Foto: Mohd Generiert mit KI – stock.adobe.com

Was früher in § 75b SGB V stand, regelt seit dem Digital-Gesetz § 390 SGB V, an der Pflicht selbst hat sich nichts geändert. Danach legt die Kassenzahnärztliche Bundesvereinigung im Einvernehmen mit dem BSI fest, welche Anforderungen an die IT-Sicherheit Zahnarztpraxen erfüllen müssen. Die aktuelle Fassung wurde am 1. Juli 2025 veröffentlicht. Neue und geänderte Anforderungen sind nach sechs Monaten Übergangszeit seit dem 2. Januar 2026 verbindlich.

Inhaltlich überrascht die Richtlinie kaum jemanden, der seine Praxis-IT halbwegs pflegt. Es geht um aktuelle Software und Virenschutz, verschlüsselte Geräte, eine Firewall, regelmäßige und getestete Datensicherungen, Zugriffsrechte, eine Notfallplanung und geschulte Mitarbeitende. Die Anforderungen sind nach Praxisgröße gestaffelt, eigene Anlagen betreffen medizinische Großgeräte und die Komponenten der Telematikinfrastruktur wie Konnektor und Kartenterminals.

Wer verantwortlich ist

Viele Praxen gehen davon aus, dass sich der IT-Dienstleister um die Richtlinie kümmert. Operativ stimmt das oft. Die Verantwortung bleibt trotzdem bei der Praxisleitung, und zwar für die gesamte Praxis-IT bis zur Schnittstelle zur Telematikinfrastruktur. Daran ändert auch eine Zertifizierung des Dienstleisters nichts. § 390 Abs. 7 SGB V sieht vor, dass die Kassenzahnärztliche und die Kassenärztliche Bundesvereinigung Mitarbeitende von IT-Anbietern auf Antrag zertifizieren. Die Praxis ist aber nicht verpflichtet, einen zertifizierten Dienstleister zu beauftragen, und haftet mit einem solchen nicht weniger.

Eigene Bußgelder sieht § 390 SGB V derzeit nicht vor. Wer daraus schließt, die Richtlinie sei unverbindlich, unterschätzt allerdings ihre Wirkung an anderer Stelle. Nach einem Datenabfluss fragt die Datenschutzaufsicht, ob die Praxis angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO getroffen hat. Für Zahnarztpraxen liegt die Messlatte dafür in Gestalt der KZBV-Richtlinie bereits schriftlich vor. Cyberversicherer fragen beim Abschluss oft nach denselben Punkten.

Was als Nachweis taugt

Daran hapert es am häufigsten. Die Firewall ist eingerichtet, die Datensicherung läuft jede Nacht, das Team wurde im Frühjahr geschult. Belegen lässt sich davon oft nur wenig. Das Regelwerk der Firewall kennt nur der Dienstleister, ob sich die Sicherung zurückspielen lässt, hat nie jemand ausprobiert, und von der Schulung gibt es keine Teilnehmerliste.

Für jede Anforderung der Richtlinie sollte die Praxis deshalb festhalten, ob sie umgesetzt ist, wer sie umgesetzt hat und wo der Beleg liegt. Das muss kein aufwendiges System sein. Ein Ordner pro Themenblock der Richtlinie, darin ein kurzes Protokoll des Dienstleisters, ein Screenshot oder eine Rechnung, genügt für den Anfang. Wichtig ist das Datum: Ein Nachweis von 2023 belegt nicht, dass die Maßnahme heute noch wirkt.

Einige Belege lohnen sich besonders, weil sie im Ernstfall gefragt werden:

Der letzte Punkt klingt banal. Wenn die Praxis-IT verschlüsselt ist, liegt der digitale Notfallplan aber ebenfalls verschlüsselt auf dem Server.

Aufgaben sauber verteilen

Hilfreich ist eine schriftliche Absprache mit dem IT-Dienstleister, welche Anforderungen er übernimmt und in welcher Form er die Umsetzung belegt. Viele Dienstleister haben dafür eigene Checklisten. Die Praxis sollte darauf achten, dass die Belege bei ihr landen und nicht nur im Ticketsystem des Dienstleisters. Bei einem Wechsel des Dienstleisters wären sie sonst weg.

Einige Anforderungen kann ohnehin nur die Praxis selbst erfüllen. Wer welche Zugriffsrechte bekommt, wer im Notfall wen anruft und wann das Team geschult wird, entscheidet die Praxisleitung. Diese Punkte gehören in die eigene Organisation und nicht in den Wartungsvertrag.

Die Richtlinie bewegt sich

Nach § 390 Abs. 4 SGB V muss die Richtlinie jährlich inhaltlich überprüft und spätestens alle zwei Jahre an den Stand der Technik angepasst werden. Wer seine Umsetzung einmal sauber dokumentiert hat, sieht bei der nächsten Fassung schnell, welche Punkte neu sind. Wer bei null anfängt, beginnt alle zwei Jahre von vorn.

Einmal im Jahr, etwa zusammen mit der Begehung für den Arbeitsschutz, lohnt sich ein kurzer Durchgang durch die Ordner: Was ist veraltet, was fehlt, was hat sich in der Praxis geändert? Neue Geräte, ein neues Röntgensystem mit Fernwartung oder ein weiterer Standort ändern oft mehr an der IT-Sicherheit als jede neue Fassung der Richtlinie.