IT-Sicherheitsrichtlinie für Arztpraxen: § 390 SGB V erklärt

Eine Praxis mit vier Behandlungszimmern, einem Konnektor im Abstellraum und einem Server, den der Systembetreuer vor Jahren eingerichtet hat: So sieht die IT vieler Arzt- und Zahnarztpraxen aus. Für genau diese Umgebungen gibt es seit 2021 verbindliche Vorgaben, die IT-Sicherheitsrichtlinie nach § 390 SGB V. Dieser Beitrag erklärt Praxisinhabern und Praxismanagern, welche Fassungen aktuell gelten, welche Anforderungen nach Praxisgröße greifen, was es mit zertifizierten Dienstleistern auf sich hat und wie Sie praktisch einsteigen. Er ersetzt keine Rechtsberatung; bei Detailfragen sollten Sie Ihre Kassenärztliche oder Kassenzahnärztliche Vereinigung oder Ihren Datenschutzbeauftragten einbeziehen.

Was eine IT-Sicherheitsrichtlinie ist: Rechtsgrundlage § 390 SGB V

Der Begriff ist doppelt belegt. Allgemein ist eine IT-Sicherheitsrichtlinie ein internes Regelwerk, in dem ein Unternehmen festlegt, wie seine IT geschützt wird: Zuständigkeiten, Umgang mit Passwörtern, Updates, Datensicherung, mobile Geräte und das Verhalten der Mitarbeiter. In Arzt- und Zahnarztpraxen meint der Begriff meist die verbindliche Richtlinie von KBV und KZBV, um die es hier geht. Beides hängt zusammen, denn die Richtlinie verlangt unter anderem, dass die Praxis solche Regeln für ihr Personal selbst festlegt.

Mit dem Digital-Gesetz wurde die frühere Regelung aus § 75b SGB V in den neuen § 390 SGB V überführt. Danach legen die Kassenärztliche Bundesvereinigung (KBV) und die Kassenzahnärztliche Bundesvereinigung (KZBV) jeweils in einer Richtlinie fest, welche Anforderungen an die IT-Sicherheit in der vertragsärztlichen und vertragszahnärztlichen Versorgung gelten. Die Festlegung erfolgt im Einvernehmen mit dem Bundesamt für Sicherheit in der Informationstechnik (BSI).

Für die Praxis sind vier Punkte aus dem Gesetz wichtig:

Der nachfolgende § 391 SGB V betrifft die IT-Sicherheit in Krankenhäusern und ist für niedergelassene Praxen in der Regel nicht einschlägig. Die Zertifizierung von Dienstleistern ist in § 390 selbst geregelt.

Welche Fassung gilt aktuell?

Arztpraxen (KBV): Die überarbeitete Richtlinie der KBV ist am 1. April 2025 in Kraft getreten. Die neuen Anforderungen mussten Praxen spätestens bis zum 1. Oktober 2025 umsetzen. Die bereits seit 2021 geltenden Vorgaben bleiben bestehen. Neu hinzugekommen sind vor allem Anforderungen an Schulung und Sensibilisierung des Personals, an Datensicherung, an die sichere Konfiguration von E-Mail, an Patch- und Änderungsmanagement sowie an Cloud-Anwendungen.

Zahnarztpraxen (KZBV): Die KZBV hat ihre Neufassung am 1. Juli 2025 veröffentlicht. Neue und geänderte Anforderungen sind nach einer sechsmonatigen Übergangsfrist seit dem 2. Januar 2026 verbindlich.

Weil das Gesetz eine regelmäßige Anpassung vorschreibt, sollten Sie vor jeder Überprüfung auf den Seiten der KBV bzw. KZBV nachsehen, ob eine neuere Fassung veröffentlicht wurde. Zum Zeitpunkt dieses Beitrags (Oktober 2026) sind uns keine neueren Fassungen bekannt.

Welche Anlagen gelten für welche Praxis?

Beide Richtlinien sind modular aufgebaut. Maßgeblich ist die Zahl der Personen, die ständig mit der Datenverarbeitung betraut sind. Reinigungskräfte oder Hausmeister zählen nicht mit.

Anlage 1 enthält die Basisanforderungen für alle Praxen. Die Anlagen 2 und 3 ergänzen sie für größere Praxen. Anlage 4 betrifft Großgeräte, Anlage 5 die dezentralen Komponenten der Telematikinfrastruktur (TI) wie Konnektor und Kartenterminals.

Typische Anforderungen der IT-Sicherheitsrichtlinie im Überblick

Die folgenden Punkte geben einen Eindruck, wie konkret die Richtlinien sind. Die genaue Formulierung und Nummerierung finden Sie in der jeweiligen Anlage.

Updates: Betriebssysteme und Programme müssen aktuell gehalten werden, entweder automatisch oder durch einen beauftragten Dienstleister. Es muss festgelegt sein, wer zuständig ist. Systeme, die keine Sicherheitsupdates mehr erhalten, sollen ausgemustert oder zumindest in einem eigenen, abgetrennten Netzwerksegment betrieben werden.

