{"id":81,"date":"2026-10-22T20:43:36","date_gmt":"2026-10-22T18:43:36","guid":{"rendered":"https:\/\/netzarea.de\/blog\/?p=81"},"modified":"2026-10-22T20:43:37","modified_gmt":"2026-10-22T18:43:37","slug":"it-sicherheitsrichtlinie-kbv","status":"publish","type":"post","link":"https:\/\/netzarea.de\/blog\/it-sicherheitsrichtlinie-kbv\/","title":{"rendered":"IT-Sicherheitsrichtlinie der KBV 2026: Was Praxen umsetzen m\u00fcssen"},"content":{"rendered":"\n<p class=\"wp-block-paragraph\">Die IT-Sicherheitsrichtlinie der KBV gilt f\u00fcr jede Arzt- und Psychotherapiepraxis, ob Einzelpraxis oder MVZ. Sie legt fest, wie Praxen ihre Rechner, ihr Netzwerk, ihre Smartphones und ihre Patientendaten sch\u00fctzen m\u00fcssen. Die aktuelle Fassung gilt seit dem 1. April 2025, ein Teil der Anforderungen ist seit dem 1. Oktober 2025 verbindlich. Dieser Artikel erkl\u00e4rt, welche Anforderungen f\u00fcr Ihre Praxis gelten, was seit Oktober 2025 neu ist, was die Richtlinie zu Cloud-Diensten sagt und womit Sie am besten anfangen.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><em>Stand: Oktober 2026<\/em><\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Was ist die IT-Sicherheitsrichtlinie der KBV?<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Die Kassen\u00e4rztliche Bundesvereinigung (KBV) ist nach \u00a7 390 SGB V verpflichtet, eine Richtlinie zur IT-Sicherheit in der vertrags\u00e4rztlichen und vertragspsychotherapeutischen Versorgung festzulegen. Die Richtlinie ist verbindlich. Sie beschreibt den Stand der Technik f\u00fcr die technischen und organisatorischen Ma\u00dfnahmen, die Praxen nach Artikel 32 DSGVO ohnehin treffen m\u00fcssen, und macht sie konkret.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Die aktuelle Fassung wurde am 31. M\u00e4rz 2025 ver\u00f6ffentlicht und gilt seit dem 1. April 2025. Sie ersetzt die fr\u00fchere Richtlinie nach \u00a7 75b SGB V aus dem Jahr 2020. Die KBV muss die Richtlinie j\u00e4hrlich pr\u00fcfen und sp\u00e4testens alle zwei Jahre anpassen. Eine neue Fassung f\u00fcr 2026 gibt es bisher nicht.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">F\u00fcr Zahnarztpraxen gilt eine eigene Richtlinie der KZBV mit \u00e4hnlichem Aufbau.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Welche Anforderungen gelten f\u00fcr meine Praxis?<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Die IT-Sicherheitsrichtlinie staffelt die Anforderungen nach der Zahl der Personen, die st\u00e4ndig mit der Datenverarbeitung betraut sind. Dazu z\u00e4hlen alle, die regelm\u00e4\u00dfig am Praxisrechner arbeiten.<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table class=\"has-fixed-layout\"><thead><tr><th>Praxisgr\u00f6\u00dfe<\/th><th>Personen mit Datenverarbeitung<\/th><th>Anforderungen<\/th><\/tr><\/thead><tbody><tr><td>Praxis<\/td><td>bis 5<\/td><td>Anlage 1 und Anlage 5<\/td><\/tr><tr><td>Mittlere Praxis<\/td><td>6 bis 20<\/td><td>Anlage 1, 2 und 5<\/td><\/tr><tr><td>Gro\u00dfpraxis<\/td><td>mehr als 20, oder Datenverarbeitung \u00fcber die normale Daten\u00fcbermittlung hinaus (etwa gro\u00dfe MVZ oder Labore)<\/td><td>Anlage 1, 2, 3 und 5<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">Zus\u00e4tzlich gilt Anlage 4 f\u00fcr Praxen mit medizinischen Gro\u00dfger\u00e4ten wie CT, MRT oder Laborger\u00e4ten. Anlage 5 betrifft die Telematikinfrastruktur, also Konnektor, Kartenterminals und Praxisausweis. Die Anforderungen gelten jeweils nur f\u00fcr die Technik, die in Ihrer Praxis tats\u00e4chlich im Einsatz ist. Wer keine Smartphones f\u00fcr die Praxis nutzt, muss die Anforderungen an Mobilger\u00e4te nicht umsetzen.