Lösungen · Arzt- und Zahnarztpraxen, MVZ
Für Praxen in der vertragsärztlichen Versorgung ist die IT-Sicherheitsrichtlinie Pflicht, der Datenschutz für Gesundheitsdaten sowieso. Große MVZ und Labore fallen zusätzlich unter NIS2. Sightadel ordnet das nach Praxisgröße, verteilt die Aufgaben zwischen Praxis und IT-Dienstleister und hält fest, was erledigt ist.
Nur bei Sightadel
Unter den neun GRC-Anbietern unseres Vergleichs führt nur Sightadel die IT-Sicherheitsrichtlinie nach § 390 SGB V als Framework; die anderen acht nennen sie auf ihren Websites nicht. Praxen und MVZ arbeiten die Anforderungen geführt ab und belegen sie mit Nachweisen, bei Bedarf zusammen mit DSGVO und NIS2.
Grundlage: öffentliche Angaben auf den Websites der Anbieter, Stand 10. Oktober 2026. Zum Anbietervergleich →
Ausgangslage
In den meisten Praxen kümmert sich ein externer IT-Dienstleister um Server, Praxisverwaltungssystem, Konnektor und Netzwerk. Die Praxisleitung verlässt sich darauf, dass das ordentlich läuft. Meistens tut es das auch. Was fehlt, ist der Überblick: Welche Anforderungen der Richtlinie gelten für unsere Praxisgröße, welche sind erledigt, wer hat das wann geprüft, und wo liegt der Beleg?
Genau diese Frage stellt sich, wenn die Kassenärztliche Vereinigung nachfragt, ein Datenschutzvorfall passiert, die Praxis verkauft oder in ein MVZ eingebracht wird oder die Cyberversicherung einen Fragebogen schickt. Dann zählt nicht, was der Dienstleister nach eigener Aussage eingerichtet hat, sondern was sich belegen lässt. Verantwortlich bleibt dabei immer die Praxis.
Die gute Nachricht: Die Anforderungen sind überschaubar und konkret. Virenschutz, Updates, Verschlüsselung, Firewall, getrennte Netze, getestete Datensicherung, Notfalldokumentation, geschultes Team. Das meiste ist in gut betreuten Praxen vorhanden. Es muss nur einmal geordnet und danach gepflegt werden.
Warum jetzt
Die KBV hat ihre IT-Sicherheitsrichtlinie 2025 überarbeitet, mit mehr Gewicht auf der Sensibilisierung des Praxisteams. Die Umsetzungsfrist ist abgelaufen. Wer die Anpassungen noch nicht nachgezogen hat, sollte das jetzt tun.
Mit mehr Personen, die ständig mit der Datenverarbeitung betraut sind, rutscht die Praxis in eine höhere Stufe der Richtlinie. Bei einem MVZ mit vielen Standorten stellt sich zusätzlich die Frage nach NIS2.
Eine Verschlüsselung durch Schadsoftware, ein gestohlener Laptop, eine Fehlsendung von Befunden. Danach fragt die Datenschutzaufsicht, welche Maßnahmen bestanden. Wer sie belegen kann, steht deutlich besser da.
Beim Wechsel zeigt sich, wie viel Wissen nur beim bisherigen Dienstleister lag. Eine eigene, geordnete Dokumentation macht die Praxis unabhängig.
Versicherer fragen nach Mehrfaktor-Anmeldung, Datensicherung und Schulungen. Die Antworten stehen bereits in der Umsetzung der Richtlinie und lassen sich übernehmen.
Käufer und Investoren prüfen die IT-Sicherheit inzwischen mit. Eine nachvollziehbare Dokumentation verkürzt diese Prüfung und vermeidet Abschläge wegen Unklarheiten.
Relevante Frameworks
In eigenen Worten zusammengefasst, keine Rechtsberatung. Maßgeblich ist der Originaltext in der geltenden Fassung.
Für Praxen in der vertragsärztlichen und vertragszahnärztlichen Versorgung verbindlich. Die KBV-Richtlinie gilt für Arztpraxen, die KZBV-Richtlinie für Zahnarztpraxen. Die Anforderungen sind nach Praxisgröße gestaffelt. Eigene Anlagen regeln medizinische Großgeräte und die Komponenten der Telematikinfrastruktur wie Konnektor und Kartenterminals. Ein Zertifikat gibt es nicht. Erwartet wird eine nachvollziehbare Umsetzung.
