Kurz gesagt: Die IT-Sicherheitsrichtlinie der KBV gilt verbindlich für alle Praxen in der vertragsärztlichen und vertragszahnärztlichen Versorgung. Welche Anforderungen du umsetzen musst, hängt davon ab, wie viele Personen in deiner Praxis ständig mit der Datenverarbeitung betraut sind: Anlage 1 für bis zu fünf, Anlage 2 zusätzlich ab sechs, Anlage 3 zusätzlich ab mehr als zwanzig. Anlage 4 (Großgeräte) und Anlage 5 (Telematikinfrastruktur) gelten unabhängig von der Größe.
Stand: 03.11.2026
Warum gibt es die IT-Sicherheitsrichtlinie?
Rechtsgrundlage ist § 390 SGB V. Danach legen die Kassenärztlichen Bundesvereinigungen in einer Richtlinie die Anforderungen zur Gewährleistung der IT-Sicherheit in der vertragsärztlichen und vertragszahnärztlichen Versorgung fest, im Einvernehmen mit dem Bundesamt für Sicherheit in der Informationstechnik (BSI). Die Anforderungen sind nach Gefährdungspotenzial und Schutzbedarf abgestuft, müssen dem Stand der Technik entsprechen und werden jährlich inhaltlich überprüft. Die Richtlinie ist für die teilnehmenden Leistungserbringer verbindlich.
Die KBV begründet das so: Die DSGVO ist für Praxen teils zu ungenau. Die Richtlinie übersetzt sie in konkrete Mindestmaßnahmen wie aktuellen Virenschutz, Firewall, Updates und Backups. Verantwortlich für die Umsetzung ist der Praxisinhaber, auch dafür, dass das Personal sicher mit Daten umgeht. Die aktuelle Fassung ist laut KBV am 01.04.2025 in Kraft getreten.
Du kommst nicht weiter? Wir übernehmen das für dich, meist per Fernwartung. Ruf an: 0541 507 988 08, schreib uns oder buch ein Erstgespräch.
Welche Anlage gilt für deine Praxis?
Entscheidend ist nicht die Zahl der Behandler, sondern die Zahl der Personen, die ständig mit der Datenverarbeitung betraut sind. Dazu zählen in der Regel alle, die mit dem Praxisverwaltungssystem arbeiten.
| Praxisgröße | Personen mit Datenverarbeitung | Geltende Anlagen |
|---|---|---|
| Praxis | bis fünf | Anlage 1 |
| Mittlere Praxis | sechs bis zwanzig | Anlage 1 und 2 |
| Große Praxis, Groß-Labor, Groß-MVZ | mehr als zwanzig oder krankenhausähnliche Strukturen | Anlage 1, 2 und 3 |
| Praxis mit medizinischen Großgeräten (CT, MRT, PET, Linearbeschleuniger) | unabhängig | zusätzlich Anlage 4 |
| Alle Praxen mit TI-Anschluss | unabhängig | zusätzlich Anlage 5 (Konnektor, Kartenterminal, Praxisausweis) |
Checkliste Anlage 1: das muss jede Praxis erfüllen
Die KBV nennt auf ihrer Seite konkrete Anforderungen aus Anlage 1. Die wichtigsten technischen Punkte, mit der jeweiligen Nummer:
- Virenschutz (Nr. 20): Aktuelle Virenschutzprogramme sind auf allen Geräten im Einsatz.
- Datensicherung (Nr. 21): Endgeräte werden regelmäßig nach einem Plan gesichert, der festlegt, welche Daten wie oft gesichert werden.
- Netzplan (Nr. 12): Das interne Netzwerk ist anhand eines Netzplans dokumentiert. Die KBV stellt dafür einen Muster-Netzplan bereit.
- Abmelden (Nr. 19): Nach der Nutzung eines Geräts erfolgt die Abmeldung.
- Smartphones und Tablets (Nr. 32, 34, 42 bis 44): Gerätesperrcode, Apps nur aus offiziellen Stores, keine vertraulichen Daten über Apps, bei Verlust SIM-Karte sperren.
- Wechseldatenträger (Nr. 36): USB-Sticks und Co. werden bei jeder Verwendung mit aktuellem Schutzprogramm geprüft.
- Webanwendungen (Nr. 47, 48): Für Praxis-Homepage oder Online-Terminkalender kommt eine Web Application Firewall zum Einsatz, automatisierte Zugriffe werden nicht zugelassen.
- Spam (Nr. 41): Der Umgang mit Spam-E-Mails ist geregelt, Spam wird ignoriert und gelöscht.
Checkliste Personal: seit 1. Oktober 2025 verbindlich
Mit der Fassung 2025 sind organisatorische Anforderungen hinzugekommen, die laut KBV seit dem 1. Oktober 2025 gelten:
- Neue Mitarbeitende werden in die Praxis-IT eingearbeitet (Nr. 1).
