(2) Die Gesellschaft für Telematik hat mindestens alle zwei Jahre über die Erfüllung der Anforderungen an die Vermeidung von Störungen der Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit der informationstechnischen Systeme, Komponenten oder Prozesse der Telematikinfrastruktur geeignete Nachweise zu erbringen. Der Nachweis kann jeweils insbesondere durch Audits, Prüfungen oder Zertifizierungen erfolgen, die von geeigneten und unabhängigen externen Stellen durchgeführt werden.
(3) Die Gesellschaft für Telematik informiert das Bundesministerium für Gesundheit und das Bundesamt für Sicherheit in der Informationstechnik in geeigneter Weise über erkannte Sicherheitsmängel und die Nachweise nach Absatz 2. Die Gesellschaft für Telematik kann von den Inhabern einer Zulassung für Komponenten oder Dienste der Telematikinfrastruktur nach § 311 Absatz 6 sowie § 325 oder Inhabern einer Bestätigung nach § 327 geeignete Nachweise zur Erfüllung ihrer Pflichten nach Absatz 1 verlangen.
(4) Die Meldepflichten nach Artikel 33 der Verordnung (EU) 2016/679 bleiben unberührt.
§ 331 Maßnahmen zur Überwachung des Betriebs zur Gewährleistung der Sicherheit, Verfügbarkeit und Nutzbarkeit der Telematikinfrastruktur (1) Die Gesellschaft für Telematik hat ab dem 1. Januar 2021 für Komponenten und Dienste der Telematikinfrastruktur sowie für Komponenten und Dienste, die die Telematikinfrastruktur nutzen, aber außerhalb der Telematikinfrastruktur betrieben werden, im Benehmen mit dem Bundesamt für Sicherheit in der Informationstechnik solche Maßnahmen zur Überwachung des Betriebs zu treffen, die erforderlich sind, um die Sicherheit, Verfügbarkeit und Nutzbarkeit der Telematikinfrastruktur zu gewährleisten.
(2) Die Gesellschaft für Telematik legt fest, welche näheren Angaben ihr die Anbieter der Komponenten und Dienste offenzulegen haben, damit die Überwachung nach Absatz 1 durchgeführt werden kann.
(3) Die Verpflichtung der Gesellschaft für Telematik nach § 330 Absatz 1 Satz 1, zur Vermeidung von Störungen angemessene organisatorische und technische Vorkehrungen zu treffen, umfasst auch den Einsatz von geeigneten Systemen zur Erkennung von Störungen und Angriffen. Der Einsatz der Systeme erfolgt im Benehmen mit der oder dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit und dem Bundesamt für Sicherheit in der Informationstechnik.
(4) Die Gesellschaft für Telematik darf die für den Einsatz der Systeme nach Absatz 3 erforderlichen Daten verarbeiten. Die im Rahmen des Einsatzes dieser Systeme verarbeiteten Daten sind unverzüglich zu löschen, wenn sie für die Vermeidung von Störungen nach § 330 Absatz 1 Satz 1 nicht mehr erforderlich sind, spätestens jedoch nach zehn Jahren.
(5) Die Gesellschaft für Telematik darf, soweit es für die Durchführung der Maßnahmen nach Absatz 1 und im Rahmen der Vorkehrungen nach Absatz 3 erforderlich ist, die für den Zugriff auf Anwendungen nach § 334 Absatz 1 Satz 2 erforderlichen Komponenten zur Identifikation und Authentifizierung im Rahmen von hierzu erstellten Prüfnutzeridentitäten nutzen. Die Nutzung darf ausschließlich für Prüfzwecke erfolgen und die Einzelheiten sind im Einvernehmen mit dem Bundesamt für Sicherheit in der Informationstechnik und der oder dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit festzulegen. Es muss dabei technisch und organisatorisch gewährleistet sein, dass ein Zugriff auf personenbezogene Daten von Nutzern der Telematikinfrastruktur ausgeschlossen ist, die keine Prüfnutzeridentitäten verwenden. Die Prüfnutzeridentitäten dürfen von höchstens