Neue Cybersicherheitsregeln für Praxen: Ihre 90-Tage-Agenda nach § 390 SGB V
Die Spielregeln für IT-Sicherheit in Arztpraxen haben sich geändert:
§ 390 SGB V ersetzt § 75b SGB V und ordnet Cybersicherheit, Nachweise und Verantwortlichkeiten neu.
In diesem kompakten Leitfaden erfahren Sie, was das konkret für kleine und mittlere Praxen bedeutet – verständlich erklärt, mit einem 2‑Stufen‑Plan für die nächsten 90 Tage.
Wir zeigen, wie Sie Zugriffe, Passwörter, Updates sowie Backups und Wiederherstellung praxistauglich organisieren, welche Nachweis- und Meldepflichten zu beachten sind und wie sich Informationssicherheit in Ihr QM integrieren lässt.
Zusätzlich erhalten Sie Checklisten und Hinweise zu TI, Datenschutz und pragmatischer Unterstützung – von CyberRisiko-Check nach DIN SPEC 27076 bis zur Orientierung an ISO 27001/BSI‑Grundschutz. Lesen Sie weiter, um Cyber Security Resilienz gezielt aufzubauen und Ihre Praxis sicher, compliant und auditbereit aufzustellen.
Neuordnung verständlich erklärt: § 390 SGB V ersetzt § 75b SGB V
Was ist passiert?
Was bedeutet das für Praxen?
Adressiert sind weiterhin Vertragsärztinnen und -ärzte, Berufsausübungsgemeinschaften sowie Medizinische Versorgungszentren.
Die Pflichten liegen bei der Praxisleitung, die als verantwortliche Stelle die Informationssicherheit steuert und nachweisbar organisiert.
Inhaltlich bleibt der Rahmen auf einem klaren Niveau: Es geht um angemessene technische und organisatorische Maßnahmen, eindeutig geregelte Zuständigkeiten sowie eine schlanke, belastbare Dokumentation und Nachweisführung. Schnittstellen zum Datenschutz (DSGVO/BDSG) und zur Telematikinfrastruktur (TI) sind dabei mitzudenken.
Für den Übergang gilt bis zum 01. Oktober 2025: Mit Inkrafttreten von § 390 SGB V sind dessen Anforderungen maßgeblich. Bereits etablierte Maßnahmen aus § 75b SGB V beziehungsweise der KBV-IT-Sicherheitsrichtlinie können, soweit inhaltlich deckungsgleich, weiter genutzt und schrittweise auf § 390 SGB V ausgerichtet werden.
Rückblick: Wofür stand § 75b SGB V – und was davon bleibt sinnvoll?
Worum es bei § 75b SGB V ging
Die § 75b SGB V sollte sicherstellen, dass Arzt- und Zahnarztpraxen ihre IT so betreiben, dass Behandlung und Patientendaten zuverlässig geschützt sind. Dazu wurden KBV und KZBV verpflichtet, eine verbindliche IT-Sicherheitsrichtlinie zu erlassen – mit klaren, praxistauglichen Vorgaben. Adressiert waren Vertragsärztinnen und -ärzte, Berufsausübungsgemeinschaften sowie MVZ; die Gesamtverantwortung lag bei der Praxisleitung.
Wichtig hierbei: Die Anforderungen waren nach Praxisgröße gestaffelt (klein, mittel, groß), um kleinere Praxen nicht zu überfordern.
Was Praxen daran konkret schätzten
Die Richtlinie gab schnelle Orientierung: Was ist mindestens zu tun? Antworten ließen sich direkt in den Alltag überführen – von sauberer Benutzerverwaltung über regelmäßige Backups bis zu planbaren Updates.
Maßnahmen waren nachvollziehbar dokumentierbar und bei Rückfragen der KV oder anderer Partner vorzeigbar.
Das Ergebnis im Betrieb: weniger Ausfälle, weniger Kosten und besserer Schutz sensibler Daten.
Was davon weiterhin sinnvoll bleibt (anschlussfähig an § 390 SGB V)
Bewährt hat sich, Zuständigkeiten klar zu benennen und eine Vertretung zu regeln.
Einfache Zugriffsregeln – persönliche Konten, starke Passwörter, zügige Deaktivierung bei Austritten – bleiben ebenso wirksam wie regelmäßige Aktualisierungen und abgesicherte Fernzugriffe.
Tägliche, geschützte Datensicherungen mit gelegentlichem Wiederherstellungstest schaffen Resilienz.
Kurze Praxisanweisungen zu Passwörtern, Updates, Backups und Notfällen sowie eine geordnete Nachweisablage halten die Dinge handhabbar.
Regelmäßige Kurzschulungen binden das Team ein, und klar vereinbarte Leistungen mit IT-Dienstleistern sorgen dafür, dass Reaktionszeiten und Verantwortungen im Ernstfall stimmen.
