Jede Vertragsarzt- und Psychotherapiepraxis muss die IT-Sicherheitsrichtlinie der KBV erfüllen. § 390 SGB V selbst sieht zwar keine eigene Bußgeldnorm vor – doch bei damit verbundenen Datenschutzverstößen drohen DSGVO-Bußgelder bis zu 20 Mio. € bzw. 4 % des Jahresumsatzes (Art. 83 DSGVO) sowie berufs- und strafrechtliche Konsequenzen. CONSUVATION zeigt Ihnen in wenigen Minuten, wo Ihre Praxis heute steht – und baut ergänzend auch den Datenschutz Ihrer Praxis auf, inklusive externem Datenschutzbeauftragten.
Die KBV erstellt die Richtlinie nach § 390 SGB V im gesetzlichen Auftrag des Digital-Gesetzes (DigiG) – im Einvernehmen mit dem BSI und im Benehmen mit dem Bundesbeauftragten für Datenschutz, den Bundes(zahn)ärztekammern und der gematik. Sie gilt für jede vertragsärztliche und -psychotherapeutische Praxis – gestaffelt nach Praxisgröße. Einen umfassenden Überblick zum Thema IT-Sicherheit für Arztpraxen finden Sie auf unserer Themenseite.
§ 390 SGB V sieht selbst keine eigene Sanktionsnorm vor – doch bei damit verbundenen Datenschutzverstößen drohen DSGVO-Bußgelder bis zu 20 Mio. € bzw. 4 % des Jahresumsatzes (Art. 83 DSGVO) sowie berufs- und strafrechtliche Konsequenzen. Einzelne KVen verweisen zudem auf mögliche Honorarkürzungen.
Seit dem 01.10.2025 sind alle Anforderungen aus Personal, Schulung, Patch-Management, Endgeräten, E-Mail und Cloud verpflichtend. Praxen ohne vollständigen Nachweis sind bereits im Verzug.
Der Gesetzgeber schreibt vor, dass die Richtlinie jährlich überprüft und mindestens alle zwei Jahre an den Stand der Technik angepasst wird. Die Umsetzung ist damit kein einmaliges Projekt.
Cyberangriffe auf Gesundheitseinrichtungen sind längst Realität – nicht nur bei großen Kliniken. Zwei aktuelle Fälle zeigen typische Einfallstore, die genau die Anforderungen der Richtlinie adressieren.
Unbekannte verschafften sich per gefälschter E-Mail Zugangsdaten einer Mitarbeiterin und damit Zugriff auf das Praxis-Postfach. Sie lasen Nachrichten mit, kopierten Daten und versendeten manipulierte Zahlungsaufforderungen an Empfänger der Praxis.
Quelle: draco.de, 27.05.2026
Bei einem Cyberangriff auf einen externen privatärztlichen Abrechnungsdienstleister wurden über 120.000 Patientendatensätze entwendet – darunter Stammdaten, Diagnosen und Bankverbindungen. Die betroffenen Einrichtungen selbst blieben technisch unversehrt, haften nach der DSGVO aber dennoch für Auswahl und Kontrolle ihrer Dienstleister.
Quelle: borncity.com, 22.05.2026
92 Einzelanforderungen verteilt auf fünf Anlagen – von Personal und Netzwerksicherheit bis zur Telematikinfrastruktur.
50 Anforderungen: Personal, Schulung, Netzwerk, Patch-Management, Endgeräte, Mobilgeräte, E-Mail, Apps, Cloud.
10 zusätzliche Anforderungen ab 6 Personen: Logging, Verschlüsselung, restriktive Rechtevergabe.
17 zusätzliche Anforderungen ab 21 Personen: Netzsegmentierung, Mobile Device Management, sicherer E-Mail-Server-Betrieb.
6 Anforderungen für CT, MRT, PET, Linearbeschleuniger & IVD-Analysegeräte – unabhängig von der Praxisgröße.
9 Anforderungen für Konnektor, TI-Gateway und Primärsysteme – gilt für alle Praxen.
Alle Anforderungen mit Status- und Verantwortlichkeitsspalte – zum sofortigen Einsatz in Ihrer Praxis.
Maßgeblich ist die Zahl der ständig mit Datenverarbeitung betrauten Personen – Voll- oder Teilzeit spielt keine Rolle.
| Praxisgröße | Definition | Anwendbare Anlagen |
|---|---|---|
| Praxis | bis 5 Personen | 1 + 5 |
| Mittlere Praxis | 6–20 Personen | 1 + 2 + 5 |
| Großpraxis | über 20 Personen bzw. krankenhausähnliche Strukturen, Groß-Labore | 1 + 2 + 3 + 5 |
| + Großgeräte | CT, MRT, PET, Linearbeschleuniger, IVD-Analysegeräte | zusätzlich Anlage 4 |
Alle 92 Anforderungen aus Anlage 1–5 in einer druckfertigen Checkliste mit Status- und Verantwortlichkeitsspalte, direkt einsetzbar in Ihrer Praxis.
Wir senden Ihnen die Checkliste kostenfrei per E-Mail zu.
Mit dem Absenden stimmen Sie zu, dass CONSUVATION Sie zu diesem Thema kontaktiert. Keine Weitergabe an Dritte.
CONSUVATION begleitet Praxen von der Bestandsaufnahme bis zur jährlichen Evaluation – und übernimmt auf Wunsch auch den Datenschutz Ihrer Praxis vollständig, inklusive externem Datenschutzbeauftragten.
Abgleich des Ist-Zustands mit Anlage 1–5, individuell nach Praxisgröße.
