KRITIS-Audit und Nachweisprüfung für Krankenkasse

Die mkk – meine krankenkasse benötigt ein KRITIS-Audit gemäß § 8a BSIG, da sie als gesetzliche Kranken- und Pflegekasse Kritische Infrastrukturen im Sektor Finanz- und Versicherungswesen betreibt. Der Nachweis ist bis zum 01.04.2026 auf Basis des B3S-GKV/PV zu führen. Das Auditziel ist die umfassende Prüfung der IT-Sicherheitsmaßnahmen, um den gesetzlichen Nachweis zu erbringen und die Wirksamkeit der Sicherheitsmaßnahmen zu bewerten. Der Dienstleister muss alle relevanten gesetzlichen Anforderungen berücksichtigen, einschließlich BSIG, BSI-KritisV, DSGVO, BDSG und SGB V. Der Prüfungsumfang umfasst die kritischen IT-Systeme, Komponenten und Prozesse, einschließlich Netzwerkkomponenten, Server, Datenbanken und Anwendungen. Der Geltungsbereich des ISMS umfasst das Verwaltungs- und Zahlungssystem der mkk, wobei kritische Dienstleistungen wie Zahlungsverkehr, Personenbuchhaltung, Pflegegeldleistung, Krankengeld, Mutterschaftsgeld, Übergangsgeld, Ausstellung der eGK und Verletztengeld berücksichtigt werden. Die Prüfung erfolgt auf Grundlage des B3S-GKV/PV, wobei Modul 3A (Managementsystemprüfung mit Angriffserkennung) verpflichtend ist und Modul 3B (Prozessuale Sicherheitsprüfung und Penetrationstest) optional beauftragt werden kann. Optional ist auch eine zusätzliche Beraterleistung, die auditvorbereitende und begleitende Maßnahmen umfasst, wie die Vorbereitung der Mitarbeiter, Vorqualifikation relevanter Dokumente und Begleitung während des Audits. Ein erfahrener Auditleiter soll als zentraler Ansprechpartner fungieren und einen detaillierten Auditplan erstellen. Regelmäßige Statusmeetings und transparente Kommunikation sind erforderlich, und klare Eskalationsprozesse müssen definiert werden. Alle Dokumente und Berichte müssen in verständlicher Sprache verfasst sein. Ein detaillierter Zeitplan, der mit der mkk abgestimmt ist, muss den Auditzeitraum, Auditthema und Verantwortlichkeiten konkretisieren. Die Auditierung soll idealerweise im Zeitraum 11/2025 – 03/2026 stattfinden, und der Auditbericht muss bis spätestens 15.03.2026 vorliegen. Die Eignung der prüfenden Stelle und die Qualifikationen des Prüfteams müssen nachgewiesen werden.