Die IT-Sicherheitsrichtlinie der KBV gilt für jede Arzt- und Psychotherapiepraxis, ob Einzelpraxis oder MVZ. Sie legt fest, wie Praxen ihre Rechner, ihr Netzwerk, ihre Smartphones und ihre Patientendaten schützen müssen. Die aktuelle Fassung gilt seit dem 1. April 2025, ein Teil der Anforderungen ist seit dem 1. Oktober 2025 verbindlich. Dieser Artikel erklärt, welche Anforderungen für Ihre Praxis gelten, was seit Oktober 2025 neu ist, was die Richtlinie zu Cloud-Diensten sagt und womit Sie am besten anfangen.

Stand: Oktober 2026

Was ist die IT-Sicherheitsrichtlinie der KBV?

Die Kassenärztliche Bundesvereinigung (KBV) ist nach § 390 SGB V verpflichtet, eine Richtlinie zur IT-Sicherheit in der vertragsärztlichen und vertragspsychotherapeutischen Versorgung festzulegen. Die Richtlinie ist verbindlich. Sie beschreibt den Stand der Technik für die technischen und organisatorischen Maßnahmen, die Praxen nach Artikel 32 DSGVO ohnehin treffen müssen, und macht sie konkret.

Die aktuelle Fassung wurde am 31. März 2025 veröffentlicht und gilt seit dem 1. April 2025. Sie ersetzt die frühere Richtlinie nach § 75b SGB V aus dem Jahr 2020. Die KBV muss die Richtlinie jährlich prüfen und spätestens alle zwei Jahre anpassen. Eine neue Fassung für 2026 gibt es bisher nicht.

Für Zahnarztpraxen gilt eine eigene Richtlinie der KZBV mit ähnlichem Aufbau.

Welche Anforderungen gelten für meine Praxis?

Die IT-Sicherheitsrichtlinie staffelt die Anforderungen nach der Zahl der Personen, die ständig mit der Datenverarbeitung betraut sind. Dazu zählen alle, die regelmäßig am Praxisrechner arbeiten.

Praxisgröße	Personen mit Datenverarbeitung	Anforderungen
Praxis	bis 5	Anlage 1 und Anlage 5
Mittlere Praxis	6 bis 20	Anlage 1, 2 und 5
Großpraxis	mehr als 20, oder Datenverarbeitung über die normale Datenübermittlung hinaus (etwa große MVZ oder Labore)	Anlage 1, 2, 3 und 5

Zusätzlich gilt Anlage 4 für Praxen mit medizinischen Großgeräten wie CT, MRT oder Laborgeräten. Anlage 5 betrifft die Telematikinfrastruktur, also Konnektor, Kartenterminals und Praxisausweis. Die Anforderungen gelten jeweils nur für die Technik, die in Ihrer Praxis tatsächlich im Einsatz ist. Wer keine Smartphones für die Praxis nutzt, muss die Anforderungen an Mobilgeräte nicht umsetzen.

Was seit Oktober 2025 neu ist

Mit der Fassung von 2025 kamen neue Anforderungen dazu, die seit dem 1. Oktober 2025 verpflichtend sind. In Anlage 1 betrifft das laut Richtlinientext vor allem:

Personal: Einarbeitung neuer Mitarbeitender, Rückgabe von Zugängen und Ändern der Passwörter beim Ausscheiden, Verschwiegenheit von Mitarbeitenden und externen Dienstleistern
Schulung und Sensibilisierung: des Teams und der Praxisleitung
Updates: zeitnah einspielen, Zuständigkeit festlegen, Geräte ohne Sicherheitsupdates aussondern oder abtrennen
Endgeräte: Datensicherung, Virenschutz und Benutzerrollen im Praxisverwaltungssystem
E-Mail: sicherer Umgang mit Anhängen und Spam
Cloud-Anwendungen: Gesundheitsdaten nur bei Anbietern mit C5-Testat

Die KBV nennt auf ihrer Webseite teilweise andere Nummern als der Richtlinientext. Im Zweifel gilt der Text der Richtlinie.

Die wichtigsten Anforderungen aus Anlage 1

Anlage 1 gilt für alle Praxen. Die folgende Übersicht fasst die wichtigsten Punkte zusammen, die Nummer in Klammern verweist auf die Anforderung in der Richtlinie.

