Die IT-Sicherheitsrichtlinie ist keine Empfehlung, sondern verbindlich – für jede vertragsärztliche und vertragszahnärztliche Praxis. Eine Änderung, die in der Praxis oft noch nicht angekommen ist: Die Rechtsgrundlage ist seit dem Digital-Gesetz vom 26. März 2024 nicht mehr § 75b SGB V, sondern § 390 SGB V. Die überarbeitete Richtlinie ist im Bereich der KBV seit dem 1. Oktober 2025 verbindlich, im Bereich der KZBV seit dem 2. Januar 2026.
Der Umfang hängt an der Praxisgröße
| Praxisgröße | Personen mit Datenverarbeitung | Anforderungen |
|---|---|---|
| Klein | bis 5 | Basisanforderungen |
| Mittel | 6 bis 20 | Basis plus erweiterte Anforderungen |
| Groß | über 20 | alle Stufen plus Zusatzanforderungen |
Unabhängig von der Größe gelten eigene Vorgaben für Großgeräte wie CT und MRT sowie für die TI-Komponenten.
Die vier Handlungsfelder
Hinter den rund 50 Einzelanforderungen stehen im Kern vier Themen:
- Personal und Schulung. Wer darf was, und wer weiß, woran man eine Phishing-Mail erkennt?
- Technische Basissicherheit. Firewall, Updates, Datensicherung – und eine Rücksicherung, die tatsächlich einmal getestet wurde.
- Endgeräte. Auch der PC am Ultraschall und das Tablet im Sprechzimmer zählen dazu.
- E-Mail-Sicherheit. Der häufigste Eintrittsweg in eine Praxis überhaupt.
Der pragmatische Weg
Wir arbeiten die Richtlinie mit unseren Kunden als Checkliste ab: einmal sauber aufsetzen, dokumentieren, danach jährlich nachziehen. Technisch hängt vieles an Firewall, Backup und Patch-Stand – dafür haben wir mit Sophos-Firewalls und geprüfter Cloudsicherung feste Bausteine. Ohne schriftliche Festlegung gibt es im Prüfungsfall nichts vorzulegen – die Dokumentation ist der Teil, der am häufigsten fehlt.
Quellen: § 390 SGB V (vormals § 75b SGB V, geändert durch das Digital-Gesetz vom 26.03.2024); BSI, Hinweise zur IT-Sicherheitsrichtlinie.
