Jede Praxis mit Kassenzulassung muss die IT-Sicherheitsrichtlinie einhalten. Sie ist keine Empfehlung und kein Zertifikat, das man erwerben kann, sondern eine verbindliche Vorgabe mit 92 Anforderungen in fünf Anlagen. Dieser Leitfaden erklärt, welche davon für Ihre Praxis gelten, was 2025 neu dazugekommen ist und wie Sie sich einen Überblick verschaffen, ohne 19 Seiten Verwaltungssprache zu lesen.
Für wen die Richtlinie gilt
Grundlage ist § 390 SGB V. Er verpflichtet die Kassenärztliche Bundesvereinigung, Anforderungen an die IT-Sicherheit festzulegen. Für Zahnarztpraxen tut das die Kassenzahnärztliche Bundesvereinigung in einer eigenen, inhaltlich weitgehend gleichen Fassung. Verbindlich ist die Richtlinie für alle, die an der vertragsärztlichen und vertragszahnärztlichen Versorgung teilnehmen. Wer nur privat behandelt, fällt nicht darunter, für ihn gilt aber weiterhin die Datenschutz-Grundverordnung.
Die Richtlinie beschreibt selbst, was sie sein will: Sie soll den Stand der Technik der technisch-organisatorischen Maßnahmen im Sinne von Artikel 32 DSGVO standardisieren und die Handhabung der Datenschutz-Grundverordnung in der Praxis vereinheitlichen und erleichtern. Sie adressiert die drei Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit und legt dabei ausdrücklich das Mindestmaß fest, nicht das Wünschenswerte.
Die aktuelle Fassung ersetzt die alte
Die Richtlinie nach § 390 SGB V ersetzt die bisherige Richtlinie nach § 75b SGB V vom 16.12.2020. Wenn Sie noch Unterlagen aus der ersten Umsetzungswelle haben: Die Struktur ist ähnlich, die Anforderungen sind aber gewachsen und teilweise neu formuliert.
Die drei Praxisgrößen
Der Umfang der Pflichten richtet sich nach der Größe der Praxis. Gezählt werden nicht Behandlungsstühle oder Umsatz, sondern die Personen, die ständig mit der Datenverarbeitung betraut sind. Dazu gehören also auch Rezeption, Abrechnung und Verwaltung.
| Größe | Definition nach der Richtlinie |
|---|---|
| Praxis | bis zu fünf ständig mit der Datenverarbeitung betraute Personen |
| Mittlere Praxis | 6 bis 20 ständig mit der Datenverarbeitung betraute Personen |
| Großpraxis | über 20 Personen oder eine Praxis, die in über die normale Datenübermittlung hinausgehendem Umfang in der Datenverarbeitung tätig ist. Die Richtlinie nennt als Beispiele große medizinische Versorgungszentren mit krankenhausähnlichen Strukturen und Großlabore. |
Details zur Einordnung, zu Teilzeitkräften und zu Grenzfällen habe ich in einem eigenen Beitrag zusammengestellt: Welche Anlagen gelten für meine Praxis?
Die fünf Anlagen
Aus der Größe folgt, welche Anlagen Sie umsetzen müssen. Zwei weitere Anlagen kommen unabhängig von der Größe hinzu, wenn die Praxis bestimmte Technik nutzt. Für alle Anlagen gilt der Zusatz „soweit die Zielobjekte in der Praxis genutzt werden“: Was Sie nicht haben, müssen Sie nicht absichern.
| Anlage | Für wen | Anzahl |
|---|---|---|
| Anlage 1 | alle Praxen | 50 Anforderungen |
| Anlage 2 | zusätzlich ab mittlerer Praxis | 10 Anforderungen |
| Anlage 3 | zusätzlich für Großpraxen | 17 Anforderungen |
| Anlage 4 | bei medizinischen Großgeräten | 6 Anforderungen |
| Anlage 5 | bei dezentralen Komponenten der Telematikinfrastruktur | 9 Anforderungen |
Eine Einzelpraxis mit TI-Anschluss arbeitet also mit Anlage 1 und 5, zusammen 59 Anforderungen. Eine Praxis mit zwölf Personen kommt auf Anlage 1, 2 und 5. Eine radiologische Praxis mit CT und über 20 Personen hat es mit allen fünf Anlagen zu tun.
