Sightadel

Soluções · Consultórios médicos e dentários, MVZ

A TI do consultório é segura.
Agora alguém tem de o conseguir mostrar.

Para os consultórios que prestam cuidados no âmbito do seguro de saúde público alemão, a diretriz de segurança de TI prevista no § 390 do Código Social alemão, livro V (SGB V), é obrigatória, e a proteção dos dados de saúde aplica-se de qualquer forma. Os grandes centros de cuidados médicos (MVZ) e os laboratórios estão também abrangidos pela NIS2. O Sightadel organiza tudo isto por dimensão do consultório, distribui as tarefas entre o consultório e o prestador de serviços de TI e regista o que está feito.

Só no Sightadel

O § 390 SGB V como framework próprio – nenhum dos fornecedores comparados o oferece.

Dos nove fornecedores de GRC da nossa comparação, só o Sightadel inclui a diretriz de segurança informática do § 390 SGB V como framework; os outros oito não a mencionam nos seus websites. Consultórios e MVZ tratam os requisitos passo a passo e comprovam-nos com evidências, juntamente com o RGPD e a NIS2, se necessário.

Base: informações públicas nos websites dos fornecedores, à data de 10 de outubro de 2026. Ver a comparação →

Ponto de partida

Como é na prática.

Na maioria dos consultórios, um prestador externo de serviços de TI trata do servidor, do sistema de gestão do consultório, do conector e da rede. A direção do consultório confia que tudo funciona como deve. Normalmente funciona. O que falta é a visão de conjunto: que requisitos da diretriz se aplicam à dimensão do nosso consultório, quais estão cumpridos, quem os verificou e quando, e onde está a prova?

É exatamente esta a pergunta que surge quando a associação regional de médicos convencionados (Kassenärztliche Vereinigung) pede informações, quando ocorre uma violação de dados, quando o consultório é vendido ou integrado num MVZ ou quando o seguro de riscos cibernéticos envia um questionário. Nesse momento, não conta o que o prestador de serviços diz ter configurado, mas sim o que é possível comprovar. A responsabilidade continua sempre a ser do consultório.

A boa notícia: os requisitos são limitados e concretos. Proteção antivírus, atualizações, cifragem, firewall, redes separadas, cópias de segurança testadas, documentação de emergência, equipa formada. A maior parte já existe nos consultórios bem acompanhados. Só tem de ser organizada uma vez e depois mantida.

Porquê agora

Motivos típicos para abordar o tema.

01

Nova versão da diretriz

A Associação Federal dos Médicos Convencionados (KBV) reviu a sua diretriz de segurança de TI em 2025, dando mais peso à sensibilização da equipa do consultório. O prazo de implementação já terminou. Quem ainda não fez as adaptações deve fazê-las agora.

02

O consultório cresce ou passa a integrar um MVZ

Com mais pessoas permanentemente envolvidas no tratamento de dados, o consultório passa para um nível mais elevado da diretriz. Num MVZ com muitas instalações, coloca-se além disso a questão da NIS2.

03

Incidente ou quase incidente

Uma cifragem por software malicioso, um portátil roubado, um envio de resultados para o destinatário errado. Depois, a autoridade de controlo de proteção de dados pergunta que medidas existiam. Quem as consegue comprovar fica numa posição muito melhor.

04

Mudança de prestador de serviços de TI

Na mudança, vê-se quanto conhecimento estava apenas com o prestador anterior. Uma documentação própria e organizada torna o consultório independente.

05

Questionário do seguro de riscos cibernéticos

As seguradoras perguntam por autenticação multifator, cópias de segurança e formações. As respostas já constam da implementação da diretriz e podem ser reaproveitadas.

06

Trespasse ou compra do consultório

Compradores e investidores verificam hoje também a segurança de TI. Uma documentação rastreável encurta essa verificação e evita reduções de preço por falta de clareza.

Frameworks relevantes

O que se aplica – e o que exige concretamente aqui.

Resumido por palavras nossas, não constitui aconselhamento jurídico. Prevalece o texto original na versão em vigor.