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Was seit Oktober 2025 neu ist<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Mit der Fassung von 2025 kamen neue Anforderungen dazu, die seit dem 1. Oktober 2025 verpflichtend sind. In Anlage 1 betrifft das laut Richtlinientext vor allem:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Personal:<\/strong> Einarbeitung neuer Mitarbeitender, R\u00fcckgabe von Zug\u00e4ngen und \u00c4ndern der Passw\u00f6rter beim Ausscheiden, Verschwiegenheit von Mitarbeitenden und externen Dienstleistern<\/li>\n\n\n\n<li><strong>Schulung und Sensibilisierung:<\/strong> des Teams und der Praxisleitung<\/li>\n\n\n\n<li><strong>Updates:<\/strong> zeitnah einspielen, Zust\u00e4ndigkeit festlegen, Ger\u00e4te ohne Sicherheitsupdates aussondern oder abtrennen<\/li>\n\n\n\n<li><strong>Endger\u00e4te:<\/strong> Datensicherung, Virenschutz und Benutzerrollen im Praxisverwaltungssystem<\/li>\n\n\n\n<li><strong>E-Mail:<\/strong> sicherer Umgang mit Anh\u00e4ngen und Spam<\/li>\n\n\n\n<li><strong>Cloud-Anwendungen:<\/strong> Gesundheitsdaten nur bei Anbietern mit C5-Testat<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Die KBV nennt auf ihrer Webseite teilweise andere Nummern als der Richtlinientext. Im Zweifel gilt der Text der Richtlinie.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Die wichtigsten Anforderungen aus Anlage 1<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Anlage 1 gilt f\u00fcr alle Praxen. Die folgende \u00dcbersicht fasst die wichtigsten Punkte zusammen, die Nummer in Klammern verweist auf die Anforderung in der Richtlinie.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Personal und Verschwiegenheit<\/strong><\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Neue Mitarbeitende einarbeiten (1)<\/li>\n\n\n\n<li>Beim Ausscheiden Schl\u00fcssel und Zug\u00e4nge zur\u00fccknehmen und Passw\u00f6rter \u00e4ndern (2)<\/li>\n\n\n\n<li>Externe Dienstleister zur Verschwiegenheit verpflichten, schriftlich (3, 4)<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Netzwerk<\/strong><\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Eine Firewall am \u00dcbergang ins Internet (11)<\/li>\n\n\n\n<li>Ein Netzplan, der zeigt, welche Ger\u00e4te wie verbunden sind (12)<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Updates<\/strong><\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Sicherheitsupdates zeitnah einspielen und festlegen, wer daf\u00fcr zust\u00e4ndig ist (14, 15)<\/li>\n\n\n\n<li>Ger\u00e4te und Programme ohne Sicherheitsupdates aussondern oder in ein eigenes Netz trennen (16, 17)<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Praxisrechner<\/strong><\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Bildschirm sperren oder abmelden, wenn niemand am Rechner sitzt (19)<\/li>\n\n\n\n<li>Aktueller Virenschutz (20)<\/li>\n\n\n\n<li>Regelm\u00e4\u00dfige Datensicherung mit festgelegter Art, Verantwortung und gesch\u00fctztem Speicherort (21 bis 24), die Wiederherstellung sollte getestet werden (25)<\/li>\n\n\n\n<li>Benutzer und Rollen im Praxisverwaltungssystem, damit nicht jeder alles sieht (26)<\/li>\n\n\n\n<li>Unter Windows die Synchronisierung mit der Microsoft-Cloud abschalten und Freigaben regeln (27, 28)<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Smartphones und Tablets<\/strong><\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>SIM-PIN