gemVZ_Afo_Herst_FdV_V_1.3.0_V1.0.0

Releases:

PDF HTML Excel XML ZIP
gemVZ_Afo_Herst_FdV_V_1.3.0_V1.0.0



Elektronische Gesundheitskarte und Telematikinfrastruktur





Verzeichnis von betrieblichen Anforderungen
Prüfvorschrift

Hersteller eines Frontend des Versicherten


Anbietertyp Version1.3.0
Anbietertyp Statusfreigegeben


Version1.0.0
Revision1452685
Stand15.12.2025
Statusfreigegeben
Klassifizierungöffentlich
ReferenzierunggemVZ_Afo_Herst_FdV_V_1.3.0

Historie Verzeichnisversion und Verzeichnis-Steckbrief

Historie Verzeichnisversion

Die Verzeichnisversion ändert sich, wenn sich die normativen Festlegungen für den Hersteller ändern.

Verzeichnisversion
Beschreibung der Änderung
Referenz
1.0.0 Initiale Version zum Release ePA für alle  gemVZ_Herst_FdV_V_1.0.0
1.0.1 Anpassung auf Release-Stand E-Rezept Kassen-App
(Einarbeitung E-Rezept_FdV_Kassen-App,  Kap. "sicherheitstechn. Eignung" entfernt		 gemVZ_Herst_FdV_V_1.0.1
1.0.2 Anpassungen zur Änderungsliste Betr_24.1 gemVZ_Herst_FdV_V_1.0.2
1.1.0 Anpassung auf Release-Stand E-Rezept 1.6.5 
(Einarbeitung E-Rezept_Maintenance_24.1, gemF_eRp_ePA, gemF_eRp_DiGA) 		 gemVZ_Herst_FdV_V_1.1.0
1.2.0 Anpassung auf Release-Stand E-Rezept 1.6.6
(Einarbeitung E-Rezept_24._2, E-Rezept_24._3, gemF_eRp_EU)		 gemVZ_Herst_FdV_V_1.2.0
1.3.0 Anpassungen zu ePA für alle, Release 3.1.3-1 gemVZ_Herst_FdV_V_1.3.0

Historie Steckbrief

Die Dokumentenversion des Steckbriefs ändert sich mit jeder inhaltlichen oder redaktionellen Änderung des Steckbriefs und seinen referenzierten Dokumenten. Redaktionelle Änderungen haben keine Auswirkung auf die Verzeichnisversion.

Version
Stand
Kap.
Grund der Änderung, besondere Hinweise
Bearbeiter
1.0.0
15.12.2025 ePA für alle - Release 3.1.3-1 gematik

Inhaltsverzeichnis

1 Einführung

1.1 Zielsetzung und Einordnung des Dokumentes

Verzeichnissteckbriefe verzeichnen verbindlich die normativen Festlegungen der gematik an Hersteller zur Sicherstellung des Betriebes der von ihnen verantworteten Serviceeinheiten.

Die normativen Festlegungen werden über ihren Identifier, ihren Titel sowie die Dokumentenquelle referenziert. Die normativen Festlegungen mit ihrem vollständigen, normativen Inhalt sind dem jeweils referenzierten Dokument zu entnehmen.

1.2 Zielgruppe

Der Steckbrief richtet sich an:

  • Hersteller Frontend des Versicherten (FdV)
  • die gematik im Rahmen der Zulassungsverfahren, Bestätigungsverfahren, Kooperationsverträge und Anbieterverfahren.

1.3 Geltungsbereich

Dieses Dokument enthält normative Festlegungen zur Telematikinfrastruktur des deutschen Gesundheitswesens. Der Gültigkeitszeitraum der vorliegenden Version und deren Anwendung in Zulassungsverfahren werden durch die gematik GmbH in gesonderten Dokumenten (z. B. gemPTV_ATV_Festlegungen) festgelegt und bekannt gegeben.

1.4 Abgrenzung des Dokumentes

Dieses Dokument macht keine Aussagen zur Aufteilung der Produktentwicklung bzw. Produktherstellung auf verschiedene Hersteller und Anbieter.

