1. Einleitung
Patientendaten, Praxissoftware, E-Mail, Telematikinfrastruktur, mobile Geräte und vernetzte Medizintechnik machen IT-Sicherheit zu einem festen Bestandteil des Praxisbetriebs. Die KBV-IT-Sicherheitsrichtlinie § 390 SGB V legt dafür konkrete technische und organisatorische Anforderungen fest. Sie ist damit mehr als eine allgemeine Empfehlung für einen sicheren Umgang mit Computern.
Für Praxisinhaber ist vor allem wichtig zu verstehen, welche Vorgaben für die eigene Praxis tatsächlich gelten. Die Richtlinie unterscheidet nach Praxisgröße und technischer Ausstattung. Eine kleine Einzelpraxis hat deshalb nicht automatisch denselben Anforderungskatalog wie ein großes MVZ mit mehr als 20 Personen in der Datenverarbeitung oder ein Labor mit umfangreicher Datenverarbeitung.
Dieser Beitrag ist bewusst kein zweiter IT-Sicherheitscheck. Er beantwortet nicht, wie Sie einzelne Systeme technisch testen, sondern welche Anforderungen die KBV-Richtlinie vorgibt und wie diese Anforderungen Ihrer Praxis zugeordnet werden. Für konkrete rechtliche Einzelfragen ersetzt der Beitrag keine Rechtsberatung.
2. Kurzantwort
Die KBV-IT-Sicherheitsrichtlinie nach § 390 SGB V verpflichtet vertragsärztliche und vertragspsychotherapeutische Praxen zu technischen und organisatorischen Sicherheitsmaßnahmen. Dazu gehören je nach Praxisgröße und Ausstattung insbesondere Personalregeln und Schulungen, Firewall und Netzwerksicherheit, zeitnahe Updates, Virenschutz, Datensicherung, Zugriffsschutz, sichere E-Mail- und Cloud-Nutzung sowie Anforderungen an TI-Komponenten. Verantwortlich bleibt der Praxisinhaber, auch wenn die Umsetzung delegiert wird.
3. Was Sie dazu wissen sollten
Was regelt § 390 SGB V?
§ 390 SGB V bildet die gesetzliche Grundlage für die IT-Sicherheitsrichtlinie in der vertragsärztlichen und vertragszahnärztlichen Versorgung. Die Kassenärztlichen Bundesvereinigungen müssen darin Anforderungen festlegen, die Verfügbarkeit, Integrität und Vertraulichkeit der eingesetzten informationstechnischen Systeme und der verarbeiteten Informationen schützen.
Der Gesetzestext verlangt ausdrücklich auch Vorgaben für die sichere Installation und Wartung von Komponenten und Diensten der Telematikinfrastruktur sowie Maßnahmen zur Sensibilisierung von Mitarbeitenden für Informationssicherheit.
Die Richtlinie selbst legt nach eigener Definition das Mindestmaß der technischen und organisatorischen Maßnahmen fest. Den aktuellen Gesetzestext finden Sie unter § 390 SGB V, die geltende Richtlinie auf der Themenseite der KBV zur IT-Sicherheit.
Ist die KBV-IT-Sicherheitsrichtlinie für Arztpraxen verbindlich?
Ja. § 390 Abs. 6 SGB V erklärt die Richtlinie für die an der vertragsärztlichen Versorgung teilnehmenden Leistungserbringer für verbindlich. Die aktuelle KBV-Fassung ist seit dem 1. April 2025 in Kraft. Die damals neu hinzugekommenen Anforderungen gelten seit dem 1. Oktober 2025.
Für Praxisinhaber bedeutet das: IT-Sicherheit ist nicht allein eine freiwillige technische Qualitätsentscheidung. Die für die jeweilige Praxis zutreffenden Anforderungen der Richtlinie müssen berücksichtigt und umgesetzt werden.
Wer ist für die Umsetzung verantwortlich?
Die Verantwortung liegt beim Praxisinhaber beziehungsweise bei den Praxisinhabern. Die Richtlinie erlaubt ausdrücklich, einzelne Umsetzungsaufgaben an Mitarbeitende oder externe IT-Dienstleister zu delegieren. Die Verantwortung für die Einhaltung der Richtlinie geht dadurch jedoch nicht vollständig auf den Dienstleister über.
