Teil A: Welche Anforderungen gelten für Sie? Über das Info-Symbol neben jeder Frage erhalten Sie eine kurze Erklärung.
1. Wie viele Personen arbeiten in Ihrer Praxis regelmäßig am PC oder mit der Praxissoftware? Gemeint sind alle, die ständig mit der Datenverarbeitung betraut sind, also Ärztinnen und Ärzte, MFA oder ZFA und die Verwaltung. Die Zahl entscheidet, ob Ihre Praxis als Praxis (bis 5 Personen), mittlere Praxis (6 bis 20) oder Großpraxis (über 20) gilt. bis 5 6 bis 20 mehr als 20
2. Welche Art Praxis führen Sie? Für Zahnarztpraxen gilt die Richtlinie der KZBV, für Arzt- und Psychotherapiepraxen die Richtlinie der KBV. Die hier abgefragten Anforderungen sind in beiden Fassungen gleich nummeriert. Zahnarztpraxis Facharztpraxis Andere
3. Gibt es in Ihrer Praxis medizinische Großgeräte, zum Beispiel ein CT oder MRT? Die Richtlinie nennt als Beispiele Computertomographen (CT), Magnetresonanztomographen (MRT, auch Dental-MRT), Positronenemissionstomographen (PET), Linearbeschleuniger und medizinische Analysegeräte (IVD-Geräte) in Laboren. Für solche Geräte gelten zusätzlich die Anforderungen aus Anlage 4. Ja Nein Weiß nicht
4. Nutzen Sie die Telematikinfrastruktur, zum Beispiel für E-Rezept, eAU oder KIM? Über die Telematikinfrastruktur tauschen Praxen Daten zum Beispiel für E-Rezept, eAU, KIM oder die elektronische Patientenakte aus. Dazu gehören Konnektor oder TI-Gateway, Kartenterminals und der elektronische Heilberufsausweis. Für diese Komponenten gilt Anlage 5. Ja Nein Weiß nicht
Teil B: Wo steht Ihre Praxis? Unter den Antworten sehen Sie jeweils die betroffene Stelle in der IT-Sicherheitsrichtlinie. Die Nummerierung ist bei KBV und KZBV gleich.
5. Gibt es einen aktuellen Netzplan, der zeigt, wie die Geräte in Ihrer Praxis verbunden sind? Ein Netzplan zeigt, welche Geräte in Ihrer Praxis wie miteinander verbunden sind, etwa Router, Firewall, Rechner, Drucker, Konnektor und medizinische Geräte. Die Richtlinie verlangt, das interne Netz inklusive eines solchen Plans zu dokumentieren. Ja Teilweise Nein Weiß nicht
Betroffene Stelle in der IT-Sicherheitsrichtlinie: Anlage 1, Nr. 12
6. Sind alte Geräte und Programme, die keine Sicherheitsupdates mehr bekommen, ausgemustert oder vom übrigen Netz getrennt? Gemeint sind Hardware, Betriebssysteme und Programme, für die der Hersteller keine Sicherheitsupdates mehr liefert, zum Beispiel eine veraltete Windows-Version. Sie müssen erkannt und dann ausgemustert oder in einem eigenen Netzwerksegment betrieben werden. Ja Teilweise Nein Weiß nicht
Betroffene Stelle in der IT-Sicherheitsrichtlinie: Anlage 1, Nr. 16 und 17
7. Werden Updates zeitnah installiert, und ist klar, wer dafür zuständig ist? Updates müssen zeitnah nach ihrer Veröffentlichung installiert werden. Außerdem muss festgelegt sein, wer das übernimmt, zum Beispiel Ihr IT-Dienstleister oder eine geschulte Person im Team. Ja Teilweise Nein Weiß nicht
Betroffene Stelle in der IT-Sicherheitsrichtlinie: Anlage 1, Nr. 14 und 15