Dokumente zu den Zulassungsverfahren sind nicht aufgeführt. Die geltenden Verfahren und Regelungen zur Beantragung und Durchführung von Zulassungsverfahren können dem Fachportal der gematik (https://fachportal.gematik.de/downloadcenter/zulassungs-bestaetigungsantraege-verfahrensbeschreibungen) entnommen werden.

1.5 Methodik

Die im Dokument verzeichneten normativen Festlegungen werden tabellarisch dargestellt. Die Tabellenspalten haben die folgende Bedeutung:

ID: Identifiziert die normative Festlegung eindeutig im Gesamtbestand aller Festlegungen der gematik.

Bezeichnung: Gibt den Titel einer normativen Festlegung informativ wieder, um die thematische Einordnung zu erleichtern. Der vollständige Inhalt der normativen Festlegung ist dem Dokument zu entnehmen, auf das die Quellenangabe verweist.

Quelle (Referenz): Verweist auf das Dokument, das die normative Festlegung definiert.

2 Dokumente

Die nachfolgenden Dokumente enthalten alle für den Anbietertyp normativen Festlegungen. 

Tabelle 1: Dokumente mit normativen Festlegungen

Dokumentenkürzel Bezeichnung des Dokumentes Version
gemKPT_Betr Betriebskonzept Online-Produktivbetrieb 3.58.0
gemRL_Betr_TI Übergreifende Richtlinien zum Betrieb der TI 2.21.0
gemSpec_DS_Anbieter Spezifikation Datenschutz- und Sicherheitsanforderungen der TI an Anbieter 2.1.0
gemSpec_IDP_Frontend Spezifikation Identity Provider - Frontend 2.0.0
gemSpec_Perf Übergreifende Spezifikation Performance und Mengengerüst TI-Plattform 2.71.0
gemSpec_TI-M_Basis Spezifikation TI-Messenger (Basis) 1.2.0

Weiterhin sind die in folgender Tabelle aufgeführten Dokumente und Web-Inhalte normativ und gelten mit.

Tabelle 2: Mitgeltende Dokumente und Web-Inhalte

Quelle Herausgeber: Bezeichnung / URL  Version 
Branch / Tag
[gemTI_SEC_Standard] gematik: TI Security Standard
https://gemspec.gematik.de/docs/gemTI/gemTI_SEC_Standard/gemTI_SEC_Standard_V1.0.0/ 		 1.0.0

Die Bestätigungs-/Zulassungsbedingungen werden im Dokument [gemZul_ePA_FdV] im Fachportal der gematik im Abschnitt Zulassung veröffentlicht.

Die in folgender Tabelle aufgeführten Dokumente und Web-Inhalte sind informative Beistellungen und sind nicht Gegenstand der Bestätigung / Zulassung. 

Tabelle 3: Informative Dokumente und Web-Inhalte

Quelle Herausgeber: Bezeichnung / URL Version 
Branch / Tag
[gemRL_PruefSichEig_DS] gematik: Richtlinie zur Prüfung der Sicherheitseignung https://gemspec.gematik.de/docs/gemRL/gemRL_PruefSichEig_DS/latest/  latest
1.0.0

Hinweis:

  • Ist kein Herausgeber angegeben, wird angenommen, dass die gematik für Herausgabe und Veröffentlichung der Quelle verantwortlich ist. 
  • Ist keine Version angegeben, bezieht sich die Quellenangabe auf die aktuellste Version.
  • Bei Quellen aus gitHub werden als Version Branch und / oder Tag verwendet. 

3 Normative Festlegungen

Die folgenden Abschnitte verzeichnen alle für diesen Hersteller normativen Festlegungen der gematik an Hersteller zur Sicherstellung des Betriebes der von ihnen verantworteten Serviceeinheiten. Die Festlegungen sind gruppiert nach der Art der Nachweisführung ihrer Erfüllung als Grundlage der Zulassung.

3.1 Festlegungen zur betrieblichen Eignung

3.1.1 Prozessprüfung betriebliche Eignung

Sofern in diesem Abschnitt Festlegungen mit Vorgaben zu organisatorischen Maßnahmen wie Prozessen und Strukturvorgaben verzeichnet sind, muss deren Erfüllung im Rahmen von Prozessprüfungen nachgewiesen werden. 

