Die Anforderungen der Anlagen 1 bis 5 der IT-Sicherheitsrichtlinie – nach Anlagen sortiert, zum Abhaken und Ausdrucken. Gilt der Sache nach für Arzt- und für Zahnarztpraxen; die Fristen unterscheiden sich.
📞 Datenschutz-Hotline 030 - 91 74 77 13 · kostenlose Erstberatung, Mo–Fr 8–15 UhrGelten grundsätzlich für alle Praxen.
Zusätzlich ab sechs ständig mit der Datenverarbeitung betrauten Personen oder bei Datenverarbeitung in erheblichem Umfang, jeweils soweit die Zielobjekte genutzt werden.
Zusätzlich bei mehr als zwanzig ständig mit der Datenverarbeitung betrauten Personen oder bei Datenverarbeitung in erheblichem Umfang.
Zusätzlich, wenn in der Praxis medizinische Großgeräte eingesetzt werden, etwa Computertomograph, Magnetresonanztomograph, Linearbeschleuniger oder Analysegeräte im Labor.
Zusätzlich für Praxen mit TI-Anschluss und dezentralen Komponenten.
Bei bis zu fünf ständig mit der Datenverarbeitung betrauten Personen gelten grundsätzlich die Basisanforderungen der Anlage 1 sowie – soweit einschlägig – weitere anwendungsbezogene Anforderungen.
Bei sechs bis zwanzig ständig mit der Datenverarbeitung betrauten Personen gelten zusätzlich die Anforderungen der Anlage 2.
Bei mehr als zwanzig ständig mit der Datenverarbeitung betrauten Personen oder bei Datenverarbeitung in erheblichem Umfang gelten weitere zusätzliche Anforderungen.
Neben der Praxisgröße können auch Umfang und Komplexität der technischen Ausstattung relevant sein. Sowohl die KBV- als auch die KZBV-Richtlinie enthalten hierzu zusätzliche Anforderungen, unter anderem für medizinische Großgeräte und die Telematikinfrastruktur.
| Arzt- und Psychotherapiepraxen (KBV) | Zahnarztpraxen (KZBV) | |
|---|---|---|
| Rechtsgrundlage | § 390 SGB V (ehem. § 75b, bis 25.03.2024) | § 390 SGB V (ehem. § 75b, bis 25.03.2024) |
| Aktuelle Fassung in Kraft seit | 1. April 2025 | 2. Juli 2025 |
| Neue bzw. geänderte Anforderungen umzusetzen seit | 1. Oktober 2025 (Einweisung, Sensibilisierung und Schulung des Praxispersonals) | 2. Januar 2026 (nach sechsmonatiger Übergangsfrist) |
| Technische Basisanforderungen | zahlreiche bereits seit 2021 umzusetzen | zahlreiche bereits seit 2021 umzusetzen |
Die KBV formuliert zur Schulungsanforderung: „Das Praxispersonal muss in den sicheren Umgang mit der Praxis-IT eingewiesen und sensibilisiert werden, soweit dies für die Arbeit relevant ist.“
Sie ist kein Ersatz für die Richtlinie. Die Checkliste gibt die 92 Anforderungen der Anlagen 1 bis 5 der IT-Sicherheitsrichtlinie mit Nummer und Überschrift wieder; zu jeder Anforderung enthält die Richtlinie außerdem eine Erläuterung. Sie ist ein Auszug und erhebt keinen Anspruch auf Vollständigkeit. Maßgeblich ist stets die jeweils aktuelle Fassung der IT-Sicherheitsrichtlinie.
Sie ist keine Rechtsberatung. Ob eine Anforderung für Ihre Praxis einschlägig ist, hängt vom Einzelfall ab – unter anderem von der Zahl der ständig mit der Datenverarbeitung betrauten Personen, vom Umfang der Verarbeitung und von der technischen Ausstattung.
Sie sagt nichts über Sanktionen. Die IT-Sicherheitsrichtlinie enthält selbst keinen eigenen Bußgeldtatbestand. Unabhängig davon können Verstöße gegen Datenschutz-, berufsrechtliche oder sonstige gesetzliche Pflichten rechtliche Folgen haben.
Kein Werkzeug erfüllt die Richtlinie für Sie. Custodio unterstützt Praxen bei der strukturierten Umsetzung und Dokumentation relevanter Anforderungen. Die Verantwortung für die tatsächliche und vollständige Umsetzung verbleibt bei der jeweiligen Praxis bzw. Organisation.
