SGB V § 390 KBV IT Sicherheit
Informations- sicherheit / OT / Datenschutz
§ 390 SGB V – IT-Sicherheit in Arztpraxen
Rechtsgrundlage & Zweck
Die Kassenärztliche Bundesvereinigung (KBV) hat den gesetzlichen Auftrag, den Stand der Technik für technisch-organisatorische Maßnahmen (Art. 32 DSGVO) in der vertragsärztlichen/-psychotherapeutischen Versorgung zu standardisieren. Ziel sind Vertraulichkeit, Integrität und Verfügbarkeit der Praxis-IT.Verantwortung: Die Praxisinhaber sind für IT-Sicherheit verantwortlich, können die Umsetzung aber delegieren.
Gestufte Anforderungen nach Praxisgröße
- Praxis (bis 5 Personen mit Datenverarbeitung): Anlage 1 + 5
- Mittlere Praxis (6–20 Personen): Anlage 1, 2 + 5
- Großpraxis (>20 Personen bzw. erheblicher Umfang, z. B. Groß-MVZ, Groß-Labore): Anlage 1, 2, 3 + 5
- Zusätzlich bei medizinischen Großgeräten (CT, MRT, PET, Linearbeschleuniger, IVD-Geräte): Anlage 4
Kernbereiche der Maßnahmen (Anlage 1 – gilt für alle)
- Personal: geregelte Einarbeitung/Offboarding, Vertraulichkeitsvereinbarungen für Fremdpersonal
- Sensibilisierung & Schulung zur Informationssicherheit
- Netzwerksicherheit: Firewall an Netzübergängen, Netzdokumentation
- Patch-Management: zeitnahe Updates, Ausmusterung nicht mehr unterstützter Systeme
- Endgeräte: Virenschutz, regelmäßige Backups (inkl. Test), Zugriffsschutz, Deaktivierung von Mikrofon/Kamera bei Nichtnutzung
- Smartphones/Tablets/Mobiltelefone: PIN-Schutz, sichere Grundkonfiguration, Sperrung bei Verlust
- Wechseldatenträger: Schadsoftware-Prüfung, sicheres Löschen
- E-Mail: Anhangsprüfung, deaktivierte HTML-Inhalte, Transportverschlüsselung
- Apps: nur aus offiziellen Stores, restriktive Datenschutz-Einstellungen
- Cloud-Anwendungen: Anbieter muss bei Sozial-/Gesundheitsdaten ein aktuelles C5-Testat (§ 393 i.V.m. § 384 SGB V) vorweisen
Zusätzlich für mittlere/Großpraxen: u. a. Logging/Alarmierung, verschlüsselte Kommunikation, restriktive Rechtevergabe, MDM (Mobile Device Management) für Großpraxen, sichere E-Mail-Server-Administration.
Fristen: Die Richtlinie gilt grundsätzlich ab dem Tag nach Veröffentlichung. Einige neu hinzugekommene Anforderungen (u. a. Schulungen, Patch-Management, Endgeräte, E-Mail-Server, Cloud-Anwendungen) greifen ab dem 1. Oktober 2025. Es besteht eine jährliche Evaluationspflicht im Rahmen eines kontinuierlichen Verbesserungsprozesses.
Sanktionen: In der Richtlinie selbst sind keine expliziten Bußgelder genannt – die Nichteinhaltung ist aber datenschutz- und vertragsarztrechtlich relevant (z. B. im Zusammenhang mit DSGVO-Pflichten und vertragsärztlicher Zulassung).
Möchten Sie mehr darüber erfahren, wie sie die Anforderungen pragmatisch umsetzen können, dann folgen sie dem Link zu unserer Informationsseite:
Sie können auch direkt zu praxis-sicherheit.com gehen.