IT-Sicherheitsrichtlinie für Arztpraxen und MVZ (§ 390 SGB V)

Kurze Antwort

Die IT-Sicherheitsrichtlinie nach § 390 SGB V legt verbindlich fest, wie Arztpraxen und MVZ ihre IT schützen müssen. Sie besteht aus fünf Anlagen: Anlage 1 gilt für alle Praxen, Anlage 2 und 3 kommen für mittlere und große Praxen hinzu, Anlage 4 betrifft medizinische Großgeräte, Anlage 5 die Komponenten der Telematikinfrastruktur. Seit dem 1. Oktober 2025 gehören auch regelmäßige Schulungen der Beschäftigten (Security Awareness) zu den Pflichten. Große MVZ müssen zusätzlich die Vorgaben aus NIS2 erfüllen.

Stand: November 2026

Das Wichtigste in Kürze

• Die Richtlinie der KBV gilt für alle Praxen und MVZ in der vertragsärztlichen Versorgung, unabhängig von der Größe.
• Die Anforderungen sind nach Praxisgröße gestaffelt: bis 5, 6 bis 20 und über 20 ständig mit der Datenverarbeitung betraute Personen.
• Die aktuelle Fassung gilt seit dem 1. April 2025; die neuen Pflichten zur Sensibilisierung des Personals seit dem 1. Oktober 2025.
• Für Cloud-Dienste mit Gesundheitsdaten verlangt Anlage 1 ein aktuelles C5-Testat des Anbieters.
• Zertifizierte Dienstleister nach § 390 SGB V sind ein freiwilliges Angebot, keine Pflicht.
• MVZ ab 50 Beschäftigten oder mit mehr als 10 Millionen Euro Umsatz und Bilanzsumme fallen zusätzlich unter das BSI-Gesetz (NIS2).

Was verlangt die IT-Sicherheitsrichtlinie der KBV?

Kurze Antwort

Sie verpflichtet Praxen zu einem Grundschutz ihrer IT: Firewall, Virenschutz, zeitnahe Updates, Datensicherung, sichere Passwörter, Regeln für mobile Geräte und E-Mail sowie geschulte Beschäftigte. Ziel ist, Verfügbarkeit, Integrität und Vertraulichkeit der Daten zu sichern.

Rechtsgrundlage ist § 390 SGB V. Danach legt die Kassenärztliche Bundesvereinigung die Anforderungen im Einvernehmen mit dem BSI fest. Das Gesetz verlangt, dass die Anforderungen dem Stand der Technik entsprechen, jährlich überprüft und spätestens alle zwei Jahre angepasst werden. Seit dem Digital-Gesetz muss die Richtlinie ausdrücklich auch Maßnahmen zur Sensibilisierung der Beschäftigten enthalten.

Die erste Fassung gilt seit 2021. Die aktuelle Fassung (Version 1.1) ist am 1. April 2025 in Kraft getreten und hat die frühere Richtlinie nach § 75b SGB V ersetzt. Eine neuere Fassung hat die KBV bis November 2026 nicht veröffentlicht. Prüfen Sie den Stand trotzdem regelmäßig im Hub der KBV, weil das Gesetz eine laufende Anpassung vorsieht.

Die Anforderungen sind nach „Zielobjekten“ geordnet. Anlage 1 enthält 50 Anforderungen in diesen Bereichen:

Bereich	Beispiele aus Anlage 1
Personal	Einarbeitung neuer Mitarbeitender, Rückgabe von Zugängen und Änderung von Passwörtern beim Austritt, Verpflichtung externen Personals, Vertraulichkeitsvereinbarungen
Sensibilisierung und Schulung	Einweisung in den sicheren Umgang mit der Praxis-IT, regelmäßige Schulungen nach Aufgabe
Netzwerksicherheit	Firewall am Übergang zum Internet, Netzplan, geänderte Standardpasswörter an Netzkomponenten
Patch- und Änderungsmanagement	Updates zeitnah installieren, Systeme ohne Sicherheitsupdates erkennen und ausmustern oder abschotten
Endgeräte	Virenschutz, Abmelden nach der Nutzung, Datensicherung mit Test der Wiederherstellung
Smartphone, Tablet, Mobiltelefon	Gerätesperrcode, SIM-PIN, Sperrung bei Verlust
Wechseldatenträger	Prüfung auf Schadsoftware vor jeder Verwendung
E-Mail und Apps	Regeln für Anhänge und Spam, Apps nur aus offiziellen Stores
Internet- und Cloud-Anwendungen	verschlüsselte Verbindungen; bei Gesundheitsdaten in der Cloud ein aktuelles C5-Testat des Anbieters

Die letzte Anforderung knüpft an § 393 SGB V an, der für Cloud-Dienste mit Gesundheitsdaten eigene Regeln enthält. Mehr dazu im Artikel § 393 SGB V: Cloud im Gesundheitswesen und C5-Testat.

