§ 75b SGB V ist die gesetzliche Grundlage für die IT-Sicherheit in der vertragsärztlichen und vertragszahnärztlichen Versorgung. Auf seiner Basis hat die Kassenärztliche Bundesvereinigung (KBV) die IT-Sicherheitsrichtlinie erlassen, die verbindliche Anforderungen an die IT-Sicherheit in Praxen festlegt.
§ 75b SGB V ist die gesetzliche Grundlage für die IT-Sicherheit in der vertragsärztlichen und vertragszahnärztlichen Versorgung. Der Paragraf im Fünften Sozialgesetzbuch (SGB V) verpflichtet die Kassenärztliche Bundesvereinigung (KBV), im Einvernehmen mit dem Bundesamt für Sicherheit in der Informationstechnik (BSI) eine Richtlinie über die Anforderungen zur Gewährleistung der IT-Sicherheit zu erstellen. Aus dieser Vorgabe ist die IT-Sicherheitsrichtlinie hervorgegangen, die für Praxen verbindlich ist.
Worum es bei § 75b SGB V geht
Arztpraxen verarbeiten hochsensible Gesundheitsdaten. § 75b SGB V soll sicherstellen, dass diese Daten angemessen geschützt sind – also ihre Vertraulichkeit, Integrität und Verfügbarkeit gewährleistet bleiben. Dazu schreibt der Paragraf vor, dass es eine verbindliche Richtlinie zur IT-Sicherheit in der vertragsärztlichen und vertragszahnärztlichen Versorgung geben muss. Diese Richtlinie zur IT-Sicherheit definiert einen einheitlichen Sicherheitsstandard für den Bereich der Informationstechnologie im Gesundheitswesen.
Die IT-Sicherheitsrichtlinie nach § 75b SGB V
Auf Basis von § 75b SGB V hat die KBV die IT-Sicherheitsrichtlinie erlassen. Sie legt in mehreren Anlagen fest, welche Anforderungen Praxen erfüllen müssen. Wichtig dabei: Die Anforderungen sind nach Praxisgröße gestaffelt.
- Anlage 1 enthält Anforderungen für alle Praxen, unabhängig von der Größe.
- Anlage 2 und 3 enthalten zusätzliche Anforderungen für mittlere und große Praxen sowie für Praxen mit besonderer Datenverarbeitung.
So müssen kleine Praxen weniger umsetzen als Großpraxen, während die grundlegenden Schutzmaßnahmen für alle gelten.
Typische Anforderungen an die IT-Sicherheit
Die Richtlinie konkretisiert zahlreiche Maßnahmen – von organisatorischen Vorgaben bis zu technischen Schutzmaßnahmen. Dazu gehören etwa der sichere Umgang mit Passwörtern, regelmäßige Updates, der Schutz mobiler Geräte, die Absicherung des Praxisnetzwerks und der sichere Umgang mit der Anbindung an die Telematikinfrastruktur. Ziel ist es, die IT-Systeme der Praxis so abzusichern, dass sensible Patientendaten wirksam geschützt sind.
Anforderungen nach Praxisgröße im Detail
Die IT-Sicherheitsrichtlinie staffelt ihre Vorgaben bewusst, damit sie für die kleine Einzelpraxis genauso praktikabel ist wie für die Großpraxis. Man unterscheidet dabei üblicherweise drei Größenklassen: Anforderungen für kleine Praxen, für Praxen mittlerer Größe und für Großpraxen. Kleine und mittlere Praxen müssen die grundlegenden Schutzmaßnahmen umsetzen, während für größere Einheiten und für Praxen, die medizinische Großgeräte betreiben, zusätzliche Anforderungen gelten (unter anderem in Anlage 3). So bleibt der Aufwand für jede vertragsärztliche und vertragszahnärztliche Praxis verhältnismäßig, ohne die Schutzziele – Vertraulichkeit, Integrität und Verfügbarkeit der Daten – aufzugeben.
Wer die Richtlinie erlässt
Die Richtlinie nach § 75b SGB V wird von der Kassenärztlichen Bundesvereinigung im Einvernehmen mit dem Bundesamt für Sicherheit in der Informationstechnik erstellt – für den zahnärztlichen Bereich durch die Kassenzahnärztliche Bundesvereinigung (KZBV). Sie richtet sich an die Leistungserbringer in der vertragsärztlichen, vertragszahnärztlichen und vertragspsychotherapeutischen Versorgung. Ziel ist, die IT-Sicherheit im gesamten ambulanten Gesundheitssektor nach dem Stand der Technik zu gewährleisten und damit die sensiblen Daten der Patientinnen und Patienten wirksam zu schützen.
Verhältnis zu Datenschutz und DSGVO
§ 75b SGB V und die IT-Sicherheitsrichtlinie ergänzen die Vorgaben der Datenschutz-Grundverordnung (DSGVO), ersetzen sie aber nicht. Während die DSGVO den rechtlichen Rahmen für den Umgang mit personenbezogenen Daten setzt, konkretisiert die IT-Sicherheitsrichtlinie die technischen und organisatorischen Anforderungen an die IT-Sicherheit speziell für Praxen. Beide zusammen bilden den Rahmen für den Schutz von Gesundheitsdaten.
Verantwortung und Umsetzung
Die Verantwortung für die Einhaltung der Anforderungen liegt bei der Praxisleitung. In der Praxis bedeutet das nicht, dass die Leitung alles selbst umsetzen muss – die konkrete technische Umsetzung übernimmt in der Regel ein IT-Dienstleister. Wichtig ist, die Anforderungen der Richtlinie zu kennen, den Ist-Zustand zu prüfen und Lücken systematisch zu schließen. Wer das strukturiert angeht, erfüllt nicht nur eine gesetzliche Pflicht, sondern schützt seine Praxis auch real vor Ausfällen und Angriffen.
Wie wir Praxen bei der Umsetzung der IT-Sicherheitsrichtlinie unterstützen, lesen Sie auf unserer Seite IT-Sicherheitsrichtlinie für Praxen. Grundlagen zur sicheren Vernetzung erklärt unser Beitrag Was ist die Telematikinfrastruktur?.
Häufige Fragen
Für alle vertragsärztlichen und vertragszahnärztlichen Praxen sowie psychotherapeutischen Praxen. Der Umfang der Anforderungen richtet sich nach der Praxisgröße – kleine Praxen müssen weniger umsetzen als Groß- oder mittelgroße Praxen.
Die Kassenärztliche Bundesvereinigung (KBV) im Einvernehmen mit dem BSI. Die IT-Sicherheitsrichtlinie nach § 75b SGB V konkretisiert in mehreren Anlagen, was Praxen je nach Größe umsetzen müssen.
Die Praxisleitung. Sie trägt die Verantwortung dafür, dass die Anforderungen der IT-Sicherheitsrichtlinie umgesetzt und eingehalten werden.