§ 390 SGB VObrigatório

Vinculativo para os consultórios médicos e dentários que prestam cuidados no âmbito do seguro de saúde público alemão. A diretriz da KBV aplica-se aos consultórios médicos; a diretriz da Associação Federal dos Médicos Dentistas Convencionados (KZBV), aos consultórios dentários. Os requisitos são escalonados por dimensão do consultório. Anexos próprios regulam os grandes equipamentos médicos e os componentes da infraestrutura telemática da saúde, como o conector e os terminais de cartões. Não existe certificado. Espera-se uma implementação rastreável.

Ver framework →
RGPDObrigatório

Os dados de saúde fazem parte das categorias especiais de dados pessoais. O consultório precisa de um registo das atividades de tratamento, de medidas técnicas e organizativas, de acordos de subcontratação com prestadores de serviços e laboratórios e de um procedimento para violações de dados. A obrigação de designar um encarregado da proteção de dados depende do número de trabalhadores e da dimensão do tratamento.

Ver framework →
NIS2Conforme o caso

Os prestadores de cuidados de saúde fazem parte dos setores da lei alemã do BSI (BSIG). Estão abrangidas as entidades a partir da dimensão de média empresa, ou seja, a partir de 50 trabalhadores ou com mais de 10 milhões de euros de volume de negócios anual e de balanço total. Os consultórios individuais ficam normalmente abaixo; os grandes MVZ, as redes de laboratórios e as cadeias de consultórios ficam muitas vezes acima. Nesse caso, juntam-se o registo junto do Serviço Federal Alemão de Segurança da Informação (BSI), a gestão de riscos segundo o § 30 da BSIG, as obrigações de notificação e a responsabilidade da gestão de topo.

Ver framework →
ISO/IEC 27001Recomendável

Não é obrigatória para consultórios. Para grandes grupos de MVZ, laboratórios e cadeias de consultórios com departamento de TI próprio, um SGSI segundo a ISO 27001 pode ser o quadro adequado, porque reúne a diretriz, a proteção de dados e a NIS2 sob o mesmo teto.

Ver framework →

Ordem recomendada

Por onde começar – e o que vem a seguir.

  1. 1

    Definir o tipo de consultório

    Primeiro, esclareça em que nível da diretriz se enquadra o seu consultório e se utiliza grandes equipamentos. Nos MVZ e laboratórios, verifique em paralelo se são atingidos os limiares de dimensão da NIS2.

  2. 2

    Fazer o levantamento

    Que equipamentos, programas, contas e prestadores de serviços existem? Sem esta lista, nenhum requisito pode ser respondido com rigor. O seu prestador de serviços de TI fornece a maior parte; o consultório completa com processos e responsabilidades.

  3. 3

    Percorrer a diretriz ponto a ponto

    Os pontos de controlo são respondidos e acompanhados de provas: captura de ecrã das regras da firewall, ata do teste de reposição, lista de presenças da formação. Os pontos em aberto tornam-se medidas com prazo e responsáveis.

  4. 4

    Ligar a proteção de dados

    O registo das atividades de tratamento, os acordos de subcontratação e as medidas técnicas assentam na mesma lista de inventário. O que está comprovado para a diretriz serve também de evidência das medidas técnicas.

  5. 5

    Manter em vez de recomeçar

    As provas têm uma data de expiração. As cópias de segurança são testadas regularmente, a formação é repetida e o registo é completado quando entram novos programas. O Sightadel avisa atempadamente, para que o ponto da situação não volte a ficar desatualizado.

Tecnologia e evidência num só fornecedor

O pacote para consultórios: diretriz, firewall e evidência em conjunto.

A diretriz de segurança de TI também exige tecnologia, sobretudo uma firewall. Em conjunto com a Valar, oferecemos um pacote para consultórios: a gestão de evidências no Sightadel e uma firewall de hardware adequada, articuladas entre si e com um único interlocutor. O seu prestador de serviços de TI continua envolvido.

Pacote para consultórios

Consultórios médicos, dentários e de psicoterapia, MVZ e pequenas instituições médicas

Para clínicas e grandes MVZ existe um pacote próprio para clínicas; ambos estão descritos na página sobre o § 390 SGB V. Recebe a proposta após uma breve conversa.

Pedir o pacote para consultórios

Esforço e duração

Uma estimativa honesta.