8. Werden Ihre Daten regelmäßig gesichert, und wurde die Wiederherstellung schon einmal getestet? Die Richtlinie verlangt, alle relevanten Daten regelmäßig zu sichern, die Sicherung vor unbefugtem Zugriff zu schützen und festzulegen, wie und von wem gesichert wird. Außerdem soll getestet werden, ob sich die Daten vollständig wiederherstellen lassen. Ja Teilweise Nein Weiß nicht
Betroffene Stelle in der IT-Sicherheitsrichtlinie: Anlage 1, Nr. 21 bis 25
9. Wurde Ihr ganzes Team zur IT-Sicherheit geschult? Alle Mitarbeitenden und externen Nutzenden müssen in den sicheren Umgang mit der IT eingewiesen werden, soweit das für ihre Arbeit relevant ist. Zusätzlich sollen alle entsprechend ihrer Aufgaben zur Informationssicherheit geschult werden. Ja Teilweise Nein Weiß nicht
Betroffene Stelle in der IT-Sicherheitsrichtlinie: Anlage 1, Nr. 9 und 10
10. Wenn jemand Ihre Praxis verlässt: Werden Schlüssel und Geräte zurückgegeben und Passwörter geändert? Ausscheidende Mitarbeitende müssen Unterlagen, Schlüssel, Geräte, Ausweise und Zutrittsberechtigungen zurückgeben. Zugangsdaten, die sie kannten oder nutzten, müssen geändert werden. Vor dem Abschied ist noch einmal auf die fortbestehende Verschwiegenheit hinzuweisen. Ja Teilweise Nein Weiß nicht
Betroffene Stelle in der IT-Sicherheitsrichtlinie: Anlage 1, Nr. 2
11. Haben alle externen Dienstleister mit Zugriff auf Ihre IT eine Vertraulichkeitsvereinbarung unterschrieben? Bevor externe Personen Zugang zu vertraulichen Informationen erhalten, etwa IT-Dienstleister, Fernwartung oder Techniker von Geräteherstellern, muss mit ihnen eine Vertraulichkeitsvereinbarung in schriftlicher Form geschlossen werden. Ja Teilweise Nein Weiß nicht
Betroffene Stelle in der IT-Sicherheitsrichtlinie: Anlage 1, Nr. 3 und 4
12. Sind Kamera und Mikrofon an den Praxisrechnern ausgeschaltet, solange sie nicht gebraucht werden? Mikrofon und Kamera am Rechner sollen grundsätzlich deaktiviert sein und nur bei Bedarf, zum Beispiel für eine Videosprechstunde, direkt am Gerät aktiviert und danach wieder deaktiviert werden. Ja Teilweise Nein Weiß nicht
Betroffene Stelle in der IT-Sicherheitsrichtlinie: Anlage 1, Nr. 18
13. Ist auf Ihren Windows-Rechnern die Synchronisation mit der Microsoft-Cloud, zum Beispiel OneDrive, ausgeschaltet? Windows kann Nutzerdaten wie Dokumente, Desktop oder Einstellungen automatisch mit Microsoft-Cloud-Diensten wie OneDrive abgleichen. Die Richtlinie sieht vor, diese Synchronisation vollständig zu deaktivieren. Ja Teilweise Nein Weiß nicht
Betroffene Stelle in der IT-Sicherheitsrichtlinie: Anlage 1, Nr. 27
14. Haben alle Cloud-Dienste, in denen Patientendaten liegen, ein aktuelles C5-Testat? Das C5-Testat ist ein Prüfnachweis nach dem Kriterienkatalog des Bundesamts für Sicherheit in der Informationstechnik (BSI). Werden Gesundheitsdaten in einer Cloud verarbeitet, muss der Anbieter ein aktuelles Testat haben. Im Zweifel können Sie es beim Anbieter anfragen. Ja Teilweise Nein Weiß nicht
Betroffene Stelle in der IT-Sicherheitsrichtlinie: Anlage 1, Nr. 50
„Teilweise“ und „Weiß nicht“ zähle ich als offenen Punkt. Was niemand in der Praxis sicher weiß, ist in der Regel auch nicht dokumentiert.