· Mehdi Aroui · Medical IT · Lesedauer von ca. 3 Min.
KBV IT-Sicherheitsrichtlinie: Anforderungen für Arztpraxen
Die KBV-Sicherheitsrichtlinie nach §75b (ab 2025: §390 SGB V) standardisiert IT-Sicherheitsmaßnahmen in Arztpraxen. Was die Vorgaben konkret bedeuten und welche Ressourcen die KBV bereitstellt.
Hinweis: Ab 2025 gilt für neu abzuschließende Anforderungen §390 SGB V als aktueller Rechtsrahmen. Die §75b-Richtlinie bleibt für bestehende Praxisinfrastruktur und laufende Verträge weiterhin relevant.
Die Kassenärztliche Bundesvereinigung (KBV) hat in Zusammenarbeit mit dem Bundesamt für Sicherheit in der Informationstechnik (BSI) Sicherheitsrichtlinien erarbeitet, die DSGVO-Anforderungen nach Artikel 32 praxistauglich in konkrete technisch-organisatorische Maßnahmen übersetzen.
Abgestufte Anforderungen nach Praxisgröße
Die Richtlinie unterscheidet Anforderungen nach zwei Faktoren: der Anzahl der Mitarbeitenden, die Daten verarbeiten, und dem Volumen der verarbeiteten Daten. Praxen mit bildgebenden Diagnosegeräten oder mit Telematikinfrastruktur-Komponenten (Konnektoren, eHealth-Kartenterminals) unterliegen zusätzlichen Vorgaben.
Dieses Stufenmodell ermöglicht es, die Anforderungen proportional zur tatsächlichen IT-Komplexität einer Praxis zu skalieren.
Was die Richtlinie konkret fordert
Zu den zentralen Anforderungen gehören:
- Schriftlich dokumentierte IT-Sicherheitsrichtlinien für die Praxis
- Antivirus-Schutz auf allen Endgeräten
- Firewall an allen Netzübergangspunkten
- Regelmäßige Datensicherung nach dokumentierter Strategie
- Festplattenverschlüsselung auf allen Geräten mit Patientendaten
- Automatische Bildschirmsperrung nach Inaktivität
- Patch-Management für Betriebssysteme und Anwendungen
- Unterbrechungsfreie Stromversorgung (USV) für Server
- Notfalldokumentation und definierte Wiederherstellungsprozesse
Wie die Umsetzung in einer Praxis konkret abläuft
Viele Praxen wissen, dass Handlungsbedarf besteht, aber nicht, wo anfangen. Eine bewährte Reihenfolge:
- Bestandsaufnahme. Welche Geräte verarbeiten Patientendaten? Welche Software ist im Einsatz, und ist sie aktuell gepatcht? Welche Konnektor-Version läuft an der TI?
- Dokumentation. Schriftliche IT-Sicherheitsrichtlinie erstellen, Mobile-Device-Policy definieren, Backup-Strategie verschriftlichen. Die KBV stellt über hub.kbv.de fertige Vorlagen bereit.
- Technische Maßnahmen. Antivirus und Firewall prüfen und aktualisieren, Festplattenverschlüsselung aktivieren, automatische Bildschirmsperrung einschalten, USV für den Praxisserver installieren.
- Nachweis. Dokumentierte Maßnahmen zusammenführen und auf Anfrage vorlegen können. Bei TI-Konnektoren gehört dazu auch die aktuelle Konfigurations-Dokumentation.
Kleine Praxen sollten mit Bestandsaufnahme und Dokumentation beginnen, da beides Grundlage für alle weiteren Schritte ist und sich ohne große Investitionen sofort angehen lässt.
Häufige Fragen
Gilt für meine Praxis noch §75b oder schon §390 SGB V?
§390 SGB V gilt ab 2025 für neu abzuschließende Anforderungen und löst §75b als aktuellen Rechtsrahmen ab. Für bestehende Praxisinfrastruktur und laufende Verträge bleibt §75b weiterhin maßgeblich. In der Praxis bedeutet das: Wer 2024 bereits konform war, muss nicht sofort alles neu aufsetzen, muss aber bei Erweiterungen und Neuabschlüssen §390 berücksichtigen.
Was muss eine kleine Praxis zuerst umsetzen?
Erstens die schriftliche IT-Sicherheitsrichtlinie anlegen, zweitens Antivirus und automatische Bildschirmsperrung auf allen Geräten aktivieren, drittens eine dokumentierte Backup-Strategie in Betrieb nehmen. Diese drei Maßnahmen sind preiswert, schnell umsetzbar und decken die häufigsten Schwachstellen ab.
Welche Rolle spielt die Praxisgröße bei den Anforderungen?
Die Richtlinie staffelt die Anforderungen nach Anzahl der Mitarbeitenden, die Daten verarbeiten, und nach dem Volumen der verarbeiteten Daten. Praxen mit bildgebenden Diagnosegeräten oder Telematikinfrastruktur-Komponenten wie Konnektoren und eHealth-Kartenterminals unterliegen zusätzlichen Vorgaben. So bleibt der Aufwand proportional zur tatsächlichen IT-Komplexität der Praxis.
Unterstützung durch die KBV
Die KBV stellt über hub.kbv.de Vorlagen, Anwendungshinweise und Lehrvideos bereit. Vorlagen wie Mobile-Device-Richtlinien können Praxen direkt an ihre Gegebenheiten anpassen, ohne von Null anzufangen.
Für Praxen, die unsicher sind, ob ihre aktuelle IT den Anforderungen entspricht, empfiehlt die KBV die Beratung durch einen zertifizierten IT-Dienstleister.
Netzleiter als zertifizierter Dienstleister
Netzleiter ist von der KBV nach §75b SGB V zertifiziert. Wir führen IT-Sicherheitsprüfungen durch, erstellen die notwendige Dokumentation und setzen alle technischen Anforderungen um, sowohl für Neuinstallationen als auch für bestehende Praxisinfrastruktur.
Wie Netzleiter die Umsetzung in Praxen konkret begleitet, von der TI-Anbindung bis zur laufenden Betreuung, lesen Sie unter Medical IT für Arztpraxen.
Für Praxen in Hamburg: Termin vereinbaren unter /kontakt oder direkt beim Vertrieb: 040 20 94 97 67, vertrieb@netzleiter.com. Weiterführende Informationen zum gesamten Leistungsspektrum finden Sie unter /leistungen/medical-it-arztpraxen und /branchen/healthcare.
Diesen Beitrag gibt es als vertiefte Fassung speziell für Arztpraxen und MVZ auf medical-it.org, der Praxis-IT-Marke von Netzleiter.
