Hintergrund und FAQ

Die Umsetzung der Digitalisierung des Gesundheitswesens schreitet immer weiter voran. Datenschutz und Datensicherheit von sensiblen Patienten- und Gesundheitsdaten haben dabei für Praxen einen besonders hohen Stellenwert. Die „Richtlinie nach § 75b SGB V über die Anforderungen zur Gewährleistung der IT-Sicherheit“ soll Vertragszahnärztinnen und Vertragszahnärzte sowie Vertragsärztinnen und Vertragsärzte bei der Umsetzung der IT-Sicherheit in ihren Praxen unterstützen.

KZBV und Kassenärztliche Bundesvereinigung (KBV) sind durch den Gesetzgeber verpflichtet, eine „Richtlinie zur IT-Sicherheit in der vertragsärztlichen und vertragszahnärztlichen Versorgung“ zu erstellen. Die IT-Sicherheitsrichtlinie wurde wie gesetzlich gefordert von KZBV und KBV im Einvernehmen mit dem Bundesamt für Sicherheit in der Informationstechnik (BSI) sowie im Benehmen mit dem oder der Bundesbeauftragten für den Datenschutz und die Informationsfreiheit, der Bundesärztekammer, der Bundeszahnärztekammer, der Deutschen Krankenhausgesellschaft und den für die Wahrnehmung der Interessen der Industrie maßgeblichen Bundesverbänden aus dem Bereich der Informationstechnologie im Gesundheitswesen sowie der gematik (in Bezug auf die Anforderungen an die sichere Installation und Wartung von Komponenten und Diensten der Telematikinfrastruktur) erarbeitet.

Die KZBV und die Kassenärztliche Bundesvereinigung (KBV) sind nach § 75b Abs. 1 Satz 1 SGB V gesetzlich verpflichtet eine „Richtlinie zur IT-Sicherheit in der vertragsärztlichen und vertragszahnärztlichen Versorgung“ zu erstellen.

Die Anforderungen, die verbindlich umgesetzt werden müssen, richten sich zunächst stufenweise nach der Größe der Praxis. Berücksichtigt wird dabei die Anzahl der ständig mit der Datenverarbeitung betrauten Personen sowie Umfang und Komplexität der Praxisausstattung.

Diese Beschreibung stammt aus dem Datenschutzrecht und definiert die Notwendigkeit, einen betrieblichen Datenschutzbeauftragten verbindlich zu bestellen. Dabei müssen Voll- und Teilzeitbeschäftigte gezählt werden, die regelmäßig – unabhängig von tatsächlicher Zeit und Umfang – Daten verarbeiten. In der Regel zählen somit alle Mitglieder eines Praxisteams sowie die Praxisinhaberin oder der Praxisinhaber dazu, die mit dem Praxisverwaltungssystem (PVS) arbeiten, aber etwa auch mit der Lohnbuchhaltung beschäftigt sind. Hinzugerechnet werden auch Mitarbeiterinnen und Mitarbeiter eines hauseigenen zahntechnischen Labors. Ausgenommen sind dagegen zum Beispiel Reinigungskräfte oder sonstige Mitarbeiter, die keinen Zugang zu datenverarbeitenden Systemen der Praxis haben oder die Service-Technik, die dort lediglich sporadisch im Auftrag der Praxis arbeitet.

Die Sicherheitsrichtlinie legt die relevanten sicherheitstechnischen Anforderungen für verschiedene Bereiche der Praxis-IT fest und beschreibt damit das Mindestmaß der Maßnahmen, die in der vertragszahnärztlichen Praxis ergriffen werden müssen. Sie adressiert die Schutzziele „Vertraulichkeit“, „Integrität“ und „Verfügbarkeit“ der IT-Systeme in der vertragszahnärztlichen Praxis. Mit der Umsetzung der Anforderungen werden die Risiken der IT-Nutzung minimiert und die IT-Sicherheit insgesamt erhöht.