Welche Anlagen gelten für welche Praxisgröße?

Kurze Antwort

Maßgeblich ist die Zahl der Personen, die ständig mit der Datenverarbeitung betraut sind. Anlage 1 und 5 gelten für alle, Anlage 2 ab 6 Personen, Anlage 3 ab mehr als 20 Personen; Anlage 4 gilt unabhängig von der Größe, wenn Großgeräte betrieben werden.

Praxistyp	Definition nach der Richtlinie	Umzusetzende Anlagen
Praxis	bis zu 5 ständig mit der Datenverarbeitung betraute Personen	Anlage 1 und 5
Mittlere Praxis	6 bis 20 Personen	Anlage 1, 2 und 5
Großpraxis oder Praxis mit Datenverarbeitung in erheblichem Umfang	mehr als 20 Personen oder Datenverarbeitung, die deutlich über die normale Datenübermittlung hinausgeht, etwa große MVZ mit krankenhausähnlichen Strukturen oder Labore	Anlage 1, 2, 3 und 5
Praxis mit medizinischen Großgeräten	unabhängig von der Größe	zusätzlich Anlage 4

Die Anlagen gelten jeweils nur, soweit die Zielobjekte in der Praxis genutzt werden. Wer keine eigene Website mit Anmeldung betreibt, muss die Anforderungen für Anbieter von Internet-Anwendungen nicht umsetzen.

Anlage 2 (mittlere Praxen) ergänzt zehn Anforderungen, darunter die zentrale Protokollierung wichtiger Ereignisse von Netzkomponenten, eine restriktive Rechtevergabe nach dem Need-to-know-Prinzip, eine verbindliche Richtlinie für mobile Geräte und schriftliche Regeln für die Mitnahme von Datenträgern.

Anlage 3 (Großpraxen und große MVZ) ergänzt 17 Anforderungen, unter anderem eine Segmentierung des Netzes, etwa die Trennung von Gesundheitsdaten und E-Mail-Verkehr, eine Verwaltung mobiler Geräte (Mobile Device Management) mit Fernlöschung, die Verschlüsselung von Wechseldatenträgern und eine Prüfung ein- und ausgehender E-Mails auf schädliche Inhalte.

Was gilt für Medizingeräte und die Telematikinfrastruktur?

Kurze Antwort

Anlage 4 regelt den Schutz vernetzter medizinischer Großgeräte, Anlage 5 den sicheren Betrieb von Konnektor, TI-Gateway und weiteren dezentralen Komponenten der Telematikinfrastruktur. Beide gelten unabhängig von der Praxisgröße.

Anlage 4 – medizinische Großgeräte. Als Beispiele nennt die Richtlinie Analysegeräte in Laboren (IVD-Geräte), Computertomographen, Magnetresonanztomographen, PET-Geräte und Linearbeschleuniger. Die sechs Anforderungen:

1. Zugriff auf Konfigurations- und Wartungsschnittstellen auf berechtigte Personen beschränken, Standardpasswörter der Hersteller ändern.
2. Für Konfiguration und Wartung nur verschlüsselte und authentisierte Protokolle verwenden, besonders bei externen Dienstleistern.
3. Sicherheitsrelevante Ereignisse protokollieren und festlegen, wer die Protokolle wie lange einsehen darf.
4. Nicht genutzte Dienste, Funktionen und Schnittstellen deaktivieren.
5. Nicht genutzte Benutzerkonten deaktivieren, Fernwartungskonten möglichst nur während der Wartung freischalten.
6. Großgeräte im Netz von der übrigen IT trennen und die Kommunikation auf das Nötige beschränken.