Damit gehört zur Aufgabe der Praxisleitung auch, Zuständigkeiten festzulegen. Es muss beispielsweise geklärt sein, wer Updates einspielt, wer Datensicherungen verantwortet und welche Personen administrative Zugänge erhalten.
Welche Praxisgrößen unterscheidet die KBV?
Die Anforderungen richten sich nach der Zahl der Personen, die ständig mit der Datenverarbeitung betraut sind. Entscheidend ist damit nicht allein die Zahl der Ärztinnen und Ärzte.
- Praxis: bis zu fünf ständig mit der Datenverarbeitung betraute Personen.
- Mittlere Praxis: sechs bis 20 ständig mit der Datenverarbeitung betraute Personen.
- Großpraxis oder Praxis mit Datenverarbeitung im erheblichen Umfang: mehr als 20 ständig mit der Datenverarbeitung betraute Personen oder eine besonders umfangreiche Datenverarbeitung, beispielsweise in einem Groß-MVZ mit krankenhausähnlichen Strukturen oder einem Großlabor.
Diese Einteilung entscheidet darüber, welche Anlagen der Richtlinie anzuwenden sind.
Welche Anlagen gelten für welche Praxis?
Für eine Praxis mit bis zu fünf ständig mit der Datenverarbeitung betrauten Personen gelten grundsätzlich die Anforderungen aus Anlage 1 und Anlage 5, soweit die jeweiligen Zielobjekte in der Praxis verwendet werden.
Eine mittlere Praxis muss zusätzlich die Anforderungen aus Anlage 2 berücksichtigen. Für Großpraxen beziehungsweise Praxen mit Datenverarbeitung im erheblichen Umfang kommt zusätzlich Anlage 3 hinzu.
Werden medizinische Großgeräte eingesetzt, gilt unabhängig von der Praxisgröße ergänzend Anlage 4. Anlage 5 betrifft die dezentralen Komponenten der Telematikinfrastruktur.
Welche Anforderungen gelten bereits für kleine Praxen?
Anlage 1 enthält den grundlegenden Anforderungskatalog. Er betrifft nicht nur Technik, sondern auch Organisation und Personal.
Personal, Zuständigkeiten und Schulungen
Neue Mitarbeitende müssen in Aufgaben, vorhandene Regelungen und Verfahrensweisen eingearbeitet werden. Auch für ausscheidende Mitarbeitende gibt es Vorgaben: Zugangsrechte müssen entzogen, überlassene Geräte und Schlüssel zurückgegeben und relevante Zugangsdaten gegebenenfalls geändert werden.
Bei externem Personal sind Zugänge restriktiv zu vergeben. Bevor externe Personen auf vertrauliche Informationen zugreifen, verlangt die Richtlinie schriftliche Vertraulichkeitsvereinbarungen.
Besonders wichtig seit der Aktualisierung 2025 sind Sensibilisierung und Schulung. Mitarbeitende müssen regelmäßig geschult beziehungsweise weitergebildet und in den sicheren Umgang mit relevanten IT-Komponenten eingewiesen werden. Auch die Praxisleitung muss für Informationssicherheit sensibilisiert sein.
Firewall und Netzwerksicherheit
Netzübergänge zu anderen Netzen, insbesondere zum Internet, müssen durch eine Firewall geschützt werden. Das interne Praxisnetz muss einschließlich eines Netzplans dokumentiert sein. Für administrative Zugriffe auf Netzwerkkomponenten ist eine geeignete Authentisierung erforderlich.
Die Richtlinie macht damit deutlich, dass ein Praxisnetz nicht nur angeschlossen, sondern strukturiert dokumentiert und gegen unerlaubte Verbindungen abgesichert werden muss.
Updates und nicht mehr unterstützte Systeme
Updates müssen zeitnah nach ihrer Veröffentlichung installiert werden. Außerdem muss festgelegt sein, wer für die Installation zuständig ist.