Virenschutz: Auf den Arbeitsplätzen ist ein Virenschutzprogramm einzusetzen. Größere Praxen müssen zusätzlich E-Mails auf dem Server auf Spam und Schadsoftware prüfen.

Datensicherung: Relevante Daten sind regelmäßig zu sichern, die Sicherung zu verschlüsseln und Verantwortliche zu benennen. Die KZBV-Fassung verlangt nach den Vortragsunterlagen der KZBV zudem alle sechs Monate einen vollständigen Wiederherstellungstest. Wie Sie Sicherungen grundsätzlich aufbauen, beschreibt unser Beitrag zur 3-2-1-Backup-Regel.

Netzwerk: An den Übergängen zum Internet ist eine Firewall vorgeschrieben, außerdem eine Netzwerkdokumentation. Größere Praxen brauchen eine Netzplanung. Die Trennung von Praxisnetz, Gastnetz und Medizingeräten ist in der Praxis ein wirksamer Schritt, um Risiken einzugrenzen.

Konnektor und TI: Updates für Konnektor und Kartenterminals sind zeitnah einzuspielen, die Geräte vor unbefugtem Zugriff zu schützen und Administrationsdaten sicher aufzubewahren.

Mobile Geräte: Smartphones und Tablets, die für die Praxis genutzt werden, brauchen mindestens eine Gerätesperre. Mittlere Praxen benötigen eine Richtlinie für mobile Geräte, große Praxen zusätzlich die Möglichkeit, Geräte aus der Ferne zu löschen.

Personal: Seit den Neufassungen 2025 sind regelmäßige Schulungen zur Informationssicherheit, eine Einweisung neuer Mitarbeiter, geregelte Abläufe beim Ausscheiden (Rückgabe von Schlüsseln und Geräten, Änderung von Zugangsdaten) und Regeln für externes Personal ausdrücklich gefordert.

Zertifizierte Dienstleister: Pflicht oder Angebot?

Die KBV führt nach § 390 Abs. 7 SGB V ein Zertifizierungsverfahren für IT-Dienstleister und veröffentlicht eine Liste zertifizierter Anbieter. Die aktuelle Zertifizierungsrichtlinie (Version 1.5) gilt seit Mai 2026. Zertifiziert werden natürliche Personen, nicht Unternehmen. Voraussetzung sind eine einschlägige Ausbildung oder Berufserfahrung sowie eine Prüfung. Das Zertifikat gilt drei Jahre.

Für Praxen ist die Beauftragung eines zertifizierten Dienstleisters nicht vorgeschrieben. Die KBV bezeichnet das Verzeichnis ausdrücklich als optionales Angebot. Wichtig ist außerdem: Auch wenn ein Dienstleister die Umsetzung übernimmt, bleibt die Verantwortung für die Praxis-IT bei der Praxisleitung. Lassen Sie sich die umgesetzten Maßnahmen deshalb dokumentieren und bewahren Sie die Nachweise selbst auf.

Gibt es Kontrollen und Sanktionen?

§ 390 SGB V sieht derzeit keine eigenen Bußgelder vor, und regelmäßige Prüfungen durch KBV oder KZBV sind nach unserem Kenntnisstand nicht vorgesehen. Das heißt aber nicht, dass die Richtlinie folgenlos bleibt. Nach einem Vorfall mit Patientendaten wird die Datenschutzaufsicht prüfen, ob angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO getroffen wurden. Die IT-Sicherheitsrichtlinie ist dafür ein naheliegender Maßstab. Auch Cyberversicherer fragen ähnliche Punkte ab.

Praktischer Einstieg

Die Richtlinie wirkt auf den ersten Blick umfangreich, lässt sich aber strukturiert abarbeiten. Die KBV stellt dafür auf ihren Seiten alle Anforderungen sowie Musterdokumente bereit, etwa eine Vorlage für eine praxiseigene IT-Sicherheitsrichtlinie, die Sie an Ihre Abläufe anpassen können. Die KZBV bietet vergleichbare Informationen für Zahnarztpraxen.

Bewährt hat sich, jede Anforderung in einer einfachen Tabelle zu erfassen: umgesetzt ja/nein, wer hat es umgesetzt, wo liegt der Nachweis. Typische Nachweise sind ein Protokoll des letzten Wiederherstellungstests, eine Geräteliste mit Update-Stand, eine Teilnehmerliste der letzten Schulung und ein ausgedruckter Notfallplan mit Telefonnummern.

Checkliste: Erste Schritte

Wie DAVINCI unterstützt

DAVINCI unterstützt medizinische Einrichtungen in der Region Rhein-Neckar; Beispiele finden Sie auf unseren Seiten zu IT für ein MVZ mit Dentallabor in Ludwigshafen und IT für einen Praxisverbund in Schwetzingen. Wir helfen dabei, die Anforderungen der Richtlinie aufzunehmen, Netzwerk und Firewall passend einzurichten und die Nachweise zu dokumentieren. Für ein erstes Gespräch nutzen Sie gern unser Kontaktformular.

Verwandte Themen: Wer hier weiterdenkt, liest bei NIS2, Cookie-Banner und Dienstleisternachweis weiter.