Vinculativo para os consultórios médicos e dentários que prestam cuidados no âmbito do seguro de saúde público alemão. A diretriz da KBV aplica-se aos consultórios médicos; a diretriz da Associação Federal dos Médicos Dentistas Convencionados (KZBV), aos consultórios dentários. Os requisitos são escalonados por dimensão do consultório. Anexos próprios regulam os grandes equipamentos médicos e os componentes da infraestrutura telemática da saúde, como o conector e os terminais de cartões. Não existe certificado. Espera-se uma implementação rastreável.
Ver framework →Soluções · Consultórios médicos e dentários, MVZ
A TI do consultório é segura.
Agora alguém tem de o conseguir mostrar.
Para os consultórios que prestam cuidados no âmbito do seguro de saúde público alemão, a diretriz de segurança de TI prevista no § 390 do Código Social alemão, livro V (SGB V), é obrigatória, e a proteção dos dados de saúde aplica-se de qualquer forma. Os grandes centros de cuidados médicos (MVZ) e os laboratórios estão também abrangidos pela NIS2. O Sightadel organiza tudo isto por dimensão do consultório, distribui as tarefas entre o consultório e o prestador de serviços de TI e regista o que está feito.
Só no Sightadel
O § 390 SGB V como framework próprio – nenhum dos fornecedores comparados o oferece.
Dos nove fornecedores de GRC da nossa comparação, só o Sightadel inclui a diretriz de segurança informática do § 390 SGB V como framework; os outros oito não a mencionam nos seus websites. Consultórios e MVZ tratam os requisitos passo a passo e comprovam-nos com evidências, juntamente com o RGPD e a NIS2, se necessário.
Base: informações públicas nos websites dos fornecedores, à data de 10 de outubro de 2026. Ver a comparação →
Ponto de partida
Como é na prática.
Na maioria dos consultórios, um prestador externo de serviços de TI trata do servidor, do sistema de gestão do consultório, do conector e da rede. A direção do consultório confia que tudo funciona como deve. Normalmente funciona. O que falta é a visão de conjunto: que requisitos da diretriz se aplicam à dimensão do nosso consultório, quais estão cumpridos, quem os verificou e quando, e onde está a prova?
É exatamente esta a pergunta que surge quando a associação regional de médicos convencionados (Kassenärztliche Vereinigung) pede informações, quando ocorre uma violação de dados, quando o consultório é vendido ou integrado num MVZ ou quando o seguro de riscos cibernéticos envia um questionário. Nesse momento, não conta o que o prestador de serviços diz ter configurado, mas sim o que é possível comprovar. A responsabilidade continua sempre a ser do consultório.
A boa notícia: os requisitos são limitados e concretos. Proteção antivírus, atualizações, cifragem, firewall, redes separadas, cópias de segurança testadas, documentação de emergência, equipa formada. A maior parte já existe nos consultórios bem acompanhados. Só tem de ser organizada uma vez e depois mantida.
Porquê agora
Motivos típicos para abordar o tema.
Nova versão da diretriz
A Associação Federal dos Médicos Convencionados (KBV) reviu a sua diretriz de segurança de TI em 2025, dando mais peso à sensibilização da equipa do consultório. O prazo de implementação já terminou. Quem ainda não fez as adaptações deve fazê-las agora.
O consultório cresce ou passa a integrar um MVZ
Com mais pessoas permanentemente envolvidas no tratamento de dados, o consultório passa para um nível mais elevado da diretriz. Num MVZ com muitas instalações, coloca-se além disso a questão da NIS2.
Incidente ou quase incidente
Uma cifragem por software malicioso, um portátil roubado, um envio de resultados para o destinatário errado. Depois, a autoridade de controlo de proteção de dados pergunta que medidas existiam. Quem as consegue comprovar fica numa posição muito melhor.
Mudança de prestador de serviços de TI
Na mudança, vê-se quanto conhecimento estava apenas com o prestador anterior. Uma documentação própria e organizada torna o consultório independente.
Questionário do seguro de riscos cibernéticos
As seguradoras perguntam por autenticação multifator, cópias de segurança e formações. As respostas já constam da implementação da diretriz e podem ser reaproveitadas.
Trespasse ou compra do consultório
Compradores e investidores verificam hoje também a segurança de TI. Uma documentação rastreável encurta essa verificação e evita reduções de preço por falta de clareza.
Frameworks relevantes
O que se aplica – e o que exige concretamente aqui.
Resumido por palavras nossas, não constitui aconselhamento jurídico. Prevalece o texto original na versão em vigor.
