IT-Sicherheitsrichtlinie

Die Sicherheitsrichtlinie legt die relevanten sicherheitstechnischen Anforderungen für verschiedene Bereiche der Praxis-IT fest und beschreibt damit das Mindestmaß der Maßnahmen, die in der vertragsärztlichen und vertragspsychotherapeutischen Praxis ergriffen werden müssen. Mit der Umsetzung der Anforderungen, die in fünf Anlagen zur Richtlinie kategorisiert aufgelistet sind, werden die Risiken der IT-Nutzung minimiert und die IT-Sicherheit insgesamt erhöht.

Die verbindlichen Anforderungen richten sich stufenweise nach der Praxisgröße folgender Differenzierung: kleine Praxen mit bis zu fünf Personen, mittlere Praxen mit sechs bis 20 Personen und große Praxen mit über 20 Personen. Berücksichtigt werden dabei die Anzahl der ständig mit der Datenverarbeitung betrauten Personen sowie Umfang und Komplexität der Praxisausstattung.

Auf Grundlage der Zertifizierungsrichtlinie können Anbieter von IT-Dienstleistungen über die KBV ein Zertifikat erwerben und sich damit die nötige Sachkenntnis für die Umsetzung der IT-Sicherheit in den Praxen bescheinigen lassen. Mit den ersten Zulassungslisten ist im März 2021 zu rechnen.

Nein, wer die Maßnahmen in der Praxis konkret umsetzt, ist rechtlich nicht vorgegeben. Die zertifizierten Dienstleister sind lediglich als Unterstützungsangebot zu verstehen.

Die KBV stellt auf einer Online-Plattform unter hub.kbv.de Begleitinformationen und Umsetzungshinweise zu den Richtlinien bereit, die kontinuierlich aktualisiert werden. Auch Musterdokumente sind verfügbar, beispielsweise eine Richtlinie für Mitarbeiter zur Nutzung mobiler Geräte. Zusätzlich bietet die KBV über ihr Fortbildungsportal CME-zertifizierte Online-Schulungen für Ärzte und Psychotherapeuten an.

Praxen sollten sich nicht vorschnell von IT-Dienstleistern zu angeblich dringend erforderlichen zusätzlichen Komponenten überreden lassen. Ob eine weitere Hard- und Software sinnvoll ist, kann nur auf Basis einer umfassenden Sicherheitsanalyse entschieden werden. Entweder führt die Praxis diese selbst durch oder beauftragt einen von der KBV zertifizierten Dienstleister von der ab Mitte März erwarteten Zulassungsliste.

Die Verantwortung für die Datensicherheit der Praxis-IT liegt beim Praxisinhaber. Eine Praxis kann partielle Verantwortung an Dienstleister delegieren, sodass diese in einem Schadensfall als Auftragnehmer im Innenverhältnis haften. Der Gesetzgeber hat zuletzt im Patientendatenschutzgesetz klarere Bestimmungen zur Haftung in Bezug auf Datensicherheit und Datenschutz der TI-Anbindung vorgesehen. Vertragsarztpraxen sind demnach für die bestimmungsgemäße Nutzung und den Betrieb des Konnektors im Rahmen des Beherrschbaren zuständig, nicht aber für die Nutzung dezentraler TI-Komponenten oder die von der gematik spezifizierten Anwendungen in der TI. Diese Verantwortung kann sich in der Praxis maximal bis vor den Konnektor erstrecken. Wer die Anforderungen der IT-Sicherheitsrichtlinie nachweislich erfüllt, dürfte bei einem Sicherheitsvorfall in der Praxis damit haftungsrechtlich keine Probleme bekommen.

Die IT-Sicherheitsrichtlinie regelt weitestgehend das, was den Praxen auf Grundlage bisheriger Bestimmungen in der Datenschutz-Grundverordnung (DSGVO) und dem Bundesdatenschutzgesetz bereits vorgeschrieben wird. Der zusätzliche Aufwand zur Erfüllung der Vorgaben der IT-Sicherheitsrichtlinie dürfte für die meisten Praxen somit vergleichsweise gering sein. Da Ausstattung und bisheriger Stand der IT-Sicherheit in einer Praxis jedoch nicht pauschal beurteilt werden können, lässt sich der individuelle Aufwand nicht über generalisierte Annahmen darstellen.

Jede Praxis trägt eigenverantwortlich die Kosten für ihre IT-Sicherheit, die dafür sorgt, dass die elektro-
nische Datenverarbeitung (EDV) geschützt ist und ordnungsgemäß funktioniert. Es handelt sich im vorliegenden Fall um eine Sicherheitsrichtlinie der IT, nicht der Telematikinfrastruktur (TI). Die TI ist erst in den letzten Jahren als weitere EDV-Komponente hinzugekommen und nicht die Ursache des Schutzbedarfs.

Nein, aktuell sind keine Kontrollen in Praxen zur Überprüfung der IT-Sicherheit oder der Umsetzung der Sicherheitsrichtlinie vorgesehen.

Das DVG, mit dem die IT-Sicherheitsrichtlinie eingeführt wurde (§ 390 SGB V), sieht derzeit keine eigenen Sanktionen vor. Das bedeutet jedoch nicht, dass diese Vorgaben nicht eingehalten werden müssen. Die Richtlinie definiert Maßnahmen, die die Einhaltung der verschiedenen rechtlichen Vorgaben unterstützen. Gerade die DSGVO hat den Behörden die Möglichkeit gegeben, hohe Strafen durchzusetzen, und auch im Straf- und Berufsrecht sind entsprechende Sanktionen vorgesehen.

Auf der Website der KBV.