Custodio enthält einen Anforderungskatalog zur IT-Sicherheitsrichtlinie mit derzeit 92 Einträgen – den Anforderungen der Anlagen 1 bis 5 mit ihren Erläuterungen. Angezeigt werden die Anlagen, die für Ihre Praxis gelten. Je Eintrag lässt sich der Stand festhalten: offen, teilweise, erfüllt oder nicht zutreffend.
Zu 42 der 92 Einträge erzeugt Custodio ein passendes Dokument – etwa Schulungsnachweis, Vertraulichkeitsvereinbarung, Netzplan oder Backup-Testprotokoll – mit Datum, Fassung und Unterschriftsfeld.
Je nach Branche zitiert Custodio die KBV- oder die KZBV-Richtlinie und rechnet mit den jeweils geltenden Fristen.
Nein. Diese Seite listet die 92 Anforderungen der Anlagen 1 bis 5 der IT-Sicherheitsrichtlinie nach § 390 SGB V mit Nummer und Überschrift. Die Richtlinie selbst enthält außerdem zu jeder Anforderung eine Erläuterung sowie die Regeln zu Praxisgröße, Geltung und Fristen. Die Checkliste ist ein Auszug und erhebt keinen Anspruch auf Vollständigkeit. Maßgeblich ist stets die jeweils aktuelle Fassung der IT-Sicherheitsrichtlinie, die KBV und KZBV herausgeben.
Maßgeblich ist die Anzahl der Personen, die ständig mit der Datenverarbeitung betraut sind. Bei bis zu fünf Personen gelten grundsätzlich die Basisanforderungen der Anlage 1 sowie – soweit einschlägig – weitere anwendungsbezogene Anforderungen. Bei sechs bis zwanzig Personen gelten zusätzlich die Anforderungen der Anlage 2. Bei mehr als zwanzig Personen oder bei Datenverarbeitung in erheblichem Umfang gelten weitere zusätzliche Anforderungen. Neben der Praxisgröße können auch Umfang und Komplexität der technischen Ausstattung relevant sein; sowohl die KBV- als auch die KZBV-Richtlinie enthalten hierzu zusätzliche Anforderungen, unter anderem für medizinische Großgeräte und die Telematikinfrastruktur.
Ja, der Zeitpunkt unterscheidet sich. Bei Arztpraxen trat die aktuelle KBV-Fassung am 1. April 2025 in Kraft; die neu eingeführten Anforderungen zur Einweisung, Sensibilisierung und Schulung des Praxispersonals sind seit dem 1. Oktober 2025 umzusetzen. Bei Zahnarztpraxen trat die Neufassung der KZBV-Richtlinie am 2. Juli 2025 in Kraft; neu eingeführte oder inhaltlich geänderte Anforderungen sind nach Ablauf einer sechsmonatigen Übergangsfrist seit dem 2. Januar 2026 umzusetzen.
Die IT-Sicherheitsrichtlinie enthält selbst keinen eigenen Bußgeldtatbestand. Unabhängig davon können Verstöße gegen Datenschutz-, berufsrechtliche oder sonstige gesetzliche Pflichten rechtliche Folgen haben.
Die IT-Sicherheitsrichtlinie nach § 390 SGB V ist für Leistungserbringer verbindlich, die an der vertragsärztlichen bzw. vertragszahnärztlichen Versorgung teilnehmen. Rein privatärztliche Praxen unterliegen nicht allein aufgrund dieser Norm der KBV- bzw. KZBV-Richtlinie. Unabhängig davon gelten die Anforderungen der DSGVO, insbesondere Art. 32 DSGVO zur Sicherheit der Verarbeitung; Gesundheitsdaten sind besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO.
Nein — und kein Werkzeug kann das. Custodio unterstützt Praxen bei der strukturierten Umsetzung und Dokumentation relevanter Anforderungen. Die Verantwortung für die tatsächliche und vollständige Umsetzung verbleibt bei der jeweiligen Praxis bzw. Organisation. Custodio enthält dazu einen Anforderungskatalog zur IT-Sicherheitsrichtlinie mit derzeit 92 Einträgen: den Anforderungen der Anlagen 1 bis 5 mit ihren Erläuterungen, für Arztpraxen in der Fassung der KBV, für Zahnarztpraxen in der Fassung der KZBV.
Die Regelung wurde bis zum 25. März 2024 unter der früheren Nummer § 75b SGB V geführt und durch das Digital-Gesetz mit Wirkung zum 26. März 2024 in § 390 SGB V überführt und ergänzt. Beide Nummern bezeichnen dieselbe Rechtsgrundlage; § 390 SGB V ist die aktuelle.
Stand: September 2026. Die Checkliste bildet den in Custodio geführten Anforderungskatalog ab und wird mit ihm fortgeschrieben.