IT-Sicherheitsrichtlinie aktualisiert

Mit der Aktualisierung der IT-Sicherheitsrichtlinie der KBV kommen spätestens ab Oktober 2025 einige Neuerungen auf die niedergelassenen Ärztinnen und Ärzte zu. Sie betreffen vor allem das Praxispersonal, das stärker sensibilisiert und geschult werden soll. Ziel ist es, sensible Daten noch besser zu schützen.

„Medizinische Einrichtungen sind zunehmend Ziel von Hacker-Angriffen und auch die Bandbreite der Methoden, mit denen Kriminelle arbeiten, wächst“, sagte KBV-Vorstandsmitglied Dr. Sibylle Steiner. Deshalb müssten auch die Schutzmaßnahmen immer wieder überprüft und angepasst werden, um unbefugte Zugriffe auf die Praxis-IT und damit auf die besonders sensiblen Patienten- und Abrechnungsdaten zu verhindern. Steiner: „Die IT-Sicherheit ist in einem digitalisierten Gesundheitswesen unverzichtbar.“

Bereits seit 2021 unterstützt die IT-Sicherheitsrichtlinie der KBV die Niedergelassenen dabei, entsprechende Vorkehrungen für ihre Praxen zu treffen. Sie enthält Voraussetzungen und Anforderungen für die IT-Sicherheit, die Praxen erfüllen müssen und sollten – je nach Praxisgröße und Ausstattung. Die Richtlinie wurde nach einer gesetzlichen Vorgabe im Einvernehmen mit dem Bundesamt für Sicherheit in der Informationstechnik erstellt und nun aufgrund neuer gesetzlicher Vorgaben aktualisiert.

Zur Basis-Infrastruktur für den Schutz der Praxis-IT gehören nach wie vor z. B. eine Firewall, ein aktueller Virenschutz, regelhafte Updates und Backups sowie eine geeignete Netzwerksicherheit.

Sicherheitsbewusstsein erhöhen

Durch das Digital-Gesetz wurden die gesetzlichen Anforderungen um Maßnahmen zur Sensibilisierung von Mitarbeitenden zur Informationssicherheit erweitert (Steigerung der Security-Awareness). Die KBV hat dies in die IT-Sicherheitsrichtlinie eingearbeitet. Neu in der Richtlinie sind daher insbesondere Regelungen, die das Praxispersonal betreffen.

So sollen die Mitarbeitenden regelmäßig zur Informationssicherheit geschult und fortgebildet werden. Denn schon ein unachtsamer Klick auf einen E-Mail-Anhang kann die gesamte Praxis-IT in Gefahr bringen. Daher enthält die Richtlinie jetzt beispielsweise die Vorgabe, den Umgang mit Spam bei E-Mails zu regeln. Grundsätzlich sollten alle, die in der Praxis mit E-Mails arbeiten, Spam ignorieren und löschen. Sie sollten auf unerwünschte E-Mails nicht antworten und Links in diesen E-Mails nicht folgen (Anlage 1 Nummer 41 der Richtlinie).

Praktikable Vorgaben

Bei der Aktualisierung wurde Steiner zufolge darauf geachtet, praktikable und realistische Vorgaben für die Praxen zu machen, die möglichst aufwandsarm umzusetzen sind und gleichzeitig einen hohen Schutz bieten. Es wird beispielsweise nicht vorgegeben, in welcher Form das Praxispersonal für die IT-Sicherheit sensibilisiert werden muss. Dies liegt in der Verantwortung jeder Praxisinhaberin und jedes Praxisinhabers und richtet sich nach den individuellen Gegebenheiten vor Ort.

Die neuen Anforderungen sind spätestens ab 1. Oktober 2025 umzusetzen, ein halbes Jahr nach Inkrafttreten der aktualisierten Richtlinie Anfang April. Alle Anforderungen, die Praxen bereits seit 2021 erfüllen müssen, gelten ununterbrochen weiter.

Auf einer Online-Plattform hat die KBV alle Anforderungen aufgeführt. Dort stehen auch Musterdokumente bereit, um den Aufwand für Praxen gering zu halten, z. B. beim Erstellen einer praxiseigenen Richtlinie zur IT-Sicherheit.

Quelle: Kassenärztliche Bundesvereinigung