatenlieferung - Verpflichtung des Anbieters | gemSpec_Perf |
| A_26175 | Performance - Selbstauskunft - Verpflichtung des Anbieters | gemSpec_Perf |
| A_26178 | Performance - Selbstauskunft - Umsetzungszeit zur Änderung des Lieferintervalls | gemSpec_Perf |
| A_26799 | Anbieter VSDM - Aktualisierung und Überwachung Systemzeit | gemSpec_VSDM_2 |
3.2.2 Anbietererklärung betriebliche Eignung
Sofern in diesem Abschnitt Festlegungen mit Vorgaben zu organisatorischen Maßnahmen wie Prozessen und Strukturvorgaben der Aufbauorganisation sowie der Umgebung verzeichnet sind, muss der Anbieter deren Umsetzung und Beachtung durch eine Anbietererklärung bestätigen bzw. zusagen.
Tabelle 8: Festlegungen zur betrieblichen Eignung "Anbietererklärung" - Anteil ZETA
| ID | Bezeichnung | Quelle (Referenz) |
|---|---|---|
| Es liegen keine Festlegungen vor |
Tabelle 9: Festlegungen zur betrieblichen Eignung "Anbietererklärung"
| ID | Bezeichnung | Quelle (Referenz) |
|---|---|---|
| A_18176 | Mitwirkungspflichten bei der Einrichtung von Probes des Service Monitorings | gemKPT_Betr |
| A_20218-01 | Versionierung der Konfiguration von Produktinstanzen | gemKPT_Betr |
| A_20219-01 | Versionierung bei Veränderungen der Konfiguration von Produktinstanzen | gemKPT_Betr |
| A_20220 | Festlegung von Konfiguration durch die gematik | gemKPT_Betr |
| A_20221-01 | Rückspielbarkeit bei Veränderungen der Konfiguration von Produktinstanzen | gemKPT_Betr |
| A_23664 | Service Level - Kein Incident der Priorität 1 innerhalb 24 Stunden resultierend aus einem genehmigten Change | gemKPT_Betr |
| A_23665-01 | Service Level - Störungsfreie Kommunikationsbeziehungen ohne resultierenden Incident | gemKPT_Betr |
| A_24981 | Auskunftsfähigkeit bei Verdacht einer Servicebeeinträchtigung im Verantwortungsbereich | gemKPT_Betr |
| A_26816 | Reporting - Frist zur Übermittlung von Datenlieferungen | gemKPT_Betr |
| TIP1-A_6359-02 | Definition der notwendigen Leistung anderer Anbieter durch Anbieter | gemKPT_Betr |
| TIP1-A_6360-02 | Kontrolle bereitgestellter Leistungen durch Anbieter | gemKPT_Betr |
| TIP1-A_6367-02 | Definition eines Business-Servicekatalog der angebotenen TI Services | gemKPT_Betr |
| TIP1-A_6371-02 | 2nd-Level-Support: Single Point of Contact (SPOC) für Anbieter | gemKPT_Betr |
| TIP1-A_6377-02 | Koordination von produktverantwortlichen Anbietern und Herstellern | gemKPT_Betr |
| TIP1-A_6388-02 | Bereitstellung eines lokalen IT-Service-Managements durch Anbieter für ihre zu verantwortenden Servicekomponenten | gemKPT_Betr |
| TIP1-A_6389-02 | Erreichbarkeit der 1st-Level (UHD), 2nd-Level (SPOCs) der Anbieter | gemKPT_Betr |
| TIP1-A_6390-02 | Mitwirkung im TI-ITSM durch Anbieter | gemKPT_Betr |
| TIP1-A_6393-02 | Verantwortung für die Weiterleitung von Anfragen | gemKPT_Betr |
| TIP1-A_6415-02 | Fortgeführte Wahrnehmung der Serviceverantwortung bei der Delegation von Aufgaben | gemKPT_Betr |
| TIP1-A_7261 | Erreichbarkeit der TI-ITSM-Teilnehmer untereinander | gemKPT_Betr |
| TIP1-A_7262 | Haupt- und Nebenzeit der TI-ITSM-Teilnehmer | gemKPT_Betr |