- Beim Ausscheiden werden bekannte oder genutzte Passwörter und Zugangsdaten geändert oder vernichtet (Nr. 2). Die KBV bietet Muster-Eintritts- und Austrittsformulare an.
- Externes Personal, auch das deines IT-Dienstleisters, wird zur Einhaltung von Gesetzen und internen Regelungen verpflichtet. Bei kurzfristigem oder einmaligem Einsatz wird es beaufsichtigt (Nr. 3).
- Das Personal wird regelmäßig geschult, insbesondere zur eingesetzten Technik (Nr. 6), und in den sicheren Umgang mit der Praxis-IT eingewiesen und sensibilisiert (Nr. 9).
- Das Personal sollte entsprechend seinen Aufgaben zu Informationssicherheit geschult werden (Nr. 10). Die KBV bietet dafür Online-Fortbildungen für Ärzte und Schulungen für MFA im Fortbildungsportal an.
Checkliste Anlage 5: Telematikinfrastruktur
- Updates für dezentrale TI-Komponenten (Konnektor, Kartenterminal) werden zeitnah installiert (Anlage 5 Nr. 8).
- Administrationsdaten der TI-Komponenten werden sicher aufbewahrt (Anlage 5 Nr. 9).
Was kommt bei mittleren und großen Praxen hinzu?
Anlage 2 und 3 enthalten zusätzliche Anforderungen für Praxen ab sechs beziehungsweise mehr als zwanzig Personen in der Datenverarbeitung. Die KBV-Seite listet diese Punkte nicht einzeln auf, sie stehen in der Richtlinie selbst, die die KBV als PDF bereitstellt. Grundsätzlich gilt laut KBV: Je digitaler die Praxis, desto höher die Anforderungen. Wenn du also mehrere Standorte, ein Labor oder viele Arbeitsplätze hast, lohnt sich ein Blick in die vollständige Richtlinie oder ein Gespräch mit uns.
Zusätzlich weist die KBV darauf hin, dass seit Dezember 2025 für viele Unternehmen strengere Cybersicherheitsvorgaben auf Basis einer EU-Richtlinie von 2022 gelten, darunter besonders große oder umsatzstarke Praxen und MVZ. Ob das deine Praxis betrifft, fasst die KBV in einer PraxisInfo zusammen.
Brauchst du einen zertifizierten Dienstleister?
Nein. Die KBV führt ein Verzeichnis zertifizierter IT-Dienstleister, das Angebot ist aber laut KBV optional. Du kannst die Richtlinie auch mit einem nicht zertifizierten Dienstleister umsetzen. Wichtig ist, dass dein Dienstleister die Anforderungen kennt und die Umsetzung dokumentiert, damit du sie im Zweifel nachweisen kannst.
So unterstützen wir dich
Wir betreuen Praxen in Osnabrück und Umgebung und gehen die Richtlinie Punkt für Punkt mit dir durch: Virenschutz, Firewall, Datensicherung, Netzplan, Konnektor-Updates und die Verpflichtung unseres Personals. Entfernter arbeiten wir per Fernwartung. Was wir speziell für Zahnarztpraxen tun, liest du auf unserer Seite IT für Zahnarztpraxen. Für Managed IT gibt es planbare Monatspauschalen, Projekte rechnen wir nach Aufwand ab.
Häufige Fragen
Gilt die Richtlinie auch für Zahnarztpraxen?
Ja. § 390 SGB V umfasst ausdrücklich die vertragsärztliche und die vertragszahnärztliche Versorgung. Die Richtlinie ist für alle teilnehmenden Leistungserbringer verbindlich.
Zählen Behandler oder alle Mitarbeitenden?
Gezählt werden die Personen, die ständig mit der Datenverarbeitung betraut sind. Das sind meist alle, die regelmäßig am Praxisverwaltungssystem arbeiten.
Wer haftet, wenn etwas nicht umgesetzt ist?
Laut KBV ist der Praxisinhaber für die Sicherheit der verarbeiteten Daten verantwortlich, auch für den sicheren Umgang seiner Mitarbeitenden mit Daten.
Wird die Richtlinie noch geändert?
Ja. § 390 SGB V schreibt eine jährliche Überprüfung vor, spätestens alle zwei Jahre eine Anpassung an den Stand der Technik. Die letzte Fassung trat am 01.04.2025 in Kraft.
Quellen
- IT-Sicherheit in der Praxis: IT-Sicherheitsrichtlinie (Kassenärztliche Bundesvereinigung, abgerufen am 03.11.2026)
- § 390 SGB V IT-Sicherheit in der vertragsärztlichen und vertragszahnärztlichen Versorgung (Bundesministerium der Justiz, gesetze-im-internet.de, abgerufen am 03.11.2026)