Personal und Verschwiegenheit

Neue Mitarbeitende einarbeiten (1)
Beim Ausscheiden Schlüssel und Zugänge zurücknehmen und Passwörter ändern (2)
Externe Dienstleister zur Verschwiegenheit verpflichten, schriftlich (3, 4)

Netzwerk

Eine Firewall am Übergang ins Internet (11)
Ein Netzplan, der zeigt, welche Geräte wie verbunden sind (12)

Updates

Sicherheitsupdates zeitnah einspielen und festlegen, wer dafür zuständig ist (14, 15)
Geräte und Programme ohne Sicherheitsupdates aussondern oder in ein eigenes Netz trennen (16, 17)

Praxisrechner

Bildschirm sperren oder abmelden, wenn niemand am Rechner sitzt (19)
Aktueller Virenschutz (20)
Regelmäßige Datensicherung mit festgelegter Art, Verantwortung und geschütztem Speicherort (21 bis 24), die Wiederherstellung sollte getestet werden (25)
Benutzer und Rollen im Praxisverwaltungssystem, damit nicht jeder alles sieht (26)
Unter Windows die Synchronisierung mit der Microsoft-Cloud abschalten und Freigaben regeln (27, 28)

Smartphones und Tablets

SIM-PIN und ein sicherer Gerätesperrcode (30, 32)
SIM-Karte bei Verlust sperren lassen (34)
Apps nur aus den offiziellen Stores und mit verschlüsselter Speicherung (42, 43)

USB-Sticks und andere Datenträger

Vor der Nutzung auf Schadsoftware prüfen und vor der Weitergabe sicher löschen (36, 39)

E-Mail und Internet

Anhänge prüfen, E-Mails möglichst ohne HTML anzeigen, verschlüsselt übertragen (40)
Einen festen Umgang mit Spam vereinbaren (41)
Webanwendungen nur verschlüsselt über https nutzen (49)

Cloud

Gesundheitsdaten nur bei Anbietern mit aktuellem C5-Testat verarbeiten (50), mehr dazu weiter unten

Was in Anlage 1 nicht ausdrücklich steht, ist eine allgemeine Pflicht zur Zwei-Faktor-Anmeldung, zur Verschlüsselung von Festplatten oder zu einem Notfallplan. Die KBV stellt das in ihren FAQ selbst klar. Sinnvoll sind diese Maßnahmen trotzdem, und Artikel 32 DSGVO verlangt ohnehin einen Schutz, der dem Risiko angemessen ist. Bei Gesundheitsdaten ist dieses Risiko hoch.

Schulung des Teams: was verlangt ist

Seit dem 1. Oktober 2025 müssen Mitarbeitende regelmäßig geschult werden, auch zur eingesetzten Technik. Die Praxisleitung muss für das Thema sensibilisiert sein, und alle Mitarbeitenden und externen Nutzer müssen in den sicheren Umgang mit der IT eingewiesen werden.

Eine feste Häufigkeit schreibt die Richtlinie nicht vor. Eine Pflicht, Schulungen gegenüber der KV nachzuweisen, gibt es ebenfalls nicht. Die KBV empfiehlt aber, Schulungen intern zu dokumentieren, also Datum, Thema und Teilnehmende festzuhalten. Im Fall einer Datenpanne hilft das, die eigene Sorgfalt zu belegen.

Die KBV bietet dafür kostenlose Angebote an:

Eine Online-Fortbildung „IT-Sicherheit in der Praxis“ für Ärztinnen und Ärzte mit 2 CME-Punkten, erreichbar über das KBV-Fortbildungsportal
Eine Basis- und eine Phishing-Schulung für Medizinische Fachangestellte, als Unterlage oder im Fortbildungsportal für MFA

Patientendaten in der Cloud: das verlangt Nr. 50

Anforderung 50 ist für viele Praxen die wichtigste Neuerung. Werden Sozial- oder Gesundheitsdaten im Wege des Cloud-Computing verarbeitet, muss der Anbieter ein aktuelles C5-Testat nach § 393 SGB V haben. C5 ist ein Prüfkatalog des Bundesamts für Sicherheit in der Informationstechnik (BSI) für Cloud-Dienste. Seit dem 1. Juli 2025 verlangt § 393 SGB V ein Testat vom Typ 2. Dabei prüft ein Wirtschaftsprüfer nicht nur, ob die Maßnahmen beschrieben sind, sondern auch, ob sie über einen längeren Zeitraum wirksam waren.