Anlage 5 – dezentrale Komponenten der TI. Die neun Anforderungen betreffen unter anderem die Installation nach den Vorgaben der gematik mit aufbewahrtem Installationsprotokoll, den Schutz vor physischem Zugriff, einen verstärkten Netzschutz bei paralleler Internetverbindung, einen VPN-Tunnel zu einem gehosteten Konnektor, die Konfiguration eines TI-Gateways nach Handbuch, die Authentisierung der Praxisverwaltungssysteme mit TLS-Verschlüsselung, zeitnahe Updates und eine sichere Aufbewahrung der Administrationsdaten. Wichtig ist der letzte Punkt: Die Praxis muss Administrationszugänge auch ohne ihren Dienstleister kennen.

Was bedeutet Security Awareness nach der Richtlinie?

Kurze Antwort

Seit dem 1. Oktober 2025 müssen Praxen neue Mitarbeitende in die Praxis-IT einweisen, alle Beschäftigten regelmäßig zu Informationssicherheit schulen und den Umgang mit Spam regeln. Die Form der Schulung ist nicht vorgegeben; verantwortlich ist die Praxisinhaberin oder der Praxisinhaber.

Viele Angriffe auf Praxen beginnen mit einer E-Mail: einem gefälschten Rechnungsanhang, einem Link auf eine nachgebaute Anmeldeseite oder einem Anruf eines angeblichen Supports. Technische Schutzmaßnahmen helfen dann nur begrenzt. Deshalb verlangt die Richtlinie unter anderem:

• Einarbeitung: Neue Mitarbeitende werden in die Regeln der Praxis-IT eingewiesen.
• Austritt: Unterlagen, Schlüssel, Geräte und Zugänge werden zurückgegeben, bekannte Passwörter geändert.
• Externes Personal: Wird zur Einhaltung der Regeln verpflichtet, kurzfristig Eingesetzte werden beaufsichtigt.
• Schulung nach Aufgabe: Wer die IT betreut, braucht mehr Wissen als die Empfangskraft – beide brauchen aber regelmäßige Auffrischung.
• Spam: Nicht antworten, keinen Links folgen, löschen.

Die KBV bietet dazu Online-Fortbildungen für Ärztinnen, Ärzte und Psychotherapeuten sowie für Medizinische Fachangestellte an. Für Praxen und MVZ mit mehreren Standorten lohnt sich ein eigenes Schulungsprogramm mit kurzen, wiederkehrenden Einheiten und Phishing-Beispielen aus dem Praxisalltag. Wie ein solches Programm aufgebaut sein kann, beschreibt der Artikel Security Awareness im Krankenhaus; die Bausteine lassen sich auf Praxen übertragen.

Was sind zertifizierte Dienstleister nach § 390 SGB V?

Kurze Antwort

Personen, die die KBV nach § 390 Abs. 7 SGB V als geeignet zertifiziert hat, Praxen bei der Umsetzung der Richtlinie zu unterstützen. Die KBV veröffentlicht ein Verzeichnis; die Beauftragung eines zertifizierten Dienstleisters ist für Praxen aber freiwillig.

Grundlage ist die Richtlinie zur Zertifizierung nach § 390 SGB V, aktuell in der Fassung vom 26. Mai 2026. Die wichtigsten Punkte:

Punkt	Regelung
Wer wird zertifiziert	Mitarbeitende von Anbietern informationstechnischer Systeme im Gesundheitswesen, auf Antrag
Verfahren	Prüfung der Voraussetzungen, danach eine Prüfung zur IT-Sicherheitsrichtlinie oder eine Kreuzzertifizierung
Kreuzzertifizierung	anerkannt werden BSI IT-Grundschutz-Praktiker in Kombination mit CISSP oder TISP sowie BSI IT-Grundschutz-Auditor oder -Berater
Laufzeit	drei Jahre
Gebühr	580 Euro für die Zertifizierung
Rezertifizierung	Nachweis von Weiterbildungen im Bereich IT-Sicherheit, im Durchschnitt 16 Stunden pro Jahr
Verzeichnis	Veröffentlichung von Name und Kontaktdaten auf Wunsch der zertifizierten Person

Für Praxen ist das Verzeichnis ein Anhaltspunkt bei der Auswahl. Unabhängig davon sollten Sie im Vertrag mit dem IT-Dienstleister festhalten, welche Anforderungen der Richtlinie er umsetzt, wie er Fernwartung absichert und wie die Praxis an Dokumentation und Zugangsdaten kommt.

Wie hängen IT-Sicherheitsrichtlinie und NIS2 zusammen?

