Praxiswissen
Praxis, mittlere Praxis oder Großpraxis? Welche Anforderungen der KBV-Richtlinie für Sie gelten
Warum die Praxisgröße entscheidet
Die IT-Sicherheitsrichtlinie nach § 390 SGB V gilt für alle vertragsärztlichen und vertragszahnärztlichen Praxen, also auch für Psychotherapiepraxen und Medizinische Versorgungszentren (MVZ). Sie verlangt aber nicht von jeder Praxis dasselbe. Eine Einzelpraxis mit drei Mitarbeitenden hat andere Risiken als ein MVZ mit fünfzig Arbeitsplätzen, und die Richtlinie trägt dem Rechnung.
Die Anforderungen sind deshalb in Anlagen gegliedert, die aufeinander aufbauen. Anlage 1 gilt für alle Praxen. Anlage 2 kommt für mittlere Praxen hinzu, Anlage 3 für Großpraxen. Zwei weitere Anlagen gelten je nach Ausstattung. Wer seine Praxisgröße kennt, weiß also genau, welche Anlagen er umsetzen muss.
So bestimmen Sie Ihre Praxisgröße
Entscheidend ist nicht die Zahl der Ärztinnen und Ärzte, sondern die Zahl der Personen, die ständig mit der Datenverarbeitung betraut sind. In der Praxis sind das alle, die regelmäßig mit dem Praxisverwaltungssystem (PVS) oder mit Patientendaten am Computer arbeiten: Ärztinnen und Ärzte, Medizinische Fachangestellte (MFA) am Empfang und in der Abrechnung, oft auch Auszubildende.
Ein einfacher Weg zur Einordnung: Zählen Sie alle Personen, die ein eigenes Benutzerkonto im PVS haben oder regelmäßig an einem Praxisrechner arbeiten. Bei Grenzfällen, etwa Aushilfen oder Teilzeitkräften, lohnt ein Blick in die Erläuterungen der KBV oder eine kurze Rückfrage bei Ihrer Kassenärztlichen Vereinigung.
Was für jede Praxisgröße gilt
Praxis (bis 5 Personen)
Für alle Praxen gelten die Basisanforderungen aus Anlage 1. Sie betreffen vor allem Organisation und Grundschutz:
- Regeln für die Einarbeitung neuer und den Weggang ausscheidender Mitarbeitender
- Verpflichtung von Fremdpersonal wie Reinigungskräften oder Technikern zur Vertraulichkeit
- Regelmäßige Schulung des Teams und Einweisung der Praxisleitung
- Eine Firewall am Übergang zum Internet und eine aktuelle Netzdokumentation
- Zeitnahe Updates für Betriebssysteme und Programme
- Virenschutz auf allen Rechnern
- Eine regelmäßige Datensicherung, die geschützt aufbewahrt und regelmäßig getestet wird
- Grundregeln für Smartphones, Tablets, USB-Sticks und E-Mail
Gerade der letzte Punkt bei der Datensicherung wird oft übersehen: Ein Backup, das nie zurückgespielt wurde, ist eine Hoffnung, kein Schutz.
Mittlere Praxis (6 bis 20 Personen)
Mittlere Praxen erfüllen alles aus Anlage 1 und zusätzlich die Anforderungen aus Anlage 2. Die wichtigsten Ergänzungen:
- Zentrale Protokollierung und Alarmierung: Wichtige Ereignisse werden automatisch an einen zentralen Protokollserver übermittelt. Die KBV nennt als Mindestumfang unter anderem unberechtigte Zugriffsversuche im Active Directory, erlaubte und blockierte Zugriffe an der Firewall, Meldungen des Virenschutzes und Anmeldungen am PVS.
- Restriktive Rechtevergabe: Jede Person erhält nur die Zugriffsrechte, die sie für ihre Aufgaben braucht.
- Sichere Anmeldung im Windows-Netz: veraltete Anmeldeverfahren werden abgeschaltet.
- Schriftliche Richtlinien für die Nutzung von Smartphones, Mobiltelefonen und Datenträgern.
Die zentrale Protokollierung ist der größte Schritt gegenüber der kleinen Praxis. Sie ist technisch gut lösbar, braucht aber Planung, weil die Daten sicher gespeichert und regelmäßig ausgewertet werden müssen. Medizinische Daten gehören dabei nicht in die Protokolle.