| TIP1-A_7265-05 | Serviceleistung der TI-ITSM-Teilnehmer im TI-ITSM-Teilnehmersupport zur Haupt- und Nebenzeit | gemKPT_Betr |
| TIP1-A_7266 | Mitwirkungspflichten im TI-ITSM-System | gemKPT_Betr |
| A_13575 | Qualität von RfC | gemRL_Betr_TI |
| A_17764 | Verwendung CI-ID | gemRL_Betr_TI |
| A_18405 | Erstellung einer Root Cause Analysis durch am Incident beteiligte TI-ITSM-Teilnehmer | gemRL_Betr_TI |
| A_18406 | Nachlieferung zu einer Root Cause Analysis | gemRL_Betr_TI |
| A_18407-01 | Change Management - Unterstützung bei Change-Verifikation | gemRL_Betr_TI |
| A_24800 | Service Review - Auskunft Servicebedarf | gemRL_Betr_TI |
| A_24968 | Probleme während Lösungsphase als "Pending" kennzeichnen | gemRL_Betr_TI |
| A_24983 | Erstellung einer Root Cause Analysis im Incident - Prio 1 bis 2 | gemRL_Betr_TI |
| A_24984 | Erstellung einer Root Cause Analysis im Incident - Prio 3 bis 4 | gemRL_Betr_TI |
| A_25902 | Redundanz - Bereitstellung Redundanzkonzept | gemRL_Betr_TI |
| A_25917 | Redundanz - Kontrollierte Validierung des Redundanzkonzept | gemRL_Betr_TI |
| A_26014 | Redundanz - Umsetzung Redundanzkonzept | gemRL_Betr_TI |
| A_26501 | Kommunikation - Benennung von Ansprechpartnern und Kontakten (FULL) | gemRL_Betr_TI |
| A_26815 | Service Level Management - Bereitstellung der Service Level für das Service Level-Review | gemRL_Betr_TI |
| GS-A_3876 | Prüfung auf übergreifenden Incident | gemRL_Betr_TI |
| GS-A_3884 | Festlegung von Dringlichkeit und Auswirkung von übergreifenden Incidents | gemRL_Betr_TI |
| GS-A_3886-01 | Nutzung des TI-ITSM-Systems bei der Übermittlung eines übergreifenden Vorgangs | gemRL_Betr_TI |
| GS-A_3917 | Bereitstellung der ITSM-Dokumentation bei Audits | gemRL_Betr_TI |
| GS-A_3920-01 | Eskalationseinleitung durch den TI-ITSM-Teilnehmer | gemRL_Betr_TI |
| GS-A_3922 | Mitwirkung bei Taskforces | gemRL_Betr_TI |
| GS-A_3971 | Verifikation vor Schließung eines übergreifenden Problems | gemRL_Betr_TI |
| GS-A_4085 | Etablierung von Kommunikationsschnittstellen durch die TI-ITSM-Teilnehmer | gemRL_Betr_TI |
| GS-A_4086 | Erreichbarkeit der Kommunikationsschnittstellen | gemRL_Betr_TI |
| GS-A_4090 | Kommunikationssprache | gemRL_Betr_TI |
| GS-A_4100 | Messung der Service Level | gemRL_Betr_TI |
| GS-A_4101 | Übermittlung der Service Level Messergebnisse | gemRL_Betr_TI |
| GS-A_4114 | Bereitstellung von TI-Konfigurationsdaten | gemRL_Betr_TI |
| GS-A_4115 | Datenänderung für TI-Konfigurationsdaten | gemRL_Betr_TI |
| GS-A_4117 | Informationsbereitstellung durch TI-ITSM-Teilnehmer | gemRL_Betr_TI |
| GS-A_4121 | Analyse Auswirkungen möglicher Schadensereignisse auf Sicherheit und Funktion der TI-Services | gemRL_Betr_TI |
| GS-A_4130 | Festlegung der Schnittstellen des EMC | gemRL_Betr_TI |
| GS-A_4397 | Teilnahme am Service Review | gemRL_Betr_TI |
| GS-A_4399-01 | Configuration Management - Übermittlung von Produktdaten nach Abschluss von autorisierten Normal-Changes | gemRL_Betr_TI |
| GS-A_4402-01 | Change Management - Mitwirkungspflicht bei der Bewertung vom RfC | gemRL_Betr_TI |