Os dados de saúde fazem parte das categorias especiais de dados pessoais. O consultório precisa de um registo das atividades de tratamento, de medidas técnicas e organizativas, de acordos de subcontratação com prestadores de serviços e laboratórios e de um procedimento para violações de dados. A obrigação de designar um encarregado da proteção de dados depende do número de trabalhadores e da dimensão do tratamento.
Ver framework →Os prestadores de cuidados de saúde fazem parte dos setores da lei alemã do BSI (BSIG). Estão abrangidas as entidades a partir da dimensão de média empresa, ou seja, a partir de 50 trabalhadores ou com mais de 10 milhões de euros de volume de negócios anual e de balanço total. Os consultórios individuais ficam normalmente abaixo; os grandes MVZ, as redes de laboratórios e as cadeias de consultórios ficam muitas vezes acima. Nesse caso, juntam-se o registo junto do Serviço Federal Alemão de Segurança da Informação (BSI), a gestão de riscos segundo o § 30 da BSIG, as obrigações de notificação e a responsabilidade da gestão de topo.
Ver framework →Não é obrigatória para consultórios. Para grandes grupos de MVZ, laboratórios e cadeias de consultórios com departamento de TI próprio, um SGSI segundo a ISO 27001 pode ser o quadro adequado, porque reúne a diretriz, a proteção de dados e a NIS2 sob o mesmo teto.
Ver framework →Ordem recomendada
Por onde começar – e o que vem a seguir.
- 1
Definir o tipo de consultório
Primeiro, esclareça em que nível da diretriz se enquadra o seu consultório e se utiliza grandes equipamentos. Nos MVZ e laboratórios, verifique em paralelo se são atingidos os limiares de dimensão da NIS2.
- 2
Fazer o levantamento
Que equipamentos, programas, contas e prestadores de serviços existem? Sem esta lista, nenhum requisito pode ser respondido com rigor. O seu prestador de serviços de TI fornece a maior parte; o consultório completa com processos e responsabilidades.
- 3
Percorrer a diretriz ponto a ponto
Os pontos de controlo são respondidos e acompanhados de provas: captura de ecrã das regras da firewall, ata do teste de reposição, lista de presenças da formação. Os pontos em aberto tornam-se medidas com prazo e responsáveis.
- 4
Ligar a proteção de dados
O registo das atividades de tratamento, os acordos de subcontratação e as medidas técnicas assentam na mesma lista de inventário. O que está comprovado para a diretriz serve também de evidência das medidas técnicas.
- 5
Manter em vez de recomeçar
As provas têm uma data de expiração. As cópias de segurança são testadas regularmente, a formação é repetida e o registo é completado quando entram novos programas. O Sightadel avisa atempadamente, para que o ponto da situação não volte a ficar desatualizado.
Como o Sightadel ajuda
As funcionalidades que aqui fazem a diferença.
Avaliações guiadas
A diretriz está organizada por tipo de consultório. Vê apenas os pontos de controlo que se aplicam ao seu nível, com uma explicação compreensível do que se pretende e de que prova é adequada.
Saber mais →Planos de ação
Os pontos em aberto tornam-se tarefas com prazo. Muitos vão para o prestador de serviços de TI. Este é convidado como Contributor, faz a sua parte diretamente no Sightadel e guarda a prova.
Saber mais →Biblioteca de evidências
Atas, extratos de configuração e comprovativos de formação estão num só lugar, com data e versão. Uma prova pode servir ao mesmo tempo a diretriz e as medidas técnicas do RGPD.
Saber mais →Risco de fornecedores
Prestadores de serviços de TI, fabricantes do sistema de gestão do consultório, laboratórios, entidades de faturação e serviços cloud são geridos com acordo de subcontratação e avaliação.
Saber mais →Modelos de IA
Os modelos de plano de emergência, conceito de cópias de segurança e regras de utilização de equipamentos estão adaptados a consultórios. Adapta o texto aos seus processos, em vez de começar do zero.
Saber mais →Tecnologia e evidência num só fornecedor
O pacote para consultórios: diretriz, firewall e evidência em conjunto.
A diretriz de segurança de TI também exige tecnologia, sobretudo uma firewall. Em conjunto com a Valar, oferecemos um pacote para consultórios: a gestão de evidências no Sightadel e uma firewall de hardware adequada, articuladas entre si e com um único interlocutor. O seu prestador de serviços de TI continua envolvido.