und ein sicherer Ger\u00e4tesperrcode (30, 32)<\/li>\n\n\n\n<li>SIM-Karte bei Verlust sperren lassen (34)<\/li>\n\n\n\n<li>Apps nur aus den offiziellen Stores und mit verschl\u00fcsselter Speicherung (42, 43)<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>USB-Sticks und andere Datentr\u00e4ger<\/strong><\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Vor der Nutzung auf Schadsoftware pr\u00fcfen und vor der Weitergabe sicher l\u00f6schen (36, 39)<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>E-Mail und Internet<\/strong><\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Anh\u00e4nge pr\u00fcfen, E-Mails m\u00f6glichst ohne HTML anzeigen, verschl\u00fcsselt \u00fcbertragen (40)<\/li>\n\n\n\n<li>Einen festen Umgang mit Spam vereinbaren (41)<\/li>\n\n\n\n<li>Webanwendungen nur verschl\u00fcsselt \u00fcber https nutzen (49)<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Cloud<\/strong><\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Gesundheitsdaten nur bei Anbietern mit aktuellem C5-Testat verarbeiten (50), mehr dazu weiter unten<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Was in Anlage 1 nicht ausdr\u00fccklich steht, ist eine allgemeine Pflicht zur Zwei-Faktor-Anmeldung, zur Verschl\u00fcsselung von Festplatten oder zu einem Notfallplan. Die KBV stellt das in ihren FAQ selbst klar. Sinnvoll sind diese Ma\u00dfnahmen trotzdem, und Artikel 32 DSGVO verlangt ohnehin einen Schutz, der dem Risiko angemessen ist. Bei Gesundheitsdaten ist dieses Risiko hoch.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Schulung des Teams: was verlangt ist<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Seit dem 1. Oktober 2025 m\u00fcssen Mitarbeitende regelm\u00e4\u00dfig geschult werden, auch zur eingesetzten Technik. Die Praxisleitung muss f\u00fcr das Thema sensibilisiert sein, und alle Mitarbeitenden und externen Nutzer m\u00fcssen in den sicheren Umgang mit der IT eingewiesen werden.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Eine feste H\u00e4ufigkeit schreibt die Richtlinie nicht vor. Eine Pflicht, Schulungen gegen\u00fcber der KV nachzuweisen, gibt es ebenfalls nicht. Die KBV empfiehlt aber, Schulungen intern zu dokumentieren, also Datum, Thema und Teilnehmende festzuhalten. Im Fall einer Datenpanne hilft das, die eigene Sorgfalt zu belegen.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Die KBV bietet daf\u00fcr kostenlose Angebote an:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Eine Online-Fortbildung \u201eIT-Sicherheit in der Praxis\u201c f\u00fcr \u00c4rztinnen und \u00c4rzte mit 2 CME-Punkten, erreichbar \u00fcber das KBV-Fortbildungsportal<\/li>\n\n\n\n<li>Eine Basis- und eine Phishing-Schulung f\u00fcr Medizinische Fachangestellte, als Unterlage oder im Fortbildungsportal f\u00fcr MFA<\/li>\n<\/ul>\n\n\n\n<h2 class=\"wp-block-heading\">Patientendaten in der Cloud: das verlangt Nr. 50<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Anforderung 50 ist f\u00fcr viele Praxen die wichtigste Neuerung. Werden Sozial- oder Gesundheitsdaten im Wege des Cloud-Computing verarbeitet, muss der Anbieter ein aktuelles C5-Testat nach \u00a7 393 SGB V haben. C5 ist ein Pr\u00fcfkatalog des Bundesamts f\u00fcr Sicherheit in der Informationstechnik (BSI) f\u00fcr Cloud-Dienste. Seit dem 1. Juli 2025 verlangt \u00a7 393 SGB V ein Testat vom Typ 2. Dabei pr\u00fcft ein Wirtschaftspr\u00fcfer nicht nur, ob die Ma\u00dfnahmen beschrieben sind, sondern auch, ob sie \u00fcber einen l\u00e4ngeren Zeitraum wirksam waren.