IT-Sicherheitsrichtlinie nach § 75b SGB V: was Praxen umsetzen müssen

Worum es geht

Die Kassenärztliche und die Kassenzahnärztliche Bundesvereinigung haben auf gesetzlicher Grundlage eine Richtlinie mit verbindlichen IT-Sicherheitsanforderungen für Praxen erlassen. Sie ist keine Empfehlung, sondern verpflichtend für teilnehmende Praxen.

Der Umfang staffelt sich nach Praxisgröße, gemessen an der Zahl der ständig mit der Datenverarbeitung betrauten Personen. Größere Praxen und solche mit bestimmten Zusatzmerkmalen — etwa Medizingeräten mit Netzwerkanbindung — müssen mehr nachweisen als eine Einzelpraxis.

Verbindliche Auskunft über den für Sie geltenden Umfang und den jeweils aktuellen Stand gibt Ihre KV beziehungsweise KZV. Die Angaben hier beschreiben die Struktur, nicht den Wortlaut.

Die Bereiche, die typischerweise abgedeckt werden

• Endgeräte: Zugriffsschutz, Verschlüsselung mobiler Geräte, aktuelle Softwarestände
• Benutzerkonten: persönliche Anmeldung, Rechte nach Aufgabe, Umgang mit Ausscheiden
• Netzwerk: Absicherung des Zugangs, Trennung von Gästezugängen, WLAN-Verschlüsselung
• Mobile Anwendungen und Geräte, sofern in der Praxis eingesetzt
• Internetanwendungen und Webbrowser, Umgang mit Downloads und Erweiterungen
• Medizinprodukte mit Netzwerkanbindung, sofern vorhanden
• Datensicherung und Wiederherstellung
• Organisation: Zuständigkeiten, Unterweisung der Mitarbeitenden, Dokumentation

Was in der Praxis am häufigsten fehlt

Nach unserer Erfahrung sind es fünf Punkte, die bei Bestandspraxen regelmäßig offen sind — und alle fünf sind mit überschaubarem Aufwand zu schließen.

• Ein gemeinsames Empfangskonto, mit dem mehrere Personen arbeiten. Persönliche Konten sind Voraussetzung dafür, dass sich Zugriffe überhaupt zuordnen lassen.
• Ein Gäste-WLAN, das im selben Netz wie die Praxissysteme hängt.
• Medizingeräte mit veraltetem Betriebssystem ohne Netzsegmentierung und ohne dokumentierte Begründung.
• Keine Nachweise über durchgeführte Rücksicherungstests.
• Keine dokumentierte Unterweisung der Mitarbeitenden.

Dokumentation ist der Teil, der zählt

Der entscheidende Punkt ist nicht nur, Maßnahmen umzusetzen, sondern belegen zu können, dass sie umgesetzt sind. Im Prüfungsfall ist eine Maßnahme ohne Nachweis so gut wie nicht vorhanden.

Praktisch heißt das: eine Übersicht der umgesetzten Anforderungen, Protokolle der Rücksicherungstests, dokumentierte Unterweisungen mit Datum und Teilnehmenden, und eine begründete Dokumentation dort, wo eine Anforderung nicht wie vorgesehen umsetzbar ist — etwa bei Medizingeräten mit Bestandsschutz.

Gerade der letzte Punkt wird unterschätzt: Eine begründet abweichende Lösung mit dokumentierter Risikobetrachtung ist deutlich besser als eine Lücke, über die niemand geschrieben hat.

Wo die Grenze zum Datenschutz verläuft

Die IT-Sicherheitsrichtlinie und die DSGVO überschneiden sich, sind aber nicht dasselbe. Die Richtlinie beschreibt konkrete technische Anforderungen für Praxen; die DSGVO verlangt allgemeiner geeignete technische und organisatorische Maßnahmen sowie eine Reihe von Dokumentationspflichten.

In der Praxis erledigt man beides sinnvollerweise zusammen: Wer die Anforderungen der Richtlinie sauber umsetzt und dokumentiert, hat einen großen Teil der technischen Seite der DSGVO-Nachweispflicht mit erledigt.