Sommer, SGB V § 390 IT-Sicherheit in der vertragsärztlichen und vertragszahnärztlichen Versorgung

0 Rechtsentwicklung

Rz. 1

Art. 1 Nr. 90 des Gesetzes zur Beschleunigung der Digitalisierung des Gesundheitswesens (Digital-Gesetz – DigiG) v. 22.3.2024 (BGBl. I Nr. 101) hat die Vorschrift mit Wirkung zum 26.3.2024 in das SGB eingefügt. Die Vorschrift basiert auf § 75b (alt). Neben einer redaktionellen Überarbeitung wird die Security-Awareness im Gesundheitswesen gestärkt, indem Mitarbeitende für dieses Thema sensibilisiert werden.

1 Allgemeines

Rz. 2

Die Kassenärztlichen Bundesvereinigungen der Ärzte und Zahnärzte (KBV) legen in einer verbindlichen Richtlinie die Anforderungen zur Gewährleistung der IT-Sicherheit in der vertragsärztlichen und vertragszahnärztlichen Versorgung fest (www.kbv.de/html/it-sicherheit.php; abgerufen: 18.10.2024). Die Richtlinie begegnet der aktuellen Situation und Entwicklung, in der informationstechnische Systeme in den vertragsärztlichen und -zahnärztlichen Praxen von zunehmend zielgerichteten und professionellen Angriffen bedroht werden. Gleichzeitig treibt der Gesetzgeber die Digitalisierung im Gesundheitswesen voran, um neue Behandlungsperspektiven zu eröffnen und Effizienzeffekte zu erzielen (so auch Hesral, in: Schlegel/Voelzke, jurisPK-SGB V, 4. Aufl., § 75b Rz. 4). Die Richtlinien zielen insbesondere auf die sichere Installation und Wartung von Komponenten und Diensten der Telematikinfrastruktur ab und steigern die Security-Awareness (Problembewusstsein und sicheres Verhalten) der in den Praxen Mitarbeitenden.

2 Rechtspraxis

2.1 Richtlinie (Abs. 1)

Rz. 3

Die KBV legen in einer für die Betreiber vertragsärztlicher, vertragspsychotherapeutischer und vertragszahnärztlicher Praxen sowie Medizinischer Versorgungszentren verbindlichen Richtlinie die Anforderungen an die IT-Sicherheit in der vertragsärztlichen und -zahnärztlichen Versorgung fest. Die KBV sind damit ermächtigt und verpflichtet, entsprechend zu beschließen und zu veröffentlichen. Die Vorschrift nennt keine Frist, da entsprechende IT-Sicherheitsrichtlinien bereits existieren (www.kbv.de/html/it-sicherheit.php, www.kzbv.de/hintergrund-und-faq.1475.de.html; abgerufen: 18.10.2024). Die Richtlinien beziehen sich auf den weggefallenen § 75b und sind anzupassen (Stand: 10.7.2024).

Rz. 4

Nach dem Wortlauf des Gesetzes ("Die Kassenärztlichen Bundesvereinigungen legen in einer Richtlinie ...") ist von den Vereinigungen eine gemeinsame Richtlinie festzulegen. Tatsächlich liegt sowohl von der Kassenärztlichen als auch von der Kassenzahnärztlichen Bundesvereinigung jeweils eine Richtlinie mit Bindung für die vertretenen Ärzte bzw. Zahnärzte vor. Dagegen bestehen trotz des § 72 Abs. 1 Satz 2 in der Praxis keine Bedenken.

2.2 Inhalt (Abs. 2)

Rz. 5

Zum Pflichtinhalt der Richtlinie gehören aufgrund der Formulierung "umfasst insbesondere"

• Anforderungen an die sichere Installation und Wartung von Komponenten und Diensten der Telematikinfrastruktur, die in der vertragsärztlichen und -zahnärztlichen Versorgung eingesetzt werden, und
• Maßnahmen zur Sensibilisierung von Mitarbeiterinnen und Mitarbeitern zur Informationssicherheit (Steigerung der Security-Awareness).

Weitere fakultative Inhalte sind möglich. Die vorliegenden Richtlinien stellen unterschiedliche Anforderungen, die von der jeweiligen Größe der Praxis abhängig sind.

Rz. 6

Im alltäglichen Umgang mit IT-Systemen ist Awareness eine elementare Sicherheitsmaßnahme (BSI, www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Empfehlungen-nach-Angriffszielen/Faktor-Mensch/Awareness/awareness_node.html; abgerufen: 18.10.2024). Das bedeutet zunächst, dass ein Problembewusstsein für Cyber-Sicherheit geschaffen werden muss. Darauf aufbauend wird eine Verhaltensänderung hin zu sicherem digitalen Umgang erreicht. Die Richtlinie zur IT-Sicherheit wird in diesem Sinne um die Anforderung nach einer Steigerung der sogenannten Security-Awareness (zu übersetzen mit "Sicherheitsbewusstsein") in Form von Maßnahmen zur Sensibilisierung der Mitarbeitenden für die Wichtigkeit der Informationssicherheit konkretisiert, da Maßnahmen in diesem Bereich wichtige Bausteine der IT-Sicherheit darstellen (BT-Drs. 20/9048 S. 147). Hintergrund sind technische Maßnahmen für Informationssicherheit, die umfassende Unterstützung durch alle umsetzenden bzw. anwendenden Personen benötigen, um wirksam greifen zu können. Dazu ist es notwendig, jeder Person die Wichtigkeit der Informationssicherheit bewusst zu machen, sowohl für die eigene Arbeit als auch für die gesamte Organisation, der sie angehört. Geeignete Maßnahmen hängen dabei stark von dem entsprechenden Niveau der Sensibilisierung in der Organisation ab und reichen z. B. von Informationsmaterialien über Schulungen bis zu simulierten bzw. demonstrativen "Angriffen".

2.3 Anforderungen (Abs. 3)

Rz. 7

Die in der Richtlinie festzulegenden Anforderungen müssen geeignet sein,

• die primären Schutzziele der Informationssicherheit (Verfügbarkeit, Integrität und Vertraulichkeit) zu gewährleisten und
• Störungen der informationstechnischen Systeme, Komponenten oder Prozesse der vertragsärztlichen und vertragszahnärztlichen Leistungserbringer zu vermeiden.

Dabei sind...