Die Praxis muss auch erkennen, wenn Hardware, Betriebssysteme, Anwendungen oder Dienste keine Sicherheitsupdates mehr erhalten. Solche Systeme müssen nach der Richtlinie ausgemustert oder in einem eigenen Netzwerksegment separiert betrieben werden.
Damit ist insbesondere der dauerhafte Betrieb nicht mehr unterstützter Altsoftware ohne zusätzliche Maßnahmen nicht mit dem vorgesehenen Sicherheitsmodell vereinbar.
Virenschutz, Zugriffe und Datensicherung
Auf Endgeräten sind aktuelle Virenschutzprogramme einzusetzen. Relevante Daten müssen regelmäßig gesichert und die Sicherungen gegen unbefugten Zugriff geschützt werden.
Die Praxis muss festlegen, wie die Sicherung erfolgt und wer dafür verantwortlich ist. Die Richtlinie empfiehlt außerdem zu testen, ob gesicherte Daten funktionsfähig und vollständig vorhanden sind.
Auch Zugriffe auf Geräte und Software müssen abgesichert werden. Benutzer- und Rollenkonzepte in der Praxissoftware helfen dabei, den Zugriff auf Patientendaten auf die benötigten Personen zu begrenzen.
Mobile Geräte, Datenträger und Apps
Die Richtlinie enthält eigene Anforderungen für Smartphones, Tablets, Mobiltelefone, Apps und Wechseldatenträger. Dazu gehören beispielsweise Gerätesperrcodes, restriktive Datenschutz-Einstellungen, das Sperren einer SIM-Karte nach Geräteverlust und der Schutz von Wechseldatenträgern vor Schadsoftware.
Apps sollten nur aus vertrauenswürdigen beziehungsweise offiziellen Quellen bezogen werden. Zugriffe von Apps auf vertrauliche Daten sind soweit wie möglich einzuschränken.
E-Mail und Webanwendungen
Auch die Konfiguration von E-Mail-Clients ist Bestandteil der Richtlinie. Anhänge sollten vor dem Öffnen auf Schadsoftware geprüft, sichere Transportverschlüsselung eingesetzt und Mitarbeitende zum Umgang mit Spam sensibilisiert werden.
Betreibt eine Praxis eigene Webanwendungen oder Webservices, gelten zusätzliche Anforderungen beispielsweise für Authentisierung, den Schutz von Zugangsdaten und den Schutz vor unerlaubter automatisierter Nutzung.
Was gilt für Cloud-Anwendungen mit Gesundheitsdaten?
Werden Sozial- oder Gesundheitsdaten über Cloud-Computing verarbeitet, enthält die aktuelle Richtlinie eine besondere Vorgabe: Der Anbieter der eingesetzten Cloud-Anwendung muss über ein aktuelles C5-Testat entsprechend den einschlägigen Vorgaben des SGB V verfügen.
Das bedeutet nicht, dass jede beliebige Cloud-Nutzung automatisch unzulässig wäre. Vor dem Einsatz einer Cloud-Lösung mit Gesundheitsdaten muss jedoch geprüft werden, ob die für den konkreten Dienst geltenden gesetzlichen und regulatorischen Voraussetzungen erfüllt sind.
Welche zusätzlichen Anforderungen gelten für mittlere Praxen?
Mittlere Praxen mit sechs bis 20 ständig mit der Datenverarbeitung betrauten Personen müssen zusätzlich Anlage 2 beachten. Dort werden unter anderem weitergehende Anforderungen an Logging, verschlüsselte Kommunikation und restriktive Berechtigungen formuliert.
Für dienstlich verwendete Mobiltelefone ist beispielsweise eine Nutzungs- und Sicherheitsrichtlinie vorgesehen. Auch App-Berechtigungen und der Umgang mit mobilen Geräten werden stärker geregelt.
Welche zusätzlichen Anforderungen gelten für Großpraxen und große MVZ?
Für Großpraxen kommen die Anforderungen aus Anlage 3 hinzu. Dazu gehört insbesondere eine stärkere Strukturierung der Netzwerksicherheit. Das interne Netz soll so segmentiert werden, dass der Schutzbedarf der dort verarbeiteten Daten berücksichtigt wird. Gesundheitsdaten sollen dabei von weniger kritischen Bereichen getrennt werden.