Zum Framework →Gesundheitsdaten gehören zu den besonderen Kategorien personenbezogener Daten. Die Praxis braucht ein Verzeichnis der Verarbeitungstätigkeiten, technische und organisatorische Maßnahmen, Verträge zur Auftragsverarbeitung mit Dienstleistern und Laboren und einen Ablauf für Datenpannen. Ob eine Datenschutzbeauftragte Person benannt werden muss, hängt von der Zahl der Beschäftigten und vom Umfang der Verarbeitung ab.
Zum Framework →Gesundheitsdienstleister gehören zu den Sektoren des BSI-Gesetzes. Erfasst sind Einrichtungen ab mittlerer Unternehmensgröße, also ab 50 Beschäftigten oder mit mehr als 10 Mio. € Jahresumsatz und Bilanzsumme. Einzelpraxen liegen meist darunter, große MVZ, Laborverbünde und Praxisketten oft darüber. Dann kommen Registrierung beim BSI, Risikomanagement nach § 30 BSIG, Meldepflichten und die Verantwortung der Geschäftsleitung hinzu.
Zum Framework →Für Praxen nicht vorgeschrieben. Für große MVZ-Gruppen, Labore und Praxisketten mit eigener IT-Abteilung kann ein ISMS nach ISO 27001 der passende Rahmen sein, weil es Richtlinie, Datenschutz und NIS2 unter ein Dach bringt.
Zum Framework →Empfohlene Reihenfolge
Zuerst klären Sie, in welche Stufe der Richtlinie Ihre Praxis fällt und ob Großgeräte im Einsatz sind. Bei MVZ und Laboren prüfen Sie parallel, ob die Größenschwellen von NIS2 erreicht sind.
Welche Geräte, Programme, Konten und Dienstleister gibt es? Ohne diese Liste lässt sich keine Anforderung sauber beantworten. Ihr IT-Dienstleister liefert den größten Teil, Sie ergänzen Abläufe und Zuständigkeiten.
Die Prüfpunkte werden beantwortet und mit Belegen versehen: Screenshot der Firewall-Regeln, Protokoll des Wiederherstellungstests, Teilnahmeliste der Schulung. Offene Punkte werden zu Maßnahmen mit Frist und Verantwortlichen.
Verarbeitungsverzeichnis, Verträge zur Auftragsverarbeitung und technische Maßnahmen bauen auf derselben Bestandsliste auf. Was für die Richtlinie belegt ist, dient auch als Nachweis der technischen Maßnahmen.
Belege haben ein Ablaufdatum. Die Datensicherung wird regelmäßig getestet, die Schulung wiederholt, das Verzeichnis bei neuen Programmen ergänzt. Sightadel erinnert rechtzeitig, damit der Stand nicht wieder veraltet.
So hilft Sightadel
Die Richtlinie ist nach Praxistyp gegliedert. Sie sehen nur die Prüfpunkte, die für Ihre Stufe gelten, mit einer verständlichen Erklärung, was gemeint ist und welcher Beleg passt.
Mehr erfahren →Offene Punkte werden zu Aufgaben mit Frist. Viele davon gehen an den IT-Dienstleister. Er wird als Contributor eingeladen, erledigt seinen Teil direkt in Sightadel und legt den Beleg ab.
Mehr erfahren →Protokolle, Konfigurationsauszüge und Schulungsnachweise liegen an einer Stelle, mit Datum und Version. Ein Beleg kann gleichzeitig der Richtlinie und den technischen Maßnahmen der DSGVO dienen.
Mehr erfahren →IT-Dienstleister, Hersteller des Praxisverwaltungssystems, Labore, Abrechnungsstellen und Cloud-Dienste werden mit Vertrag zur Auftragsverarbeitung und Bewertung geführt.
Mehr erfahren →Vorlagen für Notfallplan, Datensicherungskonzept und Regeln zur Gerätenutzung sind auf Praxen zugeschnitten. Sie passen den Text an Ihre Abläufe an, statt bei null anzufangen.