CONSUVATION übernimmt die komplette Umsetzung für Sie – von der Richtlinienerstellung bis zur Abnahmedokumentation, mit besonderer Priorität für Praxen, welche die Vorgaben zur bereits verstrichenen Frist nicht erfüllen.
Praxispersonal wird nachweisbar zur Informationssicherheit geschult.
Kontinuierlicher Verbesserungsprozess gemäß Richtlinienvorgabe.
CONSUVATION baut den Datenschutz Ihrer Praxis vollständig auf und setzt ihn mit Lösung und Schulungen um – auf Wunsch inklusive Bestellung als externer Datenschutzbeauftragter (DSB).
Kein Stundenaufwand, keine Überraschungen: CONSUVATION setzt die Anforderungen der Richtlinie nach § 390 SGB V für Ihre Praxisgröße als Komplettpaket um – von der Dokumentation bis zur Mitarbeiterschulung, zu einem vorab fixierten Festpreis.
So funktioniert's: Nach einer kurzen kostenlosen Erstanalyse Ihrer Praxisgröße und IT-Ausstattung erhalten Sie ein verbindliches Festpreisangebot – Umsetzung und Schulung aus einer Hand, ohne Nachverhandlung. Anfrage per contact@consuvation.com oder Telefon +49 (0) 7031.4181-860.
CONSUVATION setzt ausschließlich erfahrene Senior-Berater ein. Mit über 25 Jahren Erfahrung in der Informationssicherheit gehören wir zu den Pionieren der Branche – unsere Experten zählten zu den ersten zertifizierten Auditoren für BS 7799, dem britischen Standard, der als direkter Vorläufer der heutigen ISO 27001 gilt. Dieses Insiderwissen aus über zwei Jahrzehnten fließt direkt in die Umsetzung der IT-Sicherheitsrichtlinie § 390 SGB V in Ihrer Praxis ein – für maximale Sicherheit und Nachweisqualität.
Berater, Auditoren & Arbeitskreismitglieder der ISO – tiefes Normenwissen aus erster Hand.
NormungsarbeitLangjährige Erfahrung in der Automobilindustrie – Beratung und Vorbereitung nach VDA ISA.
PraxiserprobtSpezialisiertes Know-how im Bereich Datensicherheit & Compliance – als DEKRA-autorisierter Partner.
AuditperspektiveDie renommiertesten internationalen ISACA-Zertifizierungen – von IT-Revision über Sicherheits- und Risikomanagement bis IT-Governance.
Nachweisbare QualifikationFür alle Vertragsärztinnen und Vertragsärzte sowie Vertragspsychotherapeutinnen und -psychotherapeuten. Der Umfang der Anforderungen richtet sich nach der Praxisgröße.
Die Richtlinie (Version 2.0) gilt seit 01.04.2025. Eine Reihe neu hinzugekommener Anforderungen aus Anlage 1, 3 und 5 musste spätestens bis 01.10.2025 umgesetzt sein – diese Frist ist bereits verstrichen. Wer die Anforderungen noch nicht vollständig erfüllt, sollte kurzfristig nachbessern.
§ 390 SGB V selbst sieht keine eigene Sanktionsnorm vor. Verstöße müssen aber dennoch nicht folgenlos bleiben: Damit verbundene Datenschutzverstöße können nach Art. 83 DSGVO mit Bußgeldern bis zu 20 Mio. € bzw. 4 % des weltweiten Jahresumsatzes geahndet werden, hinzu kommen mögliche berufs- und strafrechtliche Konsequenzen. Einzelne Kassenärztliche Vereinigungen verweisen zudem auf mögliche Honorarkürzungen.
Aktuell sind keine gesonderten Kontrollen in Form von Audits oder Praxisbegehungen speziell zur IT-Sicherheitsrichtlinie vorgesehen. Das entbindet nicht von der Umsetzungspflicht – Nachweise sollten trotzdem vorgehalten werden.
Nein. Es besteht keine Verpflichtung, einen zertifizierten Dienstleister für Informationssicherheit zu beauftragen.
Das lässt sich nicht pauschal beantworten: Der Aufwand hängt davon ab, was Ihre Praxis heute bereits umgesetzt hat, und orientiert sich am Stand der Technik sowie der Komplexität der benötigten Lösung. CONSUVATION ermittelt den tatsächlichen Aufwand für Ihre Praxis im Rahmen der Gap-Analyse.
Nein. Interne Netzwerkadministratoren müssen sich nicht zertifizieren lassen. Externe Dienstleister können optional eine Zertifizierung nach § 390 Abs. 7 SGB V erlangen.
Mit einer strukturierten Gap-Analyse anhand der Checkliste, schlüsselfertiger Umsetzung, Schulung des Praxispersonals und der jährlichen Evaluation gemäß Richtlinienvorgabe.
Ja. Über die IT-Sicherheitsrichtlinie hinaus baut CONSUVATION den Datenschutz Ihrer Praxis vollständig auf und setzt ihn mit Software und Schulungen um. Auf Wunsch übernehmen wir auch die Funktion des externen Datenschutzbeauftragten (DSB) für Ihre Praxis.
92 Anforderungen, klar strukturiert nach Ihrer Praxisgröße – in wenigen Minuten heruntergeladen. Oder gleich schlüsselfertig zum Festpreis umsetzen lassen.
Jetzt Checkliste sichern Festpreis-Pakete ansehenZuletzt aktualisiert: 22.07.2026 · Rechts- und Fristangaben werden laufend geprüft