Besserer Schutz vor Cyberkriminalität - IT-Sicherheitsrichtlinie für Praxen mit neuen Anforderungen

03.04.2025 - Die IT-Sicherheitsrichtlinie für Praxen wurde aufgrund neuer gesetzlicher Vorgaben aktualisiert. Damit kommen spätestens ab Oktober einige Neuerungen auf die niedergelassenen Ärzte und Psychotherapeuten zu. Sie betreffen vor allem das Praxispersonal, das stärker sensibilisiert und geschult werden soll. Ziel ist es, sensible Daten noch besser zu schützen.

„Medizinische Einrichtungen sind zunehmend Ziel von Hacker-Angriffen und auch die Bandbreite der Methoden, mit denen Kriminelle arbeiten, wächst“, sagte KBV-Vorstandsmitglied Dr. Sibylle Steiner. Deshalb müssten auch die Schutzmaßnahmen immer wieder überprüft und angepasst werden, um unbefugte Zugriffe auf die Praxis-IT und damit auf die besonders sensiblen Patienten- und Abrechnungsdaten zu verhindern. Steiner: „Die IT-Sicherheit ist in einem digitalisierten Gesundheitswesen unverzichtbar.“

Richtlinie wurde jetzt aktualisiert

Bereits seit 2021 unterstützt die IT-Sicherheitsrichtlinie der KBV die niedergelassenen Ärzte und Psychotherapeuten dabei, entsprechende Vorkehrungen für ihre Praxen zu treffen. Sie enthält Voraussetzungen und Anforderungen für die IT-Sicherheit, die Praxen erfüllen müssen und sollten – je nach Praxisgröße und Ausstattung. Die Richtlinie wurde nach einer gesetzlichen Vorgabe im Einvernehmen mit dem Bundesamt für Sicherheit in der Informationstechnik erstellt und nun aufgrund neuer gesetzlicher Vorgaben aktualisiert.

Zur Basis-Infrastruktur für den Schutz der Praxis-IT gehören nach wie vor zum Beispiel eine Firewall, ein aktueller Virenschutz, regelhafte Updates und Backups sowie eine geeignete Netzwerksicherheit.

Sicherheitsbewusstsein erhöhen

Durch das Digital-Gesetz wurden die gesetzlichen Anforderungen um Maßnahmen zur Sensibilisierung von Mitarbeiterinnen und Mitarbeitern zur Informationssicherheit erweitert (Steigerung der Security-Awareness). Die KBV hat dies in die IT-Sicherheitsrichtlinie eingearbeitet. Neu in der Richtlinie sind daher insbesondere Regelungen, die das Praxispersonal betreffen.

So sollen die Mitarbeiterinnen und Mitarbeiter regelmäßig zur Informationssicherheit geschult und fortgebildet werden. Denn schon ein unachtsamer Klick auf einen E-Mail-Anhang kann die gesamte Praxis-IT in Gefahr bringen. Daher enthält die Richtlinie jetzt beispielsweise die Vorgabe, den Umgang mit Spam bei E-Mails zu regeln (siehe Infokasten).

Auf praktikable Vorgaben geachtet

Bei der Aktualisierung wurde Steiner zufolge darauf geachtet, praktikable und realistische Vorgaben für die Praxen zu machen, die möglichst aufwandsarm umzusetzen sind und gleichzeitig einen hohen Schutz bieten.

Es wird beispielsweise nicht vorgegeben, in welcher Form das Praxispersonal für die IT-Sicherheit sensibilisiert werden muss. Dies liegt in der Verantwortung jeder Praxisinhaberin und jedes Praxisinhabers und richtet sich nach den individuellen Gegebenheiten vor Ort.

Die neuen Anforderungen sind spätestens ab 1. Oktober umzusetzen, ein halbes Jahr nach Inkrafttreten der aktualisierten Richtlinie Anfang April. Alle Anforderungen, die Praxen bereits seit 2021 erfüllen müssen, gelten ununterbrochen weiter.

Informationen und Musterdokumente für Praxen

Auf einer Online-Plattform hat die KBV alle Anforderungen aufgeführt. Dort stehen auch Musterdokumente bereit, um den Aufwand für Praxen gering zu halten, zum Beispiel beim Erstellen einer praxiseigenen Richtlinie zur IT-Sicherheit.

Geplant ist auch, Informations- und Schulungsmaterial bereitzustellen, um die Praxisinhaberinnen und Praxisinhaber zu unterstützen. Auch eine Serie in den PraxisNachrichten zu wichtigen Aspekten der IT-Sicherheit ist angedacht. Diese wird voraussichtlich im Mai starten. Außerdem wird die KBV das Serviceheft „IT-Sicherheit“ aus der Reihe PraxisWissen aktualisieren.

Unterstützung durch zertifizierte IT-Dienstleister

Es kann für Ärzte und Psychotherapeuten ratsam sein, sich externe Unterstützung zu holen, wenn es um Datensicherheit geht. Die KBV listet in einem Verzeichnis die IT-Dienstleister auf, die speziell zur Umsetzung der IT-Sicherheitsrichtlinie zertifiziert wurden. Dies ist ein optionales Angebot. Praxisinhaber können sich auch für einen nicht zertifizierten Dienstleister entscheiden, wenn sie sich Hilfe holen möchten.

IT-Sicherheitsrichtlinie für Praxen: Hintergrund und Neuerungen

Die IT-Sicherheitsrichtlinie entstand durch einen gesetzlichen Auftrag und trat erstmals 2021 in Kraft. Sie wurde im Einvernehmen mit dem Bundesamt für Sicherheit in der Informationstechnik (BSI) erstellt und 2025 aktualisiert. Gesetzliche Grundlage ist Paragraf 390 SGB V.

Die Richtlinie beschreibt eine Basis-Infrastruktur, die in jeder Praxis zum Schutz der dortigen IT vorhanden sein sollte, zum Beispiel Firewall, Virenschutz, Updates oder Backups.

Neu ist eine stärkere Berücksichtigung des Praxispersonals. Es muss für die IT-Sicherheit sensibilisiert und zur Informationssicherheit geschult werden. Verantwortlich dafür ist stets der Praxisinhaber oder die Praxisinhaberin.

Vorgaben, die seit 2021 in der Richtlinie stehen, gelten nahtlos weiter. Vorgaben, die zum 1. April neu in die Richtlinie kamen, müssen Praxen spätestens ab 1. Oktober 2025 umsetzen.

Hier einige Punkte: