Sommer, SGB V § 390 IT-Sicherheit in der vertragsärztlic ... / 2 Rechtspraxis

2.1 Richtlinie (Abs. 1)

Rz. 3

Die KBV legen in einer für die Betreiber vertragsärztlicher, vertragspsychotherapeutischer und vertragszahnärztlicher Praxen sowie Medizinischer Versorgungszentren verbindlichen Richtlinie die Anforderungen an die IT-Sicherheit in der vertragsärztlichen und -zahnärztlichen Versorgung fest. Die KBV sind damit ermächtigt und verpflichtet, entsprechend zu beschließen und zu veröffentlichen. Die Vorschrift nennt keine Frist, da entsprechende IT-Sicherheitsrichtlinien bereits existieren (www.kbv.de/html/it-sicherheit.php, www.kzbv.de/hintergrund-und-faq.1475.de.html; abgerufen: 18.10.2024). Die Richtlinien beziehen sich auf den weggefallenen § 75b und sind anzupassen (Stand: 10.7.2024).

Rz. 4

Nach dem Wortlauf des Gesetzes ("Die Kassenärztlichen Bundesvereinigungen legen in einer Richtlinie ...") ist von den Vereinigungen eine gemeinsame Richtlinie festzulegen. Tatsächlich liegt sowohl von der Kassenärztlichen als auch von der Kassenzahnärztlichen Bundesvereinigung jeweils eine Richtlinie mit Bindung für die vertretenen Ärzte bzw. Zahnärzte vor. Dagegen bestehen trotz des § 72 Abs. 1 Satz 2 in der Praxis keine Bedenken.

2.2 Inhalt (Abs. 2)

Rz. 5

Zum Pflichtinhalt der Richtlinie gehören aufgrund der Formulierung "umfasst insbesondere"

• Anforderungen an die sichere Installation und Wartung von Komponenten und Diensten der Telematikinfrastruktur, die in der vertragsärztlichen und -zahnärztlichen Versorgung eingesetzt werden, und
• Maßnahmen zur Sensibilisierung von Mitarbeiterinnen und Mitarbeitern zur Informationssicherheit (Steigerung der Security-Awareness).

Weitere fakultative Inhalte sind möglich. Die vorliegenden Richtlinien stellen unterschiedliche Anforderungen, die von der jeweiligen Größe der Praxis abhängig sind.

Rz. 6

Im alltäglichen Umgang mit IT-Systemen ist Awareness eine elementare Sicherheitsmaßnahme (BSI, www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Empfehlungen-nach-Angriffszielen/Faktor-Mensch/Awareness/awareness_node.html; abgerufen: 18.10.2024). Das bedeutet zunächst, dass ein Problembewusstsein für Cyber-Sicherheit geschaffen werden muss. Darauf aufbauend wird eine Verhaltensänderung hin zu sicherem digitalen Umgang erreicht. Die Richtlinie zur IT-Sicherheit wird in diesem Sinne um die Anforderung nach einer Steigerung der sogenannten Security-Awareness (zu übersetzen mit "Sicherheitsbewusstsein") in Form von Maßnahmen zur Sensibilisierung der Mitarbeitenden für die Wichtigkeit der Informationssicherheit konkretisiert, da Maßnahmen in diesem Bereich wichtige Bausteine der IT-Sicherheit darstellen (BT-Drs. 20/9048 S. 147). Hintergrund sind technische Maßnahmen für Informationssicherheit, die umfassende Unterstützung durch alle umsetzenden bzw. anwendenden Personen benötigen, um wirksam greifen zu können. Dazu ist es notwendig, jeder Person die Wichtigkeit der Informationssicherheit bewusst zu machen, sowohl für die eigene Arbeit als auch für die gesamte Organisation, der sie angehört. Geeignete Maßnahmen hängen dabei stark von dem entsprechenden Niveau der Sensibilisierung in der Organisation ab und reichen z. B. von Informationsmaterialien über Schulungen bis zu simulierten bzw. demonstrativen "Angriffen".

2.3 Anforderungen (Abs. 3)

Rz. 7

Die in der Richtlinie festzulegenden Anforderungen müssen geeignet sein,

• die primären Schutzziele der Informationssicherheit (Verfügbarkeit, Integrität und Vertraulichkeit) zu gewährleisten und
• Störungen der informationstechnischen Systeme, Komponenten oder Prozesse der vertragsärztlichen und vertragszahnärztlichen Leistungserbringer zu vermeiden.

Dabei sind das Gefährdungspotenzial und der Schutzbedarf der verarbeiteten Informationen in einem angemessenen Verhältnis zu berücksichtigen. Die geltende Richtlinie (Stand: 10.7.2024) legt die technischen Anforderungen fest und beschreibt das Mindestmaß der zu ergreifenden Maßnahmen, um die Anforderungen der IT-Sicherheit zu gewährleisten. Mit der Umsetzung der Anforderungen werden die Risiken der IT-Sicherheit minimiert. Bei der Umsetzung durch die Betreiber der Praxen können Risiken auch an Dritte, wie IT-Dienstleister oder Versicherungen, übertragen oder durch den Verantwortlichen akzeptiert werden.

2.4 Anpassung (Abs. 4)

Rz. 8

Die in der Richtlinie festzulegenden Anforderungen

• müssen dem Stand der Technik entsprechen,
• sind jährlich inhaltlich zu überprüfen und zu korrigieren sowie
• spätestens alle 2 Jahre an den Stand der Technik und an das Gefährdungspotenzial anzupassen.

Die dynamische Vorgabe ("Stand der Technik") erfordert bereits eine laufende Fortschreibung der Richtlinie an eine sich ständig entwickelnde Technik. Zusätzlich wird eine jährliche inhaltliche Prüfung und Korrektur vorgegeben. Die Richtlinie wird spätestens nach 2 Jahren an den Stand der Technik und das veränderte Gefährdungspotenzial angepasst, was stärker als eine Prüfung wirkt (Hesral, in: Schlegel/Voelzke, jurisPK-SGB V, 4. Aufl., § 75b Rz. 9).

2.5 Abstimmung (Abs. 5)

Rz. 9

Die in der Richtlinie festzulegenden Anforderungen sowie deren Anpassungen erfolgen im Einvernehmen (Zustimmung) mit dem...