Für Arztpraxen, Zahnarztpraxen & MVZ
IT-Sicherheit nach KBV – ohne Stress für Ihre Praxis
Die IT-Sicherheitsrichtlinie der KBV (§390 SGB V) ist für jede Praxis Pflicht. Seit dem 1. Oktober 2025 gelten zusätzliche Anforderungen, unter anderem zur Sensibilisierung und Schulung des Praxispersonals. Wir prüfen Ihre Praxis, schließen die Lücken und unterstützen Sie bei einer nachvollziehbaren Dokumentation der umgesetzten Maßnahmen. So kümmern Sie sich weiter um Ihre Patienten und wir uns um die Technik.
Was verlangt die KBV-IT-Sicherheitsrichtlinie?
Nach §390 SGB V muss jede Vertragsarztpraxis technische und organisatorische Mindeststandards erfüllen. Das ist kein freiwilliger Bonus: Ihre Kassenärztliche Vereinigung kann die Umsetzung verlangen, und im Schadensfall ist die Dokumentation Ihr Nachweis. Seit dem 1. Oktober 2025 gehören unter anderem auch Sensibilisierung und Schulung Ihres Teams dazu.
Die konkreten Vorgaben stehen in fünf Anlagen der Richtlinie. Welche Anforderungen für Ihre Praxis gelten, richtet sich nach Praxisgröße, Umfang der Datenverarbeitung und der eingesetzten IT- und Medizintechnik.
- Anlage 1: Basisanforderungen für alle Praxen
- Anlage 2: zusätzliche Anforderungen bei 6 bis 20 ständig mit der Datenverarbeitung betrauten Personen
- Anlage 3: zusätzliche Anforderungen bei mehr als 20 solcher Personen oder bei Datenverarbeitung in erheblichem Umfang
- Anlage 4: zusätzliche Anforderungen bei medizinischen Großgeräten wie CT oder MRT, unabhängig von der Praxisgröße
- Anlage 5: Anforderungen an dezentrale Komponenten der Telematikinfrastruktur, soweit Sie solche Komponenten einsetzen
Was bedeutet das konkret für Ihre Praxis?
In der Praxis sind das viele kleine, aber konkrete Schritte. Einzeln klingen sie unspektakulär, in Summe entscheiden sie aber darüber, ob ein Angriff Erfolg hat. Ein paar Beispiele:
- Zugangsdaten ändern, sobald Mitarbeitende die Praxis verlassen
- Regelmäßige Schulung des Teams zur eingesetzten IT (seit 2025 Pflicht)
- Schriftliche Vertraulichkeitsvereinbarungen mit externen Dienstleistern
- Sicherer Umgang mit E-Mails und verdächtigen Nachrichten
- Geregelte, regelmäßige Datensicherung nach festem Plan
- Schutz mobiler Geräte und Wechseldatenträger
Welches Paket passt zu Ihrer Praxis?
Welche Anforderungen für Ihre Praxis gelten, richtet sich nach Praxisgröße, Umfang der Datenverarbeitung und der eingesetzten IT- und Medizintechnik. Danach richten wir den Umfang aus, damit Sie nur das bezahlen, was Ihre Praxis wirklich braucht. Audit und technischen Lückenschluss übernehmen wir, und wir unterstützen Sie bei einer nachvollziehbaren Dokumentation der umgesetzten Maßnahmen.
bis 5 Personen
Anlage 1, bei TI-Komponenten zusätzlich Anlage 5
- Audit nach Anlage 1
- Priorisierter Maßnahmenplan
- Nachvollziehbare Dokumentation
6–20 Personen
Anlage 1 + 2, bei TI-Komponenten zusätzlich Anlage 5
- Zusätzlich Anlage 2
- Absicherung des Praxis-Netzwerks
- Mitarbeiter-Schulung inklusive
über 20 Personen
Anlage 1–3, bei TI-Komponenten zusätzlich Anlage 5
- Zusätzlich Anlage 3
- Alle Leistungen der mittleren Praxis
- Auch bei Datenverarbeitung in erheblichem Umfang
Setzen Sie medizinische Großgeräte wie CT oder MRT ein, kommt in jedem Paket Anlage 4 hinzu.
Und das Verzeichnis von Verarbeitungstätigkeiten?
Arztpraxen verarbeiten Gesundheitsdaten und müssen deshalb in aller Regel ein Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO führen.
Die Ausnahme für kleine Betriebe greift bei Gesundheitsdaten praktisch nicht, denn sie gilt nicht für die regelmäßige Verarbeitung besonders sensibler Daten. Wir unterstützen Sie bei der technischen und organisatorischen Dokumentation und bei der Aktualisierung des Verzeichnisses.
Häufige Fragen
Ist die KBV-IT-Sicherheitsrichtlinie wirklich Pflicht?
Ja. Nach §390 SGB V gilt sie verpflichtend für Vertragsarzt- und Vertragspsychotherapeutenpraxen. Welche Anforderungen gelten, richtet sich nach Praxisgröße, Umfang der Datenverarbeitung und eingesetzter Technik.
Was hat sich 2025 geändert?
Seit dem 1. Oktober 2025 gelten zusätzliche Anforderungen, unter anderem zur Sensibilisierung und Schulung des Praxispersonals.
Müssen wir ein Verzeichnis nach Art. 30 DSGVO führen?
In aller Regel ja, da Ihre Praxis Gesundheitsdaten verarbeitet. Wir unterstützen Sie bei der Erstellung und Aktualisierung.
Können Sie das remote umsetzen?
Vieles ja. Vor-Ort-Termine vereinbaren wir nur dort, wo sie wirklich nötig sind – und so, dass Ihr Praxisbetrieb ungestört bleibt.