Für Ihre Praxis heißt das:

Speichern Sie Befunde, Arztbriefe oder andere Patientendaten in einem Cloud-Speicher, fragen Sie den Anbieter nach dem aktuellen C5-Testat Typ 2 für genau diesen Dienst.
Ein Rechenzentrum in Deutschland, ein Vertrag zur Auftragsverarbeitung oder eine ISO-27001-Zertifizierung ersetzen das Testat nach heutigem Stand nicht.
Für Daten ohne Patientenbezug, etwa Dienstpläne, Vorlagen oder das Qualitätsmanagement, gilt Nr. 50 nicht.

Eine einfache und sichere Lösung ist ein eigener Server in der Praxis. Patientendaten verlassen die Praxis dann nicht, und Nr. 50 greift nicht. Den Server kann ein IT-Dienstleister einrichten, sichern und aus der Ferne betreuen.

Wer prüft, und was droht bei Verstößen?

Die Richtlinie hat keine eigenen Sanktionen eingeführt. Eine Stelle, die Praxen routinemäßig kontrolliert, ist nicht bekannt. Die Folgen ergeben sich aus den bestehenden Regeln:

DSGVO: Nach einer Datenpanne oder Beschwerde prüft die Datenschutzaufsicht, ob die Maßnahmen dem Stand der Technik entsprachen. Die Richtlinie gilt dabei als Maßstab. Bei Gesundheitsdaten drohen Bußgelder und Schadensersatz.
Strafrecht: Gelangen Patientendaten an Unbefugte, kann das die ärztliche Schweigepflicht nach § 203 StGB berühren. Das gilt auch, wenn ein Dienstleister nicht zur Verschwiegenheit verpflichtet wurde.
Berufsrecht: Die Berufsordnung verlangt ebenfalls, Patientendaten sicher aufzubewahren.

Dazu kommt die Cyberversicherung. Viele Versicherer fragen nach Updates, Datensicherung und Schulungen und prüfen nach einem Schaden, ob die Angaben stimmen.

Muss ich einen zertifizierten IT-Dienstleister beauftragen?

Nein. Die KBV zertifiziert nach § 390 Abs. 7 SGB V IT-Dienstleister, die Praxen bei der Umsetzung unterstützen. Die Zertifizierung ist freiwillig, für Praxen wie für Dienstleister. Zertifiziert werden einzelne Personen, nicht Firmen. Die KBV veröffentlicht eine Liste der zertifizierten Personen.

Verantwortlich für die Umsetzung bleibt in jedem Fall die Praxis, auch wenn sie einen Dienstleister beauftragt. Wichtig ist deshalb, schriftlich festzuhalten, wer welche Anforderung übernimmt.

Betrifft NIS-2 meine Praxis?

Das Gesetz zur Umsetzung der europäischen NIS-2-Richtlinie gilt seit dem 6. Dezember 2025. Es betrifft Praxen, Berufsausübungsgemeinschaften und MVZ ab 50 Beschäftigten oder mit mehr als 10 Millionen Euro Jahresumsatz und Bilanzsumme. Laut KBV sind das bundesweit rund 1.000 Einrichtungen. Die allermeisten Praxen sind also nicht betroffen.

Wer darunter fällt, muss sich beim BSI registrieren, erhebliche Sicherheitsvorfälle melden, Mindestmaßnahmen wie Zwei-Faktor-Anmeldung und Verschlüsselung umsetzen und die Geschäftsleitung schulen lassen.

Hilfen der KBV

Die KBV stellt viele Unterlagen kostenlos bereit:

Den vollständigen Richtlinientext mit allen Anlagen und FAQ im Online-Hub der KBV
Musterdokumente, etwa für Ein- und Austritt von Mitarbeitenden, Verschwiegenheitserklärungen und einen Netzplan
Eine Checkliste zum Vorgehen und eine Checkliste für die Auswahl von Cloud- und Rechenzentrumsanbietern
Das Heft „PraxisWissen IT-Sicherheit“ und die IT-Notfallkarte des BSI

