IT-Sicherheit in MVZ & Arztpraxis: Pflichten nach DSGVO & §75b SGB V

Warum IT-Sicherheit in MVZ und Arztpraxen eine eigene Rechtslage hat

Medizinische Versorgungszentren (MVZ) und niedergelassene Arztpraxen stehen vor einer spezifischen Herausforderung: Sie verarbeiten Gesundheitsdaten der sensibelsten Kategorie (Art. 9 DSGVO), sind an die Telematikinfrastruktur angebunden und unterliegen gleichzeitig mehreren sich überlappenden Rechtsnormen. Anders als Krankenhäuser gelten für sie nicht §75c SGB V, sondern §75b SGB V als sektorspezifische Grundlage.

Die drei relevanten Rechtsquellen im Überblick:

• §75b SGB V i. V. m. der KBV-IT-Sicherheitsrichtlinie: verbindliche Mindestanforderungen für alle Vertragsarztpraxen
• DSGVO Art. 32: Pflicht zu technisch-organisatorischen Maßnahmen (TOMs) zum Schutz personenbezogener Daten
• NIS2UmsuCG (seit Dezember 2025): zusätzliche Pflichten für größere Einrichtungen im Gesundheitssektor

§75b SGB V: Die KBV-IT-Sicherheitsrichtlinie in aktualisierter Fassung

Die Kassenärztliche Bundesvereinigung (KBV) hat im Einvernehmen mit dem BSI eine verbindliche IT-Sicherheitsrichtlinie erlassen, die auf §75b SGB V basiert. Die ursprüngliche Fassung galt ab Januar 2021; eine überarbeitete Version ist seit Oktober 2025 (KBV) bzw. Januar 2026 (KZBV für Zahnärzte) verpflichtend.

Die Richtlinie gilt für alle vertragsärztlichen und psychotherapeutischen Praxen – das sind in Deutschland rund 99.000 Arzt- und Psychotherapiepraxen sowie fast 38.000 Zahnarztpraxen. Verantwortlich für die Einhaltung ist der Praxisinhaber bzw. die Geschäftsführung des MVZ.

Die Anforderungen sind nach Praxisgröße gestaffelt:

Kleine Praxen (bis ca. 5 IT-nutzende Personen) müssen die Basisanforderungen aus Anlage 1 und 5 der Richtlinie umsetzen. Dazu gehören unter anderem: Virenschutz auf allen Geräten, regelmäßige Datensicherungen, Zugriffsschutz durch Passwörter, Netzwerktrennung für Praxis-IT und private Nutzung sowie Sicherheitsupdates.

Mittlere Praxen und MVZ mit 6 bis 20 IT-nutzenden Personen müssen darüber hinaus zusätzliche Maßnahmen umsetzen, darunter Dokumentation der IT-Struktur, Regelungen zur mobilen Arbeit und Notfallpläne.

Großpraxen und große MVZ mit mehr als 20 ständig IT-nutzenden Personen oder mit umfangreicher Datenverarbeitung (z. B. Großlabore, krankenhausähnliche Strukturen) unterliegen dem vollständigen Anforderungskatalog der Richtlinie. Dieser umfasst unter anderem ein dokumentiertes Informationssicherheitsmanagementsystem (ISMS), regelmäßige Risikoanalysen, Awareness-Schulungen für Mitarbeitende sowie technische Maßnahmen zur Netzwerksegmentierung.

DSGVO Art. 32: Parallele Pflicht, die eigenständig bleibt

Die KBV-Richtlinie und die DSGVO greifen ineinander, ersetzen sich aber nicht gegenseitig. Art. 32 DSGVO verpflichtet alle Verantwortlichen, geeignete technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten zu ergreifen – bei Gesundheitsdaten nach Art. 9 DSGVO mit besonders hohem Schutzbedarf.