Pacote para consultórios
Consultórios médicos, dentários e de psicoterapia, MVZ e pequenas instituições médicas
- Sightadel com todos os pontos de controlo segundo o § 390 SGB V, ajustados à dimensão do seu consultório
- Valar 1 · Compact: firewall de hardware para consultórios, também para várias instalações
- Regras da firewall e evidências documentadas diretamente no Sightadel
- Opcional: verificação dos sistemas acessíveis de fora com a veyrisk
Para clínicas e grandes MVZ existe um pacote próprio para clínicas; ambos estão descritos na página sobre o § 390 SGB V. Recebe a proposta após uma breve conversa.
Pedir o pacote para consultóriosEsforço e duração
Uma estimativa honesta.
- Consultório individual ou pequeno consultório partilhado4–8 semanas
- Se o prestador de serviços de TI colaborar. A direção do consultório precisa de algumas horas por semana; o prestador fornece as provas e colmata as lacunas.
- Consultório maior ou pequeno MVZ2–3 meses
- Mais equipamentos, mais contas, muitas vezes várias instalações. Aqui compensa ter no consultório uma pessoa de contacto fixa que coordene a implementação.
- Grupo de MVZ ou laboratório com NIS24–9 meses
- Além da diretriz, juntam-se a gestão de riscos, a cadeia de notificação, a cadeia de abastecimento e a responsabilidade da gestão de topo pela implementação e pelo acompanhamento. A duração depende muito do ponto de partida.
Os intervalos são valores de experiência, não um compromisso. O que mais influencia é a rapidez com que o prestador de serviços de TI fornece provas e colmata lacunas.
O que licencia · tipicamente Basic
Um consultório típico começa com a diretriz de segurança de TI e a proteção de dados na edição Basic. Inclui cinco utilizadores, o suficiente para a direção do consultório, a gestão do consultório e o prestador de serviços de TI. Um grande MVZ sujeito à NIS2 acrescenta a NIS2, normalmente na edição Professional.
Licença por framework, duração mínima de um ano, pagamento mensal ou anual. Todos os preços, descontos e uma calculadora estão na página de preços. Os custos de um organismo de certificação ou de auditoria acrescem à parte.
Perguntas e respostas
Perguntas sobre consultórios médicos e dentários, MVZ
Mais nas nossas perguntas frequentes ou diretamente através do nosso formulário de contacto.
A diretriz de segurança de TI também se aplica a consultórios privados?
A diretriz segundo o § 390 SGB V destina-se aos consultórios médicos e dentários que prestam cuidados no âmbito do seguro de saúde público alemão. Os consultórios exclusivamente privados não estão formalmente abrangidos. As obrigações do RGPD relativas à segurança do tratamento aplicam-se, porém, a todos os consultórios, e a diretriz é uma referência útil para isso.
Qual é a diferença entre o § 75b e o § 390 SGB V?
Em termos de conteúdo, nenhuma. A disposição foi renumerada no Código Social alemão. Muitos documentos e prestadores de serviços ainda falam do § 75b. Trata-se da mesma obrigação e da mesma diretriz da KBV ou da KZBV.
O nosso prestador de serviços de TI diz que implementou tudo. Isso basta?
A responsabilidade continua a ser do consultório. Uma declaração do prestador de serviços ainda não é uma prova. Convide-o para o Sightadel: ele responde aos pontos de controlo técnicos e guarda as evidências. O consultório vê o ponto da situação e decide o que ainda falta.
Precisamos de um prestador de serviços certificado pela KBV?
Não. A KBV mantém uma lista de prestadores de serviços de TI certificados, mas a sua utilização é voluntária. Pode trabalhar com qualquer prestador. O decisivo é que a implementação esteja comprovada.
O nosso MVZ está abrangido pela NIS2?
Depende da dimensão da entidade gestora. A partir de 50 trabalhadores ou de mais de 10 milhões de euros de volume de negócios anual e de balanço total, os prestadores de cuidados de saúde estão em regra abrangidos. Nos agrupamentos, pode contar o grupo como um todo. O Sightadel ajuda na verificação estruturada; a classificação final é uma questão jurídica para o seu aconselhamento.
Existe um certificado para a implementação da diretriz?
Não. A diretriz não prevê um certificado para consultórios. O que pode apresentar é um estado de implementação comprovado. No Sightadel, pode exportá-lo como relatório, por exemplo para a Kassenärztliche Vereinigung, a seguradora ou um comprador.
Onde ficam os dados no Sightadel?
O Sightadel é desenvolvido e operado na Alemanha. Com cada cliente celebramos um acordo de subcontratação segundo o art. 28.º do RGPD. Os dados de doentes não pertencem, de qualquer forma, ao Sightadel, mas apenas a documentação das suas medidas.
Comece com uma norma.
14 dias, acesso completo, sem dados de pagamento. Tudo o que configurar mantém-se no plano pago.