Die IT-Sicherheitsrichtlinie der KBV nach § 390 SGB V ist für alle vertragsärztlichen und -psychotherapeutischen Praxen verbindlich. Die Anforderungen richten sich nach der Zahl der Personen, die ständig mit der Datenverarbeitung betraut sind: bis 5, 6 bis 20 und mehr als 20. Dazu kommen Anforderungen für medizinische Großgeräte und für die Komponenten der Telematikinfrastruktur. Kernpunkte sind Updates, Virenschutz, Firewall, sichere Zugänge, getrennte Netze, Datensicherung und Dokumentation.
Was ist die KBV-IT-Sicherheitsrichtlinie?
Die Richtlinie beruht auf einem gesetzlichen Auftrag nach § 390 SGB V. Die KBV erstellt und aktualisiert sie im Einvernehmen mit dem Bundesamt für Sicherheit in der Informationstechnik (BSI). Sie legt Mindestanforderungen fest, die jede Praxis erfüllen muss, und wird regelmäßig fortgeschrieben. Maßgeblich ist immer die aktuelle Fassung auf der Website der KBV. Für Zahnarztpraxen gibt es eine eigene, vergleichbare Richtlinie der KZBV.
Welche Anforderungen gelten für meine Praxis?
Die Anforderungen sind in Anlagen gegliedert und bauen aufeinander auf. Entscheidend ist die Zahl der Personen, die ständig mit der Datenverarbeitung betraut sind.
| Praxisgröße | Geltende Anlagen |
|---|---|
| Praxis (bis 5 Personen) | Anlage 1 |
| Mittlere Praxis (6 bis 20 Personen) | Anlagen 1 und 2 |
| Großpraxis (mehr als 20 Personen) | Anlagen 1, 2 und 3 |
| Praxen mit medizinischen Großgeräten (z. B. CT, MRT) | zusätzlich Anlage 4 |
| Praxen mit Komponenten der Telematikinfrastruktur | zusätzlich Anlage 5 |
Da praktisch jede Kassenpraxis an die Telematikinfrastruktur angeschlossen ist, betrifft Anlage 5 fast alle.
Typische Anforderungen aus der Praxis
- Updates: Betriebssysteme, Browser und Programme aktuell halten, nicht mehr unterstützte Systeme ersetzen.
- Virenschutz auf allen Rechnern, aktuell und überwacht.
- Firewall am Übergang zum Internet.
- Sichere Zugänge: eigene Benutzerkonten, sichere Passwörter, Bildschirmsperre, Administratorrechte nur für Administratoren.
- Netze trennen: Patienten-WLAN getrennt vom Praxisnetz, Medizingeräte möglichst in einem eigenen Netzbereich.
- Mobile Geräte: verschlüsselt, mit Sperrcode und nur Apps aus offiziellen Quellen.
- Datensicherung: regelmäßig, verschlüsselt, mit Rücksicherungstest. Siehe Backup nach der 3-2-1-Regel.
- Dokumentation: Netzplan, Geräteliste, Verantwortlichkeiten, Notfallplan.
Die Liste ist eine verständliche Zusammenfassung typischer Punkte und ersetzt nicht den Wortlaut der Richtlinie.
So gehen Sie die Umsetzung an
- Bestandsaufnahme: Welche Geräte, Programme, Netze und Zugänge gibt es?
- Einordnen: Welche Anlagen gelten für Ihre Praxisgröße und Ausstattung?
- Abgleich: Anforderung für Anforderung prüfen: erfüllt, teilweise, offen.
- Umsetzen: zuerst die Punkte mit dem größten Risiko, etwa fehlende Backups oder veraltete Systeme.
- Dokumentieren und mindestens jährlich überprüfen.
Die KBV führt eine Liste zertifizierter Dienstleister. Eine Zertifizierung ist für Ihren IT-Dienstleister keine Pflicht. Wichtig ist, dass die Umsetzung nachvollziehbar dokumentiert ist.
Fazit für die Praxis
Die KBV-Richtlinie ist kein Hexenwerk, verlangt aber Ordnung und Dokumentation. Wer Schritt für Schritt vorgeht, schützt Patientendaten und den Praxisbetrieb. Wir unterstützen Arzt-, Zahnarzt- und Therapiepraxen im Main-Kinzig-Kreis bei Bestandsaufnahme, Umsetzung und Betreuung, abgestimmt auf Ihre Sprechzeiten. Mehr unter IT für Arztpraxen.