Tabelle 4: Festlegungen zur betrieblichen Eignung "Prozessprüfung"

ID Bezeichnung Quelle (Referenz)
GS-A_3876 Incident Management - Prüfung auf übergreifenden Incident gemRL_Betr_TI
GS-A_3886-01 Kommunikation - Nutzung des TI-ITSM-Systems bei der Übermittlung eines übergreifenden Vorgangs gemRL_Betr_TI
GS-A_3991 Problem Management - WDB-Aktualisierung nach Schließung eines übergreifenden Problems gemRL_Betr_TI
GS-A_5400 Incident Management - Prüfung der Lösung durch den Melder eines übergreifenden Incidents gemRL_Betr_TI
GS-A_5401-01 Kommunikation - Verschlüsselte E-Mail-Kommunikation gemRL_Betr_TI
GS-A_5450 Incident Management - Typisierung eines übergreifenden Incidents als „datenschutzrelevant“ gemRL_Betr_TI
A_23658-01 Produktnachweise im Rahmen der kontrollierten Inbetriebnahme gemSpec_TI-M_Basis

3.1.2 Herstellererklärung betriebliche Eignung

Sofern in diesem Abschnitt Festlegungen mit Vorgaben zu organisatorischen Maßnahmen wie Prozessen und Strukturvorgaben der Aufbauorganisation sowie der Umgebung verzeichnet sind, muss der Hersteller deren Umsetzung und Beachtung durch eine Herstellererklärung bestätigen bzw. zusagen. 

Tabelle 5: Festlegungen zur betrieblichen Eignung "Herstellererklärung"