| GS-A_4419 | Nutzung der Testumgebung (RU/TU) | gemRL_Betr_TI |
| GS-A_4855-02 | Auditierung von TI-ITSM-Teilnehmern | gemRL_Betr_TI |
| GS-A_5351 | Prüfung von Service Requests | gemRL_Betr_TI |
| GS-A_5352 | Lösung bzw. Bearbeitung des Service Requests | gemRL_Betr_TI |
| GS-A_5366-01 | Change Management - Mitwirkungspflicht der TI-ITSM-Teilnehmer bei der Festsetzung von Standard-Changes | gemRL_Betr_TI |
| GS-A_5401-01 | Verschlüsselte E-Mail-Kommunikation | gemRL_Betr_TI |
| GS-A_5402 | Eigenverantwortliches Handeln bei Ausfall von Kommunikationsschnittstellen | gemRL_Betr_TI |
| GS-A_5588 | Abbruch der Problembearbeitung | gemRL_Betr_TI |
| GS-A_5589 | Prüfung auf Verantwortung zur Lösungsunterstützung | gemRL_Betr_TI |
| GS-A_5590 | Nutzung Business-Servicekatalog bei der Erfassung von Service Requests | gemRL_Betr_TI |
| GS-A_5591 | Verifikation des Service Requests | gemRL_Betr_TI |
| GS-A_5592 | Schließung des Service Requests | gemRL_Betr_TI |
| GS-A_5594 | Identifikation von TI-Konfigurationsdaten | gemRL_Betr_TI |
| GS-A_5599-01 | Change Management - Beschreibung der Verifikation des Changes im RfC | gemRL_Betr_TI |
| GS-A_5600-01 | Change Management - Beschreibung der Verifikation des Changes in Auswirkung auf andere TI-Services im RfC | gemRL_Betr_TI |
| GS-A_5603 | Eingangskanal für Informationen von TI-ITSM-Teilnehmern | gemRL_Betr_TI |
| GS-A_5604 | Bewertung der Messergebnisse | gemRL_Betr_TI |
| GS-A_4542 | Spezifikationsgrundlage für Produkte | gemSpec_OM |
| GS-A_5039-01 | Änderung der Produktversion bei Änderungen der Produkttypversion | gemSpec_OM |
| GS-A_5040-01 | Änderung der Produktversion bei Produktänderungen außerhalb von Produkttypänderungen | gemSpec_OM |
| A_22003-01 | Performance - Betriebsdatenlieferung v2 - Nachlieferung auf Anforderung | gemSpec_Perf |
| A_22620 | Performance - Betriebsdatenlieferung v2 - Umsetzungszeit für Änderung der Lieferintervalle | gemSpec_Perf |
| A_22996 | Performance - Betriebsdatenlieferung v2 - Zeitpunkte der Übermittlungen | gemSpec_Perf |
| A_23347-01 | Performance - Wartungsfenster - Durchführung | gemSpec_Perf |
| A_23618-01 | Performance - Wartungsfenster und Ausfall - Verfügbarkeitsberechnung | gemSpec_Perf |
| A_24962 | Performance - Servicezeiten des Anbieters basierend auf Produkttypen | gemSpec_Perf |
| A_26152 | Redundanz - Standortübergreifende Redundanz | gemSpec_Perf |
| A_26186 | Redundanz - Wiederherstellungszeitraum - 5 Tage | gemSpec_Perf |
| A_26826 | Performance - VSDM 2 - Verfügbarkeit | gemSpec_Perf |
| A_26989 | Performance - VSDM 2 - Skalierung | gemSpec_Perf |
3.2.3 Betriebshandbuch betriebliche Eignung
Sofern in diesem Abschnitt Festlegungen mit Vorgaben zu organisatorischen Maßnahmen wie Prozessen und Strukturvorgaben der Aufbauorganisation sowie der Umgebung verzeichnet sind, muss der Anbieter deren Umsetzung und Beachtung durch die Vorlage des Betriebshandbuches nachweisen.
Der Umfang und Inhalt des Betriebshandbuches ist der Definition in der Richtlinie Betrieb [gemRL_Betr_TI] zu entnehmen.
