Start › IT-Sicherheit › IT-Sicherheitsrichtlinie
IT-Sicherheitsrichtlinie für Zahnarztpraxen: Das verlangt § 390 SGB V
Seit dem 2. Januar 2026 gelten die neuen Anforderungen der Richtlinie verbindlich. Hier steht, was sie verlangt, welche Praxisgröße zählt und welche Punkte sich mit IT-Dienstleister technisch umsetzen lassen.
Was die Richtlinie regelt
Die IT-Sicherheitsrichtlinie nach § 390 SGB V legt fest, welche technischen und organisatorischen Maßnahmen Zahnarztpraxen für ihre IT treffen müssen. Die KZBV hat die aktualisierte Fassung am 1. Juli 2025 veröffentlicht, sie ist am 2. Juli 2025 in Kraft getreten. Neue oder geänderte Anforderungen sind nach sechs Monaten Übergangsfrist seit dem 2. Januar 2026 verbindlich.
Die Verantwortung liegt bei der Praxisleitung. Eine Pflicht, einen zertifizierten IT-Dienstleister zu beauftragen, gibt es nicht. Ein Dienstleister kann aber bei der technischen Umsetzung helfen.
Auf einen Blick
- Rechtsgrundlage: § 390 SGB V
- Neufassung in Kraft seit 2. Juli 2025
- Neue Anforderungen verbindlich seit 2. Januar 2026
- Verantwortlich ist die Praxisleitung
Praxisgrößen und Anlagen
- Klein, bis 5 Personen
- Mittel, 6 bis 20 Personen
- Groß, mehr als 20 Personen
- Anlage 1 gilt für alle Praxen, Anlage 2 für mittlere, Anlage 3 für große Praxen
- Anlage 4 betrifft Großgeräte wie CT oder MRT, Anlage 5 Praxen mit TI-Anschluss
Welche Anforderungen für Ihre Praxis gelten
Welche Anlagen der Richtlinie gelten, hängt von der Praxisgröße ab. Gezählt werden Personen, die ständig mit der Datenverarbeitung betraut sind, zum Beispiel Behandelnde, ZFA, Auszubildende und Abrechnungskräfte. Reinigungskräfte und Hausmeister zählen nicht.
Welche Maßnahmen im Einzelnen gefordert sind, steht in den Anlagen der Richtlinie.
Die Anlage 1: Themen und technische Umsetzung
Die Anlage 1 gilt für alle Praxen und umfasst etwa 50 Anforderungen in fünf Bereichen: Personal und Organisation, Netz und Updates, Datensicherung, Endgeräte und Datenträger sowie Internet und E-Mail.
Systeme, für die es keine Sicherheitsupdates mehr gibt, müssen ausgemustert oder abgetrennt werden. Das betrifft zum Beispiel Windows 10, das seit dem 14. Oktober 2025 keine regulären Sicherheitsupdates mehr erhält. Organisatorische Punkte wie Zuständigkeiten, Verpflichtungen und Schulungen liegen bei der Praxis, bei der Technik unterstützen wir.
Wo wir technisch unterstützen
- Firewall und Netzdokumentation
- Virenschutz auf Arbeitsplätzen und Servern
- Verschlüsselte Datensicherung mit Restore-Tests
- E-Mail-Sicherheit mit Spam- und Malware-Schutz
- Monitoring für Updates und Patchstand
- Server- und Arbeitsplatz-Wechsel, wenn Systeme ausgemustert werden müssen
Themen der Anlage 5
- Dezentrale TI-Komponenten sicher betreiben
- Schutz vor physischem Zugriff
- Getrennte Internetverbindung
- Abgesicherter VPN-Tunnel zum TI-Gateway
- Updates für Konnektor und Kartenleser
Praxen mit TI-Anschluss: Anlage 5
Praxen mit Anschluss an die Telematikinfrastruktur beachten zusätzlich die Anlage 5. Sie betrifft Installation und Betrieb der dezentralen TI-Komponenten, den Schutz vor physischem Zugriff, eine getrennte Internetverbindung, einen abgesicherten VPN-Tunnel zum TI-Gateway und das zeitnahe Einspielen von Updates für Konnektor und Kartenleser.
Mit einem TI-Gateway entfällt der Konnektor in der Praxis. Wann sich der Wechsel lohnt, erklären wir im Ratgeber zum Konnektor-Ende 2030.
Häufige Fragen
Seit wann gilt die IT-Sicherheitsrichtlinie?
Die aktualisierte Fassung ist am 2. Juli 2025 in Kraft getreten. Neue oder geänderte Anforderungen sind nach einer Übergangsfrist von sechs Monaten seit dem 2. Januar 2026 verbindlich umzusetzen.
Muss ich einen zertifizierten IT-Dienstleister beauftragen?
Nein, eine solche Pflicht besteht nicht. Die Verantwortung für die Praxis-IT bleibt bei der Praxisleitung. Ein Dienstleister kann bei der technischen Umsetzung unterstützen.
Welche Praxisgröße habe ich?
Gezählt werden die Personen, die ständig mit der Datenverarbeitung betraut sind. Bis 5 Personen gilt die Praxis als klein, bei 6 bis 20 als mittel, bei mehr als 20 als groß.
Was ist mit Rechnern, die noch Windows 10 nutzen?
Systeme ohne Sicherheitsupdates müssen ausgemustert oder abgetrennt werden. Windows 10 erhält seit dem 14. Oktober 2025 keine regulären Sicherheitsupdates mehr. Wir prüfen, welche Geräte in Ihrer Praxis betroffen sind.
Reichen Firewall und Virenschutz aus?
Nein, sie sind nur ein Teil. Die Richtlinie verlangt auch organisatorische Maßnahmen, etwa Zuständigkeiten, Schulungen, Zugriffsbeschränkungen sowie ein Backup-Konzept mit Tests.
Wird die Umsetzung kontrolliert?
Laut KZBV-Vortrag vom November 2025 sind derzeit keine Praxisbegehungen oder Audits vorgesehen, und § 390 SGB V enthält keine eigenen Sanktionen. Datenschutzverstöße können aber nach der DSGVO Bußgelder nach sich ziehen.
Unterstützt Devicon bei der Umsetzung?
Ja, bei der technischen Seite: Firewall, Virenschutz, Backup mit Restore-Tests, E-Mail-Sicherheit und Monitoring für Praxen in Berlin und Brandenburg. Wir bieten keine Rechtsberatung und keine Zertifizierung.
Stand: November 2026. Quellen: KZBV: IT-Sicherheit in der Zahnarztpraxis, KZBV-Vortrag vom 19.11.2025 (PDF) und § 390 SGB V. Dies ist keine Rechtsberatung, maßgeblich ist die aktuelle Fassung der Richtlinie. Securepoint, ESET und Hornetsecurity sind Marken der jeweiligen Inhaber. Alle genannten Produktnamen und Logos sind Marken der jeweiligen Hersteller. Devicon ist ein unabhängiger Partner und mit den Herstellern nicht verbunden.
Dazu passt
Praxis-IT passend zur Richtlinie aufstellen
Schildern Sie uns kurz Ihre Praxis. Wir gleichen die Technik mit den Anforderungen ab und sagen Ihnen, wo Handlungsbedarf besteht.
Der IT-Befund für Ihre Praxis ist kostenlos und unverbindlich.