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">F\u00fcr Ihre Praxis hei\u00dft das:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Speichern Sie Befunde, Arztbriefe oder andere Patientendaten in einem Cloud-Speicher, fragen Sie den Anbieter nach dem aktuellen C5-Testat Typ 2 f\u00fcr genau diesen Dienst.<\/li>\n\n\n\n<li>Ein Rechenzentrum in Deutschland, ein Vertrag zur Auftragsverarbeitung oder eine ISO-27001-Zertifizierung ersetzen das Testat nach heutigem Stand nicht.<\/li>\n\n\n\n<li>F\u00fcr Daten ohne Patientenbezug, etwa Dienstpl\u00e4ne, Vorlagen oder das Qualit\u00e4tsmanagement, gilt Nr. 50 nicht.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Eine einfache und sichere L\u00f6sung ist ein eigener Server in der Praxis. Patientendaten verlassen die Praxis dann nicht, und Nr. 50 greift nicht. Den Server kann ein IT-Dienstleister einrichten, sichern und aus der Ferne betreuen.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Wer pr\u00fcft, und was droht bei Verst\u00f6\u00dfen?<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Die Richtlinie hat keine eigenen Sanktionen eingef\u00fchrt. Eine Stelle, die Praxen routinem\u00e4\u00dfig kontrolliert, ist nicht bekannt. Die Folgen ergeben sich aus den bestehenden Regeln:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>DSGVO:<\/strong> Nach einer Datenpanne oder Beschwerde pr\u00fcft die Datenschutzaufsicht, ob die Ma\u00dfnahmen dem Stand der Technik entsprachen. Die Richtlinie gilt dabei als Ma\u00dfstab. Bei Gesundheitsdaten drohen Bu\u00dfgelder und Schadensersatz.<\/li>\n\n\n\n<li><strong>Strafrecht:<\/strong> Gelangen Patientendaten an Unbefugte, kann das die \u00e4rztliche Schweigepflicht nach \u00a7 203 StGB ber\u00fchren. Das gilt auch, wenn ein Dienstleister nicht zur Verschwiegenheit verpflichtet wurde.<\/li>\n\n\n\n<li><strong>Berufsrecht:<\/strong> Die Berufsordnung verlangt ebenfalls, Patientendaten sicher aufzubewahren.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Dazu kommt die Cyberversicherung. Viele Versicherer fragen nach Updates, Datensicherung und Schulungen und pr\u00fcfen nach einem Schaden, ob die Angaben stimmen.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Muss ich einen zertifizierten IT-Dienstleister beauftragen?<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Nein. Die KBV zertifiziert nach \u00a7 390 Abs. 7 SGB V IT-Dienstleister, die Praxen bei der Umsetzung unterst\u00fctzen. Die Zertifizierung ist freiwillig, f\u00fcr Praxen wie f\u00fcr Dienstleister. Zertifiziert werden einzelne Personen, nicht Firmen. Die KBV ver\u00f6ffentlicht eine Liste der zertifizierten Personen.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Verantwortlich f\u00fcr die Umsetzung bleibt in jedem Fall die Praxis, auch wenn sie einen Dienstleister beauftragt. Wichtig ist deshalb, schriftlich festzuhalten, wer welche Anforderung \u00fcbernimmt.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Betrifft NIS-2 meine Praxis?<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Das Gesetz zur Umsetzung der europ\u00e4ischen NIS-2-Richtlinie gilt seit dem 6. Dezember 2025. Es betrifft Praxen, Berufsaus\u00fcbungsgemeinschaften und MVZ ab 50 Besch\u00e4ftigten oder mit mehr als 10 Millionen Euro Jahresumsatz und Bilanzsumme. Laut KBV sind das bundesweit rund 1.000 Einrichtungen. Die allermeisten Praxen sind also nicht betroffen.