Auch Mobile Device Management wird detaillierter geregelt. Dazu gehören beispielsweise ein dokumentiertes Berechtigungskonzept, sichere Anbindung mobiler Geräte, zentrale Zertifikatsverwaltung und Möglichkeiten zur Fernlöschung.
Was gilt für medizinische Großgeräte?
Werden medizinische Großgeräte wie CT, MRT, PET, Linearbeschleuniger oder entsprechende Analysegeräte eingesetzt, gilt zusätzlich Anlage 4.
Zugriffe auf Konfigurations- und Wartungsschnittstellen müssen auf vorher festgelegte berechtigte Personen beschränkt werden. Herstellerseitige Standardpasswörter sind zu ändern. Für Wartung und Konfiguration müssen sichere Protokolle genutzt werden, sicherheitsrelevante Systemereignisse sind zu protokollieren und nicht benötigte Dienste oder Benutzerkonten müssen deaktiviert werden.
Die Richtlinie empfiehlt außerdem, medizinische Großgeräte von der übrigen IT zu trennen. Besonders ferngewartete Systeme sollten in einem eigenen Netzwerksegment betrieben werden.
Welche Anforderungen gelten für die Telematikinfrastruktur?
Anlage 5 betrifft die dezentralen Komponenten der Telematikinfrastruktur. Bei Installation und Betrieb müssen die Vorgaben der gematik sowie die Herstellerdokumentationen berücksichtigt werden. Die Komponenten müssen außerdem gegen unberechtigten physischen Zugriff geschützt werden.
Für gehostete Konnektoren verlangt die Richtlinie einen VPN-Tunnel zwischen Praxis und Konnektor. Bei einem TI-Gateway sind die Vorgaben des jeweiligen Anbieters einzuhalten. Verfügbare Aktualisierungen für TI-Komponenten müssen regelmäßig geprüft und zeitnah installiert werden.
Auch Administrationsdaten und Passwörter der TI-Komponenten müssen sicher aufbewahrt werden. Wichtig ist dabei, dass der Leistungserbringer die erforderlichen Administrationsdaten auch unabhängig von seinem IT-Dienstleister kennt beziehungsweise darauf zugreifen kann.
Ersetzt die KBV-Richtlinie die DSGVO?
Nein. Die KBV-Richtlinie konkretisiert technische und organisatorische Anforderungen für die Praxis-IT, ersetzt aber weder die Datenschutz-Grundverordnung noch ärztliche Schweigepflichten oder andere einschlägige Vorgaben.
Die KBV weist ausdrücklich darauf hin, dass Praxen neben der IT-Sicherheitsrichtlinie auch die datenschutzrechtlichen und berufsrechtlichen Anforderungen berücksichtigen müssen.
Muss die Praxis einen zertifizierten IT-Dienstleister einsetzen?
Nein. Die KBV führt zwar ein Zertifizierungsverfahren für IT-Dienstleister beziehungsweise deren entsprechend qualifizierte Mitarbeitende und stellt ein Verzeichnis zur Verfügung. Nach Angaben der KBV ist die Nutzung eines zertifizierten Dienstleisters jedoch optional.
Die Praxis kann sich auch von einem anderen IT-Dienstleister unterstützen lassen. Unabhängig davon bleibt die Praxisleitung für die Einhaltung der Richtlinie verantwortlich.
Was unterscheidet die Richtlinie vom IT-Sicherheitscheck?
Die KBV-IT-Sicherheitsrichtlinie beantwortet die normative Frage: Welche Anforderungen gelten für meine Praxis? Ein IT-Sicherheitscheck beantwortet dagegen die operative Frage: Wie ist meine vorhandene Praxis-IT tatsächlich aufgestellt und wo bestehen Lücken?
Beide Themen ergänzen sich, haben aber unterschiedliche Suchintentionen. Wenn Sie die technische Überprüfung Ihrer vorhandenen Infrastruktur suchen, finden Sie dazu den separaten Beitrag IT-Sicherheitscheck für Arztpraxis.