Diese Prinzipien lassen sich nahtlos auf die Vorgaben des § 390 SGB V übertragen.
§ 390 SGB V auf den Punkt
§ 390 SGB V auf den Punkt bringt Klarheit in die Verantwortungen und Nachweise rund um Cybersicherheit in der Praxis.
Ziel ist ein schlanker, gut nachvollziehbarer Rahmen, der sich in den Alltag integrieren lässt – unabhängig davon, ob Ihre Praxis klein, mittel oder groß ist.
Die folgenden Kernpunkte zeigen, worauf es ankommt und wo Sie ansetzen können.
Klare Verantwortlichkeit in der Praxisleitung
Eine Person muss den Hut aufhaben – und die Aufgaben müssen eindeutig verteilt sein. So bleiben Entscheidungen schnell und Nachweise stimmig.
Nachweis- und Meldepflichten
Dokumentation ist kein Selbstzweck: Sie macht Maßnahmen prüfbar und hilft im Ernstfall, strukturiert zu handeln.
Bezug zu TI, Datenschutz und Qualitätsmanagement
Cybersicherheit wirkt nicht isoliert. Sie greift in bestehende Pflichten hinein – von TI-Betrieb über Datenschutz bis zum gelebten QM.
Praxisalltag: Was ändert sich konkret?
Die neuen Anforderungen lassen sich mit wenigen, festen Routinen in den Alltag integrieren. Ziel ist ein sicherer, stabiler Betrieb ohne komplizierte Technik.
Die folgenden Punkte zeigen, worauf es jetzt ankommt.
Zugriffe, Passwörter, Updates
Ein klar geregelter Zugang und aktuelle Systeme sind die wichtigste Basis.
Backups und Wiederherstellung
Regelmäßige Datensicherung und ein geübter Wiederanlauf sichern den Betrieb – auch im Notfall.
Dokumentation, Schulungen, Dienstleister
Kurze, auffindbare Regeln und klare Rollen sorgen für Nachvollziehbarkeit und Tempo im Ernstfall.
Hinweis
Diese Maßnahmen unterstützen die Erfüllung der neuen Anforderungen nach § 390 SGB V und bleiben bewusst pragmatisch, damit sie sich in den Praxisalltag integrieren lassen.
Wo gesetzliche Detailvorgaben (z. B. Fristen und Meldewege) relevant sind, sollten diese in Ihrem Notfall‑ und Meldeplan konkret verlinkt werden.
Kleine Praxen: 2‑Stufen‑Plan nach § 390 SGB V
Mit diesem 2‑Stufen‑Plan sichern Sie in 30 Tagen die Basis und schaffen bis Tag 90 schlanke Nachweise – ohne zusätzliche Komplexität.
Stufe A (0–30 Tage): Schnell absichern
Stufe B (31–90 Tage): Ordnung und Nachweis
Hinweis
Die Maßnahmen sind auf kleine Praxen mit überschaubarer IT ausgelegt und unterstützen die Erfüllung der Anforderungen nach § 390 SGB V. Rechtsverbindliche Details (z. B. konkrete Meldefristen und Adressaten) bitte praxisbezogen mit Primärquellen hinterlegen und im Notfallplan verlinken.
Mittlere Praxen: 2‑Stufen‑Plan nach § 390 SGB V
Dieser 2‑Stufen‑Plan setzt auf klare Rollen, priorisierte Risiken und geübte Abläufe – schnell wirksam in 30 Tagen, stabil bis Tag 90.
Stufe A (0–30 Tage): Sofort wirksam
Stufe B (31–90 Tage): Prozesse festigen
Hinweis
Die Maßnahmen sind auf mittlere Praxen mit erhöhter IT‑Komplexität ausgelegt und unterstützen die Erfüllung der Anforderungen nach § 390 SGB V. Detailpflichten zu externen Meldungen und Fristen bitte praxisindividuell mit Primärquellen hinterlegen und im Notfallplan verlinken.
Große Praxen/MVZ (kurz gestreift)
Prüfen Sie den Aufbau eines formalen ISMS (z. B. ISO 27001/BSI-Grundschutz) mit regelmäßigen Audits, ergänzt um erweiterte Überwachung (SOC), wiederkehrende Penetrationstests und strukturiertes Lieferantenrisikomanagement. Die sinnvolle Tiefe hängt von Größe, IT-Komplexität und Risiken ab; aufgrund der Komplexität wird dies hier nicht im Detail behandelt und dient als Denkanstoß. Für eine individuelle Beratung und passgenaue Roadmap nehmen Sie Kontakt mit uns auf.
Wenn man nichts tut
Risiken und Prüfungen
Ausfall- und Haftungsrisiken
Ohne grundlegende Schutzmaßnahmen steigt das Risiko für Störungen, Datenpannen und rechtliche Folgen spürbar.