Consultório individual ou pequeno consultório partilhado4–8 semanas
Se o prestador de serviços de TI colaborar. A direção do consultório precisa de algumas horas por semana; o prestador fornece as provas e colmata as lacunas.
Consultório maior ou pequeno MVZ2–3 meses
Mais equipamentos, mais contas, muitas vezes várias instalações. Aqui compensa ter no consultório uma pessoa de contacto fixa que coordene a implementação.
Grupo de MVZ ou laboratório com NIS24–9 meses
Além da diretriz, juntam-se a gestão de riscos, a cadeia de notificação, a cadeia de abastecimento e a responsabilidade da gestão de topo pela implementação e pelo acompanhamento. A duração depende muito do ponto de partida.

Os intervalos são valores de experiência, não um compromisso. O que mais influencia é a rapidez com que o prestador de serviços de TI fornece provas e colmata lacunas.

O que licencia · tipicamente Basic

Um consultório típico começa com a diretriz de segurança de TI e a proteção de dados na edição Basic. Inclui cinco utilizadores, o suficiente para a direção do consultório, a gestão do consultório e o prestador de serviços de TI. Um grande MVZ sujeito à NIS2 acrescenta a NIS2, normalmente na edição Professional.

Licença por framework, duração mínima de um ano, pagamento mensal ou anual. Todos os preços, descontos e uma calculadora estão na página de preços. Os custos de um organismo de certificação ou de auditoria acrescem à parte.

Perguntas e respostas

Perguntas sobre consultórios médicos e dentários, MVZ

Mais nas nossas perguntas frequentes ou diretamente através do nosso formulário de contacto.

A diretriz de segurança de TI também se aplica a consultórios privados?

A diretriz segundo o § 390 SGB V destina-se aos consultórios médicos e dentários que prestam cuidados no âmbito do seguro de saúde público alemão. Os consultórios exclusivamente privados não estão formalmente abrangidos. As obrigações do RGPD relativas à segurança do tratamento aplicam-se, porém, a todos os consultórios, e a diretriz é uma referência útil para isso.

Qual é a diferença entre o § 75b e o § 390 SGB V?

Em termos de conteúdo, nenhuma. A disposição foi renumerada no Código Social alemão. Muitos documentos e prestadores de serviços ainda falam do § 75b. Trata-se da mesma obrigação e da mesma diretriz da KBV ou da KZBV.

O nosso prestador de serviços de TI diz que implementou tudo. Isso basta?

A responsabilidade continua a ser do consultório. Uma declaração do prestador de serviços ainda não é uma prova. Convide-o para o Sightadel: ele responde aos pontos de controlo técnicos e guarda as evidências. O consultório vê o ponto da situação e decide o que ainda falta.

Precisamos de um prestador de serviços certificado pela KBV?

Não. A KBV mantém uma lista de prestadores de serviços de TI certificados, mas a sua utilização é voluntária. Pode trabalhar com qualquer prestador. O decisivo é que a implementação esteja comprovada.

O nosso MVZ está abrangido pela NIS2?

Depende da dimensão da entidade gestora. A partir de 50 trabalhadores ou de mais de 10 milhões de euros de volume de negócios anual e de balanço total, os prestadores de cuidados de saúde estão em regra abrangidos. Nos agrupamentos, pode contar o grupo como um todo. O Sightadel ajuda na verificação estruturada; a classificação final é uma questão jurídica para o seu aconselhamento.

Existe um certificado para a implementação da diretriz?

Não. A diretriz não prevê um certificado para consultórios. O que pode apresentar é um estado de implementação comprovado. No Sightadel, pode exportá-lo como relatório, por exemplo para a Kassenärztliche Vereinigung, a seguradora ou um comprador.

Onde ficam os dados no Sightadel?

O Sightadel é desenvolvido e operado na Alemanha. Com cada cliente celebramos um acordo de subcontratação segundo o art. 28.º do RGPD. Os dados de doentes não pertencem, de qualquer forma, ao Sightadel, mas apenas a documentação das suas medidas.

Revisto por especialistas em 8 de outubro de 2026 · Não constitui aconselhamento jurídico. Prevalece a norma ou a lei na versão em vigor.

Comece com uma norma.

14 dias, acesso completo, sem dados de pagamento. Tudo o que configurar mantém-se no plano pago.