4. Schritt für Schritt
- Geltungsbereich bestimmen: Klären Sie, ob Ihre Einrichtung an der vertragsärztlichen beziehungsweise vertragspsychotherapeutischen Versorgung teilnimmt und damit unter die KBV-Richtlinie fällt.
- Praxisgröße zuordnen: Ermitteln Sie die Zahl der ständig mit der Datenverarbeitung betrauten Personen und ordnen Sie die Praxis der entsprechenden Größenklasse zu.
- Grundlegende Anlagen bestimmen: Ordnen Sie anhand der Praxisgröße Anlage 1, 2 oder 3 zu; Anlage 5 ist für die eingesetzten dezentralen TI-Komponenten relevant.
- Technische Ausstattung berücksichtigen: Prüfen Sie, welche in den Anlagen genannten Zielobjekte tatsächlich eingesetzt werden, beispielsweise mobile Geräte, Cloud-Anwendungen oder eigene Webdienste.
- Medizinische Großgeräte berücksichtigen: Werden entsprechende Großgeräte eingesetzt, müssen zusätzlich die Anforderungen aus Anlage 4 einbezogen werden.
- Organisatorische Anforderungen zuordnen: Berücksichtigen Sie Personalprozesse, Zuständigkeiten, Vertraulichkeit sowie Sensibilisierung und Schulung ausdrücklich neben den technischen Maßnahmen.
- Technische Kernanforderungen zuordnen: Erfassen Sie die relevanten Anforderungen an Firewall, Netzwerk, Updates, Endgeräte, Virenschutz, Backup und Zugriffsschutz.
- TI-Anforderungen einbeziehen: Ordnen Sie die für Konnektor, TI-Gateway und weitere dezentrale TI-Komponenten geltenden Anforderungen aus Anlage 5 zu.
- Verantwortlichkeiten festlegen: Dokumentieren Sie, wer innerhalb der Praxis beziehungsweise beim IT-Dienstleister einzelne Anforderungen umsetzt, ohne die Gesamtverantwortung der Praxisleitung aus dem Blick zu verlieren.
- Änderungen der Richtlinie verfolgen: Berücksichtigen Sie Aktualisierungen der KBV, da § 390 SGB V eine regelmäßige Überprüfung und Anpassung der Anforderungen an den Stand der Technik vorsieht.
5. Checkliste
- Ist die Praxis anhand der Zahl der ständig mit der Datenverarbeitung betrauten Personen der richtigen Größenklasse zugeordnet?
- Ist bekannt, welche Anlagen der KBV-IT-Sicherheitsrichtlinie für die Praxis gelten?
- Sind Einarbeitung, Ausscheiden, Zuständigkeiten und Zugänge von Mitarbeitenden organisatorisch geregelt?
- Sind Sensibilisierung und regelmäßige Schulung des Praxispersonals berücksichtigt?
- Sind Internetübergang, internes Netzwerk und administrative Zugänge entsprechend den Anforderungen geregelt?
- Sind Verantwortlichkeiten für Updates festgelegt und nicht mehr unterstützte Systeme berücksichtigt?
- Sind Virenschutz, Datensicherung, Schutz der Sicherungen und Zugriffsrechte den Anforderungen zugeordnet?
- Sind gegebenenfalls mobile Geräte, Apps, E-Mail-Dienste und Cloud-Anwendungen berücksichtigt?
- Sind bei vorhandenen medizinischen Großgeräten die zusätzlichen Anforderungen aus Anlage 4 berücksichtigt?
- Sind die Anforderungen an die eingesetzten Komponenten der Telematikinfrastruktur aus Anlage 5 berücksichtigt?
6. Häufige Fehler
Fehler 1: Die Praxisgröße wird nach der Zahl der Ärzte bestimmt
Problem: Die KBV verwendet für die Größenklassen die Zahl der ständig mit der Datenverarbeitung betrauten Personen. Besser: Ordnen Sie Ihre Praxis anhand dieser Definition ein und nicht ausschließlich anhand der Zahl der Ärztinnen und Ärzte.
Fehler 2: Die Richtlinie wird auf Firewall und Virenschutz reduziert
Problem: Seit der Aktualisierung spielen auch Personal, Zuständigkeiten, Schulungen und Sensibilisierung eine deutlich sichtbare Rolle. Besser: Behandeln Sie organisatorische und technische Anforderungen gemeinsam.
