IT-Sicherheitsrichtlinie der KBV verständlich erklärt

Viele Praxen wissen, dass es eine IT-Sicherheitsrichtlinie gibt. Was genau darin steht und was davon für die eigene Praxis gilt, ist dagegen oft unklar. Dieser Beitrag erklärt die Richtlinie in Klartext: für wen sie gilt, was sie verlangt und wie Sie sie Schritt für Schritt umsetzen.

Was ist die IT-Sicherheitsrichtlinie?

Nach § 390 SGB V legen die Kassenärztliche Bundesvereinigung (KBV) und die Kassenzahnärztliche Bundesvereinigung (KZBV) verbindliche Mindestanforderungen an die IT-Sicherheit in Praxen fest. Die Richtlinie gilt für alle Praxen in der vertragsärztlichen, vertragszahnärztlichen und vertragspsychotherapeutischen Versorgung, also auch für MVZ. Sie wird regelmäßig an den Stand der Technik angepasst.

Das Ziel ist einfach: Patientendaten schützen und den Praxisbetrieb auch bei Störungen und Angriffen am Laufen halten.

Welche Anforderungen gelten für Ihre Praxis?

Die Richtlinie ist nach Praxisgröße gestaffelt. Maßgeblich ist, wie viele Personen ständig mit der Datenverarbeitung in der Praxis zu tun haben:

• Praxis: bis zu 5 Personen. Hier gilt der Grundstock an Anforderungen.
• Mittlere Praxis: 6 bis 20 Personen. Zusätzlich gelten weitere Anforderungen.
• Großpraxis: mehr als 20 Personen oder eine Datenverarbeitung, die deutlich über das übliche Maß hinausgeht. Hier gilt der vollständige Katalog.

Unabhängig von der Größe kommen Zusatzanforderungen hinzu, wenn Sie medizinische Großgeräte wie CT oder MRT betreiben, sowie für die dezentralen Komponenten der Telematikinfrastruktur, zum Beispiel den Konnektor.

Was verlangt die Richtlinie konkret?

Die Anforderungen sind praxisnah formuliert. Typische Punkte für alle Praxen sind:

• Aktuelle Software: Betriebssysteme und Programme regelmäßig aktualisieren, nicht mehr unterstützte Systeme ersetzen.
• Schutz vor Schadsoftware: Virenschutz einsetzen und aktuell halten.
• Sichere Zugänge: sichere Passwörter, Bildschirmsperre, Benutzerkonten nur mit den nötigen Rechten.
• Datensicherung: regelmäßige Sicherungen, die im Ernstfall auch wiederhergestellt werden können.
• Mobile Geräte: Smartphones und Tablets mit Zugriff auf Praxisdaten schützen und verschlüsseln, Apps nur aus offiziellen Quellen.
• Netzwerk und Internet: Firewall nutzen, das Praxisnetz absichern, beim E-Mail-Verkehr vorsichtig sein.

Mittlere Praxen und Großpraxen müssen zusätzlich mehr dokumentieren und organisieren, etwa bei der Trennung von Netzwerkbereichen, bei Schulungen oder im Umgang mit Wechseldatenträgern.

Die genaue Liste finden Sie in den Anlagen der Richtlinie auf der Website der KBV beziehungsweise KZBV. Da die Richtlinie fortgeschrieben wird, lohnt sich ein regelmäßiger Blick auf die jeweils aktuelle Fassung.

So setzen Sie die Richtlinie um

1. Praxisgröße bestimmen: Zählen Sie, wie viele Personen ständig mit der IT arbeiten. Daraus ergibt sich, welche Anlagen für Sie gelten.
2. Ist-Stand erfassen: Gehen Sie die Anforderungen Punkt für Punkt durch und notieren Sie, was erfüllt ist und was fehlt.
3. Maßnahmen planen: Erstellen Sie eine Liste mit Zuständigkeiten und Terminen. Viele Punkte setzt Ihr IT-Dienstleister um, die Verantwortung bleibt aber bei der Praxis.
4. Dokumentieren: Halten Sie fest, wie Sie die Anforderungen erfüllen. Das hilft bei Rückfragen und nach einem Sicherheitsvorfall.
5. Regelmäßig prüfen: Einmal im Jahr und bei größeren Änderungen, zum Beispiel neuer Software oder neuen Geräten.

Die KBV zertifiziert zudem IT-Dienstleister, die Praxen bei der Umsetzung unterstützen. Eine Pflicht, einen zertifizierten Dienstleister zu beauftragen, besteht nicht.

Warum sich der Aufwand lohnt

Die Richtlinie ist kein Selbstzweck. Sie deckt genau die Lücken ab, über die Angreifer am häufigsten in Praxen gelangen: veraltete Software, schwache Passwörter, fehlende Datensicherung. Zugleich hilft sie, die Pflicht zur Datensicherheit aus der DSGVO (Art. 32) nachweisbar zu erfüllen. Und kommt es doch zu einem Vorfall, stehen Praxen mit dokumentierter Umsetzung deutlich besser da, auch gegenüber Versicherungen.

Mehr zum Vorgehen im Ernstfall lesen Sie in unserem Beitrag Cyberangriff auf eine Praxis: Was tun in den ersten 24 Stunden?

Sie möchten wissen, wo Ihre Praxis steht? Wir gleichen Ihre Praxis mit allen Anforderungen der Richtlinie ab und geben Ihrem IT-Dienstleister eine konkrete Maßnahmenliste an die Hand. Mehr unter IT-Sicherheitsrichtlinie.