Großpraxis, MVZ und Labor (über 20 Personen oder Datenverarbeitung in erheblichem Umfang)
Großpraxen erfüllen Anlage 1 und 2 und zusätzlich Anlage 3. Als Großpraxis gilt auch eine kleinere Einrichtung, die weit über das übliche Maß hinaus Daten verarbeitet. Die KBV nennt als Beispiele Labore und große MVZ mit klinikähnlichen Strukturen. Hinzu kommen unter anderem:
- Netzsegmentierung: Gesundheitsdaten werden in einem eigenen Netzbereich verarbeitet, getrennt von weniger kritischen Daten wie E-Mail.
- Zentrale Verwaltung mobiler Geräte (MDM): Smartphones und Tablets werden einheitlich konfiguriert, Apps freigegeben und Geräte bei Verlust aus der Ferne gelöscht.
- Messung des Schulungserfolgs: Es reicht nicht, Schulungen anzubieten. Der Lernerfolg wird überprüft und fließt in die nächste Schulung ein.
- Sicherer Betrieb eigener E-Mail-Server mit Verschlüsselung, Spam- und Virenschutz.
Unabhängig von der Größe: Großgeräte und Telematikinfrastruktur
Zwei Anlagen richten sich nicht nach der Größe, sondern nach der Ausstattung.
Medizinische Großgeräte (Anlage 4): Wer etwa einen Computertomografen oder ein MRT betreibt, muss unter anderem die Standardpasswörter der Hersteller ändern, Fernwartungszugänge nur bei Bedarf freischalten und die Geräte vom übrigen Netz trennen. Das betrifft also auch eine kleine radiologische Praxis.
Komponenten der Telematikinfrastruktur (Anlage 5): Fast jede Praxis ist über einen Konnektor oder ein TI-Gateway an die Telematikinfrastruktur (TI) angebunden. Die Richtlinie verlangt unter anderem zeitnahe Updates und dass die Praxis die Zugangsdaten auch ohne ihren Dienstleister kennt. Läuft der Konnektor in einem Rechenzentrum, muss die Verbindung über einen abgesicherten VPN-Tunnel laufen.
Drei typische Beispiele
Hausarztpraxis in Bad Segeberg: eine Ärztin, drei MFA, eine Auszubildende. Fünf Personen arbeiten regelmäßig am PVS. Die Praxis gilt als Praxis, es gelten Anlage 1 und Anlage 5.
Gemeinschaftspraxis in Kiel: zwei Ärzte, eine angestellte Ärztin, fünf MFA. Acht Personen, also mittlere Praxis. Neben Anlage 1 und 5 kommt Anlage 2 hinzu, insbesondere die zentrale Protokollierung.
Radiologisches MVZ in Hamburg: 28 Beschäftigte, CT und MRT im Haus. Das MVZ ist eine Großpraxis und muss Anlage 1 bis 5 vollständig umsetzen.
Drei häufige Missverständnisse
„Wir sind klein, uns betrifft das kaum.“ Auch die Basisanforderungen für kleine Praxen umfassen rund fünfzig Punkte, von Personalregeln bis zum Backup-Test. Klein heißt nicht wenig, sondern überschaubar.
„Unser Systemhaus kümmert sich um alles.“ Ihr Systemhaus betreibt die Technik, und das ist wichtig. Die Richtlinie verlangt aber auch Regeln, Schulungen, Tests und Nachweise. Diese organisatorischen Punkte liegen in der Verantwortung der Praxis.
„Mehr Ärzte bedeuten eine größere Praxis.“ Gezählt wird das ganze Team, das mit der Datenverarbeitung betraut ist. Eine Einzelpraxis mit großem Team kann bereits eine mittlere Praxis sein.
Ihr nächster Schritt
Mit dem Praxis-Check von Vinxira® ordnen Sie Ihre Praxis in fünf Fragen ein und sehen sofort, welche Anforderungen für Sie besonders wichtig sind. Wenn Sie wissen möchten, wo Ihre Praxis heute steht, begleiten wir Sie mit einem Richtlinien-Check vor Ort.