KBV-Richtlinie zur Datensicherheit der Praxis-IT

Die KBV ist laut § 75b SGB V beauftragt, die in der Richtlinie festzulegenden Anforderungen zur Gewährleistung der IT-Sicherheit zu regeln.
Eines der Ziele der IT-Sicherheitsrichtlinie, die die KBV erstellt hat ist es, die IT-Systeme und sensiblen Daten der Praxen noch besser zu schützen. Klare Vorgaben sollen dabei helfen, Ihre Patientendaten noch sicherer zu verwalten und vor Datenverlust oder Betriebsausfällen zu schützen.

IT-Sicherheitsrichtlinie: Fristen und Vorgaben 

Virenschutz, Firewall, Sperrcodes: Welche konkreten Sicherheitsmaßnahmen muss meine Praxis ergreifen, um die Anforderungen der IT-Sicherheitsrichtlinie zu erfüllen?

Da die IT-Sicherheitsrichtlinie keine neuen Vorgaben „erfindet“, sondern bestehende konkretisiert und praxistauglich macht (zum Beispiel aus der EU- Datenschutzgrundverordnung), werden die meisten Anforderungen bereits von den Praxen umgesetzt.

Anforderungen an alle Praxen 

• In der Praxis werden aktuelle Virenschutzprogramme eingesetzt 
• Der Internet-Browser ist so eingestellt, dass in dem Browser keine vertraulichen Daten gespeichert werden 
• Es werden verschlüsselte Internetanwendungen genutzt 
• Apps werden nur aus den offiziellen App-Stores heruntergeladen und restlos gelöscht, wenn sie nicht mehr benötigt werden 
• Es werden keine vertraulichen Daten über Apps versendet 
• Smartphones und Tablets sind mit einem komplexen Gerätesperrcode geschützt 
• Nach der Nutzung eines Gerätes meldet sich die Person ab 
• Das interne Netzwerk ist anhand eines Netzplanes dokumentiert. Hierfür gibt es ein Musterdokument auf der Online-Plattform zur IT-Sicherheitsrichtlinie 

Seit 1. Januar 2022

• Bei der Bereitstellung und dem Betreiben von Internet-Anwendungen wie Praxis-Homepage oder Online-Terminkalender wird eine Firewall eingesetzt 
• Bei der Bereitstellung und dem Betreiben von Internet-Anwendungen wie Praxis-Homepage oder Online-Terminkalender werden keine automatisierten Zugriffe bzw. Aufrufe auf Webanwendungen eingerichtet oder zugelassen 
• Auf Endgeräten, z.B. einem Praxisrechner, erfolgt eine regelmäßige Datensicherung, wobei in einem Plan festgelegt ist, welche Daten wie oft gesichert werden sollen.
• Bei Verlust eines Mobiltelefons (Diensthandy) muss die darin verwendete SIM-Karte zeitnah gesperrt werden.
• Wechseldatenträger müssen bei jeder Verwendung mit einem aktuellen Schutzprogramm auf Schadsoftware überprüft werden.
• Es werden nur Apps genutzt, die Dokumente verschlüsselt und lokal abspeichern.
• Für die dezentralen Komponenten der Telematikinfrastruktur werden Updates zeitnah installiert.
• Für die dezentralen Komponenten der Telematikinfrastruktur werden die Administrationsdaten sicher aufbewahrt.