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Wer darunter f\u00e4llt, muss sich beim BSI registrieren, erhebliche Sicherheitsvorf\u00e4lle melden, Mindestma\u00dfnahmen wie Zwei-Faktor-Anmeldung und Verschl\u00fcsselung umsetzen und die Gesch\u00e4ftsleitung schulen lassen.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Hilfen der KBV<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Die KBV stellt viele Unterlagen kostenlos bereit:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Den vollst\u00e4ndigen Richtlinientext mit allen Anlagen und FAQ im <a href=\"https:\/\/hub.kbv.de\/display\/itsrl\" target=\"_blank\" rel=\"noopener\">Online-Hub der KBV<\/a><\/li>\n\n\n\n<li>Musterdokumente, etwa f\u00fcr Ein- und Austritt von Mitarbeitenden, Verschwiegenheitserkl\u00e4rungen und einen Netzplan<\/li>\n\n\n\n<li>Eine <a href=\"https:\/\/www.kbv.de\/documents\/praxis\/digitalisierung\/it-sicherheit-checkliste.pdf\" target=\"_blank\" rel=\"noopener\">Checkliste zum Vorgehen<\/a> und eine Checkliste f\u00fcr die Auswahl von Cloud- und Rechenzentrumsanbietern<\/li>\n\n\n\n<li>Das Heft \u201ePraxisWissen IT-Sicherheit\u201c und die IT-Notfallkarte des BSI<\/li>\n<\/ul>\n\n\n\n<h2 class=\"wp-block-heading\">So fangen Sie an<\/h2>\n\n\n\n<ol class=\"wp-block-list\">\n<li><strong>Praxisgr\u00f6\u00dfe bestimmen.<\/strong> Z\u00e4hlen Sie die Personen, die st\u00e4ndig mit der Datenverarbeitung betraut sind, und legen Sie fest, welche Anlagen gelten.<\/li>\n\n\n\n<li><strong>Zust\u00e4ndigkeiten festlegen.<\/strong> Wer k\u00fcmmert sich in der Praxis um IT-Sicherheit, was \u00fcbernimmt der Dienstleister, was der Hersteller des Praxisverwaltungssystems?<\/li>\n\n\n\n<li><strong>Bestand aufnehmen.<\/strong> Welche Rechner, Smartphones, Drucker und Programme gibt es? Ein Netzplan entsteht dabei fast von selbst.<\/li>\n\n\n\n<li><strong>Updates und Virenschutz pr\u00fcfen.<\/strong> Gibt es Ger\u00e4te, die keine Sicherheitsupdates mehr bekommen?<\/li>\n\n\n\n<li><strong>Datensicherung testen.<\/strong> L\u00e4sst sich eine Sicherung tats\u00e4chlich zur\u00fcckspielen?<\/li>\n\n\n\n<li><strong>Cloud-Dienste pr\u00fcfen.<\/strong> Liegen irgendwo Patientendaten in der Cloud? Wenn ja, gibt es ein C5-Testat Typ 2?<\/li>\n\n\n\n<li><strong>Verschwiegenheit regeln.<\/strong> Haben alle Dienstleister eine Verpflichtung nach \u00a7 203 StGB und einen Vertrag zur Auftragsverarbeitung unterschrieben?<\/li>\n\n\n\n<li><strong>Schulung planen.<\/strong> Termin festlegen, Inhalte ausw\u00e4hlen, Teilnahme dokumentieren.<\/li>\n\n\n\n<li><strong>Ergebnisse festhalten.<\/strong> Notieren Sie, was umgesetzt ist und was noch offen ist, mit Datum.<\/li>\n<\/ol>\n\n\n\n<h2 class=\"wp-block-heading\">H\u00e4ufige Fragen<\/h2>\n\n\n\n<h3 class=\"wp-block-heading\">Gilt die IT-Sicherheitsrichtlinie auch f\u00fcr Psychotherapiepraxen?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Ja. Die Richtlinie gilt f\u00fcr alle Praxen in der vertrags\u00e4rztlichen und vertragspsychotherapeutischen Versorgung, also auch f\u00fcr psychotherapeutische Praxen. F\u00fcr Zahnarztpraxen gibt es eine eigene Richtlinie der KZBV.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Muss ich die Umsetzung der KV nachweisen?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Eine Pflicht, die Umsetzung gegen\u00fcber der KV nachzuweisen, gibt es nicht. Teilnahmebescheinigungen von Schulungen m\u00fcssen Sie ebenfalls nicht einreichen. Eine eigene Dokumentation empfiehlt die KBV trotzdem, weil sie im Schadensfall Ihre Sorgfalt belegt.