Fehler 3: Der IT-Dienstleister soll die gesamte Verantwortung übernehmen
Problem: Einzelne Aufgaben können delegiert werden, die Verantwortung der Praxisinhaber für die Einhaltung der Richtlinie bleibt jedoch bestehen. Besser: Halten Sie Verantwortlichkeiten und Zuständigkeiten nachvollziehbar fest.
Fehler 4: Nicht mehr unterstützte Systeme bleiben unverändert im Praxisnetz
Problem: Systeme ohne Sicherheitsupdates müssen nach der Richtlinie identifiziert und ausgemustert oder separiert betrieben werden. Besser: Planen Sie End-of-Support-Systeme frühzeitig in der IT-Strategie ein.
Fehler 5: Die TI wird als vollständiger Schutz des Praxisnetzes verstanden
Problem: Die Richtlinie enthält sowohl eigene Anforderungen an TI-Komponenten als auch separate Anforderungen an Firewall, Netzwerk und Endgeräte. Besser: Betrachten Sie TI-Sicherheit und die übrige Praxis-IT als zusammenhängende, aber getrennt geregelte Bereiche.
Fehler 6: Alle Praxen arbeiten mit demselben Anforderungskatalog
Problem: Zusätzliche Anforderungen hängen von Praxisgröße und vorhandener Technik ab. Besser: Ordnen Sie zunächst Größenklasse, Anlagen und tatsächlich eingesetzte Zielobjekte korrekt zu.
Fehler 7: Cloud-Dienste werden nur nach Funktion ausgewählt
Problem: Bei der Verarbeitung von Sozial- oder Gesundheitsdaten in der Cloud enthält die aktuelle Richtlinie konkrete Anforderungen an den Anbieter. Besser: Prüfen Sie vor dem Einsatz neben Funktion und Datenschutz auch die einschlägigen Anforderungen aus Anlage 1 und dem SGB V.
7. Praxisbeispiel
Beispielhafte Situation: Ein MVZ beschäftigt zwölf Personen, die ständig mit der Datenverarbeitung betraut sind. Damit fällt es nach der KBV-Systematik in die Kategorie der mittleren Praxis. Für das MVZ sind deshalb grundsätzlich die Anforderungen aus Anlage 1, Anlage 2 und Anlage 5 relevant, soweit die jeweiligen Zielobjekte genutzt werden. Das MVZ verwendet ein Praxisverwaltungssystem, Windows-Arbeitsplätze, dienstliche Mobiltelefone, E-Mail, Cloud-Dienste und die Telematikinfrastruktur. Medizinische Großgeräte im Sinne der Richtlinie werden dagegen nicht eingesetzt, sodass Anlage 4 in diesem Beispiel nicht hinzukommt. Neben Firewall, Updates, Virenschutz und Datensicherung sind deshalb auch Personalprozesse, Schulungen, Logging, restriktive Berechtigungen und Vorgaben für mobile Geräte zu berücksichtigen. Für die Cloud-Nutzung mit Gesundheitsdaten muss zusätzlich geprüft werden, ob die dafür geltenden Voraussetzungen erfüllt sind. Das Beispiel zeigt: Der konkrete Pflichtenumfang ergibt sich aus Praxisgröße und Ausstattung und nicht aus einer einzigen universellen Checkliste.
FAQs
Häufig gestellte Fragen
Ist die KBV-IT-Sicherheitsrichtlinie nach § 390 SGB V für Arztpraxen verpflichtend?
Ja. § 390 Abs. 6 SGB V erklärt die Richtlinie für die an der vertragsärztlichen Versorgung teilnehmenden Leistungserbringer für verbindlich. Welche konkreten Anforderungen umzusetzen sind, richtet sich nach Praxisgröße und technischer Ausstattung.
Wer ist für die IT-Sicherheit in der Arztpraxis verantwortlich?
Verantwortlich ist der Praxisinhaber beziehungsweise sind die Praxisinhaber. Einzelne Aufgaben zur Umsetzung der Richtlinie können an Mitarbeitende oder externe IT-Dienstleister delegiert werden. Die Verantwortung für die Einhaltung der Anforderungen verbleibt jedoch bei der Praxisleitung.