Auf Grundlage der Zertifizierungsrichtlinie können Anbieter von IT-Dienstleistungen ein Zertifikat erwerben, das bei Zahnärztinnen und Zahnärzten sowie niedergelassenen Ärztinnen und Ärzten die nötige Sachkunde dokumentiert, um entsprechende Dienstleistungen für die Umsetzung der IT-Sicherheit in den Praxen erbringen zu dürfen. Zertifizierungen auf Basis der Richtlinie werden durch die Kassenärztliche Bundesvereinigung (KBV) angeboten und sind sowohl in der ärztlichen und als auch in der zahnärztlichen Versorgung anerkannt.

Nein, es müssen keine zertifizierten Dienstleister beauftragt werden. Wer die Maßnahmen in der Praxis konkret umsetzt, ist rechtlich nicht vorgegeben. Die zertifizierten Dienstleister sind lediglich als Angebot zu verstehen, um die Praxen bei der Auswahl geeigneter Dienstleister zu unterstützen, die die Umsetzung nicht selbst vornehmen wollen oder dabei die Unterstützung erfahrener Fachkräfte nutzen möchten.

Nein, aktuell sind keine Kontrollen in Praxen zur Überprüfung der IT-Sicherheit oder der Umsetzung der Sicherheitsrichtlinie nach § 75b SGB V vorgesehen.

Die IT-Sicherheitsrichtlinie regelt weitestgehend das, was den Praxen auf Grundlage bisheriger Bestimmungen in der Datenschutzgrundverordnung (DSGVO) und dem Bundesdatenschutzgesetz (BDSG) bereits vorgeschrieben wird. Der zusätzliche Aufwand zur Erfüllung der Vorgaben der IT-Sicherheitsrichtlinie dürfte für die meisten Praxen somit vergleichsweise gering sein. Da Ausstattung und bisheriger Stand der IT-Sicherheit in einer Praxis jedoch nicht pauschal beurteilt werden können, lässt sich der individuelle Aufwand, der sich in Einzelfällen ergeben kann, nicht über generalisierte Annahmen darstellen.

Die IT-Sicherheitsrichtlinie wurde in der Ausgabe Nr. 3/2021 der „Zahnärztlichen Mitteilungen“ (zm) am 1. Februar 2021 veröffentlicht. Die KZBV hat zudem unter www.kzbv.de einen gesonderten Bereich eingerichtet, der verschiedene Informationen rund um die IT-Sicherheitsrichtlinie zusammenfasst. Die dort verfügbaren Informationen werden fortlaufend ergänzt und bei Bedarf aktualisiert.

Ja. Um den Praxen die Überprüfung der eigenen Praxis und die Umsetzung der Maßnahmen zu erleichtern, entwickelt die KZBV derzeit den Leitfaden „Datenschutz und Datensicherheit“ von KZBV und BZÄK inhaltlich weiter. (Die aktuelle, allerdings noch nicht angepasste Version finden Sie hier.) Dieser wird in Kürze die Vorgaben der Richtlinie in die allgemeinen Empfehlungen und Hilfestellungen einbinden und allgemeinverständliche Hilfestellungen für deren Umsetzung in der Praxis geben. Der überarbeitete Leitfaden wird im 1. Quartal 2021 als PDF-Datei kostenfrei abrufbar sein.

Um alle Zahnärztinnen und Zahnärzte auf die Regelungen der IT-Sicherheitsrichtlinie hinreichend vorzubereiten, planen viele Kassenzahnärztliche Vereinigungen der Länder (KZVen) spezielle Fortbildungsveranstaltungen. Dabei können Zahnärztinnen und Zahnärzte erfahren, was mit Blick auf die IT-Sicherheit in der Praxis genau beachtet oder noch angepasst werden muss, um mit den Inhalten der IT-Sicherheitsrichtlinie konform zu gehen. Bitte wenden Sie sich als Zahnärztin oder Zahnarzt für weitere Informationen zu konkreten Fortbildungsangeboten direkt an Ihre jeweilige KZV. Die Kontaktdaten der Kassenzahnärztlichen Vereinigungen sind hier zu finden.