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Darf ich Microsoft 365 oder einen anderen Cloud-Dienst nutzen?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">F\u00fcr Daten ohne Patientenbezug ja, unter den \u00fcblichen Regeln der DSGVO. F\u00fcr Gesundheitsdaten nur, wenn der Anbieter f\u00fcr genau diesen Dienst ein aktuelles C5-Testat Typ 2 nach \u00a7 393 SGB V vorweisen kann. Lassen Sie sich das Testat zeigen und pr\u00fcfen Sie, ob es den genutzten Dienst abdeckt. Unter Windows verlangt die Richtlinie zus\u00e4tzlich, die automatische Synchronisierung mit der Microsoft-Cloud abzuschalten.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Ist Verschl\u00fcsselung Pflicht?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">F\u00fcr E-Mails verlangt die Richtlinie eine verschl\u00fcsselte \u00dcbertragung, f\u00fcr Webanwendungen https. Eine Pflicht, Festplatten oder Datentr\u00e4ger zu verschl\u00fcsseln, steht in Anlage 1 nicht. F\u00fcr Notebooks und mobile Ger\u00e4te ist sie trotzdem dringend zu empfehlen, weil ein verlorenes Ger\u00e4t sonst schnell zu einer meldepflichtigen Datenpanne wird.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Wie oft muss die Praxis schulen?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Die Richtlinie verlangt regelm\u00e4\u00dfige Schulungen, nennt aber keine feste H\u00e4ufigkeit. Bew\u00e4hrt hat sich eine kurze Schulung pro Jahr und eine Einweisung bei jedem Neuzugang.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Wann kommt die n\u00e4chste Fassung der Richtlinie?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Die KBV muss die Richtlinie sp\u00e4testens alle zwei Jahre anpassen. Die n\u00e4chste Fassung ist damit voraussichtlich 2027 f\u00e4llig. Eine Ank\u00fcndigung gibt es bisher nicht.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">N\u00e4chste Schritte<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Die IT-Sicherheitsrichtlinie ist kein Formular, das einmal ausgef\u00fcllt wird. Updates, Datensicherung und Schulung laufen dauerhaft weiter, und die Verantwortung bleibt bei der Praxis.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Netzarea \u00fcbernimmt den technischen Teil f\u00fcr Praxen in M\u00fcnchen und ganz Deutschland. Patientendaten liegen dabei auf einem Server in Ihrer Praxis, den wir einrichten, t\u00e4glich sichern und aus der Ferne betreuen. Updates, Datensicherung und \u00dcberwachung \u00fcbernehmen wir, und jede Pr\u00fcfung steht in unserem Monatsbericht. F\u00fcr das Team kommen Werkzeuge ohne Patientendaten dazu, etwa f\u00fcr Besprechungen, Team-Chat und Qualit\u00e4tsmanagement. Welche Anforderung wir \u00fcbernehmen und welche bei Ihnen bleibt, zeigt die \u00dcbersicht auf unserer Seite <a href=\"\/arztpraxen#it-sicherheitsrichtlinie\">IT f\u00fcr Arztpraxen<\/a>.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Beratung anfragen:<\/strong> <a href=\"\/kontakt\">Termin vereinbaren \u2192<\/a> \u00b7 <a href=\"\/arztpraxen\">IT f\u00fcr Arztpraxen \u2192<\/a><\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Weiterf\u00fchrende Quellen<\/h2>\n\n\n\n<ul class=\"wp-block-list\">\n<li><a href=\"https:\/\/www.kbv.de\/praxis\/digitalisierung\/it-sicherheit\" target=\"_blank\" rel=\"noopener\">KBV: IT-Sicherheit in der Praxis<\/a><\/li>\n\n\n\n<li><a href=\"https:\/\/hub.kbv.de\/display\/itsrl\" target=\"_blank\" rel=\"noopener\">KBV-Hub: IT-Sicherheitsrichtlinie mit Anlagen, FAQ und Musterdokumenten<\/a><\/li>\n\n\n\n<li><a