Tabelle 10: Festlegungen zur betrieblichen Eignung "Betriebshandbuch"
| ID | Bezeichnung | Quelle (Referenz) |
|---|---|---|
| A_23551 | Eigenmonitoring | gemKPT_Betr |
| A_23552 | Verhalten bei Auffälligkeiten oder Anomalien | gemKPT_Betr |
| A_24799 | ChangeManagement - e2e-Funktionsprüpfung nach Change | gemRL_Betr_TI |
| A_25903 | Redundanz - Definition inhaltlicher Auszüge aus dem Redundanzkonzept | gemRL_Betr_TI |
| GS-A_4123 | Entwicklung und Pflege der TI-Notfallvorsorgedokumentation | gemRL_Betr_TI |
| GS-A_4124 | Umsetzung Vorkehrungen zur TI-Notfallvorsorge | gemRL_Betr_TI |
| GS-A_4128 | Bewältigung der TI-Notfälle | gemRL_Betr_TI |
| GS-A_4129 | Unterstützung bei TI-Notfällen | gemRL_Betr_TI |
| GS-A_4132 | Durchführung der Wiederherstellung und TI-Notfällen | gemRL_Betr_TI |
| GS-A_4134 | Auswertungen von TI-Notfällen | gemRL_Betr_TI |
| GS-A_4136 | Statusinformation bei TI-Notfällen | gemRL_Betr_TI |
| GS-A_4137 | Dokumentation im TI-Notfall-Logbuch | gemRL_Betr_TI |
| GS-A_4138 | Erstellung des Wiederherstellungsberichts nach TI-Notfällen | gemRL_Betr_TI |
| GS-A_4398-01 | Change Management - Prüfung auf genehmigungspflichtige Änderung | gemRL_Betr_TI |
| GS-A_4400-01 | Change Management - Request for Change erstellen | gemRL_Betr_TI |
| GS-A_4407-01 | Change Management - Bereitstellung der Dokumentation des Change Managements für genehmigungspflichtige Changes | gemRL_Betr_TI |
| GS-A_4417-01 | Change Management - Stetige Aktualisierung des Change-Datensatzes im TI-ITSM-System | gemRL_Betr_TI |
| GS-A_4418-01 | Change Management - Übermittlung von Abweichungen vom RfC | gemRL_Betr_TI |
| GS-A_4424-01 | Change Management - Umsetzung des Fallbackplans | gemRL_Betr_TI |
| GS-A_4425-01 | Change Management - Übermittlung von Optimierungsmöglichkeiten zur Umsetzung von genehmigten Changes | gemRL_Betr_TI |
| GS-A_5343-01 | Definition inhaltlicher Auszüge aus dem Betriebshandbuch | gemRL_Betr_TI |
| GS-A_5361 | Change Management: Durchführung von Emergency-Changes durch TI-ITSM-Teilnehmer bei Nichterreichbarkeit des Gesamtverantwortlichen TI | gemRL_Betr_TI |
| GS-A_5378 | Change Management: Durchführung von Emergency-Changes durch TI-ITSM-Teilnehmer | gemRL_Betr_TI |
| GS-A_5597-01 | Change Management - RfC (Sub-Changes) erstellen | gemRL_Betr_TI |
| GS-A_5600-01 | Change Management - Beschreibung der Verifikation des Changes in Auswirkung auf andere TI-Services im RfC | gemRL_Betr_TI |
| GS-A_5601-01 | Change Management - Nachweis der Wirksamkeit eines Changes (Verifikation) | gemRL_Betr_TI |
| GS-A_5602-01 | Change Management - Nachweis der Wirksamkeit eines Changes in Auswirkung auf andere TI-Anwendungen (Verifikation) | gemRL_Betr_TI |
| GS-A_5606 | Unterstützung bei Definition von Kapazitätsanforderungen | gemRL_Betr_TI |
| GS-A_5610-03 | Change Management - Vorlaufzeiten in der Bewertung von Changes | gemRL_Betr_TI |
| GS-A_5611 | Umsetzung von autorisierten RfC | gemRL_Betr_TI |
| A_26152 | Redundanz - Standortübergreifende Redundanz | gemSpec_Perf |
| A_26186 | Redundanz - Wiederherstellungszeitraum - 5 Tage | gemSpec_Perf |
| A_26989 | Performance - VSDM 2 - Skalierung | gemSpec_Perf |
3.3 Festlegungen zur sicherheitstechnischen Eignung
3.3.1 Sicherheitsgutachten
Die in diesem Abschnitt verzeichneten Festlegungen sind Gegenstand der Prüfung der Sicherheitseignung gemäß [gemRL_PruefSichEig_DS]. Das entsprechende Sicherheitsgutachten ist der gematik vorzulegen.
