Die KBV-Richtlinie nach §75b SGB V gilt für jede Vertragsarztpraxis. Was Anlage 1, 2 und 3 konkret bedeuten — und wie wir die Umsetzung für Praxen in Nordhausen, Sondershausen und im Eichsfeld übernehmen.
Die Kassenärztliche Bundesvereinigung hat im Einvernehmen mit dem BSI eine Richtlinie erarbeitet, die festlegt, welche technischen und organisatorischen Maßnahmen in vertragsärztlichen und vertragszahnärztlichen Praxen Pflicht sind. Die Anforderungen gelten für alle Praxen — die Frage ist nicht ob, sondern welche Anlage für Ihre Praxis zutrifft.
Kein Goldstandard, kein Wunschprogramm — sondern das Minimum, das eine Praxis erfüllen muss, damit Patientendaten vor unbefugtem Zugriff geschützt sind. Wer welche Anforderungen erfüllen muss, hängt an der Zahl der Personen, die ständig mit der Datenverarbeitung betraut sind. Nicht am Bauchgefühl.
Die Anforderungen sind gestaffelt nach Praxisgröße — nicht nach Umsatz oder Fachrichtung, sondern nach der Zahl der Personen, die ständig mit Datenverarbeitung zu tun haben.
Apps dürfen nur aus offiziellen App-Stores heruntergeladen werden. Bildschirme müssen beim Verlassen des Arbeitsplatzes gesperrt werden. Netzwerkdienste sind abzusichern, Patientendaten werden verschlüsselt übertragen. Dazu kommen organisatorische Punkte: Zuständigkeiten festlegen, Rollen für die Datenverarbeitung definieren, Mitarbeiter sensibilisieren.
Eine kurze Schulung am Anfang reicht nicht — das muss regelmäßig wiederholt werden. Wir setzen das mit einer schlanken Dokumentation um, die ein Prüfer akzeptiert, ohne dass Ihre MFA jeden Monat ein neues Konzept lesen muss.
Zusätzlich zu Anlage 1: Mobilgerätemanagement, strengere Vorgaben für die Datenübermittlung, klarere Trennung zwischen Praxis- und Privatnetzwerk, Protokollierung von Zugriffen auf sensible Daten.
In der Praxis sehen wir bei mittleren Praxen oft historisch gewachsene Netzwerke: der eine Drucker hängt an einer Fritzbox aus 2014, das WLAN nutzen Mitarbeiter mit privaten Handys, irgendwo läuft ein altes XP-Gerät, weil ein Röntgengerät den Treiber nur dafür hat. Diese Realität ist mit der Richtlinie nicht vereinbar. Wir gehen das pragmatisch an — ohne dass die Praxis drei Tage stillsteht.
Anlage 1 + 2 plus: ein etabliertes Informationssicherheitsmanagement, das mehr ist als eine Checkliste. Notfallkonzepte, regelmäßige Audits, dokumentierte Verantwortlichkeiten, technische Maßnahmen wie Netzsegmentierung und zentrales Logging.
Für ein MVZ in Nordthüringen ist das eine andere Hausnummer als für eine Einzelpraxis. Wir arbeiten in solchen Fällen mit einem festen Ansprechpartner bei Ihnen und liefern die Dokumentation in einer Form, die auch eine Prüfung durch die KBV oder ein externes Audit übersteht.
Kein Auszug aus einem 80-Seiten-Dokument — sondern die Maßnahmen, die wir in Praxen am häufigsten nachrüsten müssen.
Individuelle Benutzerkonten, sichere Passwörter, automatische Bildschirmsperre, Passwort-Manager. Kein gemeinsam genutzter Praxisnutzer für alle MFAs.
Anlage 1Windows-Updates, PVS-Updates, TI-Firmware zeitnah einspielen. Veraltete Betriebssysteme (XP, Windows 7) dürfen nicht im Praxisnetz betrieben werden.
Anlage 1Aktueller Virenschutz auf allen Geräten, Firewall konfiguriert und überwacht. Nicht deaktiviert, weil irgendjemand einen Fehlalarm weggeklickt hat.
Anlage 1Regelmäßige, getestete Backups — nicht nur auf einer internen Festplatte. 3-2-1-Regel, Verschlüsselung, vierteljährliche Restore-Tests.
