Kurz gesagt: Die IT-Sicherheitsrichtlinie der KBV nach § 390 SGB V gilt in der aktuellen Fassung seit dem 1. April 2025. Für die neu hinzugekommenen Anforderungen hatten Praxen bis zum 1. Oktober 2025 Zeit. Seitdem sind unter anderem Schulung und Sensibilisierung des Personals, die Einarbeitung neuer Mitarbeitender, der Passwortwechsel beim Austritt und die Verpflichtung externer IT-Dienstleister Pflicht.
Stand: 03.11.2026
Für wen gilt die IT-Sicherheitsrichtlinie?
Grundlage ist § 390 SGB V. Die Kassenärztliche Bundesvereinigung (KBV) erstellt die Richtlinie im Einvernehmen mit dem Bundesamt für Sicherheit in der Informationstechnik (BSI) und orientiert sich an dessen Vorgaben. Sie gilt für vertragsärztliche und psychotherapeutische Praxen. Für Zahnarztpraxen gibt die KZBV eine eigene Richtlinie heraus, die inhaltlich auf derselben gesetzlichen Grundlage aufbaut. Die aktuelle KBV-Fassung wurde am 31. März 2025 veröffentlicht und trat am 1. April 2025 in Kraft.
Welche Anforderungen eine Praxis umsetzen muss, hängt von der Zahl der Personen ab, die ständig mit der Datenverarbeitung betraut sind, und vom Umfang der Datenverarbeitung:
| Praxisgröße | Personen | Anlage |
|---|---|---|
| Basisanforderungen (alle Praxen) | bis 5 | Anlage 1 |
| Mittlere Praxis | 6 bis 20 | Anlage 2 zusätzlich |
| Große Praxis, Groß-Labor, Groß-MVZ | mehr als 20 | Anlage 3 zusätzlich |
| Medizinische Großgeräte (CT, MRT, PET, Linearbeschleuniger) | unabhängig | Anlage 4 zusätzlich |
| Dezentrale TI-Komponenten (Konnektor, Kartenlesegerät, Praxisausweis) | alle | Anlage 5 |
Du kommst nicht weiter? Wir übernehmen das für dich, meist per Fernwartung. Ruf an: 0541 507 988 08, schreib uns oder buch ein Erstgespräch.
Welche Pflichten sind seit dem 1. Oktober 2025 neu?
Die KBV hat die Richtlinie 2025 stärker auf den Faktor Mensch ausgerichtet. Die folgenden Anforderungen aus Anlage 1 sind seit dem 1. Oktober 2025 umzusetzen:
- Schulung und Sensibilisierung (Anlage 1 Nr. 6, 9 und 10): Das Personal muss in den sicheren Umgang mit der Praxis-IT eingewiesen und für Risiken sensibilisiert werden. Schulungen sollen regelmäßig stattfinden, insbesondere zur Technik. Eine aufgabenbezogene Schulung zur Informationssicherheit ist als Soll-Vorgabe formuliert.
- Onboarding (Anlage 1 Nr. 1): Neue Mitarbeitende müssen in die Praxis-IT eingearbeitet werden. Die KBV stellt dafür ein Eintrittsformular als Musterdokument bereit.
- Passwortwechsel beim Austritt (Anlage 1 Nr. 2): Endet ein Beschäftigungsverhältnis, müssen alle Passwörter und Zugangsdaten, die der Person bekannt waren oder die sie genutzt hat, geändert oder vernichtet werden. Auch hierfür gibt es ein Austrittsformular.
- Externe IT-Dienstleister (Anlage 1 Nr. 3): Dienstleister, die etwa bei Installation, Prüfung oder Reparatur tätig werden, müssen auf die Einhaltung von Gesetzen, Vorschriften und internen Regelungen verpflichtet werden. Bei kurzfristigem oder einmaligem Einsatz ist eine Beaufsichtigung erforderlich. Die KBV bietet eine Verschwiegenheitserklärung für Externe als Muster an.
- Umgang mit Spam (Anlage 1 Nr. 41): Wer in der Praxis mit E-Mails arbeitet, soll Spam ignorieren und löschen.
Welche Anforderungen gelten schon länger?
Die Basisanforderungen aus der ersten Fassung sind seit 2021 Pflicht und bleiben bestehen. Dazu gehören laut KBV unter anderem:
- aktueller Virenschutz (Nr. 20) und regelmäßige Datensicherung nach Plan (Nr. 21)
- ein Netzplan des internen Netzwerks (Nr. 12)
- Abmeldung nach der Gerätenutzung (Nr. 19)
- Smartphones und Tablets mit komplexem Sperrcode schützen (Nr. 32), verlorene SIM-Karten zeitnah sperren (Nr. 34)
- Apps nur aus offiziellen Stores, nicht benötigte Apps vollständig löschen (Nr. 42), keine vertraulichen Daten über Apps versenden (Nr. 44)
- Wechseldatenträger bei jeder Nutzung mit einem aktuellen Schutzprogramm prüfen (Nr. 36)
- Web Application Firewall vor Internet-Anwendungen wie Praxis-Homepage oder Online-Terminkalender (Nr. 47)
- Updates für TI-Komponenten zeitnah installieren und Administrationsdaten sicher aufbewahren (Anlage 5 Nr. 8 und 9)
Wie setzt du die neuen Pflichten praktisch um?
- Praxisgröße bestimmen: Zähle die Personen, die ständig mit der Datenverarbeitung betraut sind. Daraus ergibt sich, welche Anlagen gelten.
- Hub der KBV nutzen: Der Hub zur IT-Sicherheit listet alle Anforderungen mit Umsetzungshinweisen. Hake dort ab, was erfüllt ist, und notiere offene Punkte.
- Musterdokumente einführen: Eintrittsformular, Austrittsformular, Verschwiegenheitserklärung und Netzplan stehen bei der KBV zum Download bereit. Lege sie in der Praxis ab und nutze sie bei jedem Personalwechsel.
- Schulung planen: Lege fest, wer wann geschult wird, und dokumentiere die Teilnahme. Die KBV bietet eine Online-Fortbildung zur IT-Sicherheit mit einem CME-Punkt an.
- Dienstleister verpflichten: Lass dein IT-Systemhaus die Verschwiegenheitserklärung unterschreiben und halte fest, wer wann Zugriff auf die Praxis-IT hatte.
- Austrittsprozess festlegen: Beim Ausscheiden einer Person werden Konten gesperrt, Passwörter geändert und Zugangsmittel wie Schlüssel, Token oder Praxisausweise eingezogen.
Eine Zertifizierung ist nicht vorgeschrieben. Die KBV veröffentlicht eine Liste zertifizierter IT-Dienstleister, deren Nutzung freiwillig ist. Entscheidend ist, dass du die Umsetzung nachweisen kannst.
So unterstützen wir dich
Wir betreuen Praxen in Osnabrück und Umgebung bei der Umsetzung der IT-Sicherheitsrichtlinie, von der Bestandsaufnahme über Netzplan und Datensicherung bis zum Austrittsprozess. Per Fernwartung geht vieles auch aus der Ferne. Die Verschwiegenheitserklärung unterschreiben wir selbstverständlich. Was wir speziell für Zahnarztpraxen anbieten, findest du auf unserer Seite IT für Zahnarztpraxen.
Häufige Fragen
Gilt die Richtlinie auch für Privatpraxen?
§ 390 SGB V richtet sich an die vertragsärztliche Versorgung. Die Anforderungen sind aber ein sinnvoller Maßstab für jede Praxis, die Patientendaten verarbeitet.
Muss ich meine Mitarbeitenden jedes Jahr schulen?
Die Richtlinie verlangt regelmäßige Schulung, nennt aber kein festes Intervall. Dokumentiere Termine und Inhalte, damit du die Regelmäßigkeit belegen kannst.
Was passiert, wenn ich die Vorgaben nicht umsetze?
Die Richtlinie ist für Vertragsärzte verbindlich. Bei einem Sicherheitsvorfall kann eine fehlende Umsetzung zudem datenschutzrechtliche Folgen haben.
Gibt es für Zahnärzte eine eigene Richtlinie?
Ja. Die KZBV gibt eine eigene IT-Sicherheitsrichtlinie heraus. Sie beruht auf derselben Gesetzesgrundlage, Fristen und Nummerierung können aber abweichen.
Quellen
- IT-Sicherheit in der Praxis: IT-Sicherheitsrichtlinie nach § 390 SGB V (Kassenärztliche Bundesvereinigung, abgerufen am 03.11.2026)
- Vertragsärztliche Versorgung: Neue IT-Sicherheitsrichtlinie veröffentlicht (heise online, abgerufen am 03.11.2026)