href=\"https:\/\/www.gesetze-im-internet.de\/sgb_5\/__390.html\" target=\"_blank\" rel=\"noopener\">\u00a7 390 SGB V: IT-Sicherheit in der vertrags\u00e4rztlichen Versorgung<\/a><\/li>\n\n\n\n<li><a href=\"https:\/\/www.gesetze-im-internet.de\/sgb_5\/__393.html\" target=\"_blank\" rel=\"noopener\">\u00a7 393 SGB V: Cloud-Einsatz im Gesundheitswesen<\/a><\/li>\n\n\n\n<li><a href=\"https:\/\/www.kbv.de\/documents\/praxis\/digitalisierung\/it-sicherheit-checkliste.pdf\" target=\"_blank\" rel=\"noopener\">KBV-Checkliste: So k\u00f6nnen Sie vorgehen<\/a><\/li>\n\n\n\n<li><a href=\"https:\/\/www.kbv.de\/documents\/praxis\/digitalisierung\/it-sicherheit-clouds-rechenzentren-checkliste.pdf\" target=\"_blank\" rel=\"noopener\">KBV-Checkliste: Clouds und Rechenzentren<\/a><\/li>\n\n\n\n<li><a href=\"https:\/\/www.kbv.de\/documents\/infothek\/publikationen\/praxisinfo\/praxisinfo-it-sicherheit-nis-2.pdf\" target=\"_blank\" rel=\"noopener\">KBV PraxisInfo: Gesetzliche Vorgaben f\u00fcr Cybersicherheit (NIS-2)<\/a><\/li>\n\n\n\n<li><a href=\"https:\/\/www.kbv.de\/documents\/infothek\/publikationen\/praxiswissen\/praxiswissen-it-sicherheit.pdf\" target=\"_blank\" rel=\"noopener\">KBV PraxisWissen IT-Sicherheit<\/a><\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\"><\/p>\n","protected":false},"excerpt":{"rendered":"<p>Die IT-Sicherheitsrichtlinie der KBV gilt f\u00fcr jede Arzt- und Psychotherapiepraxis, ob Einzelpraxis oder MVZ. Sie legt fest, wie Praxen ihre Rechner, ihr Netzwerk, ihre Smartphones und ihre Patientendaten sch\u00fctzen m\u00fcssen. Die aktuelle Fassung gilt seit dem 1. April 2025, ein Teil der Anforderungen ist seit dem 1. Oktober 2025 verbindlich. Dieser Artikel erkl\u00e4rt, welche Anforderungen &#8230; <a title=\"IT-Sicherheitsrichtlinie der KBV 2026: Was Praxen umsetzen m\u00fcssen\" class=\"read-more\" href=\"https:\/\/netzarea.de\/blog\/it-sicherheitsrichtlinie-kbv\/\" aria-label=\"Mehr Informationen \u00fcber IT-Sicherheitsrichtlinie der KBV 2026: Was Praxen umsetzen m\u00fcssen\">Weiterlesen<\/a><\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_jetpack_newsletter_access":"","_jetpack_dont_email_post_to_subs":false,"_jetpack_newsletter_tier_id":0,"_jetpack_memberships_contains_paywalled_content":false,"_jetpack_memberships_contains_paid_content":false,"footnotes":""},"categories":[4],"tags":[],"class_list":["post-81","post","type-post","status-publish","format-standard","hentry","category-arztpraxen"],"jetpack_sharing_enabled":true,"jetpack_featured_media_url":"","_links":{"self":[{"href":"https:\/\/netzarea.de\/blog\/wp-json\/wp\/v2\/posts\/81","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/netzarea.de\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/netzarea.de\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/netzarea.de\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/netzarea.de\/blog\/wp-json\/wp\/v2\/comments?post=81"}],"version-history":[{"count":1,"href":"https:\/\/netzarea.de\/blog\/wp-json\/wp\/v2\/posts\/81\/revisions"}],"predecessor-version":[{"id":82,"href":"https:\/\/netzarea.de\/blog\/wp-json\/wp\/v2\/posts\/81\/revisions\/82"}],"wp:attachment":[{"href":"https:\/\/netzarea.de\/blog\/wp-json\/wp\/v2\/media?parent=81"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/netzarea.de\/blog\/wp-json\/wp\/v2\/categories?post=81"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/netzarea.de\/blog\/wp-json\/wp\/v2\/tags?post=81"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}