Hinweis:
Einige Festlegungen sind sowohl in diesem Anbietertypsteckbrief, als auch in zugehörigen Produkttypsteckbriefen enthalten, da ein Nachweis der Erfüllung (ggf. auch anteilig) in Abhängigkeit von der Umsetzung sowohl durch die Anbieter der Produkte (Produktzulassung bzw. -bestätigung), als auch durch den Anbieter von Betriebsleistungen (Anbieterzulassung bzw. -bestätigung) erfolgen muss.
Abhängig von der konkreten Umsetzung können allerdings entsprechend [gemRL_PruefSichEig_DS] Festlegungen, die nur für die Anbieter der zugehörigen Produkte relevant sind, vom Sicherheitsgutachter als „entbehrlich“ bewertet werden.
Weiterhin können Festlegungen, die zwar relevant sind, aber bereits vollständig vom Anbieter der zugehörigen Produkte erfüllt werden, vom Sicherheitsgutachter über Referenzieren der bestehenden Sicherheitsgutachten der Produktanbieter als umgesetzt bewertet werden.
Tabelle 11: Festlegungen zur sicherheitstechnischen Eignung "Sicherheitsgutachten" - Anteil ZETA
| ID | Bezeichnung | Quelle (Referenz) |
|---|---|---|
| A_25408 | Zero Trust-Komponenten - Verbot Profilbildung | gemSpec_ZETA |
| A_25413 | Zero Trust-Komponenten - Ordnungsgemäße IT-Administration | gemSpec_ZETA |
| A_25419 | Security Monitoring - Erkennungsfähigkeit | gemSpec_ZETA |
| A_25420 | Security Monitoring - Kommunikationsmerkmale signalisieren | gemSpec_ZETA |
| A_25421 | Security Monitoring - Empfang von Missbrauchserkennung auf Resource Server-Ebene | gemSpec_ZETA |
| A_25450 | PDP - Policy nur vom gematik PIP und PAP Service | gemSpec_ZETA |
| A_25484 | Security Monitoring - Security KPIs | gemSpec_ZETA |
| A_25485 | Security Monitoring - Sicherheitsmeldung bei Aktualisierung von PIP-Daten oder PDP-Policies | gemSpec_ZETA |
| A_25606 | Security Monitoring - Fehlermeldung bei Aktualisierung von PIP-Daten oder PDP-Policies | gemSpec_ZETA |
| A_25747 | Zero Trust-Komponenten - Löschfristen Protokolle | gemSpec_ZETA |
| A_25775 | PDP - Kontrolle des Audit-Logs | gemSpec_ZETA |
| A_26065 | Nur zugelassene Images in Produktion | gemSpec_ZETA |
Tabelle 12: Festlegungen zur sicherheitstechnischen Eignung "Sicherheitsgutachten"
| ID | Bezeichnung | Quelle (Referenz) |
|---|---|---|
| A_20714 | Abstimmung der Maßnahmen im Security Monitoring mit gematik | gemSpec_DS_Anbieter |
| A_20715 | kontinuierliche Verbesserung und Dokumentation des Security Monitorings | gemSpec_DS_Anbieter |
| A_20716 | Überwachung von Systemen | gemSpec_DS_Anbieter |
| A_20717 | Zentrale Auswertung sicherheitsrelevanter Ereignisse | gemSpec_DS_Anbieter |
| A_20718 | Reaktion auf detektierte Ereignisse | gemSpec_DS_Anbieter |
| A_20719 | Weiterleitung erkannter Alarme an TI SIEM | gemSpec_DS_Anbieter |
| A_20720 | Weiterleitung von Logdaten (Rohdaten) an TI SIEM | gemSpec_DS_Anbieter |
| A_21716 | Unverzügliche Bewertung von Schwachstellen | gemSpec_DS_Anbieter |
