Viele Praxen unterschätzen das Risiko von Cyberangriffen. Nicht nur große Kliniken und Medizinische Versorgungszentren geraten ins Visier von Cyberkriminellen, auch kleine und mittelgroße Praxen sind attraktive Ziele, weil sie hochsensible Gesundheitsdaten verarbeiten. Die aktualisierte IT-Sicherheitsrichtlinie ist dabei keine bloße Empfehlung mehr. Neu hinzugekommen sind unter anderem Anforderungen im Zusammenhang mit Cloud-Diensten.
Die gesetzliche Grundlage hat der Gesetzgeber mit dem Digital-Gesetz geschaffen: § 390 SGB V verpflichtet dazu, verbindliche Anforderungen an die IT-Sicherheit in der vertragsärztlichen Versorgung festzulegen. Die konkrete Richtlinie hat daraufhin die Kassenärztliche Bundesvereinigung (KBV) im Einvernehmen mit dem Bundesamt für Sicherheit in der Informationstechnik (BSI) erarbeitet und erlassen. Das Gesetz gibt also den Auftrag, die KBV füllt ihn fachlich aus und das BSI bringt die technische Expertise ein.
Die Richtlinie im Überblick
Bei der IT-Sicherheitsrichtlinie handelt es sich um ein gestuftes Regelwerk. Welche Anforderungen eine Praxis erfüllen muss, richtet sich vor allem nach Praxisgröße und IT-Ausstattung, maßgeblich ist unter anderem die Anzahl der ständig mit Datenverarbeitung betrauten Personen. Kleine Praxen mit bis zu fünf entsprechenden Personen setzen eine Basisvariante um, bei mittleren und großen Praxen kommen zusätzliche Anforderungen hinzu, ebenso beim Einsatz bestimmter medizinischer Großgeräte. Entscheidend ist also nicht allein die Mitarbeiterzahl, sondern auch welche Geräte in der Praxis eingesetzt werden. Inhaltlich lassen sich die Anforderungen grob in drei Bereiche einteilen:
technische Maßnahmen wie Endgeräteabsicherung, Backups und Cloud-Vorgaben
organisatorische Maßnahmen wie Zugriffs- und Rechtekonzepte,
personenbezogene Maßnahmen wie regelmäßige Schulung und Sensibilisierung, insbesondere zu Phishing.
Auch die elektronische Übermittlung sensibler Patientendaten muss angemessen abgesichert sein, wobei sich die konkreten Anforderungen nicht nur aus der Richtlinie, sondern auch aus dem Datenschutz- und Berufsrecht ergeben.
Welche Fristen gelten aktuell?
Die aktualisierte Richtlinie trat am 1. April 2025 in Kraft. Für neu hinzugekommene Anforderungen galt eine Übergangsfrist bis zum 1. Oktober 2025. Rechtlich hat sich zudem die Grundlage verschoben: Mit dem Digital-Gesetz wurde die bisherige Verankerung in § 75b SGB V aufgehoben und durch § 390 SGB V ersetzt, eingeordnet in das Kapitel zur Interoperabilität und Cybersicherheit im Gesundheitswesen.
Die Regelung macht zudem deutlich, dass IT-Sicherheit keine einmalige Aufgabe ist: Die Anforderungen sollen jährlich überprüft und spätestens alle zwei Jahre an den Stand der Technik angepasst werden. Praxen sollten ihre Sicherheitsmaßnahmen deshalb als kontinuierlichen Prozess betrachten, nicht als einmaliges Projekt.
Was passiert bei Nichteinhaltung?
Anders als bei der DSGVO enthält § 390 SGB V selbst keinen eigenständigen Bußgeldtatbestand mit fest bezifferten Beträgen. Nichtumsetzung führt also nicht automatisch zu einem bestimmten Bußgeld, folgenlos bleibt sie deshalb aber nicht.
Die Richtlinie ist eng mit den datenschutzrechtlichen Anforderungen verzahnt. Art. 32 DSGVO verlangt geeignete technische und organisatorische Maßnahmen. Fehlten diese bei einem Datenschutzvorfall, kann das bei der datenschutzrechtlichen Bewertung eine Rolle spielen, wobei ein Verstoß gegen die Richtlinie nicht automatisch einen Verstoß gegen Art. 32 DSGVO bedeutet. Diese Prüfung erfolgt eigenständig.
