Digitale-Versorgung-Gesetz (DVG)IT-Sicherheitsrichtlinie - Digitalisierung in Praxen
Der Gesetzgeber hat mit dem Digitale-Versorgung-Gesetz die Kassenärztliche Bundesvereinigung und die Kassenzahnärztliche Bundesvereinigung beauftragt, eine IT-Sicherheitsrichtlinie für alle Praxen zu entwickeln. Darin werden die Anforderungen zur Gewährleistung der IT-Sicherheit verbindlich festgelegt. Die Richtlinie wurde unter anderem im Einvernehmen mit dem Bundesamt für Sicherheit in der Informationstechnik (kurz BSI) erstellt und wird jährlich aktualisiert.
In der IT-Sicherheitsrichtlinie nach § 75B SGB V wird das Minimum der Maßnahmen beschrieben, welche Praxisinhabende ergreifen müssen. Die Maßnahmen unterscheiden sich je nach Praxisgröße und der vorhandenen IT-Infrastruktur.
Die Regelungen traten am 2. Februar 2021 in Kraft, die Umsetzungstermine der verschiedenen Maßnahmen sind gestaffelt, beginnend mit dem 1. April 2021.
Detaillierte Informationen erhalten Sie auf der Seite der KBV oder in diesem Serviceheft aus der Reihe PraxisWissen.
Was gilt es zu beachten?Wichtige Änderungen der IT-Sicherheitsrichtlinie 2025
Die aktualisierte Richtlinie gilt seit dem 1. April 2025 und muss spätestens bis zum 1. Oktober 2025 vollständig umgesetzt werden.
Sensibilisierung und Schulung des Praxispersonals:
- Pflichtschulungen zur Informationssicherheit für alle Mitarbeitenden, angepasst an deren Aufgaben.
- Einarbeitung neuer Mitarbeitender in die Praxis-IT (inkl. Musterdokumente im KBV-Hub).
- Regelungen zum Umgang mit Spam: Alle Mitarbeitenden sollen Spam-Mails erkennen, ignorieren und löschen.
Technische Anforderungen
- Virenschutz, Firewall, regelmäßige Backups und Netzwerksicherheit sind weiterhin Pflicht.
- Web Application Firewall (WAF) für Online-Dienste wie Terminkalender oder Praxis-Homepage.
- Verbot automatisierter Zugriffe auf Webanwendungen ohne explizite Freigabe.
Dokumentationspflichen
- Netzplan, Eintritts- und Austrittsformulare, Verschwiegenheitserklärungen – alle als Musterdokumente im KBV-Hub verfügbar.
- Sicheres Aufbewahren von Administrationsdaten – auch ohne IT-Dienstleister muss die Praxisleitung Zugriff haben.
Risikoorientierter Ansatz: Anforderungen richten sich nach Praxisgröße
- Kleine Praxis: bis 5 Personen mit Datenverarbeitung
- Mittlere Praxis: 6–20 Personen
- Große Praxis: über 20 Personen oder besonders datenintensive Prozesse
Verpflichtung externer Dienstleister
- Externe IT-Dienstleister müssen gesetzliche und interne Vorgaben einhalten und bei kurzfristigem Einsatz beaufsichtigt werden.
IT-Sicherheitsrichtlinie umsetzenWer kümmert sich bei Ihnen um die Umsetzung?
Somit halten Sie die meisten dieser Anforderungen bereits ein – oder?
- Haben Sie bereits Ihren Netzwerkplan erstellt? (DVG Stufe 1 Absatz 33)
- Haben Sie zum Beispiel an das Berechtigungskonzept auf Windows-Ebene gedacht? Oder beschränkt sich dies nur auf Ihre Praxisverwaltungssoftware? (DVG Stufe 1 Absatz 13, 16, 17)
- Schulen Sie regelmäßig Ihre Mitarbeiter*innen im Bereich DSGVO und Informationssicherheit und können dies nachweisen? (DVG Stufe 1 Absatz 13, 18, 29)
Erfahrungsgemäß findet sich meist doch noch der eine oder andere Handlungsbedarf, um einen Rechtsverstoß zu vermeiden.
IT-Sicherheit in Ihrer PraxisJetzt Selbst-Check durchführen
Ihr eventueller Handlungsbedarf ergibt sich aus zwei Listen:
- Cybersicherheit für medizinische Einrichtungen / Checkliste mit Prüfkriterien nach Art. 32 DS-GVO der für den medizinischen Bereich in Deutschland zuständigen Datenschutzbehörde (Bayern)
- Kassenärztliche Bundesvereinigung: Richtlinie nach § 75b SGB V über die Anforderungen zur Gewährleistung der IT-Sicherheit
Einige Abschnitte können jedoch unverständlich klingen und es ist nicht sofort ersichtlich, was die Aussagen für die eigene Praxis bedeuten.
Daher haben wir für Sie die wichtigsten Punkte in einer Liste zusammengefasst. Mit unserem Selbst-Check können Sie sich ganz einfach einen Überblick über den Stand der IT-Sicherheit in Ihrer Praxis verschaffen.
Sollten Sie auf dieser Liste Punkte mit nein oder gar nicht beantworten können, herrscht Änderungs- und/oder Aufklärungsbedarf.
Sie wollen Ihre Praxis rechtskonform aufstellen?
W&B steht Ihnen zur Seite, wenn es darum geht, die IT und deren Pflege auf den aktuell geforderten Stand zu bringen. Mein Name ist Maximilian Blindow, ich bin Ihr Ansprechpatner bei W&B und stelle Ihnen unverbindlich unser Konzept vor.
Für eine Terminvereinbarung bei Ihnen vor Ort oder via Online-Call sprechen Sie uns gerne an unter 0451 39988-200 oder per Mail an medical@wb-net.de.