| A_21717 | Bereitstellung der Bewertung von Schwachstellen gegenüber der gematik | gemSpec_DS_Anbieter |
| A_21718 | Umsetzen von Gegenmaßnahmen in Abhängigkeit der Kritikalität | gemSpec_DS_Anbieter |
| GS-A_2076-01 | kDSM: Datenschutzmanagement nach BSI | gemSpec_DS_Anbieter |
| GS-A_2158-01 | Trennung von kryptographischen Identitäten und Schlüsseln in Produktiv- und Testumgebungen | gemSpec_DS_Anbieter |
| GS-A_2214-01 | kDSM: Anbieter müssen jährlich die Auftragsverarbeiter kontrollieren | gemSpec_DS_Anbieter |
| GS-A_2328-01 | Pflege und Fortschreibung des Sicherheitskonzeptes und Notfallkonzeptes | gemSpec_DS_Anbieter |
| GS-A_2329-01 | Umsetzung der Sicherheitskonzepte | gemSpec_DS_Anbieter |
| GS-A_2331-01 | Sicherheitsvorfalls-Management | gemSpec_DS_Anbieter |
| GS-A_2332-01 | Notfallmanagement | gemSpec_DS_Anbieter |
| GS-A_2345-01 | regelmäßige Reviews | gemSpec_DS_Anbieter |
| GS-A_3078 | Anbieter einer Schlüsselverwaltung: verpflichtende Migrationsstrategie bei Schwächung kryptographischer Primitive | gemSpec_DS_Anbieter |
| GS-A_3125 | Schlüsselinstallation und Verteilung: Dokumentation gemäß Minimalitätsprinzip | gemSpec_DS_Anbieter |
| GS-A_3130 | Krypto_Schlüssel_Installation: Dokumentation der Schlüsselinstallation gemäß Minimalitätsprinzip | gemSpec_DS_Anbieter |
| GS-A_3149 | Krypto_Schlüssel_Archivierung: Dokumentation der Schlüsselarchivierung gemäß Minimalitätsprinzip | gemSpec_DS_Anbieter |
| GS-A_3737-01 | Sicherheitskonzept | gemSpec_DS_Anbieter |
| GS-A_3753-01 | Notfallkonzept | gemSpec_DS_Anbieter |
| GS-A_3772-01 | Notfallkonzept: Der Dienstanbieter soll dem BSI-Standard 100-4 folgen | gemSpec_DS_Anbieter |
| GS-A_4980-01 | Umsetzung der Norm ISO/IEC 27001 | gemSpec_DS_Anbieter |
| GS-A_4981-01 | Erreichen der Ziele der Norm ISO/IEC 27001 Annex A | gemSpec_DS_Anbieter |
| GS-A_4982-01 | Umsetzung der Maßnahmen der Norm ISO/IEC 27002 | gemSpec_DS_Anbieter |
| GS-A_4983-01 | Umsetzung der Maßnahmen aus dem BSI-Grundschutz | gemSpec_DS_Anbieter |
| GS-A_4984-01 | Befolgen von herstellerspezifischen Vorgaben | gemSpec_DS_Anbieter |
| GS-A_5551 | Betriebsumgebung in einem Mitgliedstaat der EU bzw. des EWR | gemSpec_DS_Anbieter |
| GS-A_5557 | Security Monitoring | gemSpec_DS_Anbieter |
| GS-A_5558 | Aktive Schwachstellenscans | gemSpec_DS_Anbieter |
| GS-A_5626 | kDSM: Auftragsverarbeitung | gemSpec_DS_Anbieter |
| A_26809 | Anbieter VSDM - ZETA Guard Informationspflicht via Betriebshandbuch | gemSpec_VSDM_2 |
| A_26969 | Anbieter VSDM - Verbot Profilbildung | gemSpec_VSDM_2 |
| A_26970 | Anbieter VSDM - Verarbeitung von Profildaten | gemSpec_VSDM_2 |
| A_26971 | Anbieter VSDM - Verbot der Datenweitergabe | gemSpec_VSDM_2 |
3.3.2 Dokumentenprüfung sicherheitstechnische Eignung
Sofern in diesem Abschnitt Festlegungen verzeichnet sind, muss der Anbieter deren Umsetzung und Beachtung zum Nachweis der sicherheitstechnischen Eignung durch eine Dokumentenprüfung bestätigen.