Welche Anlagen der KBV-IT-Sicherheitsrichtlinie gelten für meine Praxis?
Praxen mit bis zu fünf ständig mit der Datenverarbeitung betrauten Personen berücksichtigen grundsätzlich Anlage 1 und 5. Mittlere Praxen mit sechs bis 20 Personen zusätzlich Anlage 2 und Großpraxen beziehungsweise Praxen mit Datenverarbeitung im erheblichen Umfang zusätzlich Anlage 3. Bei medizinischen Großgeräten kommt Anlage 4 hinzu. Maßgeblich ist jeweils auch, welche Zielobjekte tatsächlich eingesetzt werden.
Müssen Mitarbeitende nach der KBV-Richtlinie zur IT-Sicherheit geschult werden?
Ja. Die aktuelle Richtlinie enthält Anforderungen an die regelmäßige Qualifikation sowie an die Sensibilisierung und Einweisung des Praxispersonals im sicheren Umgang mit relevanter IT. Die Maßnahmen sollen sich an Aufgaben und Verantwortlichkeiten der Mitarbeitenden orientieren.
Verlangt die KBV-IT-Sicherheitsrichtlinie Firewall, Updates und Backups?
Ja. Bereits Anlage 1 verlangt unter anderem den Schutz von Netzübergängen durch eine Firewall, die zeitnahe Installation von Updates, aktuelle Virenschutzprogramme und regelmäßige Datensicherungen. Zusätzlich müssen Verantwortlichkeiten für Updates und Backups festgelegt und Sicherungen vor unbefugtem Zugriff geschützt werden.
Welche Anforderungen gelten für die Telematikinfrastruktur?
Anlage 5 enthält Anforderungen für dezentrale Komponenten der Telematikinfrastruktur. Dazu gehören die Beachtung der Vorgaben von gematik und Herstellern, Schutz vor unberechtigtem physischem Zugriff, zeitnahe Aktualisierungen, sichere Administrationsdaten sowie besondere Vorgaben für gehostete Konnektoren, TI-Gateways und die Kommunikation mit dem Primärsystem.
Welche zusätzlichen Vorgaben gelten für medizinische Großgeräte?
Bei medizinischen Großgeräten gelten ergänzend die Anforderungen aus Anlage 4. Sie betreffen unter anderem Zugriffe auf Wartungs- und Konfigurationsschnittstellen, sichere Protokolle, Protokollierung sicherheitsrelevanter Ereignisse, das Deaktivieren unnötiger Dienste und Benutzerkonten sowie die Netzsegmentierung.
Muss eine Arztpraxis einen nach § 390 SGB V zertifizierten IT-Dienstleister beauftragen?
Nein. Die KBV bietet ein Zertifizierungsverfahren und ein Verzeichnis zertifizierter IT-Dienstleister an, bezeichnet deren Nutzung aber als optional. Praxen können sich auch von anderen IT-Dienstleistern unterstützen lassen. Die Verantwortung für die Einhaltung der Richtlinie verbleibt unabhängig davon bei der Praxisleitung.
9. Fazit
Die KBV-IT-Sicherheitsrichtlinie nach § 390 SGB V definiert einen verbindlichen Rahmen für die IT-Sicherheit in vertragsärztlichen und vertragspsychotherapeutischen Praxen. Welche Anforderungen konkret gelten, hängt vor allem von Praxisgröße und technischer Ausstattung ab; Personal, Netzwerk, Updates, Backups, mobile Geräte, Cloud, Medizintechnik und TI müssen deshalb gemeinsam betrachtet werden.
Ein IT-Sicherheitscheck kann anschließend zeigen, wie gut diese Anforderungen in der vorhandenen Praxis-IT umgesetzt sind – die Richtlinie selbst beantwortet zunächst, was gelten soll. Wenn Sie die für Ihre Praxis geltenden Anforderungen nach § 390 SGB V einordnen und technisch sauber umsetzen möchten, sprechen Sie optimIT Medical unter info@optimit.de an.