Startseite › Ratgeber › Die fünf Anlagen der IT-Sicherheitsrichtlinie

Die fünf Anlagen der IT-Sicherheitsrichtlinie — was in jeder steht

Welche Anlagen der IT-Sicherheitsrichtlinie nach § 390 SGB V für Ihre Praxis gelten, was in jeder steht und wie Sie Ihre Anforderungen eingrenzen.

Die kurze Antwort

Die IT-Sicherheitsrichtlinie nach § 390 SGB V ordnet ihre 92 Anforderungen in fünf Anlagen. Welche Anlagen für eine Praxis gelten, hängt von der Zahl der Personen ab, die ständig mit der Datenverarbeitung betraut sind, vom Umfang der Datenverarbeitung und davon, ob medizinische Großgeräte eingesetzt werden. Innerhalb einer Anlage gilt jede Anforderung nur, soweit ihr Zielobjekt in der Praxis genutzt wird: Wer keine Smartphones einsetzt, für den entfallen die Anforderungen an Smartphones.

Welche Anlagen gelten

Ihre PraxisEs gelten
bis 5 PersonenAnlage 1 und 5
6 bis 20 PersonenAnlage 1, 2 und 5
mehr als 20 Personen oder Datenverarbeitung in erheblichem Umfang (etwa große MVZ mit krankenhausähnlichen Strukturen, Groß-Labore)Anlage 1, 2, 3 und 5
medizinische Großgeräte im Einsatzzusätzlich Anlage 4

Gezählt werden die Personen, die ständig mit der Datenverarbeitung betraut sind – nicht alle Beschäftigten. Anlage 5 betrifft die Komponenten der Telematikinfrastruktur und gilt, soweit die Praxis sie nutzt.

Anlage 1 – Anforderungen für Praxen (50)

Gilt für jede Praxis, soweit sie die Zielobjekte nutzt:

Anlage 2 – zusätzlich für mittlere Praxen (10)

Ab 6 Personen oder bei Datenverarbeitung in erheblichem Umfang:

Anlage 3 – zusätzlich für Großpraxen (17)

Bei mehr als 20 Personen oder Datenverarbeitung in erheblichem Umfang:

Anlage 4 – medizinische Großgeräte (6)

Zusätzlich, wenn die Praxis medizinische Großgeräte einsetzt, etwa Computertomograph, Magnetresonanztomograph, Linearbeschleuniger oder Analysegeräte im Labor:

Anlage 5 – Telematikinfrastruktur (9)

Für die Komponenten der TI in der Praxis, soweit sie genutzt werden:

KBV- und KZBV-Fassung

Arzt- und Psychotherapiepraxen: Fassung der KBV, in Kraft seit 1. April 2025; die neu hinzugekommenen Anforderungen gelten ab 1. Oktober 2025. Zahnarztpraxen: Fassung der KZBV, in Kraft seit 2. Juli 2025; neu hinzugekommene oder inhaltlich geänderte Anforderungen seit 2. Januar 2026. Nummern und Überschriften der Anforderungen sind in beiden Fassungen gleich, die Erläuterungen teils anders formuliert.

So grenzen Sie Ihre Anforderungen ein

  1. Zählen Sie die Personen, die ständig mit der Datenverarbeitung betraut sind.
  2. Klären Sie, ob die Praxis in erheblichem Umfang Daten verarbeitet und ob sie medizinische Großgeräte einsetzt.
  3. Gehen Sie die Zielobjekte durch: Windows-Rechner, Smartphones und Tablets, dienstliche Mobiltelefone, Wechseldatenträger, E-Mail-Programme, eigener E-Mail-Server, eigener Webdienst, Cloud-Anwendungen mit Gesundheitsdaten, TI-Anbindung. Was die Praxis nicht nutzt, trifft nicht zu.
  4. Halten Sie für jede verbleibende Anforderung fest, wie weit sie umgesetzt ist.

Checkliste zur IT-Sicherheitsrichtlinie

Alle 92 Anforderungen der Anlagen 1 bis 5 mit Nummer und Überschrift zum Abhaken.

Zur Checkliste

Diese Pflichten nachhalten statt im Kopf behalten

Custodio führt Fristen, Nachweise und Meldewege für Arztpraxen an einer Stelle — mit Erinnerung, bevor etwas abläuft.

Kostenlos beraten lassen Zur Checkliste

📞 Oder rufen Sie an: 030 - 91 74 77 13Datenschutz-Hotline · kostenlose Erstberatung · Mo–Fr 8–15 Uhr

Häufige Fragen: Die fünf Anlagen der IT-Sicherheitsrichtlinie

Muss meine Praxis alle 92 Anforderungen erfüllen?

Nein. Es gelten nur die Anlagen, die zu Ihrer Praxis passen, und darin nur die Anforderungen, deren Zielobjekte Sie nutzen. Wer keinen eigenen E-Mail-Server betreibt, für den entfallen etwa Anlage 3 Nr. 15–17.

Zählen alle Beschäftigten?

Nein. Maßgeblich sind die Personen, die ständig mit der Datenverarbeitung betraut sind.

Gilt die Richtlinie auch für Privatpraxen?

Sie gilt für die vertragsärztliche und vertragszahnärztliche Versorgung (§ 390 SGB V). Rein privat tätige Praxen unterliegen ihr nicht allein aufgrund dieser Norm; für sie gilt unabhängig davon Art. 32 DSGVO.

Muss ich die Umsetzung bei der KV einreichen?

Eine gesetzliche Nachweis- oder Einreichpflicht gegenüber der KV besteht derzeit nicht. Festhalten sollten Sie den Stand trotzdem: Nach Art. 5 Abs. 2 DSGVO muss die Praxis nachweisen können, dass sie personenbezogene Daten angemessen sicher verarbeitet.

Weiterführende Themen

Stand: Oktober 2026. Dieser Beitrag gibt den Rechtsstand wieder und ersetzt keine Rechtsberatung im Einzelfall.