StartLeistungenIT-SicherheitKBV IT-Sicherheitsrichtlinie

KBV IT-Sicherheitsrichtlinie: So setzen Arztpraxen die Anforderungen um

Die KBV-IT-Sicherheitsrichtlinie nach § 390 SGB V ist für jede Praxis verbindlich – die verschärften Anforderungen gelten seit dem 1. Oktober 2025. Wir setzen sie um: Risikoanalyse, Netzwerkhärtung, TI-Komponenten und Schulungen für Ihr Praxisteam.

4,9Google-Bewertungen (27)ISO/IEC 27001- zertifiziert

Microsoft-Partner & Office-365-Experten 4,9Google-Bewertungen (27)ISO/IEC 27001- zertifiziert

Microsoft-Partner & Office-365-Experten

Rechtsgrundlage

Rechtsgrundlage und Geltung

Die KBV ist gesetzlich verpflichtet, die Anforderungen zur Gewährleistung der IT-Sicherheit in der vertragsärztlichen Versorgung festzulegen – seit dem 1. April 2025 auf Grundlage von § 390 SGB V (zuvor § 75b SGB V). Die Richtlinie gilt für jede Praxis, unabhängig von der Größe; der Umfang der Anforderungen richtet sich aber nach Praxisgröße und eingesetzter Technik. Die verschärften Anforderungen sind seit dem 1. Oktober 2025 verbindlich – wer sie noch nicht umgesetzt hat, ist im Verzug, nicht in einer Übergangsfrist.

Praxisgröße

Anforderungen nach Praxisgröße

Die Richtlinie staffelt die Pflichten in Anlagen. Wir prüfen, welche für Sie gelten – und setzen genau diese um.

Kleine Praxen

Basisanforderungen für alle – u. a. aktuelle Updates, Virenschutz, sichere Passwörter bzw. MFA, gesicherte mobile Geräte, geregelte Datensicherung und Verschlüsselung.

Mittlere Praxen

Zusätzliche Anforderungen an Netzwerk- und App-Absicherung sowie erweiterte organisatorische Regelungen.

Große Praxen & MVZ

Nochmals erweiterte Anforderungen bis hin zu Sicherheitsrichtlinien und regelmäßigen Prüfungen bei Datenverarbeitung in erheblichem Umfang.

Praxen mit Großgeräten

Eigene Anlage mit gerätespezifischen Anforderungen für CT, MRT und andere medizinische Großgeräte.

TI

Telematikinfrastruktur: der sensible Kern

Die Anbindung an die Telematikinfrastruktur ist Pflicht – und zugleich ein sicherheitskritischer Bereich: Konnektor, Kartenterminals und TI-Komponenten müssen korrekt konfiguriert, aktuell gehalten und in ein sauber segmentiertes Praxisnetz eingebunden sein. Fehlkonfigurationen betreffen unmittelbar Patientendaten. Wir betreuen die TI-Komponenten im Zusammenspiel mit Praxissoftware und Netzwerk – aus einer Hand statt Zuständigkeits-Pingpong.

Nichtumsetzung

Was bei Nichtumsetzung droht

Bei Prüfungen oder nach einem Vorfall drohen berufsrechtliche Konsequenzen und Haftungsrisiken; ein Datenschutzvorfall mit Patientendaten ist zudem meldepflichtig und für eine Praxis besonders rufschädigend. Umgekehrt gilt: Die dokumentierte Umsetzung ist Ihr Nachweis gegenüber KV und Datenschutzaufsicht – und der wirksamste Schutz vor Praxisstillstand durch Schadsoftware.

Ablauf

So läuft die Umsetzung mit uns ab

1
Bestandsaufnahme & Risikoanalyse
In Ihrer Praxis vor Ort – inklusive TI, Praxissoftware und mobiler Geräte.
2
Maßnahmenplan
Nach Ihrer Praxisgröße: was Pflicht ist, was sinnvoll ist, was warten kann.
3
Umsetzung
Netzwerkhärtung, Updates, Verschlüsselung, mobile Geräte, TI-Komponenten – möglichst ohne Unterbrechung des Praxisbetriebs.
4
Schulung & Dokumentation
Schulung des Teams und laufende Pflege der Dokumentation als Teil der Praxis-IT-Betreuung.

Ihr nächster Schritt

Sprechen Sie mit unseren Experten.

Wir beraten Sie persönlich – vor Ort in Hamburg und Schleswig-Holstein oder per Fernwartung.

Kundenstimmen

Echte
Erfolgsgeschichten.

Wir helfen mittelständischen Unternehmen, Organisationen, Kanzleien und Praxen bei der Digitalisierung und schützen ihre IT vor Ausfallzeiten. Unsere Kunden bewerten uns auf Google mit 4,9 von 5 Sternen aus 27 Rezensionen.

Endlich ein IT-Partner, bei dem wir persönliche Ansprechpartner haben – und keine anonyme Hotline. Reaktionszeit stimmt, Kommunikation ist auf den Punkt.