Die aktuelle Fassung der IT-Sicherheitsrichtlinie ist am 2. Februar 2021 in Kraft getreten. Seit diesem Zeitpunkt können der Richtlinientext und weitere Informationsmaterialien auch auf der Website der KZBV abgerufen werden. Für die Geltung der verschiedenen Anforderungen definiert die Richtlinie unterschiedliche Umsetzungszeiträume (1. April 2021 bis 1. Juli 2022), die den Zahnarztpraxen vorgibt, bis wann welche Anforderungen erreicht werden müssen.

Die Verantwortung für die Datensicherheit der Praxis-IT liegt zunächst beim Praxisinhaber, das gilt auch für den Internetanschluss. Dass die Telematikinfrastruktur (TI) hinter dem Konnektor sicher ist, dafür sind Hersteller und gematik verantwortlich. In diesem Bereich hat der Gesetzgeber zuletzt im „Patientendatenschutzgesetz“ (PDSG) klarere Bestimmungen zur Haftung in Bezug auf Datensicherheit und Datenschutz vorgesehen. Zahnärztinnen und Zahnärzte sind demnach für die bestimmungsgemäße Nutzung und Betrieb des Konnektors im Rahmen des Beherrschbaren zuständig, nicht aber für die Nutzung dezentraler TI-Komponenten oder der von der gematik spezifizierten Anwendungen in der TI. Diese Verantwortung kann sich immer nur in der Praxis maximal bis vor den Konnektor selbst erstrecken – und nicht darüber hinaus.

Ein grundlegender Anspruch der Vertragszahnärzteschaft an digitale Strukturen lautet: Das höchste Gut ist das Vertrauen der Patientinnen und Patienten. Aus diesem Grund müssen Datenschutz und Datensicherheit ohne Abstriche jederzeit gewährleistet und die informationelle Selbstbestimmung der Patienten gewahrt sein. Das Zahnarzt-Patientenverhältnis muss auch in einer digitalen Welt im Vordergrund stehen und vollumfänglich geschützt bleiben. Zahnärztinnen und Zahnärzte bleiben zuallererst ihren Patienten verpflichtet, deren Daten müssen geschützt sein. Gleichzeitig sind Datenschutz und Datensicherheit auch als Investitionsschutz für die Zahnarztpraxis zu sehen. Ein Verlust aller Daten der Praxis würde enorme finanzielle und zeitliche Aufwände mit sich bringen, die je nach Auslöser durch geeignete Schutzmaßnahmen verhindert oder durch eine geeignete Backup-Strategie deutlich vermindert werden könnten. Nicht zuletzt entstehen spätestens durch die hohen Strafen, die die Datenschutzgrundverordnung (DSGVO) grundsätzlich ermöglicht, in diesem Bereich auch finanzielle Risiken, die durch das Einhalten der aktuellen Datenschutz- und Datensicherheitsanforderungen, insbesondere der IT-Sicherheitsrichtlinie, erfolgreich verringert werden können.

Das Digitale Versorgung-Gesetz (DVG), mit dem die IT-Sicherheitsrichtlinie eingeführt wurde (§ 75 SGB V), sieht derzeit keine eigenen Sanktionen vor. Das bedeutet jedoch nicht, dass diese Vorgaben nicht eingehalten werden müssen. Die Richtlinie definiert Maßnahmen, die die Einhaltung der verschiedenen rechtlichen Vorgaben unterstützen. Gerade die DSGVO hat den Behörden die Möglichkeit gegeben, hohe Strafen durchzusetzen und auch im Straf- und Berufsrecht sind entsprechende Sanktionen vorgesehen.