Tabelle 13: Festlegungen zur sicherheitstechnischen Eignung "Dokumentenprüfung"
| ID | Bezeichnung | Quelle (Referenz) |
|---|---|---|
| A_25903 | Redundanz - Definition inhaltlicher Auszüge aus dem Redundanzkonzept | gemRL_Betr_TI |
3.3.3 Anbietererklärung sicherheitstechnische Eignung
Sofern in diesem Abschnitt Festlegungen verzeichnet sind, muss der Anbieter deren Umsetzung und Beachtung zum Nachweis der sicherheitstechnischen Eignung durch eine Erklärung bestätigen bzw. zusagen.
Tabelle 14: Festlegungen zur sicherheitstechnischen Eignung "Anbietererklärung"
| ID | Bezeichnung | Quelle (Referenz) |
|---|---|---|
| A_19174 | Bereitstellung Übersicht Internet-Schnittstellen der TI | gemSpec_DS_Anbieter |
| A_19175 | Zustimmung zu regelmäßigen Schwachstellenscans durch die gematik | gemSpec_DS_Anbieter |
| A_21720 | Beteiligung an Coordinated Vulnerability Disclosure | gemSpec_DS_Anbieter |
| GS-A_4526-01 | Aufbewahrungsvorgaben an die Nachweise zu Sicherheitsmeldungen | gemSpec_DS_Anbieter |
| GS-A_5324-01 | Teilnahme des Anbieters an Sitzungen des kISMS | gemSpec_DS_Anbieter |
| GS-A_5324-02 | kDSM: Teilnahme des Anbieters an Sitzungen des kDSM | gemSpec_DS_Anbieter |
| GS-A_5566 | kDSM: Sicherstellung der Datenschutzanforderungen in Unterbeauftragungsverhältnissen | gemSpec_DS_Anbieter |
| GS-A_5624-01 | Auditrechte der gematik zur Informationssicherheit | gemSpec_DS_Anbieter |
| GS-A_5625 | kDSM: Auditrechte der gematik zum Datenschutz | gemSpec_DS_Anbieter |
| A_23460 | VSDM-Betreiber: HMAC-Schlüsselerzeugung | gemSpec_Krypt |
| A_23461 | VSDM-Betreiber: HMAC-Verfahren | gemSpec_Krypt |
| A_27404 | Anbieter VSDM - Sicherung der Datenverbindung zwischen HTTP-Proxy und Resource-Server | gemSpec_VSDM_2 |
4 Anhang – Verzeichnisse
4.1 Abkürzungen
| Kürzel |
Erläuterung |
|---|---|
| ID | Identifikation |
| CC |
Common Criteria |
4.2 Tabellenverzeichnis
- Tabelle 1: Dokumente mit normativen Festlegungen
- Tabelle 2: Mitgeltende Dokumente und Web-Inhalte
- Tabelle 3: Informative Dokumente und Web-Inhalte
- Tabelle 4: Festlegungen zur funktionalen Eignung "Test Produkt/FA"
- Tabelle 5: Festlegungen zur funktionalen Eignung "Anbietererklärung" - Anteil ZETA
- Tabelle 6: Festlegungen zur funktionalen Eignung "Anbietererklärung"
- Tabelle 7: Festlegungen zur betrieblichen Eignung "Prozessprüfung"
- Tabelle 8: Festlegungen zur betrieblichen Eignung "Anbietererklärung" - Anteil ZETA
- Tabelle 9: Festlegungen zur betrieblichen Eignung "Anbietererklärung"
- Tabelle 10: Festlegungen zur betrieblichen Eignung "Betriebshandbuch"
- Tabelle 11: Festlegungen zur sicherheitstechnischen Eignung "Sicherheitsgutachten" - Anteil ZETA
- Tabelle 12: Festlegungen zur sicherheitstechnischen Eignung "Sicherheitsgutachten"
- Tabelle 13: Festlegungen zur sicherheitstechnischen Eignung "Dokumentenprüfung"
- Tabelle 14: Festlegungen zur sicherheitstechnischen Eignung "Anbietererklärung"