Kurze Antwort

Beide gelten nebeneinander. Die Richtlinie betrifft alle Praxen; die Pflichten aus dem BSI-Gesetz treffen zusätzlich große Praxen und MVZ, die als wichtige oder besonders wichtige Einrichtung gelten. § 390 SGB V enthält keine Ausnahme für diese Einrichtungen.

Mit dem Gesetz zur Umsetzung der NIS-2-Richtlinie gilt seit dem 6. Dezember 2025 ein neues BSI-Gesetz. Erbringer von Gesundheitsdienstleistungen gehören zum Sektor Gesundheit. Wichtige Einrichtung ist nach § 28 BSIG, wer mindestens 50 Beschäftigte hat oder mehr als 10 Millionen Euro Jahresumsatz und Jahresbilanzsumme; ab 250 Beschäftigten oder mehr als 50 Millionen Euro Umsatz und 43 Millionen Euro Bilanzsumme gilt eine Einrichtung als besonders wichtig. Nach einer Schätzung, die die KBV zitiert, können rund 1.000 Praxen und MVZ betroffen sein.

Thema	IT-Sicherheitsrichtlinie (§ 390 SGB V)	BSI-Gesetz (NIS2)
Wer	alle Praxen und MVZ in der vertragsärztlichen Versorgung	Praxen und MVZ ab den Schwellen des § 28 BSIG
Inhalt	konkrete technische und organisatorische Anforderungen nach Praxisgröße	Risikomanagement nach § 30 BSIG mit Mindestmaßnahmen
Registrierung	keine	Registrierung beim BSI nach § 33 BSIG
Meldepflicht	keine an das BSI	erhebliche Sicherheitsvorfälle nach 24 Stunden, 72 Stunden und einem Monat
Leitung	Praxisinhaber verantwortlich	Geschäftsleitung setzt um, überwacht und muss regelmäßig an Schulungen teilnehmen (§ 38 BSIG)

Praktisch heißt das: Ein großes MVZ, das die Anlagen 1, 2, 3 und 5 sauber umgesetzt hat, hat eine gute Grundlage für das Risikomanagement nach NIS2 – aber nicht alles. Registrierung, Meldekette, Lieferkette und die Pflichten der Geschäftsleitung kommen hinzu. Ob Ihre Einrichtung betroffen ist, klären Sie mit dem NIS2-Check; die Pflichten im Einzelnen erklärt der Artikel KRITIS und NIS2 im Gesundheitswesen.

Wie gehen Sie bei der Umsetzung vor?

Kurze Antwort

Praxisgröße bestimmen, Ist-Stand gegen die zutreffenden Anlagen prüfen, Lücken nach Risiko schließen, Beschäftigte schulen und alles dokumentieren. Die KBV stellt dafür Musterdokumente und Checklisten bereit.

1. Einordnen: Zählen Sie die Personen, die ständig mit der Datenverarbeitung betraut sind, und legen Sie fest, welche Anlagen gelten. Prüfen Sie bei MVZ zusätzlich die NIS2-Schwellen.
2. Bestand erfassen: Rechner, Server, Netzkomponenten, Mobilgeräte, Medizingeräte, TI-Komponenten, Cloud-Dienste und Dienstleister mit Zugang.
3. Abgleichen: Jede Anforderung als erfüllt, teilweise erfüllt oder offen bewerten. Die Checklisten der KBV helfen dabei.
4. Lücken schließen: Zuerst das, was Angriffe am häufigsten ermöglicht: fehlende Updates, schwache oder unveränderte Passwörter, ungetestete Datensicherungen, offene Fernwartungszugänge.
5. Schulen: Einweisung neuer Mitarbeitender und regelmäßige Schulungen für alle, mit Nachweis.
6. Dienstleister steuern: Verträge, Fernwartung, Dokumentation und Zugangsdaten regeln.
7. Notfall vorbereiten: Wer ist bei einem Angriff zu informieren, wie arbeitet die Praxis ohne IT weiter, wo liegt die Datensicherung? Die IT-Notfallkarte des BSI ist ein einfacher Einstieg.
8. Dokumentieren und überprüfen: Umsetzung festhalten und mindestens jährlich sowie bei Änderungen der Richtlinie überprüfen.

Bei der Bestandsaufnahme, der Abschätzung der NIS2-Pflichten und der Umsetzung unterstützt Sie unsere Cybersecurity-Beratung.

Welche Schulungen helfen bei der Umsetzung?