Anlage 4 greift bei medizinischen Großgeräten. Die Richtlinie nennt medizinische Analysegeräte (IVD-Geräte) in Laboren, Computertomographen, Magnetresonanztomographen, Positronenemissionstomographen und Linearbeschleuniger. Gefordert sind dort unter anderem eingeschränkte Zugriffe auf Konfigurations- und Wartungsschnittstellen, der Wechsel herstellerseitig gesetzter Passwörter, sichere Protokolle für die Fernwartung, Protokollierung und ein eigenes Netzsegment.
Anlage 5 betrifft die Komponenten der Telematikinfrastruktur in Ihrer Praxis, also Konnektor oder TI-Gateway, Kartenterminals und die Anbindung der Primärsysteme. Die Anforderungen verweisen an mehreren Stellen auf die Vorgaben der gematik und der Hersteller.
Anlage 1 im Überblick
Anlage 1 gilt für jede Praxis und ist damit der Kern der Richtlinie. Die 50 Anforderungen sind nach Zielobjekten geordnet. Die folgende Übersicht zeigt, wo welches Thema steht. So finden Sie zu jeder Frage die passende Nummer.
| Nr. | Zielobjekt | Worum es geht |
|---|---|---|
| 1 bis 7 | Personal | Einarbeitung, Weggang von Mitarbeitenden, Fremdpersonal, Vertraulichkeitsvereinbarungen, Aufgaben und Zuständigkeiten, Qualifikation, Vertrauenswürdigkeit |
| 8 bis 10 | Sensibilisierung und Schulung | Sensibilisierung der Praxisleitung, Einweisung des Personals, Schulungen zur Informationssicherheit |
| 11 bis 13 | Netzwerksicherheit | Firewall am Netzübergang, Dokumentation des Netzes inklusive Netzplan, Authentisierung für den Netzmanagement-Zugriff |
| 14 bis 17 | Patch- und Änderungsmanagement | Updates zeitnah installieren, Zuständigkeit festlegen, Geräte ohne Updates erkennen, ausmustern oder separieren |
| 18 bis 26 | Endgeräte | Mikrofon und Kamera, Abmelden nach der Nutzung, Virenschutz, Datensicherung mit Schutz, Art, Zuständigkeit und Test, abgesicherter Zugriff auf Geräte und Software |
| 27 bis 29 | Endgeräte mit Windows | Synchronisation mit Microsoft-Cloud-Diensten, Datei- und Freigabeberechtigungen, Datensparsamkeit |
| 30 bis 33 | Smartphone und Tablet | SIM-Karten-PIN, sichere Grundkonfiguration, Zugriffsschutz, restriktive Datenschutz-Einstellungen |
| 34 und 35 | Mobiltelefon | Sperrmaßnahmen bei Verlust, Nutzung der Sicherheitsmechanismen |
| 36 bis 39 | Wechseldatenträger | Schutz vor Schadsoftware, Kennzeichnung und Versand, sicheres Löschen |
| 40 und 41 | E-Mail-Client und -Server | Sichere Konfiguration der Clients, Umgang mit Spam |
| 42 bis 44 | Mobile Anwendungen | Apps nur aus offiziellen Stores, sichere Speicherung, Verhinderung von Datenabfluss |
| 45 bis 49 | Internet-Anwendungen | Anforderungen für Praxen, die selbst einen Webdienst anbieten, und verschlüsselte Kommunikation bei der Nutzung |
| 50 | Cloud-Anwendungen | C5-Testat des Anbieters, wenn Sozial- oder Gesundheitsdaten in der Cloud verarbeitet werden |
Anlage 2 ergänzt für mittlere Praxen unter anderem Alarmierung und Logging auf Netzkomponenten, verschlüsselte Kommunikationsverbindungen, eine restriktive Rechtevergabe nach dem Need-to-know-Prinzip, Regelungen für mobile Geräte und die Minimierung von App-Berechtigungen. Anlage 3 verlangt von Großpraxen zusätzlich die Messung des Lernerfolgs bei Schulungen, eine geplante Netzsegmentierung mit Trennung von Gesundheitsdaten, ein Mobile Device Management sowie Anforderungen an den Betrieb eigener E-Mail-Server.