So fangen Sie an

Praxisgröße bestimmen. Zählen Sie die Personen, die ständig mit der Datenverarbeitung betraut sind, und legen Sie fest, welche Anlagen gelten.
Zuständigkeiten festlegen. Wer kümmert sich in der Praxis um IT-Sicherheit, was übernimmt der Dienstleister, was der Hersteller des Praxisverwaltungssystems?
Bestand aufnehmen. Welche Rechner, Smartphones, Drucker und Programme gibt es? Ein Netzplan entsteht dabei fast von selbst.
Updates und Virenschutz prüfen. Gibt es Geräte, die keine Sicherheitsupdates mehr bekommen?
Datensicherung testen. Lässt sich eine Sicherung tatsächlich zurückspielen?
Cloud-Dienste prüfen. Liegen irgendwo Patientendaten in der Cloud? Wenn ja, gibt es ein C5-Testat Typ 2?
Verschwiegenheit regeln. Haben alle Dienstleister eine Verpflichtung nach § 203 StGB und einen Vertrag zur Auftragsverarbeitung unterschrieben?
Schulung planen. Termin festlegen, Inhalte auswählen, Teilnahme dokumentieren.
Ergebnisse festhalten. Notieren Sie, was umgesetzt ist und was noch offen ist, mit Datum.

Häufige Fragen

Gilt die IT-Sicherheitsrichtlinie auch für Psychotherapiepraxen?

Ja. Die Richtlinie gilt für alle Praxen in der vertragsärztlichen und vertragspsychotherapeutischen Versorgung, also auch für psychotherapeutische Praxen. Für Zahnarztpraxen gibt es eine eigene Richtlinie der KZBV.

Muss ich die Umsetzung der KV nachweisen?

Eine Pflicht, die Umsetzung gegenüber der KV nachzuweisen, gibt es nicht. Teilnahmebescheinigungen von Schulungen müssen Sie ebenfalls nicht einreichen. Eine eigene Dokumentation empfiehlt die KBV trotzdem, weil sie im Schadensfall Ihre Sorgfalt belegt.

Darf ich Microsoft 365 oder einen anderen Cloud-Dienst nutzen?

Für Daten ohne Patientenbezug ja, unter den üblichen Regeln der DSGVO. Für Gesundheitsdaten nur, wenn der Anbieter für genau diesen Dienst ein aktuelles C5-Testat Typ 2 nach § 393 SGB V vorweisen kann. Lassen Sie sich das Testat zeigen und prüfen Sie, ob es den genutzten Dienst abdeckt. Unter Windows verlangt die Richtlinie zusätzlich, die automatische Synchronisierung mit der Microsoft-Cloud abzuschalten.

Ist Verschlüsselung Pflicht?

Für E-Mails verlangt die Richtlinie eine verschlüsselte Übertragung, für Webanwendungen https. Eine Pflicht, Festplatten oder Datenträger zu verschlüsseln, steht in Anlage 1 nicht. Für Notebooks und mobile Geräte ist sie trotzdem dringend zu empfehlen, weil ein verlorenes Gerät sonst schnell zu einer meldepflichtigen Datenpanne wird.

Wie oft muss die Praxis schulen?

Die Richtlinie verlangt regelmäßige Schulungen, nennt aber keine feste Häufigkeit. Bewährt hat sich eine kurze Schulung pro Jahr und eine Einweisung bei jedem Neuzugang.

Wann kommt die nächste Fassung der Richtlinie?

Die KBV muss die Richtlinie spätestens alle zwei Jahre anpassen. Die nächste Fassung ist damit voraussichtlich 2027 fällig. Eine Ankündigung gibt es bisher nicht.

Nächste Schritte

Die IT-Sicherheitsrichtlinie ist kein Formular, das einmal ausgefüllt wird. Updates, Datensicherung und Schulung laufen dauerhaft weiter, und die Verantwortung bleibt bei der Praxis.

Netzarea übernimmt den technischen Teil für Praxen in München und ganz Deutschland. Patientendaten liegen dabei auf einem Server in Ihrer Praxis, den wir einrichten, täglich sichern und aus der Ferne betreuen. Updates, Datensicherung und Überwachung übernehmen wir, und jede Prüfung steht in unserem Monatsbericht. Für das Team kommen Werkzeuge ohne Patientendaten dazu, etwa für Besprechungen, Team-Chat und Qualitätsmanagement. Welche Anforderung wir übernehmen und welche bei Ihnen bleibt, zeigt die Übersicht auf unserer Seite IT für Arztpraxen.

Beratung anfragen: Termin vereinbaren → · IT für Arztpraxen →

IT-Sicherheitsrichtlinie der KBV 2026: Was Praxen umsetzen müssen