IT-Sicherheitsrichtlinie – gesetzlicher Rahmen und praktische Umsetzung

Mit dem Digital-Gesetz (DigiG) hat der Gesetzgeber die Anforderungen an die IT-Sicherheit in Zahnarztpraxen neu geregelt. Die KZBV wurde beauftragt, im Einvernehmen mit dem Bundesamt für Sicherheit in der Informationstechnik (BSI) eine verbindliche IT-Sicherheitsrichtlinie zu entwickeln. Diese wurde am 1. Juli 2025 veröffentlicht und ist am 2. Juli 2025 in Kraft getreten.

Wichtig: Die neuen oder geänderten Anforderungen gelten ab dem 2. Januar 2026.

Ziel und Grundprinzipien

Die Richtlinie verfolgt das Ziel, Gesundheits- und Patientendaten noch besser zu schützen – mit klaren, aber umsetzbaren Vorgaben für den Praxisalltag. Sie orientiert sich am Stand der Technik und konzentriert sich auf das notwendige Maß an IT-Sicherheit. Für viele Zahnarztpraxen bedeutet das: „Business as usual“ – die Anforderungen bauen auf bekannten Datenschutzstandards wie DSGVO und BDSG auf.

Wichtige Änderungen im Überblick

  • Neuer gesetzlicher Rahmen: Umstellung von § 75b auf § 390 SGB V.
  • Praxisgrößenabhängige Anforderungen: gestaffelt nach Einzel-, mittelgroßen und Großpraxen.
  • Cloud-Nutzung: erstmals geregelt (§ 393 SGB V).
  • Verpflichtende Schulung und Awareness-Maßnahmen.
  • Pflicht zur regelmäßigen Evaluation und Anpassung der Richtlinie.

Orientierung und Unterstützung

Die KZBV stellt praxisnahe Dokumente, Checklisten und Hinweise zur Verfügung, um die Umsetzung in Ihrer Praxis zu erleichtern. Auch der Einsatz zertifizierter IT-Dienstleister wird unterstützt – jedoch nicht vorgeschrieben.

Häufige Fragen

Die Richtlinie legt technische und organisatorische Mindestanforderungen zur IT-Sicherheit in vertragszahnärztlichen Praxen fest. Ziel ist der Schutz sensibler Gesundheits- und Patientendaten sowie die Vermeidung von Sicherheitsvorfällen. Die Regelungen berücksichtigen die Praxisgröße und den tatsächlichen Umfang der Datenverarbeitung.

Die überarbeitete IT-Sicherheitsrichtlinie ist am 2. Juli 2025 in Kraft getreten. Die neuen oder geänderten Anforderungen müssen ab dem 2. Januar 2026 verbindlich umgesetzt werden.

Der Praxisinhaber bzw. die Praxisinhaberin. Die Umsetzung einzelner Maßnahmen kann an Mitarbeitende oder IT-Dienstleister delegiert werden.

Nein. Die Beauftragung eines zertifizierten Dienstleisters ist möglich, aber nicht verpflichtend.

Verstöße gegen die Richtlinie können datenschutzrechtliche Konsequenzen nach sich ziehen – z. B. bei Datenverlust oder unzureichendem Schutz sensibler Informationen.

Mehr Informationen der KZBV

  1. IT-Sicherheit in der Zahnarztpraxis