Was 2025 neu wurde
Die Richtlinie wurde 2025 überarbeitet. Sie benennt selbst, welche Anforderungen neu hinzugekommen sind. Wenn Sie 2021 schon einmal umgesetzt haben, ist diese Liste Ihr Arbeitsauftrag.
| Anlage | Nr. | Thema |
|---|---|---|
| Anlage 1 | 1 bis 7 | Personal |
| Anlage 1 | 8 bis 10 | Sensibilisierung und Schulung zur Informationssicherheit |
| Anlage 1 | 14 bis 17 | Patch- und Änderungsmanagement |
| Anlage 1 | 22 bis 26 | Endgeräte |
| Anlage 1 | 40 und 41 | E-Mail-Client und -Server |
| Anlage 1 | 50 | Cloud-Anwendungen |
| Anlage 3 | 1 | Personal |
| Anlage 3 | 2 | Netzwerksicherheit |
| Anlage 3 | 15 bis 17 | E-Mail-Client und -Server |
| Anlage 5 | 5 | gehosteter Konnektor |
| Anlage 5 | 6 | TI-Gateway |
Der Schwerpunkt liegt erkennbar beim Personal: Einarbeitung, Weggang von Mitarbeitenden, Fremdpersonal, Qualifikation, Sensibilisierung und Schulung. Dazu kommen Cloud-Anwendungen, E-Mail und der Umgang mit Technik, die keine Sicherheitsupdates mehr erhält. Das sind alles Themen, die ein IT-Dienstleister nicht allein lösen kann, weil sie in der Organisation der Praxis liegen.
Fristen bei KBV und KZBV
| Fassung | Frist |
|---|---|
| KBV (Arzt- und Psychotherapiepraxen) | Die neuen Anforderungen gelten seit dem 01.10.2025. |
| KZBV (Zahnarztpraxen) | Veröffentlicht am 01.07.2025, in Kraft seit dem 02.07.2025, die neuen Anforderungen sind seit dem 02.01.2026 verbindlich. |
- 01.07.2025 Veröffentlichung Die KZBV veröffentlicht die aktualisierte Fassung.
- 02.07.2025 In Kraft Die KZBV-Fassung tritt in Kraft.
- 01.10.2025 Frist KBV Die neuen Anforderungen gelten für Arzt- und Psychotherapiepraxen.
- 02.01.2026 Frist KZBV Die neuen Anforderungen sind für Zahnarztpraxen verbindlich.
Grafik mit KI erstellt
Beide Fristen sind inzwischen verstrichen. Wer noch nicht umgesetzt hat, ist also nicht früh dran, sondern spät. Die gute Nachricht: Ein großer Teil der Anforderungen ist Organisation und Dokumentation, nicht Technik, und damit ohne Investitionen zu erledigen.
Muss, soll und akzeptierte Risiken
Beim Lesen fällt auf, dass die Anforderungen unterschiedlich formuliert sind. Manche sagen „muss“, andere „sollte“. Beispiel: Die Daten sind regelmäßig zu sichern (Nr. 21), aber es sollte getestet werden, ob die Sicherung funktioniert (Nr. 25).
Die Präambel gibt dazu einen Hinweis, der oft übersehen wird: Bei der Umsetzung können Risiken auch an Dritte, etwa IT-Dienstleister oder Versicherungen, übertragen oder vom Verantwortlichen akzeptiert werden. Wer eine Soll-Anforderung nicht umsetzt, sollte diese Entscheidung also bewusst treffen und festhalten, warum. Genau das ist der Unterschied zwischen einer Lücke und einem dokumentierten Restrisiko.