Anlage 1Praxisnetz getrennt vom Gäste-WLAN und von privaten Geräten. TI-Komponenten in eigenem Segment. Keine Fritzbox als einzige Netzwerksicherung.
Anlage 2Dienstliche Mobilgeräte mit Mobile Device Management verwaltet — PIN-Pflicht, Remote-Wipe möglich, kein unkontrollierter Zugriff auf Praxisdaten.
Anlage 2Zugriffe auf sensible Patientendaten werden protokolliert. Wer hat wann was eingesehen oder verändert — nachvollziehbar und unveränderbar gespeichert.
Anlage 2Regelmäßige Schulungen zu Phishing, sicherem Umgang mit Passwörtern und Patientendaten. Dokumentiert, damit die Praxis den Nachweis erbringen kann.
Anlage 1Was passiert bei Ausfall der TI, bei Ransomware, bei Stromausfall? Dokumentierter Notfallplan — nicht erst improvisieren, wenn es brennt.
Anlage 3Die TI-Komponenten — Konnektor, eHBA, SMC-B, KIM — sind ein eigenes Thema, das eng mit der IT-Sicherheit verknüpft ist, aber nicht identisch. Die Richtlinie nach §75b SGB V regelt die Sicherheit Ihrer gesamten Praxis-IT.
Auch wer alle TI-Komponenten sauber installiert hat, ist nicht automatisch richtlinienkonform. Das Praxisnetzwerk drumherum, die Arbeitsplätze, der Drucker mit Scan-to-Mail, die Backup-Lösung — das alles fällt unter die Richtlinie und muss passen.
Wir betreuen beides aus einer Hand, damit nicht zwei Dienstleister mit dem Finger aufeinander zeigen, wenn etwas nicht funktioniert.
Die Einhaltung ist verbindlich. Die KBV kann Stichproben durchführen — und im Schadensfall haftet der Praxisinhaber persönlich.
Nach einem Cyberangriff wird gefragt, ob der Stand der Technik eingehalten wurde — konkret die KBV-Vorgaben und Art. 32 DSGVO. Wer das nicht belegen kann, hat ein Haftungsproblem und eine meldepflichtige Datenschutzverletzung gleichzeitig.
Die KBV kann bei Nicht-Umsetzung der IT-Sicherheitsanforderungen Honorarkürzungen verhängen. Stichproben sind möglich — und der Nachweis liegt bei der Praxis, nicht bei der KBV.
Cyberkriminelle greifen Arztpraxen gezielt an, weil dort sensible Daten liegen und die IT-Sicherheit oft schwächer ist als bei größeren Unternehmen. Ransomware in einer Praxis bedeutet Tage ohne Zugriff auf Patientenakten. In Thüringen bereits mehrfach passiert.
Jeder Abfluss von Patientendaten ist meldepflichtig — an den Landesdatenschutzbeauftragten und in vielen Fällen an die betroffenen Patienten. Das ist ein Reputationsschaden, der sich nicht so schnell reparieren lässt.
Wir starten mit einer Bestandsaufnahme vor Ort und arbeiten uns durch — nicht in IT-Sprech, sondern so, dass Arzt und MFA verstehen, was warum gemacht wird.
Welche Geräte sind im Netz, welche Software läuft, wer hat Zugriff worauf, wie sieht das Backup aus, was passiert beim Stromausfall — eine Stunde, kostenlos.
Aus der Bestandsaufnahme entsteht eine klare Liste, was fehlt. Priorisiert, mit Festpreisangebot — keine offenen Stunden-Positionen.
Technische und organisatorische Maßnahmen werden umgesetzt — außerhalb der Sprechzeiten, ohne Praxisunterbrechung.
Sie erhalten alles was Sie für eine Prüfung brauchen: Dokumentation, Schulungsunterlagen, Richtliniennachweis — schriftlich, revisionssicher.
Die Kosten hängen an der Praxisgröße und am Ausgangszustand. Wir nennen die Zahl vorab schriftlich — kein „wir schauen mal“.
Eine Stunde Bestandsaufnahme — Sie bekommen einen ehrlichen Bericht, was fehlt, was passt und was es kostet. Egal ob Sie wechseln oder nicht.
