§390 nach Praxisgröße: Was Ihre Praxis konkret nachweisen muss
„Gilt das auch für meine kleine Praxis?” – Ja. Die IT-Sicherheitsrichtlinie nach § 390 SGB V betrifft jede vertragsärztliche und -zahnärztliche Praxis. Der Umfang der Anforderungen ist aber gestaffelt: Eine Einzelpraxis muss weniger nachweisen als ein großes MVZ. Hier ein verständlicher Überblick.
Zwei Dinge entscheiden, was gilt
Wichtig zu verstehen: Der Umfang hängt nicht nur von der Praxisgröße ab. Es gibt zwei voneinander unabhängige Dimensionen:
- Wie groß ist Ihre Praxis? – danach staffeln sich die allgemeinen Basis-Anforderungen.
- Was betreiben oder nutzen Sie konkret? – dafür gibt es Zusatz-Anforderungen, die unabhängig von der Größe gelten.
Dimension 1: Die Größe Ihrer Praxis
Maßgeblich ist die Zahl der ständig mit der Datenverarbeitung betrauten Personen – grob:
- Praxis (in der Regel bis zu fünf Personen): die allgemeinen Basis-Anforderungen.
- Mittlere Praxis (mehr Personen): zusätzliche Anforderungen kommen hinzu.
- Großpraxis / MVZ bzw. Praxen mit Datenverarbeitung in erheblichem Umfang: noch einmal weitergehende Anforderungen, etwa an Netzwerksicherheit und die Trennung von Netzbereichen.
Die Stufen bauen aufeinander auf: Eine größere Praxis erfüllt die Basis und das, was für ihre Stufe zusätzlich gilt.
Dimension 2: Was Sie betreiben – unabhängig von der Größe
Daneben gibt es Anforderungen, die nicht an der Praxisgröße hängen, sondern daran, ob Sie etwas Bestimmtes einsetzen. Sie gelten dann für jede Praxis gleichermaßen:
- Medizinische Großgeräte mit Datenverarbeitung: Wer ein solches Gerät betreibt, muss die zugehörigen Anforderungen erfüllen – die kleine Einzelpraxis genauso wie das MVZ.
- Mobile Geräte und Apps (Smartphones, Tablets, Wechseldatenträger)
- Dezentrale Komponenten der TI (z. B. der Konnektor)
- Eigene Website oder Cloud-Dienste
Anders gesagt: Ein MVZ muss die Großgeräte-Anforderungen nicht allein deshalb erfüllen, weil es ein MVZ ist – sondern nur, wenn es tatsächlich ein solches Gerät betreibt. Umgekehrt gilt sie auch für die kleinste Praxis, sobald ein entsprechendes Gerät im Haus steht.
Was praktisch immer dazugehört
Quer durch alle Stufen sind das die wiederkehrenden Bausteine:
- Aktuelle Geräte und Software mit Updates und Virenschutz
- Sichere Passwörter und klar geregelte Zugriffsrechte
- Regelmäßige, geprüfte Backups
- Eine nachvollziehbare Dokumentation der Maßnahmen
Warum das gut für Sie ist
Sie müssen nicht den vollen Katalog erfüllen, der für ein großes MVZ mit umfangreicher Technik gilt. Genau hier liegt der Wert einer Beratung: Ich ermittle, in welche Größenstufe Sie fallen und welche nutzungsabhängigen Anforderungen bei Ihnen tatsächlich greifen – damit Sie weder zu wenig noch unnötig viel tun.
Welche Anforderungen für Ihre Praxis relevant sind, klären wir im §390-Self-Check oder direkt in der IT-Sicherheitsberatung.