Wer verantwortlich ist
Die Richtlinie ist an diesem Punkt eindeutig: Die Praxisinhaber sind für die IT-Sicherheit der Praxis und für die Einhaltung der Anforderungen verantwortlich, einschließlich der erforderlichen Festlegungen und Regelungen. Die Umsetzung einzelner Anforderungen darf delegiert werden, die Verantwortung bleibt.
Praktisch heißt das: Ihr IT-Dienstleister kann Firewall, Updates und Datensicherung übernehmen. Wer wann geschult wird, welche Regeln beim Weggang von Mitarbeitenden gelten und ob die Dokumentation aktuell ist, entscheidet die Praxis. Deshalb lohnt es sich, den Maßnahmenplan von Anfang an in zwei Spalten zu denken: Praxis und Dienstleister.
Zertifizierte Dienstleister sind freiwillig
Die KBV führt ein Verzeichnis zertifizierter Dienstleister nach § 390 SGB V. Eine Pflicht, einen solchen Dienstleister zu beauftragen, gibt es nicht. Die Zertifizierung ist ein Qualitätsmerkmal, kein Zwang.
Was bei Nichteinhaltung droht
Im Netz kursieren konkrete Bußgeldsummen. In der Richtlinie selbst stehen sie nicht: Sie enthält keine eigenen Sanktionen. Das heißt aber nicht, dass ein Verstoß folgenlos bleibt. Die Anforderungen konkretisieren die technisch-organisatorischen Maßnahmen nach Artikel 32 DSGVO. Wer sie nicht erfüllt und es kommt zu einem Datenschutzvorfall, steht gegenüber der Aufsichtsbehörde und gegenüber Betroffenen deutlich schlechter da. Dazu kommt der praktische Schaden: Eine Praxis, die nach einem Angriff mehrere Tage nicht behandeln kann, verliert unabhängig von jeder Behörde Geld und Vertrauen.
Ich halte es deshalb für sinnvoller, die Richtlinie als Prüfliste für den eigenen Betrieb zu lesen statt als Drohkulisse. Die Anforderungen sind fachlich vernünftig, und sie sind bewusst als Mindestmaß formuliert.
Die ersten drei Schritte
- Einordnen: Zählen Sie die Personen, die ständig mit der Datenverarbeitung betraut sind, und halten Sie fest, welche Anlagen daraus folgen. Ergebnis: eine Seite, die Ihren Umfang begründet.
- Bestand aufnehmen: Gehen Sie Anlage 1 Nummer für Nummer durch und notieren Sie erfüllt, teilweise erfüllt oder offen. Für teilweise und offen gehört jeweils dazu, wer sich kümmert und bis wann.
- Nachweise anlegen: Netzplan, Datensicherungskonzept, Schulungsnachweise, Vertraulichkeitsvereinbarungen mit Dienstleistern. Ohne Dokumentation ist eine Anforderung im Zweifel nicht erfüllt, auch wenn sie technisch umgesetzt ist.
Die Richtlinie verlangt außerdem einen kontinuierlichen Verbesserungsprozess mit jährlicher Evaluationspflicht. Einmal abarbeiten und ablegen genügt also nicht, ein jährlicher Termin im Kalender gehört dazu.
Quellen
- § 390 SGB V
- KBV: Richtlinie nach § 390 SGB V (PDF)
- KZBV: IT-Sicherheit in der Zahnarztpraxis
- BSI: Hinweise zur IT-Sicherheitsrichtlinie
Dieser Beitrag gibt den Stand vom 16.09.2026 wieder und ersetzt keine rechtliche Beratung. Maßgeblich ist immer die jeweils geltende Fassung der Richtlinie.
Der Selbstcheck zeigt in fünf Minuten, welche Anlagen für Ihre Praxis gelten und wo es offene Punkte gibt. Kostenlos und ohne Verpflichtung.