Kurze Antwort

Für alle Beschäftigten eine Awareness-Schulung, für IT-Verantwortliche eine Schulung zur IT-Sicherheit im Gesundheitswesen und zum IT-Grundschutz, für die Leitung großer MVZ ein Überblick über NIS2.

Aufgabe	Passendes Seminar	Dauer
Beschäftigte für Phishing, Passwörter und sicheren IT-Umgang sensibilisieren	IT-Security Awareness – Mitarbeitersensibilisierung	1 Tag
Eine eigene Awareness-Kampagne für Praxis oder MVZ planen	Erstellung einer Security Awareness Kampagne (Coaching)	1 Tag
IT-Sicherheit für Patientendaten, Medizintechnik und Versorgung verantworten	Healthcare-Security	3 Tage
Sicherheitskonzepte methodisch nach BSI aufbauen	IT-Grundschutz Praktiker (BSI)	3 Tage
Als Dienstleister die Kreuzzertifizierung nach § 390 SGB V vorbereiten	IT-Grundschutz Praktiker (BSI) und ISC2 CISSP	3 Tage / 5 Tage
NIS2-Pflichten als Leitung eines großen MVZ einschätzen	NIS-2 Richtlinie – Anforderungen verstehen und Auswirkungen bewerten	1 Tag

Awareness-Schulungen lassen sich auch als Inhouse-Schulung für das Praxisteam durchführen. Alle Seminare zum Thema finden Sie unter Cybersecurity-Schulungen.

Fazit

Die IT-Sicherheitsrichtlinie nach § 390 SGB V ist kein Sonderrecht für große Einrichtungen, sondern Grundschutz für jede Praxis. Die meisten Anforderungen sind bekannte Maßnahmen – Updates, Datensicherung, Passwörter, Netztrennung –, die nun verbindlich und nach Praxisgröße gestaffelt sind. Seit Oktober 2025 gehören geschulte Beschäftigte ausdrücklich dazu. Große MVZ müssen zusätzlich die Pflichten aus dem BSI-Gesetz erfüllen. Wer die zutreffenden Anlagen systematisch abarbeitet, dokumentiert und regelmäßig überprüft, erfüllt die Richtlinie und schafft zugleich die Grundlage für NIS2.

Hinweis: Dieser Überblick ersetzt keine Rechtsberatung.

Quellen

1. § 390 SGB V – IT-Sicherheit in der vertragsärztlichen und vertragszahnärztlichen Versorgung. Bundesministerium der Justiz.
2. IT-Sicherheit – Themenseite zur IT-Sicherheitsrichtlinie. Kassenärztliche Bundesvereinigung.
3. Richtlinie IT-Sicherheit in der Praxis – Praxishinweise und Anlagen 1 bis 5. Kassenärztliche Bundesvereinigung.
4. Anlage 1: Anforderungen für Praxen. Kassenärztliche Bundesvereinigung.
5. Besserer Schutz vor Cyberkriminalität – IT-Sicherheitsrichtlinie für Praxen mit neuen Anforderungen. Kassenärztliche Bundesvereinigung, PraxisNachrichten vom 03.04.2025.
6. Zertifizierung nach § 390 SGB V. Kassenärztliche Bundesvereinigung.
7. Fragen und Antworten zur IT-Sicherheitsrichtlinie. Kassenärztliche Bundesvereinigung.
8. Neue Vorgaben für Cybersicherheit in Deutschland: Auch große Praxen können betroffen sein. Kassenärztliche Bundesvereinigung, PraxisNachrichten vom 18.12.2025.
9. § 28 BSIG – Besonders wichtige Einrichtungen und wichtige Einrichtungen. Bundesministerium der Justiz.

Passende Schulungen

Vertiefen Sie das Thema mit Ihrem Team – im offenen Seminar oder als Inhouse-Schulung.

• IT-Security Awareness – Mitarbeitersensibilisierung1 Tag · nächster Termin 06.11.2026
• Healthcare-Security – Patientendaten, Systeme und Versorgung sicher schützen3 Tage · nächster Termin 09.–11.11.2026
• Schutz vor Hacking in Ihrem Unternehmen - Erstellung einer Security Awareness Kampagne (Coaching)1 Tag · nächster Termin 06.11.2026
• IT-Grundschutz Praktiker (BSI)3 Tage · nächster Termin 09.–11.11.2026
• Alle Seminare: CybersecurityTermine, Inhalte und Inhouse-Angebote