Konkret bedeutet das für Arztpraxen und MVZ:

• Pseudonymisierung und Verschlüsselung von Patientendaten, insbesondere bei Übertragung und mobiler Nutzung
• Maßnahmen zur Sicherstellung von Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme
• Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der TOMs
• Dokumentierte Datenpannen-Meldeprozesse: Bei Datenschutzverletzungen mit Risiko für betroffene Personen Meldung an die zuständige Datenschutzbehörde innerhalb von 72 Stunden

Die Richtlinie nach §75b SGB V deckt einen erheblichen Teil der DSGVO-Anforderungen ab. Allerdings: Die DSGVO gilt als eigenständige Rechtsgrundlage. Verstöße können auch dann geahndet werden, wenn die KBV-Richtlinie formal eingehalten wird – etwa wenn konkret nachgewiesene Datenschutzmängel vorliegen, die durch die Richtlinien-Maßnahmen nicht adressiert werden.

NIS-2: Wann ist ein MVZ betroffen?

Seit Dezember 2025 gilt das NIS2UmsuCG auch für Einrichtungen im Gesundheitssektor. Für Arztpraxen und MVZ ist die Schwellenwertfrage entscheidend:

• Mindestens 50 Mitarbeitende oder Jahresumsatz über 10 Mio. EUR: Einstufung als wichtige Einrichtung
• Mindestens 250 Mitarbeitende oder Jahresumsatz über 50 Mio. EUR: Einstufung als besonders wichtige Einrichtung

Einzelpraxen und kleinere MVZ unterschreiten diese Schwellen in der Regel. Große, überregionale MVZ mit mehreren Standorten können jedoch durchaus betroffen sein. Die Prüfung der eigenen Einstufung ist für jede Organisation mit nennenswerter Größe obligatorisch.

Betroffene Einrichtungen müssen sich beim BSI registrieren (Frist: 6. März 2026, für spätere Betroffenheit innerhalb von 3 Monaten), ein Risikomanagement implementieren, erhebliche Sicherheitsvorfälle innerhalb von 24 Stunden melden und Lieferkettensicherheit nachweisen. Die Geschäftsführung haftet persönlich für die Erfüllung dieser Pflichten.

Typische Schwachstellen in der Praxis

Aus dem Betrieb von Praxis-IT und MVZ-Infrastrukturen sind die häufigsten Sicherheitslücken bekannt:

Veraltete Betriebssysteme: Praxis-PCs laufen häufig lange auf Betriebssystemversionen, die keine Sicherheitsupdates mehr erhalten – teils aus Kompatibilitätsgründen mit medizinischer Software.

Fehlende Netztrennung: Praxis-WLAN für Patienten und das interne Netz für Patientendaten liegen auf derselben Infrastruktur.

Unzureichende Backup-Konzepte: Datensicherungen existieren, werden aber nicht regelmäßig auf Wiederherstellbarkeit getestet.

Telematikinfrastruktur-Konnektor: Die TI-Anbindung ist technisch vorgeschrieben, schafft aber eine Netzwerkverbindung mit eigenen Angriffsflächen, die aktiv überwacht werden muss.

Fehlende Dokumentation: Die KBV-Richtlinie setzt voraus, dass Maßnahmen nachweislich umgesetzt sind. Nicht dokumentierte Maßnahmen gelten im Zweifel als nicht umgesetzt.

Empfehlungen für MVZ-Leitungen und IT-Verantwortliche

Für Einrichtungen, die ihren IT-Sicherheitsstand strukturiert verbessern wollen:

1. Praxisgrößenklasse bestimmen: Welche Anforderungsstufe der KBV-Richtlinie gilt für Ihre Einrichtung?
2. Gap-Analyse gegen die aktuelle Richtlinienfassung (Oktober 2025): Alte Maßnahmen gegen neue Anforderungen abgleichen
3. NIS-2-Betroffenheitsprüfung: Mitarbeiterzahl und Umsatz gegen die gesetzlichen Schwellen prüfen
4. Dokumentation aufbauen oder vervollständigen: IT-Inventar, Risikobewertung, Notfallpläne, Schulungsnachweise
5. Datenschutz-Folgenabschätzung (DSFA nach Art. 35 DSGVO) für besonders risikoreiche Verarbeitungen prüfen
6. IT-Dienstleister vertraglich einbinden: Auftragsverarbeitungsverträge nach Art. 28 DSGVO für alle externen Dienstleister mit Datenzugriff

Die regulatorische Komplexität für MVZ und Arztpraxen hat in den letzten Jahren erheblich zugenommen. Wer die Anforderungen systematisch angeht, schützt nicht nur seine Patienten vor Datenschutzverletzungen – er minimiert auch das eigene Haftungsrisiko.