Katrin B.

Steuerkanzlei · Hamburg

Google-Rezension

Die Migration in die Cloud lief geräuschlos. Wir konnten am nächsten Morgen einfach weiterarbeiten – so muss IT-Beratung sein.

Sven H.

IT-Verantwortlicher · Schleswig-Holstein

Google-Rezension

Wir haben mit ITS zum ersten Mal das Gefühl, dass jemand unser Geschäft wirklich versteht – nicht nur unsere Server.

Dr. Miriam K.

Geschäftsführung · Hamburg

Google-Rezension

Standorte in Hamburg und Schleswig-Holstein

Zwei Häfen.
Ein Team.

Wir können zwar auch Fernwartung, aber wenn Hilfe vor Ort nötig ist, sind wir genau da, wo Sie sind – und zwar schnell. Erreichbar, wenn andere Mittagspause machen: durchgehend Mo–Fr von 8:30 bis 18:00 Uhr.

Blick über die Hamburger Innenstadt mit Alster

Standort

Hansestadt Hamburg

Steilshooper Allee 80 · 22309 Hamburg

040 / 88 16 597 – 0

Mo–Fr 8:30–18:00 Uhr

Historische Altstadt von Schleswig an der Schlei

Standort

Schleswig-Holstein

Lutherstraße 2A · 24837 Schleswig

04621 / 530 92 – 0

Mo–Fr 8:30–18:00 Uhr

Hamburg und Schleswig sind keine zwei Firmen mit gemeinsamem Logo. Es ist ein Team, das an zwei Orten sitzt – mit demselben Ticketsystem, denselben Werkzeugen und derselben Erreichbarkeit.

Der Unterschied zu vielen Systemhäusern in der Region liegt in der Bauweise: Wer sein Geschäftsmodell allein auf Cloud-Marge aufbaut, kann Ihnen keine Infrastruktur bauen, die auch ohne Hyperscaler läuft. Wir können beides – und sagen Ihnen offen, wann welcher Weg der richtige für Sie ist.

Unsere eigene Sicherheit lassen wir prüfen: Unser Managementsystem für Informationssicherheit ist nach DIN EN ISO/IEC 27001:2024 auditiert – ohne Abweichungen über alle zehn Normkapitel.

Alle Zertifizierungen & Partner

Was wir selbst betreiben, empfehlen wir auch

Virtualisierung ohne Lizenzsprung
Proxmox im Eigenbetrieb – lange vor der VMware-Preiserhöhung.
Netzwerke, die man trennen kann
Segmentierung mit VLANs statt flacher Netze.
Telefonie im eigenen Haus
AGFEO-Fachhandel seit 1999, dazu Cloud-Telefonie, wenn sie passt.
Zwei-Faktor mit deutscher Hardware
Reiner SCT für belastbare Authentifizierung.
Automatisierung im eigenen Netz
Selbst gehostet, ohne Fremd-SaaS im Datenweg.

Aktuelles

Neues aus dem Ratgeber zu IT-Sicherheit.

Alle Beiträge ansehen →

Wissenswertes

Häufige
Fragen.

Ja. Die Richtlinie gilt für alle vertragsärztlichen und vertragspsychotherapeutischen Praxen; Rechtsgrundlage ist § 390 SGB V. Die verschärften Anforderungen sind seit Oktober 2025 verbindlich umzusetzen.Link zu dieser Frage und Antwort

Die Richtlinie unterscheidet nach Praxisgröße: Basisanforderungen für kleine Praxen, zusätzliche Anforderungen für mittlere und große Praxen sowie eine eigene Anlage für Praxen mit medizinischen Großgeräten. Wir prüfen, welche Anlagen für Sie gelten, und setzen genau diese um.Link zu dieser Frage und Antwort

Bei Prüfungen oder nach einem Vorfall drohen berufsrechtliche Konsequenzen und Haftungsrisiken – und ein Datenschutzvorfall mit Patientendaten ist meldepflichtig und rufschädigend. Die dokumentierte Umsetzung ist zugleich Ihr Nachweis gegenüber KV und Datenschutzaufsicht.Link zu dieser Frage und Antwort

Vorgeschrieben ist das nicht – aber die Richtlinie verlangt Fachkunde. Wir setzen die Anforderungen als ISO-27001-zertifizierter IT-Dienstleister mit Praxis-Erfahrung um, inklusive Telematikinfrastruktur und Praxissoftware-Umfeld.Link zu dieser Frage und Antwort

Erst Bestandsaufnahme und Risikoanalyse in Ihrer Praxis, dann Maßnahmenplan nach Ihrer Praxisgröße, anschließend Umsetzung (Netzwerkhärtung, mobile Geräte, TI-Komponenten) und Schulung des Teams. Danach halten wir die Dokumentation im laufenden Betrieb aktuell.Link zu dieser Frage und Antwort