ID Bezeichnung Quelle (Referenz)
A_13573-03 Serviceleistung der TI-ITSM-Teilnehmer im TI-ITSM-Teilnehmersupport zur Hauptzeit gemKPT_Betr
TIP1-A_6359-02 Definition der notwendigen Leistung anderer Anbieter durch Anbieter gemKPT_Betr
TIP1-A_6360-02 Kontrolle bereitgestellter Leistungen durch Anbieter gemKPT_Betr
TIP1-A_6367-02 Definition eines Business-Servicekatalog der angebotenen TI Services gemKPT_Betr
TIP1-A_6388-02 Bereitstellung eines lokalen IT-Service-Managements durch Anbieter für ihre zu verantwortenden Servicekomponenten gemKPT_Betr
TIP1-A_6390-02 Mitwirkung im TI-ITSM durch Anbieter gemKPT_Betr
TIP1-A_7263 Produktverantwortung der TI-ITSM-Teilnehmer gemKPT_Betr
TIP1-A_7266 Mitwirkungspflichten im TI-ITSM-System gemKPT_Betr
A_18405 Incident Management - Erstellung einer Root Cause Analysis durch am Incident beteiligte TI-ITSM-Teilnehmer gemRL_Betr_TI
A_18406 Incident Management - Nachlieferung zu einer Root Cause Analysis gemRL_Betr_TI
A_24983 Incident Management - Erstellung einer Root Cause Analysis im Incident - Prio 1 bis 2 gemRL_Betr_TI
A_24984 Incident Management - Erstellung einer Root Cause Analysis im Incident - Prio 3 bis 4 gemRL_Betr_TI
A_26501 Kommunikation - Benennung von Ansprechpartnern und Kontakten (FULL) gemRL_Betr_TI
GS-A_3884 Incident Management - Festlegung von Dringlichkeit und Auswirkung von übergreifenden Incidents gemRL_Betr_TI
GS-A_3888 Incident Management - Verifikation vor Schließung eines übergreifenden Incident gemRL_Betr_TI
GS-A_3889 Incident Management - Schließung eines übergreifenden Incidents gemRL_Betr_TI
GS-A_3902 Incident Management - Prüfung auf Serviceverantwortung gemRL_Betr_TI
GS-A_3904 Incident Management - Annahme eines übergreifenden Incidents gemRL_Betr_TI
GS-A_3905 Incident Management - Ablehnung eines übergreifenden Incidents gemRL_Betr_TI
GS-A_3907 Incident Management - Lösung von übergreifenden Incidents gemRL_Betr_TI
GS-A_3917 Audit - Bereitstellung der ITSM-Dokumentation bei Audits gemRL_Betr_TI
GS-A_3920-01 Koordinierung - Eskalationseinleitung durch den TI-ITSM-Teilnehmer gemRL_Betr_TI
GS-A_3922 Koordinierung - Mitwirkung bei Taskforces gemRL_Betr_TI
GS-A_3958 Problem Management - Problemerkennung durch TI-ITSM-Teilnehmer gemRL_Betr_TI
GS-A_3959 Problem Management - Prüfung auf übergreifendes Problem gemRL_Betr_TI
GS-A_3964 Problem Management - Festlegung von Dringlichkeit und Auswirkung von übergreifenden Problems gemRL_Betr_TI
GS-A_3971 Problem Management - Verifikation vor Schließung eines übergreifenden Problems gemRL_Betr_TI
GS-A_3975 Problem Management - Prüfung auf Serviceverantwortung zum übergreifenden Problem gemRL_Betr_TI
GS-A_3976 Problem Management - Ablehnung der Lösungsunterstützung gemRL_Betr_TI
GS-A_3977 Problem Management - Annahme der Verantwortung zur Lösungsunterstützung gemRL_Betr_TI
GS-A_3981 Problem Management - Annahme eines übergreifenden Problems gemRL_Betr_TI
GS-A_3982 Problem Management - Ablehnung eines übergreifenden Problems gemRL_Betr_TI
GS-A_3983 Problem Management - Ursachenanalyse eines übergreifenden Problems durch Serviceverantwortlichen gemRL_Betr_TI
GS-A_3984 Problem Management - Service Request zur Bereitstellung der TI-Testumgebung (RU/TU) gemRL_Betr_TI
GS-A_3986 Problem Management - Koordination bei übergreifenden Problems gemRL_Betr_TI
GS-A_3988 Problem Management - Prüfung der Lösung durch den Melder eines übergreifenden Problems gemRL_Betr_TI
GS-A_3989 Problem Management - Ablehnung der Lösung eines übergreifenden Problems gemRL_Betr_TI
GS-A_3990 Problem Management - Schließung eines übergreifenden Problems gemRL_Betr_TI
GS-A_4085 Kommunikation - Etablierung von Kommunikationsschnittstellen durch die TI-ITSM-Teilnehmer gemRL_Betr_TI
GS-A_4086 Kommunikation - Erreichbarkeit der Kommunikationsschnittstellen gemRL_Betr_TI
GS-A_4090 Kommunikation - Kommunikationssprache gemRL_Betr_TI
GS-A_4100 Service Level Management - Messung der Service Level gemRL_Betr_TI
GS-A_4117 Knowledge Management - Informationsbereitstellung durch TI-ITSM-Teilnehmer gemRL_Betr_TI
GS-A_4125 Incident Management - TI-Notfallerkennung gemRL_Betr_TI
GS-A_4397 Service Level Management - Teilnahme am Service Review gemRL_Betr_TI
GS-A_4855-02 Audit - Auditierung von TI-ITSM-Teilnehmern gemRL_Betr_TI
GS-A_5250 Incident Management - Ablehnung der Lösung eines übergreifenden Incidents gemRL_Betr_TI
GS-A_5377 Problem Management - Durchführung einer Problemstornierung gemRL_Betr_TI
GS-A_5400 Incident Management - Prüfung der Lösung durch den Melder eines übergreifenden Incidents gemRL_Betr_TI
GS-A_5402 Kommunikation - Eigenverantwortliches Handeln bei Ausfall von Kommunikationsschnittstellen gemRL_Betr_TI
GS-A_5449 Incident Management - Typisierung eines übergreifenden Incidents als „sicherheitsrelevant“ gemRL_Betr_TI
GS-A_5450 Incident Management - Typisierung eines übergreifenden Incidents als „datenschutzrelevant“ gemRL_Betr_TI
GS-A_5587 Incident Management - Ablehnung der Lösungsunterstützung bei einem übergreifenden Incident gemRL_Betr_TI
GS-A_5588 Problem Management - Abbruch der Problembearbeitung gemRL_Betr_TI
GS-A_5589 Problem Management - Prüfung auf Verantwortung zur Lösungsunterstützung gemRL_Betr_TI
GS-A_5590 Request Fulfillment - Nutzung Business-Servicekatalog bei der Erfassung von Service Requests gemRL_Betr_TI
GS-A_5603 Knowledge Management - Eingangskanal für Informationen von TI-ITSM-Teilnehmern gemRL_Betr_TI
A_27099 Audits und Sicherheitsanalysen gemSpec_DS_Anbieter
GS-A_2076-01 kDSM: Datenschutzmanagement nach BSI gemSpec_DS_Anbieter
GS-A_4980-02 Umsetzung der Norm ISO/IEC 27001 gemSpec_DS_Anbieter
GS-A_4981-01 Erreichen der Ziele der Norm ISO/IEC 27001 Annex A gemSpec_DS_Anbieter
GS-A_4982-01 Umsetzung der Maßnahmen der Norm ISO/IEC 27002 gemSpec_DS_Anbieter
GS-A_4983-01 Umsetzung der Maßnahmen aus dem BSI-Grundschutz gemSpec_DS_Anbieter
GS-A_5551-01 Betriebsumgebung in einem Mitgliedstaat der EU bzw. des EWR oder der Schweiz gemSpec_DS_Anbieter
GS-A_5554 Aufrechterhaltung der Informationssicherheit gemSpec_DS_Anbieter
GS-A_5626 kDSM: Auftragsverarbeitung gemSpec_DS_Anbieter
A_20603 Organisatorische Registrierung des Anwendungsfrontends gemSpec_IDP_Frontend
A_21515 Authenticator-Modul: Registrierung gemSpec_IDP_Frontend
GS-A_4095-02 Performance - Ad-hoc-Reports - Lieferverpflichtung gemSpec_Perf