Verstöße können gegen vertragsärztliche Pflichten disziplinarrechtliche Konsequenzen nach Maßgabe des SGB V und der jeweiligen KV-Satzung haben.
Unzureichende IT-Sicherheit kann versicherungsrechtlich relevant werden, abhängig vom konkreten Vertrag, den vereinbarten Obliegenheiten und dem Einzelfall. Die Richtlinie ist deshalb kein pauschaler versicherungsrechtlicher Maßstab.
Die wesentliche Konsequenz einer mangelhaften Umsetzung ist damit weniger ein automatisch ausgelöstes Bußgeld als vielmehr ein erhöhtes rechtliches, wirtschaftliches und organisatorisches Risiko im Ernstfall.
Umsetzungsfahrplan in 5 Schritten
1. Bestandsaufnahme und Quick-Check: Zunächst gilt es zu klären, welche Anforderungen aufgrund von Praxisgröße, IT-Ausstattung und eingesetzten Systemen für Ihre Praxis konkret gelten, und dann zu prüfen, welche Punkte bereits umgesetzt sind. KBV und BSI stellen dafür Umsetzungshinweise, Checklisten und Musterdokumente bereit:
2. Technische Basissicherheit herstellen: Als Fundament gelten regelmäßige Updates und Patchmanagement, getestete Backups, ein nachvollziehbares Zugriffskonzept, eine abgesicherte Kommunikation sowie eine gründliche Prüfung der eingesetzten Cloud-Dienste.
Gerade bei der Auswahl von Cloud-Diensten, etwa für die Terminplanung, lohnt sich ein Blick auf unabhängige Prüfstandards: Anbieter wie samedi verfügen über ein C5-Typ-2-Testat nach dem Kriterienkatalog des BSI, das nicht nur die Konzeption, sondern auch die tatsächliche Wirksamkeit von Sicherheitskontrollen über einen festgelegten Zeitraum prüft. Das ersetzt nicht die eigene Prüfung der Richtlinienanforderungen und ist keine BSI-Zertifizierung, liefert der Praxis aber zusätzliche Anhaltspunkte zum Sicherheitsniveau des Dienstes.
3. Personalprozesse und Onboarding regeln: Wer erhält Zugriff auf welche Systeme? Wie werden neue Mitarbeitende eingewiesen? Wie werden Zugänge beim Ausscheiden zeitnah entzogen? Klare, dokumentierte Abläufe verhindern Lücken durch verwaiste Konten oder zu weitreichende Berechtigungen.
4. Schulungen und Phishing-Sensibilisierung etablieren: Die Richtlinie verlangt regelmäßige, nicht nur einmalige Schulungen. Kurze, wiederkehrende Übungseinheiten verankern das Thema wirksamer im Alltag als eine einmalige Präsentation.
5. Auf den IT-Notfall vorbereiten: Treffen Sie klare Regelungen, wer im Ernstfall informiert wird, wie mit kompromittierten Systemen umzugehen ist und welche Meldepflichten greifen. Das BSI stellt dafür eine IT-Notfallkarte als erste Orientierung bereit.
Hilfreiche Materialien von BSI und KBV
BSI und KBV stellen auf ihren Themenseiten umfangreiche Informationen zur Umsetzung bereit, insbesondere die KBV mit Checklisten, Musterdokumenten und weiteren Praxishilfen. Für die rechtliche und organisatorische Umsetzung sollten diese offiziellen Quellen den Ausgangspunkt bilden. Ergänzende Standards, Dienstleister und Prüfberichte können sinnvoll sein, ersetzen aber nicht die Prüfung der für die eigene Praxis konkret geltenden Anforderungen.
Fazit
IT-Sicherheit ist für Praxen keine einmalige Pflichtübung, sondern eine dauerhafte Aufgabe. Entscheidend ist es, technische Schutzmaßnahmen, klare interne Prozesse und regelmäßige Schulungen konsequent im Praxisalltag zu verankern. Dazu gehört auch die bewusste Auswahl externer digitaler Dienste: Anbieter wie samedi, die ihre Sicherheitsmaßnahmen durch ein C5-Typ-2-Testat nach dem Kriterienkatalog des BSI prüfen lassen, können Praxen dabei unterstützen, Digitalisierung und ein hohes Sicherheitsniveau miteinander zu verbinden.