Mehr erfahren →Technik und Nachweis aus einer Hand
Die IT-Sicherheitsrichtlinie verlangt auch Technik, allen voran eine Firewall. Gemeinsam mit Valar bieten wir ein Paket für Praxen an: die Nachweisführung in Sightadel und eine passende Hardware-Firewall, abgestimmt aufeinander und mit einem Ansprechpartner. Ihr IT-Dienstleister bleibt eingebunden.
Arzt-, Zahnarzt- und Psychotherapiepraxen, MVZ und kleine medizinische Einrichtungen
Für Kliniken und große MVZ gibt es ein eigenes Klinik-Paket, beide beschrieben auf der Seite zu § 390 SGB V. Das Angebot erhalten Sie nach einem kurzen Gespräch.
Praxis-Paket anfragenAufwand und Dauer
Die Spannen sind Erfahrungswerte, keine Zusage. Den größten Einfluss hat, wie schnell der IT-Dienstleister Belege liefert und Lücken schließt.
Was Sie lizenzieren · typisch Basic
Eine typische Praxis startet mit der IT-Sicherheitsrichtlinie und dem Datenschutz in der Edition Basic. Sie umfasst fünf Nutzer, das reicht für Praxisleitung, Praxismanagement und IT-Dienstleister. Ein großes MVZ mit NIS2-Pflicht nimmt NIS2 hinzu, meist in der Edition Professional.
Lizenz je Framework, Mindestlaufzeit ein Jahr, monatlich oder jährlich zahlbar. Alle Preise, Rabatte und einen Rechner finden Sie auf der Preisseite. Kosten einer Zertifizierungs- oder Prüfstelle kommen getrennt hinzu.
Fragen und Antworten
Mehr im FAQ oder direkt über unser Kontaktformular.
Die Richtlinie nach § 390 SGB V richtet sich an Praxen in der vertragsärztlichen und vertragszahnärztlichen Versorgung. Reine Privatpraxen sind formal nicht erfasst. Die Pflichten aus der DSGVO zur Sicherheit der Verarbeitung gelten aber für jede Praxis, und die Richtlinie ist dafür ein brauchbarer Maßstab.
Inhaltlich keiner. Die Regelung wurde im Sozialgesetzbuch neu nummeriert. Viele Unterlagen und Dienstleister sprechen noch von § 75b. Gemeint ist dieselbe Pflicht und dieselbe Richtlinie der KBV beziehungsweise KZBV.
Verantwortlich bleibt die Praxis. Eine Aussage des Dienstleisters ist noch kein Beleg. Laden Sie ihn in Sightadel ein, dann beantwortet er die technischen Prüfpunkte selbst und legt die Nachweise ab. Sie sehen den Stand und entscheiden, was noch fehlt.
Nein. Die KBV führt ein Verzeichnis zertifizierter IT-Dienstleister, die Nutzung ist aber freiwillig. Sie können mit jedem Dienstleister arbeiten. Entscheidend ist, dass die Umsetzung belegt ist.
Das hängt von der Größe des Trägers ab. Ab 50 Beschäftigten oder mehr als 10 Mio. € Jahresumsatz und Bilanzsumme sind Gesundheitsdienstleister in der Regel erfasst. Bei Verbünden kann es auf die Gruppe ankommen. Sightadel hilft bei der strukturierten Prüfung, die abschließende Einordnung ist eine Rechtsfrage für Ihre Beratung.
Nein. Die Richtlinie sieht kein Zertifikat für Praxen vor. Was Sie vorzeigen können, ist ein belegter Umsetzungsstand. In Sightadel lässt er sich als Bericht exportieren, etwa für die Kassenärztliche Vereinigung, die Versicherung oder einen Käufer.
Sightadel wird in Deutschland entwickelt und betrieben. Mit jedem Kunden schließen wir einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Patientendaten gehören ohnehin nicht in Sightadel, sondern nur die Dokumentation Ihrer Maßnahmen.
14 Tage, voller Zugriff, keine Zahlungsdaten. Was Sie anlegen, bleibt im bezahlten Plan erhalten.