3.1.3 Betriebshandbuch betriebliche Eignung

Sofern in diesem Abschnitt Festlegungen mit Vorgaben zu organisatorischen Maßnahmen wie Prozessen und Strukturvorgaben der Aufbauorganisation sowie der Umgebung verzeichnet sind, muss der Hersteller deren Umsetzung und Beachtung durch die Vorlage des Betriebshandbuches nachweisen.  

Der Umfang und Inhalt des Betriebshandbuches ist der Definition in der Richtlinie Betrieb [gemRL_Betr_TI] zu entnehmen. 

Tabelle 6: Festlegungen zur betrieblichen Eignung "Betriebshandbuch"

ID Bezeichnung Quelle (Referenz)
Es liegen keine Festlegungen vor

3.2 Festlegungen zur sicherheitstechnischen Eignung

3.2.1 Herstellererklärung sicherheitstechnische Eignung

Sofern in diesem Abschnitt Festlegungen verzeichnet sind, muss der Hersteller bzw. der Anbieter deren Umsetzung und Beachtung zum Nachweis der sicherheitstechnischen Eignung durch eine Herstellererklärung bestätigen bzw. zusagen.

Tabelle 7: Festlegungen zur sicherheitstechnischen Eignung "Herstellererklärung" (Betrieb)

ID Bezeichnung Quelle (Referenz)
Es liegen keine Festlegungen vor

3.2.2 Prozessprüfung

Sofern in diesem Abschnitt Festlegungen verzeichnet sind, muss der Anbieter deren Umsetzung und Beachtung zum Nachweis der sicherheitstechnischen Eignung durch eine Prozessprüfung bestätigen bzw. zusagen. 

Tabelle 8: Festlegungen zur sicherheitstechnischen Eignung "Prozessprüfung"

ID Bezeichnung Quelle (Referenz)
GS-A_5561 Bereitstellung 24/7-Kontaktpunkt gemRL_Betr_TI
A_27098-01 Verpflichtung zur Umsetzung des TI Security Standards gemSpec_DS_Anbieter

4 Anhang – Verzeichnisse

4.1 Abkürzungen

Kürzel
Erläuterung
ID Identifikation
CC
Common Criteria

4.2 Tabellenverzeichnis