Praxisstillstand
IT‑Ausfälle können Terminabbrüche und eingeschränkte Versorgung verursachen.
Datenschutzverstöße
Verlust oder unbefugte Offenlegung von Patientendaten kann Verfahren der Aufsichtsbehörden und Schadensersatzforderungen nach sich ziehen.
Dokumentationslücken
Medizinische Unterlagen sind vorübergehend nicht verfügbar; Behandlungsrisiken steigen.
Reputationsschaden
Vertrauensverlust bei Patientinnen und Patienten, negative Bewertungen.
Typische Beanstandungen bei Kontrollen
scheitern selten an Technik, sondern meist an fehlenden Zuständigkeiten und Nachweisen.
Unklare Zuständigkeiten
Keine benannte Ansprechperson für Informationssicherheit, fehlende Vertretung.
Fehlende Nachweise
Keine aktuellen Backup‑/Restore‑Protokolle, keine dokumentierten Rechteprüfungen, kein Vorfallsjournal.
Veraltete Systeme
Updates/Patches nicht nachweislich durchgeführt; unsichere Standardkonfigurationen.
Unsichere Zugänge
Geteilte Konten, fehlende Mehrfaktor-Authentisierung bei Fernzugriffen.
Unvollständige Notfallplanung
Keine Kontaktkette, keine definierte Wiederanlaufreihenfolge, keine Übungsnachweise.
Dienstleisterregelungen lückenhaft
Verantwortungen, Reaktionszeiten und Datenschutz‑Auftragsverarbeitung nicht eindeutig vertraglich festgehalten.
Kurz gesagt: Wer Zuständigkeiten klärt, Basismaßnahmen umsetzt und Nachweise geordnet ablegt, reduziert Risiken, ungeplante Kosten und besteht Kontrollen mit vertretbarem Aufwand.
Praktische Hilfe und nächste Schritte
Gut vorbereitete Vorlagen sparen Zeit und geben Sicherheit im Alltag. Unser Ansatz: schlanke Dokumente, klare Zuständigkeiten, nachvollziehbare Nachweise – so bleibt Ihre Praxis handlungsfähig und prüfsicher.
Checklisten und Vorlagen Kurze, auffindbare Dokumente genügen, wenn sie aktuell sind und gelebt werden.
- Zuständigkeitsmatrix: wer verantwortet Zugriffe, Updates, Backups und Vorfälle.
- Kurzrichtlinie Informationssicherheit (2–3 Seiten): Passwörter, Updates, Backups, Fernzugriff, Vorfallmeldung.
- Notfall- und Meldeplan: Kontaktkette, priorisierte Wiederanlaufreihenfolge, Hinweise auf externe Meldestellen.
- Digitaler Auditordner: Vorlagen für Backup-/Restore-Protokoll, Rechteprüfung, Schulungsliste, Vorfallsjournal.
- Geräte- und Softwareliste: System, Version, Verantwortliche Person, letztes Update.
Kurzberatung und CyberRisiko-Check
Sie möchten starten, ohne Wochen zu investieren? In einer kompakten und kostenfreien Kurzberatung klären wir Ihren Status, priorisieren die nächsten Schritte und passen den 2‑Stufen‑Plan an Ihre Praxisgröße an. Der CyberRisiko‑Check nach DIN SPEC 27076 liefert in kurzer Zeit ein klares Bild: Wo stehen Sie bei Zugriffen, Updates, Backups, Notfällen und Dienstleistern – und welche Maßnahmen bringen in 30 bzw. 90 Tagen den größten Nutzen? Sie erhalten einen verständlichen Kurzbericht mit konkreten To‑dos, Verantwortlichkeiten und Terminen. Ergebnis: sofort wirksam, pragmatisch umsetzbar, mit belastbaren Nachweisen.
Quellen und externe Links
Kassenärztliche Bundesvereinigung:
https://www.kbv.de/praxis/digitalisierung/it-sicherheit
IT-Sicherheitsrichtlinie im Überblick (Youtube)
Kassenärztliche Vereinigung Bayern:
Themenseite IT-Sicherheitsrichtlinie
Bundesamt für Sicherheit in der Informationstechnik:
Wir von Elementaris GmbH sind Ihr spezialisierter Partner in Sachen Informationssicherheit und Datenschutz für KMU und KKU. Mit unserer Expertise unterstützen wir Sie dabei, einfach umsetzbare Maßnahmen zu implementieren und Ihren Praxisalltag nachhaltig zu schützen.
Ihr nächster Schritt: Kontaktieren Sie uns für eine persönliche Beratung und entdecken Sie, wie wir gemeinsam Ihre Sicherheitsstrategien optimieren können.
Zögern Sie nicht – sichern Sie Ihr Unternehmen und schaffen Sie Vertrauen bei Ihren Patienten!
(Foto von Annie Spratt auf Unsplash)
